Decisión 78820 de 2022 — SIC

(15 SEPTIEMBRE 2022) “Por la cual se imparten ordenes administrativas y se suspende temporalmente” Radicación 18 - 153189 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales (a) y (b) del artículo 21 de la Ley 1581 de 2012, y el artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que la Superintendencia de Industria y Comercio (“SIC”), a través de diversas denuncias acumuladas al expediente1 de la referencia, en contra de la sociedad comercial DATASET TECNOLOGIES S.A.S. – en liquidación-, con NIT. 900.520.797 - 7(“DATASET”), presunta propietaria de la página web www.datajurídica.com,en las cuales se mencionó la posible vulneración del Régimen de Protección por parte de DATASET. 1.1.

De las denuncias presentadas, es necesario destacar las siguientes, a saber: (a) Radicado 17 – 362413 – 00 del 23 de octubre de 2017, mediante el cual señor XXXXX XXXXXX XXX XXXXXX, identificado con la cédula de ciudadanía XX.XXX.XXX, y en el cual indicó lo siguiente: “(...) Mi queja es contra DATAJURIDICA, actualmente NO TENGO ningún proceso judicial VIGENTE, todo está archivado.

Pero al digitar mi nombre en Google. Gracias a DATAJURICA aparece que estoy en uno o varios procesos. Lo cual afecta mi imagen y buen nombre. Solicito que Datajuridica borre mi nombre de SUS archivos de forma inmediata. Ellos me respondieron por email que lo harían y nunca lo hicieron (...)” (b) Radicado 18-206232 - - 00 del 18 de agosto de 2028, mediante el cual señor XXXXX XXXXXXX XXXXXX XXXXXX, identificado con la cédula de ciudadanía número XXXXXX, y en el cual se indicó lo siguiente: “Acudo a su valiosa colaboración, debido a que las siguientes páginas (...) http://www.datajuridica.com (...) están violando la Ley 1581 de 2012, por manejar mis datos de manera inadecuada, publicarlos sin mi autorización y ponerme en riesgo por la información sensible que publican.”;

(c) Radicado 18-166874 - - 00 del 19 de junio de 2020, mediante el cual la señora XXXXXX XXXXXXX XXXXX, identificada con la cédula de ciudadanía número XX.XXX.XXX, y en el cual se cual se indicó lo siguiente: “De acuerdo con el contenido en su comunicación adjunta y de lo que a mi respecta las dos entidades del estado citan solamente el proceso (...) sin embargo, yo había reclamado ante la SIC por los mismos motivos por las empresas datajuridica.com por el abuso de datos personales y haciéndose pasar estas páginas como oficiales de la RAMA Judicial, cuando (...)”.

(d) Radicado 20 – 53780 del 4 de marzo de 2020, el señor XXXXXXXX XXXXX XXXXX XXXXXXX, identificado con la cédula de ciudadanía XX.XXX.XXX, en correo enviado a DATAJURÍDICA, señala lo siguiente: “Me permito solicitar que mi información personal sea retirada de sus base de datos o de los resultados de su motor de búsqueda (en caso de ser obtenidos por fuentes externas) ya que no he autorizado a que me ingresen o publiquen mis datos, ni los resultados desde motores de búsqueda 1 Describir radicados HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras que permitan inferir que me encuentro vinculado a procesos jurídicos, toda vez que Por la cual se incorporan pruebas dentro de unaúltimos investigación semi decreta de oficio la práctica aparece mi nombre completo y los dígitosyde documento terminado en de 3. otras a presentar mis datos al público, aunque Bajo ninguna circunstancia les autorizo ” solamente los extraigan de otra fuente.” 1.2.

Que con fundamento en las denuncias se adelantaron las siguientes averiguaciones preliminares: (a) Mediante oficio con radicado 18-153189 - - 00 del 29 de mayo de 2018, la Dirección de Protección de Datos de la SIC, requirió a la sociedad comercial PAYU COLOMBIA S.A.S. (“PayU”), con NIT. 830.109.723 – 8, para que remitiera la siguiente información sobre el comercio o persona jurídica asociada al portal: (i) nombre o razón social, NIT, dirección física y de correo electrónico, número telefónico, y demás información en poder de PayU;

(b) Mediante oficio con radicado 18-153189 - - 01 del 30 de mayo de 2018, la Dirección de Protección de Datos de la SIC, requirió a la sociedad comercial ACH COLOMBIA S.A.S., (“ACH”), con NIT. 830.078.512 – 6, para que remitiera la siguiente información sobre el comercio o persona jurídica asociada al portal: (i) nombre o razón social, NIT, dirección física y de correo electrónico, número telefónico, y demás información en poder de ACH;

(c) Mediante oficio con radicado 18-153189 - - 02 del 12 de junio de 2018, PayU dio respuesta al requerimiento de información con radicado 18-153189 - - 00 del 29 de mayo de 2018 con lo siguiente: “Comercio bajo la URL http://searcher.datajuridica.com Nombre o razón social: Proxy Systems Inc. – Datajurídica Nombre de contacto: XXXXXXX XXXXXXX NIT: 155652014-2-2017 Dirección física: Vía Ricardo J. Alfaro Century Tower, 4rd Floor Office 402-17 Correo electrónico: servicioalcliente@datajuridica.com Número telefónico: +507-360-54-19 Comercio bajo la URL “http://www.datajuridica.com/ Nombre o razón social: DATASET TECNOLOGIES S.A.S. Nombre de contacto: XXXXXXX XXXXXXX NIT: 900520797 Dirección física: Cll 69 # 4 – 12 Correo electrónico: ceo@datajuridica.com Número telefónico: 5440500” (d) Mediante oficio con radicado 18-153189 - - 03 del de agosto de 2018 y radicado 18153189 - - 04 del 9 de agosto de 2018, la Dirección de Protección de Datos de la SIC, requirió a ACH para que remitiera la siguiente información: (i) nombre o razón social, NIT, dirección física y de correo electrónico, número telefónico, y demás información relacionada con la persona natural y/o jurídica asociada al portal www.datajuridica.com;

(ii) Copia del contrato celebrado entre ACH y la persona natural y/o jurídica asociada al portal www.datajuridica.com; (e) Mediante oficio con radicado 18-153189 - - 05 del 9 de agosto de 2018, la Dirección de Protección de Datos de la SIC, requirió a PayU para que remitiera la siguiente información: (i) Contrato celebrado entre PROXY SYSTEMS, INC (“Proxy Systems”) y/o XXXXXXX XXXXXXX (“Correal”) y PayU para la recolección de pagos de los servicios prestados a través del portal http://searcher.datajuridica.com, y;

(ii) Contrato celebrado entre DATASET TECNOLOGIES S.A.S. y PayU para la recolección de pagos de servicios prestados a través del portal http://www.datajuridica.com; (f) Mediante radicado 18 -153189 - - 06 del 17 de agosto de 2018, Pay U remitió los contratos celebrados con Proxy Systems y xxxxx, y solicitados a través del radicado 18-153189 - - 05 del 9 de agosto de 2018.

(g) Mediante radicado 18 -153189 - - 07 del 22 de agosto de 2018, ACH dio respuesta a los requerimientos realizados a través de los radicados 18-153189 - - 03 del 4 agosto HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras de 2018 y radicado 18-153189 - - 04 del 9 de agosto de 2018, indicando que Por la cual seDATAJURÍDICA incorporan pruebas una investigación se ellos, decreta la práctica de nodentro tiene de ninguna vinculación ycon y de queoficio la vinculación de recaudo fue celebrada con PayU.otras ” Mediante radicado 18 – 153189 - - 08 del 3 de septiembre de 2018, la Dirección de Protección de Datos requirió a DATASET para que diera respuesta a los siguientes cuestionamientos: (h) “ 1.

Indique cuáles son las fuentes de consulta de “Entérese si ha sido demandado o tiene procesos judiciales en Colombia” al momento que un usuario digita un nombre o un número de identificación en las casillas habilitadas en la pagina web “http://datajuridica.com”; 2. Manifieste la forma como se realiza tecnológicamente la consulta cuando el usuario digita un nombre o un número de identificación y de donde son extraídos los resultados que arroja la página web http://datajuridica.com/result en donde se evidencian nombres y números de identificación. Indique si la consulta arroja alguna información adicional"; 3.

Señale es el resultado de la búsqueda aludida en el numeral anterior se encuentra almacenado en alguna base de datos de su propiedad.” Mediante radicado 18 – 153189 - - 09 del 14 de septiembre de 2018, DATASET dio contestación al requerimiento de información realizado a través del radicado 18 – 153189 - - 08 del 3 de septiembre de 2018, en los siguientes términos: (i) “ 1.

Las fuentes donde se consulta la información en el momento que el usuario digita nombre o documentos de identificación son varias disponibles en internet, todas públicas y gratuitas. Entre las que Datajurídica busca son Juzgados de ejecución de penas y medidas de seguridad – Consunta por Apellidos – ciudades http://procesos.ramajudicial.gov.co/jepms/bogotajemps/conectar.asp Ejemplo Cámara de Comercio de Bucaramanga consulta por palabra clave https://www.sintramites.com/sintramites/general/homonimias.aspx# Consulta estado RUT – DIAN https://devolución.dian.gov.co/webrutmuisca/DefconsultaEstadoRUT.faces HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras Por la cual se incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” Colpensiones – Certificado de afiliación y no afiliados Comando de Reclutamiento y control de reservas Ejercito Nacional – Consulta de libreta militar Verifíquese cédula – APP versión gratuita para escritorio 2.

La construcción del listado de documentos y nombres se realiza técnicamente de la siguiente forma: Datajurídica.com es un motor de búsqueda de información pública desarrollado en C#, JQuery, Json, Javascript y otros lenguajes de programación. Cuando el usuario hace clic en el botón buscar, la petición llega a un Método que utilizando Namespace System.

Threading ejecuta tareas en paralelo, una tarea por cada fuente, cada uno de los procedimientos o tareas usan la clase HttpWeb Request para la realizar la petición al buscar de la fuente, y la respuesta (listado de nombres y documentos de identidad) que entrega la fuente se lee mediante e uso de los métodos de búsqueda de la librería Html Agility Pack.

Si la consulta que se realiza es por numero de documento de identidad, se HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras muestra una pantalla de resultado de la primera fuente que responda, en caso de los otros tipos de búsqueda, el de sistema espera hasta obtener la y mayor posible Por la cual se incorporan pruebas dentro una investigación secantidad decreta dedeoficio la práctica de resultados de las consultas hechas a las fuentes, para mostrarlos en la pantalla los otras resultados tal como fueron encontrados en las diferentes fuentes y este procedimiento se repite para cada consulta. ” 3.

Los resultados de búsquedas no se encuentran almacenados en bases de datos de nuestra propiedad pues no hay necesidad. Cada vez que el usuario realiza una consulta, datajuridica la búsqueda directamente a las fuentes mencionadas On line de donde arma listas de resultados. 4. Una vez el usuario adquiere el plan de consultas, la información a la que puede acceder es la que está disponible de forma pública y gratuita en las páginas webs de las entidades donde datajuridica realiza la búsqueda y encuentra coincidencias.

Para todos los planes la información es la misma y se consultan páginas oficiales y gratuitas Nacionales e internacionales en internet para informar coincidencias en procesos judiciales en boletines de las entidades de control y en boletines y circulares internacionales públicas con la finalidad que el usuario se entere de su situación tal cual se le informa antes de realizar la compra.

También es utilizada por muchos abogados, jueces, y entidades del gobierno para hacer el seguimiento en sus procesos judiciales de la Rama Judicial de una forma más fácil y eficiente al igual que lo hacen muchas otras páginas y servicios disponibles en el mercado. Datajurídica es un buscador especializado de información Pública que realiza consultas On line en internet en fuentes públicas, oficiales, de libre acceso colaborando al “PRINCIPIO DE PUBLICIDAD JUDICIAL -Elemento esencial del derecho fundamental al debido proceso “y al derecho a la información, convirtiéndose en una herramienta extremadamente útil.

(j) Mediante oficio con radicado 18 – 153189 - - 10 del 4 de abril de 2019, la Dirección de Protección de Datos requirió nuevamente a DATASET con el fin de que informarán sobre: (i) dirección, ciudad y país donde se encuentran ubicados los servidores en donde se almacena la información incorporada en las bases de datos que emplea para la ejecución de su actividad económica y/o negocio.

(k) Mediante radicado 18 – 153189 - - 12 del 23 de abril de 2019, DATASET dio respuesta al requerimiento de información realizado mediante radicado 18 – 153189 - - 10 del 4 de abril de 2019, en el cual indicaron lo siguiente: (...) 1. Dataser tecnologies es una compañía de desarrollo de software, consultoría en Comercio Electrónico, publicidad On line y en general desarrollos tecnológicos.

Dataset no tiene páginas de comercio electrónico ni pagina corporativa por que lo Dataset no tiene ni servidores propios ni alquilados en Colombia ni en ningún otro sitio. 2. Dataset technologies No es la dueña de Datajurídica.com 3. Dataset technologies No es un Proxy Systems que es una compañía extranjera ni tampoco es su filial ni agencia comercial ni sus socios son los mismos.

Dataset Technologies, presto servicios profesionales a Proxy Systems para desarrollar algunas aplicaciones para página Datajurídica.com específicamente para el desarrollo de alguno de los crawlers o arañas y sopotte de alguno de sus correos y canales de atención. Proxy Systems acordó el valor de nuestros servicios profesionales correspondían a las ventas que se realizarán en Colombia por la página Datajuridica.com y recaudadas por PAYU pasarela de pagos que nos transferirán directamente.

Estos servicios de desarrollo y de acuerdo de pago se aceptaron realizar teniendo en cuenta los comunicados enviados a la Superintendencia con Radicado 14-5991-260-0 del 2018-01-30 y el Radicado 136469-6-0 del 2013 – 05 – 16 donde la Superintendencia expresa que el servicio prestado por Datajurídica se mantiene dentro del marco legal. “Esta Dirección de Investigación de Protección de Datos Personales determino que, en principio, a través de los reseñados portales web no se recolectan datos personales de carácter privado, pues la página web funciona como una plataforma que redirecciona al buscador de procesos de la rama judicial.

La cual, en todo caso, trata de información que tiene el carácter de pública. Por lo tanto, su queja se trasladará bajo el número radicado 14-5991 al Consejo Superior de la Judicatura”. Sin embargo, teniendo en cuenta que las expectativas comerciales en Colombia no fueron las esperadas, Dataset Technologies tomó la decisión de no continuar realizando trabajos para Proxy Systems.

Por este motivo le informamos que Dataset Technologies ya no recibirá honorarios a través de la pasarela de pagos de PAYU de las ventas de Datajurídica ni de ninguna otra página, ni tampoco presta servicios de otra clase a Proxy Systems. De ahí que a la fecha no exista una relación alguna con datajurídica.com o Proxy Systems. Teniendo en cuenta las anteriores aclaraciones les solicitamos respetuosamente se desvincule a Dataset Technologies de cualquier requerimiento que se esté realizando a la mencionada página o empresa (...)”.

(l) Mediante radicado 18 – 153189 - - 13 del 17 de septiembre de 2019, el Laboratorio Forense de la SIC radicó en el expediente del Acta de Preservación de Página Web – Pre-investigación Radicado 18 – 153189 (el “Acta de Preservación”), que en cuya sección 5, se indicó, entre otras cosas que se pondrán en conocimiento en su momento, que el propietario del portal era la sociedad comercial DATAJURÍDICA.

HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras (m) Mediante radicado 18 – 153189 - - 16 del 20 de abril de 2020, la Dirección de Por la cual seProtección incorporande pruebas una investigación y se decreta de oficio la práctica de Datosdentro de la de SIC requirió a la sociedad comercial PAYU para que otras informara sobre lo siguiente, a saber: ” “(1) Información relativa a PROXY SYSTEMS INC – DATAJURÍDICA (a) Informe si la sociedad PROXY SYSTEMS INC – DATAJURÍDICA, con NIT. 155.652.014-2-2017 aun utiliza su portal para realizar el recaudo de los dineros pagados por terceros para acceder a los servicios del establecimiento comercial denominado www.datajuridica.com y en caso afirmativo, remita nuevamente la siguiente información: (i) Razón social o nombre completo de la persona jurídico y/o natural;

(ii) Número de Identificación Tributaria (“NIT”); (iii) dirección de domicilio social y correo electrónico de la persona, y; (iv) número de teléfono de contacto. (b) Informe, de forma detallada, sobre el procedimiento mediante el cual se hace el pago por parte de ustedes de los dineros recaudados a través de su portal a favor de la sociedad PROXY SYSTEMS INC – DATAJURÍDICA, con NIT. 155.652.014-2-2017, o cualquier otra persona jurídica o natural, por la utilización por parte de terceros de los servicios ofrecidos a través del establecimiento comercial denominado (c) Indique, teniendo en cuenta el procedimiento de pago, si este permite la creación de subcuentas a favor de la sociedad PROXY SYSTEMS INC – DATAJURÍDICA, con NIT. 155.652.014-2-2017, o cualquier otra persona jurídica o natural, por la utilización por parte de terceros de los servicios ofrecidos a través del establecimiento comercial denominado www.datajuridica.com, y en ese sentido, remita información de cada subcuenta y los servicios/pagos asociados a estas, incluyendo, pero sin limitarse, a cuentas bancarias asociadas.

(d) Suministre la información sobre la(s) cuenta(s) bancaria(s) de entidades financieras, nacionales o internacionales, de las cuales la sociedad PROXY SYSTEMS INC – DATAJURÍDICA, con NIT. 155.652.014-2-2017 pueda ser titular, y que estén asociadas al procedimiento de pago para la transferencia de dinero por la utilización de los servicios que PayU ofrece.

Para el efecto, suministre la siguiente información en relación a las posibles cuentas bancarias asociadas al procedimiento de pago: (i) Entidad financiera; (ii) Ubicación de la entidad; (iii) nombre del titular de la cuenta; (iv) número y tipo de cuenta, y; (v) cualquier tipo de información que permita la individualización de la persona natural o jurídica titular de la(s) cuenta(s).

(e) Remita copia del acuerdo o contrato -ultima renovación- celebrado entre payU y la sociedad PROXY SYSTEMS INC – DATAJURÍDICA, con NIT. 155.652.014-2-2017 para el recaudo de los pagos por los servicios prestados a través del establecimiento comercial denominado www.datajuridica.com. En caso de que la sociedad PROXY SYSTEMS INC – DATAJURÍDICA, con NIT. 155.652.014-2-2017, ya no sea la persona jurídica beneficiaria de los recaudos que ustedes realizan por la utilización de los servicios prestados a través del establecimiento comercial denominado www.datajuridica.com, por favor responder el requerimiento indicado en (1) (a) – (e) teniendo en cuenta a la persona natural y/o jurídica que la sustituyó. (2) Información relativa a DATASET TECNOLOGIES S.A.S. -EN LIQUIDACIÓN(a) Informe si la sociedad DATASET TECNOLOGIES S.A.S. -EN LIQUIDACIÓN-, con NIT. 900.520.797-7 aun utiliza su portal para realizar el recaudo de los dineros pagados por terceros para acceder a los servicios del establecimiento comercial denominado http://www.datajuridica.com; y en caso afirmativo, remita nuevamente la siguiente información: (i) Razón social o nombre completo de la persona jurídico y/o natural;

(c) Indique, teniendo en cuenta el procedimiento de pago, si este permite la creación de subcuentas a favor de la sociedad DATASET TECNOLOGIES S.A.S. -EN LIQUIDACIÓN, con NIT. 900.520.797-7, o cualquier otra persona jurídica o natural, por la utilización por parte de terceros de los servicios ofrecidos a través del establecimiento comercial denominado http://www.datajuridica.com, y en ese sentido, remita información de cada subcuenta y los servicios/pagos asociados a estas, incluyendo, pero sin limitarse, a cuentas bancarias asociadas.

(d) Suministre la información sobre la(s) cuenta(s) bancaria(s) de entidades financieras, nacionales o internacionales, de las cuales la sociedad DATASET TECNOLOGIES S.A.S. -EN LIQUIDACIÓN-, con NIT. 900.520.797-7 pueda ser titular, y que estén asociadas al procedimiento de pago para la transferencia de dinero por la utilización de los servicios que PayU ofrece.

(e) Remita copia del acuerdo o contrato -ultima renovación- celebrado entre payU y la sociedad DATASET TECNOLOGIES, con NIT. DATASET TECNOLOGIES S.A.S. -EN LIQUIDACIÓN-, con NIT. 900.520.797-7 para el recaudo de los pagos por los servicios prestados a través del establecimiento comercial denominado http://www.datajuridica.com. En caso de que la sociedad DATASET TECNOLOGIES S.A.S. -EN LIQUIDACIÓN, con NIT. 900.520.797-7 ya no sea la persona jurídica beneficiaria de los recaudos que ustedes HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras realizan por la utilización de los servicios prestados a través del establecimiento comercial denominado http://www.datajuridica.com., responder indicado Por la cual se incorporan pruebas dentro de una por favor investigación y elserequerimiento decreta de oficio la práctica de en (2) (a) – (e) teniendo en cuenta a la persona natural y/o jurídica que la sustituyó.” otras ” del 6 de mayo de 2020, PAYU dio contestación (n) Mediante radicado 18 – 153189 - - 20 a lo solicitado a través del radicado 18 – 153189 - - 16 del 20 de abril de 2020, siendo relevante lo siguiente: “(1) Información relativa a PROXY SYSTEMS INC – DATAJURÍDICA (a) Remita nuevamente la siguiente información: i. ii. iii. iv.

(o) Razón social o nombre completo de la persona jurídico. y/o natural: la persona jurídica se denomina: Proxy Systems Inc. y es una sociedad panameña. Número de identificación Tributaria (“NIT”): La entidad no tiene NIT ya que no es una sociedad colombiana. Es una sociedad panameña creado en nuestro sistema con el número de identificación 155652014-2-2017, en el día y hora: 2012-05-14 08:06:31 Dirección de domicilio social y correo electrónico de la persona: La dirección es vía Ricardo J. Alfaro Century Tower, 4rd Floor Office 302-17, Panamá, Republic of Panamá. El correo electrónico: (ilegible) Número de teléfono de contacto: +507-360-54-19 Mediante radicado 18 – 153189 - - 22 del 26 de mayo de 2020, la Dirección de Protección de Datos de la SIC requirió al Superior de la Judicatura (“C.S.J.”) para que informará sobre los procesos de seguridad de sus bases de datos, así: “ (1) De acuerdo con el A.560/99, entre las varias funciones establecidas para el CENDOJ se encuentran aquellas sobre la implementación de los programas de comunicaciones, transmisión de datos y seguridad de la rama judicial, incluyendo los servicios de atención a los usuarios externo. En ese sentido, informe con detalle, cuáles son las medidas de seguridad habilitadas en materia de protección de datos personales, para los programas de comunicación, transmisión de datos y seguridad de la rama judicial;

(2) Indique cuál es el acto constitucional, legal, reglamentario de los portales y/o acto jurídico que fundamenta la creación de los portales “consulta de proceso nacional unificada”, “consulta de procesos” y Justicia XXI web” de la rama judicial y que son administrados por el CENDOJ; (3) Indique las medidas adoptadas por el CENDOJ, como encargado de la transmisión de datos y seguridad de la rama judicial, para asegurar que la información publicada a través de los portales denominados “consulta de proceso nacional unificada”, “consulta de procesos” y Justicia XXI web” cumplan con el principio de veracidad contenido en la L.1581/12, esto es que los datos personales contenidos en las bases de datos que alimentan estos portales sean veraces, completos, exactos, actualizables, comprobables y comprensibles, con el fin de que dichos datos no sean parciales, incompletos, fraccionados o induzcan error para quienes los consultan;

(4) Indique de forma detallada la clasificación de la información publicada en los portales denominados “consulta de proceso nacional unificada”, “consulta de procesos” y Justicia XXI web”, de acuerdo con la L.1712/14, art, 62, como información pública, información pública clasificada o información pública reservada. Adicionalmente, indique cuáles son los criterios de clasificación para dicha categorización (5) Indique si existe alguna medida de seguridad implementada por parte del CENDOJ para evitar el minado de información o la utilización de bots (robots) para la sustracción de información de sus bases de datos por parte de terceros, incluyendo, pero sin limitarse, aquellos datos contenidos en los portales denominados “consulta de proceso nacional unificada”, “consulta de procesos” y Justicia XXI web”.

(6) Informe, de acuerdo con la L.1581/12, art. 17 (k), si el Consejo Superior de la Judicatura, por intermedio del CENDOJ (debido a que es el encargado programa de comunicaciones, transmisión de datos y seguridad de la rama judicial, y servicios de atención a los usuarios externo), ha adoptado la Política de Tratamiento de la Información para la Rama Judicial.

En caso de respuesta afirmativa, remitir copia de la política vigente para los períodos 2017 - 2020; (7) Informe, de acuerdo con el D. 1377/13, art. 14, si el Consejo Superior si el Consejo Superior de la Judicatura, por intermedio del CENDOJ (debido a que es el encargado del programa de comunicaciones, transmisión de datos y seguridad de la rama judicial, y servicios de atención a los usuarios externo), ha adoptado para sus diversos servicios en línea, donde se realiza el tratamiento de datos personales, el respectivo aviso de privacidad.

En caso de respuesta afirmativa, remitir copia del aviso de privacidad vigente para los períodos 2017 – 2020. “Artículo 6°. Definiciones. a) Información. Se refiere a un conjunto organizado de datos contenido en cualquier documento que los sujetos obligados generen, obtengan, adquieran, transformen o controlen; b) Información pública. Es toda información que un sujeto obligado genere, obtenga, adquiera, o controle en su calidad de tal; c) Información pública clasificada.

Es aquella información que estando en poder o custodia de un sujeto obligado en su calidad de tal, pertenece al ámbito propio, particular y privado o semiprivado de una persona natural o jurídica por lo que su acceso podrá ser negado o exceptuado, siempre que se trate de las circunstancias legítimas y necesarias y los derechos particulares o privados consagrados en el artículo 18 de esta ley; d) Información pública reservada.

Es aquella información que estando en poder o custodia de un sujeto obligado en su calidad de tal, es exceptuada de acceso a la ciudadanía por daño a intereses públicos y bajo cumplimiento de la totalidad de los requisitos consagrados en el artículo 19 de esta ley; (...)” HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras (8) Indique si para la consulta de la información para otras entidades, públicas o convenios interinstitucionales y si y para ha establecido Por la cual se incorporan privadas, pruebastiene dentro de una investigación se ello decreta de oficio la práctica de procedimientos o ha desarrollado herramientas tecnológicas, que minimicen el riesgo de uso no autorizado o otras fraudulento de la información, contenida en las bases de datos desplegadas en los portales ” denominados “consulta de proceso nacional unificada”, “consulta de procesos” y Justicia XXI web”.

(p) Mediante radicado 18 – 153189 - - 23 del 5 de junio de 2020, el C.S.J. dio contestación al requerimiento con radicado 18 – 153189 - - 22 del 26 de mayo de 2020, así: (1) De acuerdo con el A.560/99, entre las varias funciones establecidas para el CENDOJ se encuentran aquellas sobre la implementación de los programas de comunicaciones, transmisión de datos y seguridad de la rama judicial, incluyendo los servicios de atención a los usuarios externo. En ese sentido, informe con detalle, cuáles son las medidas de seguridad habilitadas en materia de protección de datos personales, para los programas de comunicación, transmisión de datos y seguridad de la rama judicial;

Respuesta: “De conformidad con el Acuerdo 560 de 19991, el objetivo general del Centro de Documentación Judicial –CENDOJ, dotar a la Rama Judicial de un Centro de Documentación Socio-jurídica de la Rama Judicial que permita el acceso de los servidores judiciales en particular, y de la comunidad nacional e internacional en general, a la consulta y el intercambio de información, documentación y bibliografía socio-jurídica y de derecho comparado y los objetivos específicos: Fomentar el intercambio de información socio-jurídica con otros centros documentales nacionales e internacionales;

Incorporar tecnología de avanzada en los procesos de información documental socio- jurídica y de derecho comparado y Establecer canales y redes de comunicación con las corporaciones judiciales nacionales, que permitan a los servidores judiciales contar con la infraestructura necesaria para la consulta de la información documental disponible; y con los centros documentales nacionales e internacionales.

En ese contexto y a propósito de la función de “Administrar y operar los canales de comunicación de datos de acuerdo con la reglamentación que establezca la Sala Administrativa” se profirió́ por parte del Consejo Superior de la Judicatura el ACUERDO PSAA11-9109 de 2011:”Por medio del cual se reglamenta la administración de las publicaciones del portal Web de la Rama Judicial” acorde con lo establecido en los artículos 106 y el numeral 4o del artículo 109 de la Ley 270 de 1996, designando como administrador principal del Portal Web: www.ramajudicial.gov.co al Centro de Documentación Judicial-CENDOJ.

Los temas de infraestructura tecnológica (hardware, software y conectividad) que involucran la transmisión de datos y seguridad a la Unidad Informática de la Dirección Ejecutiva de Administración Judicial, órgano técnico y administrativo. En cuanto a los servicios de atención al usuario externo, la Rama Judicial cuenta con diferentes canales de comunicación, por citar algunos de ellos los correos institucionales administrados por el CENDOJ, Chat atendido por el CENDOJ;

PQR del Sistema Integrado de Gestión de Calidad y Medio Ambiente-SIGCMA; así́ mismo en el Portal web de la Rama Judicial: www.ramamjudicial.gov.co, se albergan e interactúan varias aplicativos de interés para la ciudadanía en general, administrados por diferentes dependencias de la Rama Judicial; las unidades del Consejo Superior de la Judicatura y de la Dirección Ejecutiva de Administración Judicial y/o despachos judiciales a nivel nacional, por ejemplo el aplicativo SIERJU, administrado por la Unidad de Desarrollo y análisis estadístico, SIDN (Sistema de Información Doctrinario y Normativo a cargo del CENDOJ, el SIRNA administrado por la Unidad de Registro Nacional de abogados y el sistema de información procesal y manejo documental Justicia XXI de la consulta de procesos nacional unificada cuya administración corresponde a la Unidad de Informática de la Dirección Ejecutiva de Administración Judicial.

Es importante precisar que el Centro de Documentación Judicial-CENDOJ, del Consejo Superior de la Judicatura es administrador del portal Web www.ramajudicial.gov.co de la Rama Judicial y tiene la responsabilidad de garantizar el espacio para la publicación de la información administrativa y judicial producida por las diferentes dependencias de la Rama Judicial, de conformidad con el Acuerdo PSAA11-9109 de 2011 y la administración del sistema de información de gestión procesal y manejo documental Justicia XXI cliente servidor y justicia XXI web, (incluidas las bases de datos) que es el que se expone para la Consulta Nacional Unificada es responsabilidad de la Unidad de Informática de la Dirección Ejecutiva de Administración Judicial de conformidad con los Acuerdo 1591 del 2002 y PSAA14-10215.

No sobra indicar que el CENDOJ, no tiene usuario, permisos, facultad, ni competencia para registrar, diligenciar o modificar información en el sistema de gestión procesal Justicia XXI. Ahora bien, respecto de las políticas de seguridad de la información de la Rama Judicial se han expedido los siguientes actos administrativos: Acuerdo PSAA14-10279: “Por el cual se aprueban las políticas y procedimientos de Seguridad de la Información para la Rama Judicial” en el que indica que corresponde a la Dirección Ejecutiva de Administración Judicial (artículo 2) y se refiere puntualmente a los datos personales en el numeral 26; la Circular de la misma Dirección Ejecutiva de Administración Judicial DEAJC19-9: “Cumplimiento política tratamiento de datos personales y de la información Ley 1581 de 2012.

Sobre este particular vale la pena informar que para efectos de la salida en producción de la consulta unificada la unidad de asistencia legal de la DEAJ profirió́ el concepto DEAJALO19-10919, que se anexa.” 2.-Indique cual es el acto constitucional, legal, reglamentario de los portales y/o acto jurídico que fundamenta la creación de los portales “consulta de HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras proceso nacional unificada”, “consulta de procesos” y Justicia XXI web” de la judicial y que sonde una administrados por el CENDOJ;

Por la cual se incorporan rama pruebas dentro investigación y se decreta de oficio la práctica de otras Respuesta: ” Respecto del portal web www.ramajudicial.gov.co de la Rama Judicial, en el marco de la ley estatutaria de administración de justicia, artículos 95 y 106, la Corporación señaló al Centro de Documentación Judicial-CENDOJ, como administrador principal, sin perjuicio de las responsabilidades de los administradores de sistemas de información y contenidos de las publicaciones de información estática y dinámica producida y cargada por las diferentes dependencias administrativas y/o judiciales de conformidad con el Acuerdo PSAA11-9109 de 2011.

Es así́ como la “consulta de procesos” es un sistema de información, no un portal, al que se accede para consulta a través del portal web de la Rama Judicial www.ramajudicial.gov.co. Los Acuerdos proferidos por el Consejo Superior de la Judicatura para los sistemas de información de gestión procesal que se exponen en la Consulta de Procesos en el Portal Web: www.ramajudicial.gov.co, son: el Acuerdo 1591 2002: “Por el cual se establece el sistema de información de gestión de procesos y manejo documental (Justicia XXI)” y el Acuerdo PSAA14-10215: “Por el cual se autoriza la adecuación del sistema de información de gestión de procesos y manejo documental (Justicia XXI) en ambiente Web” (3) Indique las medidas adoptadas por el CENDOJ, como encargado de la transmisión de datos y seguridad de la rama judicial, para asegurar que la información publicada a través de los portales denominados “consulta de proceso nacional unificada”, “consulta de procesos” y Justicia XXI web” cumplan con el principio de veracidad contenido en la L.1581/12, esto es que los datos personales contenidos en las bases de datos que alimentan estos portales sean veraces, completos, exactos, actualizables, comprobables y comprensibles, con el fin de que dichos datos no sean parciales, incompletos, fraccionados o induzcan error para quienes los consultan;

Respuesta La información publicada en la Consulta de Procesos Nacional Unificada de la página Web www.ramajudicial.gov.co expone la información que cada despacho judicial directamente registra en el sistema de gestión procesal y manejo documental Justicia XXI. Los productores de la información como fuente primaria de información directamente digitan los datos y anotan las actuaciones y/o movimientos de los procesos judiciales, por lo que les compete el cumplimiento del principio de veracidad, de conformidad con la Constitución artículo 74 y los artículos 95, 106 y 153 de la ley Estatutaria de Administración de Justicia. Es importante indicar que la información de consulta de procesos, es un “registro de actuaciones judiciales” que tiene como finalidad dar publicidad y facilitar la consulta de los usuarios de la administración de justicia, en cumplimiento del artículo 228 de la Constitución Política y artículos 2 y 7 de la Ley 1712 de 2014 sobre la Transparencia y del Derecho de Acceso a la Información Pública Nacional, por lo que de ninguna manera constituye antecedentes penales y/o disciplinarios, pues conforme el artículo 248 de la Constitución Política, únicamente las condenas proferidas en sentencias judiciales en forma definitiva tienen la calidad de antecedentes penales y contravencionales en todos los órdenes legales.

Al respecto, vale la pena citar la sentencia de la Sala Jurisdiccional Disciplinaria del Consejo Superior de la Judicatura de Bogotá́, radicado Tutela 2017-01059, Magistrada ponente doctora Elka Venegas Ahumada ´( ) el sistema de consulta de procesos no contiene una base de datos de información personal de sujetos, en la medida que se trata de un aplicativo que maneja referencias de expedientes judiciales, con la finalidad de que los usuarios de los distintos despachos puedan acceder al estado de aquellos.

Entonces el aplicativo de consulta de procesos tiene como función especifica mantener informados a los usuarios de la Rama Judicial de las actuaciones que se producen en desarrollo de la obligación del Estado de administrar justicia, sin que por ello pueda ser considerado como un medio de consulta de antecedentes penales de quienes intervienen en esos expedientes.

(...) Entonces el aplicativo de consulta de procesos tiene como función especifica mantener informados a los usuarios de la Rama Judicial de las actuaciones que se producen en desarrollo de la obligación del Estado de administrar justicia, sin que por ello pueda ser considerado como un medio de consulta de antecedentes penales de quienes intervienen en esos expedientes.

En punto del ámbito de protección del habeas data, cuya vulneración invoca el accionante en la presente tutela, la Corte Constitucional en sentencia T-020 de 2014 dijo: “ El ámbito de protección del habeas data no es cualquier tipo de información que se relacione con una persona. Precisamente, como se infiere de la Constitución y de la ley, su operatividad depende de un entorno especifico, esto es, de un contexto vinculado con la administración de bases de datos personales.

Por ello, como se dijo en la Sentencia SU-458 de 2012 “su ejercicio es bases de datos personales. Por ello, como se dijo en la Sentencia SU-458 de 2012 “su ejercicio es imposible jurídicamente en relación con información personal que no esté contenida en una base o banco de datos, o con información que no sea de carácter personal.” De lo anterior se infiere que una base de datos información personal que puede ser tratada de alguna manera, como ocurre con el ejercicio de los Atendiéndose las disposiciones y jurisprudencia en cita, concluye esta Sala que la información que el actor pretende que se oculte no guarda relación alguna con una base de datos HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras personal, pues el sistema de “consulta de procesos” tiene por objeto enterar a los de ladentro administración justicia sobre las distintas actuaciones y de decisiones Por la cual se incorporan usuarios pruebas de de una investigación y se decreta oficio la práctica de que se presentan en los diferentes expedientes judiciales, motivo por el cual no es posible concluir vulneración delotras derecho fundamental del habeas data ni de las garantías de autodeterminación ” informática y caducidad de la información negativa que de aquel surgen” ( )” También la decisión de la Sala Penal del Tribunal Superior de Bogotá́, con ponencia del doctor Fernando León Bolaños Palacios, acción de tutela 11001-22-04-0002017-00817- 00 (3687), accionante Wilson Ariza Vargas, que en un caso similar se pronunció así́: “31.Por lo tanto, la pretensión del accionante, consistente en eliminar ese registro en particular, no es posible por esta vía, en cuanto la información allí́ contenida es relevante para el cumplimiento de las funciones propias de quienes son llamados a alimentar la base de datos, para el sistema judicial y además, como se anotó, no reviste el carácter de antecedente judicial; y, siempre que refleje la realidad del acontecer procesal, no se vulnera derecho alguno.” En este punto es importante indicar que la Unidad de Informática de la Dirección Ejecutiva de Administración Judicial como administradora del Sistema de Información de Procesos Justicia XXI, ha establecido un mecanismo técnico de “ocultamiento” de información que corresponden exclusivamente a los despachos y corporaciones judiciales (DEAJIF14- 1648 Anexo).

Se reitera que corresponde a la Dirección Ejecutiva de Administración Judicial la responsabilidad de las políticas de seguridad y en el marco de dichas competencias se profirieron el Acuerdo PSAA14-10279: “Por el cual se aprueban las políticas y procedimientos de Seguridad de la Información para la Rama Judicial” artículo 2 numeral 26; y la Circular DEAJC19-9: “Cumplimiento política tratamiento de datos personales y de la información Ley 1581 de 2012” (Anexos), se ha reglamentado sobre la protección de datos personales en la Rama Judicial.

Finalmente quiero indicar que en las Políticas de privacidad y términos de uso del Portal web de la Rama Judicial www.ramajudicial.gov.co y la Consulta de procesos, en el pie de página como se observa a continuación, se establece: POLÍTICAS DE CONFIDENCIALIDAD Copyright © 2019. Todos los derechos reservados PORTAL WEB DE LA RAMA JUDICIAL.

El Proceso de tecnología de diseño, así́ como cualquier marca y logotipo que aparezca en esta página forman parte de la identidad visual de la Rama Judicial - Acuerdo PSAA13-9858 de marzo 7 de 2013. Esta página web tiene por objeto facilitar al público en general la información relativa a los servicios de PORTAL WEB DE LA RAMA JUDICIAL. Le rogamos leer atentamente la siguiente información antes de hacer uso de esta página web.

La utilización de esta publicación digital y su contenido está sujeta a las condiciones de uso y confidencialidad que más adelante se expondrán. Los siguientes son los términos de un acuerdo legal HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras entre quienes ingresen a este PORTAL WEB DE LA RAMA JUDICIAL.

Al acceder, avegar o usar este sitio de web, una usted reconoce que ha leído, y sede obliga a Por la cual se incorporan pruebas dentro investigación y sentendido, decreta oficio la práctica de cumplir con estos términos y con todas las leyes y reglamentos aplicables, incluida la otras exportación y reexportación de leyes y reglamentos de control. ” PORTAL WEB DE LA RAMA JUDICIAL podrá́, sin previo aviso, en cualquier momento revisar estos Términos de Uso y cualquier otra información contenida en este sitio web mediante la actualización de este anuncio.

PORTAL WEB DE LA RAMA JUDICIAL también puede realizar mejoras o cambios en los servicios o programas descritos en este sitio en cualquier momento y sin previo aviso. Este sitio web incluye avisos sobre servicios y publicaciones relacionados con la gestión que adelanta la Rama Judicial. Ningún contenido de este sitio puede ser copiado, reproducido, recopilado, cargado, publicado, transmitido, distribuido, o utilizado para la creación de servicios derivados del PORTAL WEB DE LA RAMA JUDICIAL sin su consentimiento previo por escrito, salvo que se le otorgue permiso para acceder y visualizar las páginas web dentro de este sitio, únicamente para su uso personal y no comercial.

Esta autorización está condicionada a no modificar el contenido mostrado en este sitio, su mantenimiento intacto, todos los derechos de autor, marcas y otros avisos de propiedad, y su aceptación de cualquiera de los términos, condiciones y avisos que acompañan al contenido o de otro tipo establecidos en este sitio. No obstante, lo anterior, cualquier material que esté disponible para su descarga, el acceso, o cualquier otra utilización de este sitio con sus propios términos de licencia, condiciones y avisos, se rige por dichos términos, condiciones y avisos.

Los materiales de esta página web están restringidos y cualquier uso no autorizado, así́ como el incumplimiento de los términos, condiciones o avisos contenidos en ella, pueden violar la normatividad nacional vigente al respecto. La autorización concedida para utilizar esta página se entenderá́ automáticamente terminada en caso de infringir cualquiera de estas condiciones, estando obligado a destruir inmediatamente cualquier material obtenido o impreso de esta página, sin perjuicio de iniciar las acciones judiciales a que haya lugar.

LA RAMA JUDICIAL es titular de todos los derechos sobre el software de la página web, así́ como de los derechos de propiedad intelectual referidos a los contenidos que en ella se incluyan, a excepción de los derechos sobre productos y servicios que no son propiedad de la Rama Judicial. El sitio web puede tener enlaces a otros sitios de interés o a documentos localizados en otras páginas web de propiedad de otras entidades u organizaciones diferentes a la Rama Judicial, por lo que al momento de acceder a ellas el Usuario debe someterse a las condiciones de uso y a la política de privacidad de la página web a la que envía el link.

PORTAL WEB DE LA RAMA JUDICIAL no concede ninguna licencia o autorización de uso de ninguna clase sobre los desarrollos intelectuales publicados en la página web, o sobre cualquier otra propiedad o derecho relacionado con sus contenidos, motivo por el cual no se hace responsable de la información que se halle fuera del sitio web. Los Usuarios se abstendrán de iniciar cualquier acción o reclamación contra el PORTAL WEB DE LA RAMA JUDICIAL, relacionada con los contenidos, opinión o comentario proveniente de los Administradores, siendo aceptado por los Usuarios que tales acciones o reclamaciones solo podrán ser iniciadas contra su directo responsable.

(Corporaciones, Despachos Judiciales, Consejos Seccionales y Direcciones Seccionales), en su calidad de administradores de contenido. En el caso particular del aplicativo de Consulta de Procesos Nacional Unificada, se pueden realizar desde este sitio web, consultas normales sin restricción con la frecuencia que se desee, no obstante, no se puede ejecutar consultas automatizadas o la utilización de robots informáticos hacia dicho aplicativo, esto en aras de proteger la integridad y disponibilidad de los datos y del sistema de información, dado que dichas automatizaciones representan un potencial peligro, en la efectividad del servicio.

Es obligación de la Rama Judicial promover mecanismos de seguridad de la información, que no afecten el buen funcionamiento del servicio, instalando medidas técnicas tendientes a evitar la pérdida, mal uso, alteración, acceso no autorizado, con el fin de impedir que se configure alguna de las conductas previstas en la Ley 1273 de 2009. NORMAS DE CONFIDENCIALIDAD Y PROTECCIÓN DE DATOS Se considera norma de confidencialidad y protección de datos toda información que por orden judicial o disposición legal se encuentra reservada al público, de esta manera el PORTAL WEB DE LA RAMA JUDICIAL se compromete a proteger la privacidad de dicha información, siempre y cuando los administradores de contenido mantengan actualizado sus sitios disponibles en el portal web de la Rama Judicial, sitios web y para la Consulta de Procesos Nacional Unificada los Despachos Judiciales realizaran el procedimiento de ocultamiento previsto por la Unidad Informática de la Dirección Ejecutiva de Administración Judicial, como administradora de las bases de datos de Justicia XXI Cliente – Servidor y Web.

Establece la Ley 1712 de 6 de marzo de 2014 "Por medio de la cual se crea la Ley de Transparencia y del Derecho de Acceso a la Información Pública Nacional", en sus Artículos 2 y 7 que: "Artículo 2°. Principio de máxima publicidad para titular universal. Toda información en posesión, bajo control o custodia de un sujeto obligado es publica y no podrá́ ser reservada o limitada sino por disposición constitucional o legal, de conformidad con la presente ley" "Artículo 7.

Disponibilidad de la Información. En virtud de los principios señalados, deberá́ estar a disposición del público la información a la que hace referencia la presente ley, a través de medios físicos, remotos o locales de comunicación electrónica. Los sujetos obligados deberán tener a disposición de las personas dicha información en la Web, a fin de que estas puedan obtener la información, de manera directa o mediante impresiones " HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras Se reserva el derecho de modificar las Normas de Confidencialidad y Protección de Datos que a continuación se una detallan a fin de adaptarlas requerimientos Por la cual se incorporan pruebas dentro de investigación y a senuevos decreta de oficio la práctica de legislativos, jurisprudenciales, técnicos o todos aquellos que le permitan brindar mejores otrasinformativos, por lo cual se aconseja revisar y más oportunos servicios y contenidos estas normas periódicamente. ” Constitución política de Colombia.

Artículo 15. "Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en los bancos de datos y en archivos de entidades publicas y privadas.

En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución. La correspondencia y demás formas de comunicación privada son inviolables. Solo pueden ser interceptados o registrados mediante orden judicial, en los casos y con las formalidades que establezca la ley. Para efectos tributarios o judiciales y para los casos de inspección, vigilancia e intervención del Estado, podrá́ exigirse la presentación de libros de contabilidad y demás documentos privados, en los términos que señale la ley".

En desarrollo del artículo 15 de la Constitución Política de Colombia, el Congreso de la República expidió́ la Ley Estatutaria 1581 del 17 de octubre de 2012, la cual establece los principios y disposiciones aplicables al tratamiento de datos personales que se encuentren registrados en cualquier base de datos de entidades tanto de carácter público como privado.

A través de la citada Ley también se desarrolló el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 20 de la Constitución Política, valga decir, el derecho al habeas data.

De allí́ que en el literal c) del artículo 3 de la citada normativa defina el dato personal en los siguientes términos: "Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables". Los datos personales a su vez se clasifican en: a) públicos, los cuales se han definido como tal por la Constitución o la Ley, y los que no tienen la condición de datos semiprivados, datos privados o datos sensibles, y, que pueden ser consultados por cualquier persona de manera directa sin el consentimiento del titular; por ejemplo: datos relativos al número de identificación, apellidos, lugar y fecha de expedición del documento, registro civil, la profesión u oficio o la calidad de comerciante, etc.; b) semiprivados, entendidos como aquellos que no tienen naturaleza intima, reservada, ni publica y cuyo conocimiento o divulgación puede interesar no solo a su titular, sino a cierto sector o grupo de personas o a la sociedad en general por ejemplo: fecha y lugar de nacimiento; y c) privados o sensibles, como aquellos datos que por su naturaleza intima o reservada sólo es relevante para su titular y puede afectar la intimidad del mismo, cuyo tratamiento no se puede hacer sin autorización de su titular; por ejemplo: dirección de residencia y teléfono, datos relacionados con la salud, la orientación sexual, o los datos biométricos, libros contables y papeles del comerciante, entre otros.

Ley 1581 de 2012 Protección de Datos personales Artículo 1o. Objeto. La presente ley tiene por objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución Política; así́ como el derecho a la información consagrado en el artículo 20 de la misma.

Artículo 2o. Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza publica o privada. La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales.

Artículo 4o. Principios para el tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicaran, de manera armónica e integral, los siguientes principios: f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los limites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento solo podrá́ hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

Los datos personales, salvo la información publica, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido solo a los Titulares o terceros autorizados conforme a la presente ley. De otro lado, debe tenerse en cuenta que el artículo 10 de la Ley 1581 de 2012, establece los casos en lo que no es necesaria la autorización de la persona para el tratamiento de sus datos, entre las cuales se encuentra: a) Información requerida por una entidad publica o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza publica; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos y e) Datos relacionados con el Registro Civil de las Personas.

Asimismo, el artículo 13 de la misma Ley, consagra a quienes puede entregársele los datos personales: a) A los Titulares, sus causahabientes o sus representantes legales; b) A las entidades publicas o administrativas en ejercicio de sus funciones legales o por orden judicial y c) A los terceros autorizados por el Titular o por la ley. En el desarrollo, interpretación y aplicación de la ley de protección de datos personales, se aplican de manera armónica e integral los siguientes principios: principio de legalidad HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras en materia de tratamiento de datos, principio de finalidad, principio de libertad, principio de veracidad principio de transparencia, principio de acceso y de circulación Por la cual se incorporan pruebaso calidad, dentro de una investigación y se decreta oficio la práctica de restringida, principio de seguridad y principio de confidencialidad; de tal forma que la otras información que reúna las condiciones establecidas en la ley podrá́ suministrarse a las siguientes personas: a) a los titulares, ”sus causahabientes o sus representantes legales; b) a las entidades publicas o administrativas en ejercicio de sus funciones legales o por orden judicial; c) a los terceros autorizados por el titular o por la ley.

Por otro lado, la Superintendencia de Industria y Comercio (SIC) y la Agencia Nacional de Defensa Jurídica del Estado establecieron los lineamientos que deben seguir las entidades publicas y los particulares para el debido tratamiento de datos personales en sistemas de información interoperables (habeas data), a través de la Circular Externa Conjunta No. 4 del 5 de septiembre de 2019, mediante la cual concluye lo siguiente: "Primero. La interoperabilidad entre sistemas de información donde circulan datos personales debe realizarse conforme a los principios señalados en la Ley 1581 de 2012 (protección de datos personales), por lo que no es necesaria la expedición de una norma adicional y especifica para este fin.

Segundo. La protección de datos personales no se opone a la interoperabilidad siempre y cuando se respete lo dispuesto en el artículo 15 de la Constitución (todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre) junto con la mencionada ley se tengan en cuenta sus excepciones y reglas de tratamiento y circulación de la información. Tercero. Las entidades publicas o administrativas no requieren obtener la autorización de la persona para tratar datos personales cuando la información se necesita para el ejercicio de sus funciones.

El termino "tratamiento" incluye cualquier actividad con datos personales (recolección, usos y circulación). Cuarto. La Ley 1581 de 2012 autoriza a las entidades privadas a ya las organizaciones publicas para que suministren a las entidades publicas o administrativas datos personales que sean necesarios para el cumplimiento de sus funciones legales.

Por lo tanto, no se requiere una autorización especial o adicional para poder suministrar a esas entidades datos en el marco de un proyecto de interoperabilidad, siempre y cuando la información que entreguen sea útil, pertinente y necesaria para cumplir los cometidos constitucionales y de ley de las entidades públicas". Es pertinente resaltar la Ley 1266 de 2008, por medio de la cual se dictan disposiciones generales del habeas data, en concordancia con la Ley 1581 de 2012 mediante la cual se regula la protección de datos personales, aplican para todo tipo de uso, recolección, tratamiento o almacenamiento de datos personales de manera transversal en herramientas tecnológicas que las entidades manejen.

PROTECCIÓN DE LA INFORMACIÓN PERSONAL. La información proporcionada por el usuario al registrarse en PORTAL WEB DE LA RAMA JUDICIAL, está resguardada tecnológicamente y sólo podrá́ acceder a ella, el mismo usuario a través de una palabra clave (pastor) o en los casos en que el usuario lo requiera, los integrantes del área designada a esta tarea.

El usuario es el único responsable de mantener su palabra clave (password) y la información de su cuenta. Para disminuir los riesgos PORTAL WEB DE LA RAMA JUDICIAL recomienda al usuario salir de su cuenta y cerrar la ventana de su navegador cuando finalice su actividad, más aun si comparte su computadora con alguien o utiliza una computadora en un lugar público como una biblioteca o un café́ Internet, igualmente se recomienda periódicamente modificar la contraseña asignada.

De acuerdo con lo establecido en la Ley 1581 de 2012, los titulares tienen derecho a autorizar el tratamiento de sus datos personales, revocar la autorización, conocer los datos que son tratados, actualizarlos, rectificarlos cuando se considere que existe deficiencia en su calidad, y finalmente solicitar la supresión de datos siempre y cuando no exista una obligación legal o contractual de continuar con el tratamiento (artículo 2.2.2.25.2.8 Decreto 1074 de 2015.

Además, se dictó disposiciones generales para la protección de datos personales y dispuso como deberes de los sujetos obligados, entre otros, el contenido en el artículo 17, literal k) que expresamente señala "Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consulta y reclamos".

Se garantiza el tratamiento de datos personales en el portal web de la Rama Judicial y de la Consulta de Procesos Nacional Unificada, de acuerdo a lo dispuesto en la Ley 1581 de 2012 en lo relacionado con los principios de libertad y confidencialidad, y dando cumplimento con las reglas del tratamiento de datos personales y propende por la protección del derecho fundamental de habeas data, a través de: i) la definición de la política de tratamiento de información personal que estará́ disponible para los titulares y terceros; ii) contará con un aviso de privacidad en el que se garantice el correcto tratamiento además de los datos públicos y semiprivados, los datos privados o sensibles y; iii) la autorización a los titulares para el tratamiento de su información personal, en los casos que se requiera, a excepción de la interoperabilidad de información entre entidades, toda vez que dichos datos personales sean necesarios para el cumplimiento de sus funciones legales, como es el caso.

La Consulta de Procesos Nacional Unificada garantiza el acceso a la información de los procesos judiciales y las personas vinculadas a los mismos, no se permite el acceso indiscriminado a datos personales protegidos por el derecho de habeas data. Principios generales que se acogen para garantizar la protección de los datos personales: dentro del compromiso legal y corporativo para garantizar la confidencialidad de la información personal, se establecen como principios generales para el tratamiento de la información, en desarrollo de los ya presentes en la Ley 1581 HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras del 2012 y el capítulo 25 del Decreto 1074 de 2015, y demás normas aplicables, los siguientes: Por la cual se incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de Principio de legalidad: no habrá́ otras tratamiento de información personal sin observar las reglas establecidas en la normatividad” vigente.

Principio de finalidad: la incorporación de datos a las bases físicas o digitales deberá́ obedecer a una finalidad legitima, la cual será́ oportunamente informada al titular en la clausula de autorización para el tratamiento y en la política de privacidad. Principio de libertad: se realizará tratamiento de datos personales cuando se cuente con la autorización o cuando por norma exista una facultad para hacerlo, en los términos del art. 3° literal a) y 6° literal a) de la Ley 1581 del 2012, así́ como la sección II del capítulo 25 del Decreto 1074 de 2015.

Principio de veracidad y calidad: se propenderán porque la información sea veraz y se encuentre actualizada, para lo cual se dispondrá́ de medios eficientes para la actualización y rectificación de los datos personales en los caos que aplique. Principio de transparencia: dentro de los mecanismos que se establezcan para el ejercicio de los derechos de los titulares de la información personal, se garantizará al titular, así́ como a los terceros autorizados por este, el acceso a la información sobre datos personales que le conciernan.

Principio de acceso y circulación restringida: se comprometen a garantizar que únicamente personas autorizadas podrán acceder a la información personal. Asimismo, su circulación se limitará al ejercicio de las finalidades autorizadas por el usuario o por la normatividad. Principio de seguridad: se adelantaran todas las medidas técnicas, administrativas y humanas para garantizar que la información personal, almacenada en bases de datos físicas o digitales, no circule o personas no autorizadas accedan a ella.

Principio de confidencialidad: todas las personas que intervengan en el tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la ley y en los términos de la misma.

CONFIDENCIALIDAD DE LA INFORMACIÓN. LA RAMA JUDICIAL no compartirá́ ni revelará con terceros la información confidencial publicada en sus desarrollos tecnológicos, tales como el portal web, la Consulta de Procesos, SIERJU, SIDN, Consulta de Jurisprudencia, Antecedentes Disciplinarios, Consulta Auxiliares de la Justicia, Gaceta de Foro, Sistema Integrado de Gestión de Calidad y Medio Ambiente SIGCMA, Actos Administrativos, SAIDOJ, CAP, Biblioteca Virtual, Videoteca y aplicaciones conexas y futuras, excepto que tenga expresa autorización de la Rama Judicial, o cuando ha sido requerido por orden judicial o legal.

La Ley 1266 de 2008, en concordancia con la Ley 1581 de 2012, salvaguarda el tratamiento de la información y obliga a quienes administran la información y responsables del tratamiento a mantener la reserva de los datos de todo ciudadano. Así́, entre las obligaciones que deben cumplir los responsables del tratamiento de información se encuentra: a) garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data; b) conservar la información bajo las condiciones de seguridad necesarias; c) realizar oportunamente la actualización, rectificación o supresión de los datos en los términos de la ley; y d) permitir el acceso a la información únicamente a las personas que pueden tener acceso a ella.

Teniendo en cuenta lo anterior el Consejo Superior de la Judicatura y la Rama Judicial se compromete al tratamiento de los datos personales para su almacenamiento, uso, circulación recolección, y eliminación, en el marco de las siguientes finalidades: i) en relación con la naturaleza y las funciones propias de la entidad y ii) en relación con el funcionamiento de la entidad.

En consecuencia, el portal web de la Rama Judicial y la "Consulta de Procesos Nacional Unificada", cuya finalidad es disponer la información oficial de gestión procesal para los ciudadanos, cumple con los criterios de búsqueda señalados de los datos e información que serán públicos con la consulta, teniendo en cuenta la naturaleza de los datos, los cuales son públicos, que los datos que se muestran no son privados o sensibles, garantizando los derechos de los titulares en el tratamiento de los mismos.

ACEPTACIÓN DE LOS TÉRMINOS. Esta declaración de Confidencialidad y Protección de Datos está sujeta a los términos y condiciones del PORTAL WEB DE LA RAMA JUDICIAL, con lo cual constituye un acuerdo legal entre el usuario de PORTAL WEB DE LA RAMA JUDICIAL. Si el usuario utiliza los servicios del PORTAL WEB DE LA RAMA JUDICIAL, significa que ha leído, entendido y aceptado los términos antes expuestos.

Si no está de acuerdo con ellos, tiene la opción de no proporcionar ninguna información personal, o no utilizar el servicio de PORTAL WEB DE LA RAMA JUDICIAL. Si cualquier disposición de estas condiciones pierde validez o fuerza obligatoria, por cualquier razón, todas las demás disposiciones, conservan su fuerza obligatoria y carácter vinculante.

Vigencia del tratamiento de los datos: la información suministrada y publicada permanecerá́ almacenada por el tiempo que sea determinado o que sea indicado por ley para el cumplimiento de los fines para los cuales fue incorporada. HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras Modificaciones a la política de privacidad y tratamiento de datos personales: La Rama Judicial se reserva el derecho modificar las normas dey se confidencialidad protección Por la cual se incorporan pruebas dentro de de una investigación decretay de oficio la práctica de de datos con el fin de adaptarlas a nuevos requerimientos de tipo legal, jurisprudencial, técnico y, en general, cuando sea otras necesario para brindar un buen servicio. ” DIVULGACIÓN La presente política será́ vinculante y deberá́ ser publicada a todos los usuarios y a la ciudadanía en general, dentro de los sitios web de la Rama Judicial.

El portal web de la Rama Judicial o quien haga sus veces será́ el responsable de la administración de esta política y en esa medida gestionará con las áreas involucradas su divulgación, cumplimiento y actualización.” (4) Indique de forma detallada la clasificación de la información publicada en los portales denominados “consulta de proceso nacional unificada”, “consulta de procesos” y Justicia XXI web”, de acuerdo con la L.1712/14, art, 63, como información pública, información pública clasificada o información pública reservada.

Adicionalmente, indique cuáles son los criterios de clasificación para dicha categorización. Como se indico previamente la consulta de procesos es un sistema de información dentro del portal de la rama judicial y se constituye en un “registro de actuaciones judiciales” de los despachos judiciales, tiene como finalidad dar máxima publicidad, transparencia y facilitar la consulta de los usuarios de la administración de justicia, en cumplimiento del artículo 228 de la Constitución Política y artículos 2 y 7 de la Ley 1712 de 2014 sobre la Transparencia y del Derecho de Acceso a la Información Pública Nacional La información dispuesta en el portal es información publica, en los términos del artículo 228 de la Ley Estatutaria de Administración de Justicia y la Ley 1712 de 2014, por cuanto lo publicado por los despachos judiciales son los registros de actuaciones surtidas en los procesos que ellos mismos adelantan.

(5) Informe, de acuerdo con la L.1581/12, art. 17 (k), si el Consejo Superior de la Judicatura, por intermedio del CENDOJ (debido a que es el encargado programa de comunicaciones, transmisión de datos y seguridad de la rama judicial, y servicios de atención a los usuarios externo), ha adoptado la Política de Tratamiento de la Información para la Rama Judicial.

En caso de respuesta afirmativa, remitir copia de la política vigente para los períodos 2017 - 2020; Respuesta Respecto del portal web www.ramajudicial.gov.co las políticas de uso, la seguridad a nivel de las bases de datos, está totalmente restringida al público. Se cuenta con medidas de seguridad perimetral WAF (web aplicación firewall) y a nivel de aplicación la protección de re captcha a nivel 3, para evitar consultas masivas y recursivas.

(6) Informe, de acuerdo con el D. 1377/13, art. 14, si el Consejo Superior si el Consejo Superior de la Judicatura, por intermedio del CENDOJ (debido a que es el encargado del programa de comunicaciones, transmisión de datos y seguridad de la rama judicial, y servicios de atención a los usuarios externo), ha adoptado para sus diversos servicios en línea, donde se realiza el tratamiento de datos personales, el respectivo aviso de privacidad.

En caso de respuesta afirmativa, remitir copia del aviso de privacidad vigente para los períodos 2017 – 2020.ç Respuesta Como se indico previamente le corresponde a la Dirección Ejecutiva de Administración Judicial en el marco de dichas competencias se profirieron el Acuerdo PSAA14-10279: “Por el cual se aprueban las políticas y procedimientos de Seguridad de la Información para la Rama Judicial” artículo 2 numeral 26; y la Circular DEAJC19-9: “Cumplimiento política tratamiento de datos personales y de la información Ley 1581 de 2012” (Anexos), se ha reglamentado sobre la protección de datos personales en la Rama Judicial.

(7) Informe, de acuerdo con el D. 1377/13, art. 14, si el Consejo Superior si el Consejo Superior de la Judicatura, por intermedio del CENDOJ (debido a que es el encargado del programa de comunicaciones, transmisión de datos y seguridad de la rama judicial, y servicios de atención a los usuarios externo), ha adoptado para sus diversos servicios en línea, donde se realiza el tratamiento de datos personales, el respectivo aviso de privacidad.

En caso de respuesta afirmativa, remitir copia del aviso de privacidad vigente para los periodos 2017 – 2020. Las políticas de uso y confidencialidad se encuentran disponibles, en el Portal web de la Rama Judicial: www.ramajudicial.gov.co y en la Consulta de procesos, y fueron descritas en la respuesta 3 de este derecho de petición de información. “Artículo 6°.

Definiciones. a) Información. Se refiere a un conjunto organizado de datos contenido en cualquier documento que los sujetos obligados generen, obtengan, adquieran, transformen o controlen; b) Información pública. Es toda información que un sujeto obligado genere, obtenga, adquiera, o controle en su calidad de tal; c) Información pública clasificada.

Es aquella información que estando en poder o custodia de un sujeto obligado en su calidad de tal, es exceptuada de acceso a la ciudadanía por daño a intereses públicos y bajo cumplimiento de la totalidad de los requisitos consagrados en el artículo 19 de esta ley; (...)” HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras Link: https://www.ramajudicial.gov.co/portal/politicas-de-privacidad-y-condiciones- Por la cual se incorporan de-uso pruebas dentro de una investigación y se decreta de oficio la práctica de otras (8) Indique si para la consulta de la ”información para otras entidades, públicas o privadas, tiene convenios interinstitucionales y si para ello ha establecido procedimientos o ha desarrollado herramientas tecnológicas, que minimicen el riesgo de uso no autorizado o fraudulento de la información, contenida en las bases de datos desplegadas en los portales denominados “consulta de proceso nacional unificada”, “consulta de procesos” y Justicia XXI web”.

Respuesta: La Sala al aprobar la salida en producción del sistema de consulta unificada establecidó la necesidad de hacer un protocolo de acceso a la información para la Consulta de procesos nacional unificada a través de un servicio de “API REST” o interfaz de programación de aplicaciones web; en el momento se encuentra solamente disponible para entidades de la Rama Judicial y Altas Cortes.

(anexo)

SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, y en particular las disposiciones contenidas en la Ley 1581 de 2012 y el Decreto 1377 de 2013 -incorporado al D.U.R. 1574/15-, se profirió la Resolución 78820 del 9 de diciembre de 2020, por medio de la cual se formularon los siguientes cargos a la parte investigada con el fin de que se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendiera hacer valer dentro del referido trámite:  CARGO PRIMERO: La presunta de vulneración, en calidad de Responsables, del principio de acceso y circulación restringida (L.1581/12, art. 4(f)) debido a que realiza el tratamiento de datos personales, que aun de naturaleza pública, existe una prohibición expresa por parte de la Rama Judicial de realizar el tratamiento por tener información privada y sensible de los Titulares en Colombia;  CARGO SEGUNDO: La presunta vulneración, en su calidad de Responsables, del principio de veracidad o calidad (L.1581/12, art. 4(d)) y el deber de suministrar información veraz, completa, exacta, actualizada, comprobable y comprensible (L.1581/12, art. 17(e);  CARGO TERCERO: La presunta vulneración, en su calidad de Responsables, del principio de libertad (L.1581/12, art. 4(c)), y los deberes de obtener la autorización (L.1581/12, art. 17(b)) y tramitar las consultas y reclamos realizados por los Titulares en los términos fijados por el Régimen de Protección de Datos (L.1581/12, art. 17(j))

TERCERO: Que la investigada, mediante radicado 18 – 127153 - - 38 del 8 de julio de 2020, se realizó la notificación personal de la Resolución 78820 del 9 de diciembre de 2020, teniendo la Investigada un término de quince (15) días hábiles, una vez se surtiera la notificación personal, para presentar los respectivos Descargos. Sin embargo, debido a que la sociedad investigada no se presentó, se procedió, a través del radicado 18 -127153 - - 44 del 16 de julio de 2020, a realizar la notificación por aviso del Acto Administrativo de conformidad con lo establecido por el artículo 69 del C.P.A.C.A. Este plazo, de acuerdo con el radicado 18 – 127153 - - 45 del 17 de julio de 2020, inició el 22 de julio de 2020 y finalizó el 12 de agosto de 2020.

La Investigada, a través de los radicados 18 – 127153 - - 56 al 102 del 12 de agosto de 2020, presento Descargos en término. De igual forma se comunicó el contenido de la Resolución 78820 del 9 de diciembre de 2020, a las siguientes personas: 3.1. 3.2. 3.3. Radicado 18 – 153189 - - 28 del 11 de diciembre de 2020, se le comunicó el mencionado acto administrativo a la señora XXXXXX XXXXXXX XXXXX;

Radicado 18 – 153189 - - 29 del 11 de diciembre de 2020, se le comunicó el mencionado acto administrativo al señor xxxxx ENRIQUE xxx; Radicado 18 – 153189 - - 30 del 11 de diciembre de 2020, se le comunicó el mencionado acto administrativo al señor xxxxxxxx JAVIER xxxxxxxEZ;

CUARTO: Que, mediante la Resolución 19197 del 9 de abril de 2021, mediante la cual se incorporaron pruebas dentro de una investigación, se rechazan unas y se decretan otras, este Despacho determinó que cuenta con todos los elementos de juicio necesarias para decidir dentro la presente investigación, razón por la cual decidió los siguiente: (i) integrar pruebas;

(ii) abrir etapa probatoria; (iii) decretar ciertas pruebas, y; (iv) negar otras. Siendo las pruebas integradas, negadas y decretadas a la actuación administrativa las siguientes: HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras 4.1. Denuncias presentadas ante la SIC: Por la cual se incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de (e) Radicado 17 – 362413 – 00 del 23 de otras octubre de 2017, mediante el cual señor XXXXX XXXXXX XXX XXXXXX, identificado con la cédula”de ciudadanía XX.XXX.XXX, presentó queja en contra de DATAJURÍDICA; 4.2.

(f) Radicado 18-206232 - - 00 del 18 de agosto de 2028, mediante el cual señor XXXXX XXXXXXX XXXXXX XXXXXX, identificado con la cédula de ciudadanía número 7.731.022, presentó queja en contra de DATAJURÍDICA; (g) Radicado 20 – 53780 del 4 de marzo de 2020, el señor XXXXXXXX XXXXX XXXXX XXXXXXX, identificado con la cédula de ciudadanía XX.XXX.XXX, remitió la queja presentada ante DATAJURÍDICA;

(h) Radicado 18-166874 - - 00 del 19 de junio de 2020, mediante el cual la señora XXXXXX XXXXXXX XXXXX, identificada con la cédula de ciudadanía número xxxxxxx, presentó queja en contra de DATAJURÍDICA; Pruebas recaudadas dentro de la actuación por parte de la SIC: (a) Radicado 18-153189 - - 00 del 29 de mayo de 2018, la Dirección de Protección de Datos de la SIC, requirió a la sociedad comercial PAYU COLOMBIA S.A.S. (“PayU”), con NIT. 830.109.723 – 8, para que remitiera la siguiente información sobre el comercio o persona jurídica asociada al portal: (i) nombre o razón social, NIT, dirección física y de correo electrónico, número telefónico, y demás información en poder de PayU;

(b) Radicado 18-153189 - - 01 del 30 de mayo de 2018, la Dirección de Protección de Datos de la SIC, requirió a la sociedad comercial ACH COLOMBIA S.A.S., (“ACH”), con NIT. 830.078.512 – 6, para que remitiera la siguiente información sobre el comercio o persona jurídica asociada al portal: (i) nombre o razón social, NIT, dirección física y de correo electrónico, número telefónico, y demás información en poder de ACH;

(c) Radicado 18-153189 - - 02 del 12 de junio de 2018, PayU dio respuesta al requerimiento de información con radicado 18-153189 - - 00 del 29 de mayo de 2018; (d) Radicado 18-153189 - - 03 del de agosto de 2018 y radicado 18-153189 - - 04 del 9 de agosto de 2018, la Dirección de Protección de Datos de la SIC, requirió a ACH para que remitiera la siguiente información: (i) nombre o razón social, NIT, dirección física y de correo electrónico, número telefónico, y demás información relacionada con la persona natural y/o jurídica asociada al portal www.datajuridica.com;

(ii) Copia del contrato celebrado entre ACH y la persona natural y/o jurídica asociada al portal www.datajuridica.com; (e) Radicado 18-153189 - - 05 del 9 de agosto de 2018, la Dirección de Protección de Datos de la SIC, requirió a PayU para que remitiera la siguiente información: (i) Contrato celebrado entre PROXY SYSTEMS, INC (“Proxy Systems”) y/o XXXXXXX XXXXXXX (“xxxxxx”) y PayU para la recolección de pagos de los servicios prestados a través del portal http://searcher.datajuridica.com, y;

(ii) Contrato celebrado entre DATASET TECNOLOGIES S.A.S. y PayU para la recolección de pagos de servicios prestados a través del portal http://www.datajuridica.com; (f) Radicado 18 -153189 - - 06 del 17 de agosto de 2018, Pay U remitió los contratos celebrados con Proxy Systems y XXXX, y solicitados a través del radicado 18-153189 - - 05 del 9 de agosto de 2018;

(g) Radicado 18 -153189 - - 07 del 22 de agosto de 2018, ACH dio respuesta a los requerimientos realizados a través de los radicados 18-153189 - - 03 del 1 de agosto de 2018 y radicado 18-153189 - - 04 del 9 de agosto de 2018; (h) Radicado 18 – 153189 - - 08 del 3 de septiembre de 2018, la Dirección de Protección de Datos requirió a DATASET para que diera respuesta a un requerimiento de información;

HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras (i) Radicado 18 – 153189 - - 09 del 14 de septiembre de 2018, mediante el cual DATASET Por la cual se pruebas dentro de una y se decreta de oficio la práctica dioincorporan contestación al requerimiento de investigación información realizado a través del radicado 18de– otras 153189 - - 08 del 3 de septiembre de 2018; ” (j) Radicado 18 – 153189 - - 10 del 4 de abril de 2019, mediante el cual la Dirección de Protección de Datos requirió nuevamente a DATASET con el fin de que informarán sobre: (i) dirección, ciudad y país donde se encuentran ubicados los servidores en donde se almacena la información incorporada en las bases de datos que emplea para la ejecución de su actividad económica y/o negocio;

(k) Radicado 18 – 153189 - - 12 del 23 de abril de 2019, mediante el cual DATASET dio respuesta al requerimiento de información realizado mediante radicado 18 – 153189 - 10 del 4 de abril de 2019; (l) Radicado 18 – 153189 - - 13 del 17 de septiembre de 2019, mediante el Laboratorio Forense de la SIC radicó en el expediente del Acta de Preservación de Página Web – Pre-investigación Radicado 18 – 153189 (el “Acta de Preservación”);

(m) Radicado 18 – 153189 - - 16 del 20 de abril de 2020, mediante el cual la Dirección de Protección de Datos de la SIC requirió a la sociedad comercial PAYU; (n) radicado 18 – 153189 - - 20 del 6 de mayo de 2020, mediante el cual PAYU dio contestación a lo solicitado a través del radicado 18 – 153189 - - 16 del 20 de abril de 2020; (o) Radicado 18 – 153189 - - 22 del 26 de mayo de 2020, mediante la Dirección de Protección de Datos de la SIC requirió al Superior de la Judicatura (“C.S.J.”) para que informará sobre los procesos de seguridad de sus bases de datos;

(p) 4.3. Radicado 18 – 153189 - - 23 del 5 de junio de 2020, mediante el cual el C.S.J. dio contestación al requerimiento con radicado 18 – 153189 - - 22 del 26 de mayo de 2020; Pruebas aportadas por la sociedad Investigada en su documento de Descargos. 4.3.1. Certificado de Existencia y Representación de la sociedad DATASET; 4.4.2. Cédula de ciudadanía del señor RODOLFO IGNACIO CORREAL GARCÍA, y; 4.5.3.

Estados financieros y estados de pérdidas y ganancias para los períodos 2018 a 2020; 4.4. Pruebas de Decretadas de oficio por pate del Despacho. Tal como se indicó en la resolución 19197 del 9 de abril de 2021 se dispuso a decretar de oficio requerir a la sociedad comercial DATASET TECNOLOGIES S.A.S. -en liquidación-, con NIT. 900.520-797-7 (“DATASET”), para que remita la siguiente información: (a) indique, claramente, cuáles fueron los supuestos servicios de desarrollo de software prestados por parte de DATASET a la sociedad comercial panameña PROXY SYSTEMS, INC., para la implementación y puesta en funcionamiento del portal www.datajurídica.com;

(b) Indique, en relación con el cuestionamiento anterior, el nombre de(l) (los) aplicativo(s) y/o porciones de código, y remita copia de completa de los mismos junto con los manuales y documentos de desarrollo y funcionamiento de estos. Para el cumplimiento de la orden impartida por parte de la SIC a través de la resolución 19197 del 9 de abril de 2021, mediante el radicado 18 – 153189. - - 56 del 3 de mayo de 2021, se requirió a la sociedad DATASET con el fin de que diera cumplimiento, en un término de diez (10) días, a lo ordenado; es así como, a través de los radicados 18 – 153189 - - 58 del 12 de mayo de 2021 la sociedad investigada dio respuesta a lo ordenado en los siguientes términos: “Respetados señores reciban un cordial saludo.

En los archivos adjuntos envío la información solicitada. Los códigos fuentes son muy pesados no se pueden enviar por mail, por lo cual les adjunto el link de donde los pueden descargar, solo deben dar clic en aceptar y luego descargarlos. https://we.tl/t-dpZJedC254 Cordialmente XXXXXXX XXXXXXX Dataset Technologies en luego descargarlos. https://we.tl/t-dpZJedC254” HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras Sin embargo, la SIC evidenció que el link de descarga suministrado por parte del la investigada no permitió la Por la cual incorporanrazón pruebas una investigación y se decreta- de oficio la práctica descarga de laseinformación, por dentro la cual, de a través del radicado 18 – 153189 - 61 del 21 de mayo de de otrasa la información requerida por el Despacho a través 2021, se le solicitó nuevamente a la investigada el acceso de la resolución 19197 del 9 de abril de 2021, y a lo cual” se le dio respuesta a través del radicado 18 – 153189 - - 62 del 11 de junio de 2021, en los siguientes términos: “(...) Señores superintendencia. Atendiendo a su solicitud. logramos hacer un link directo a la información. Con solo hacer clic en el link que adjunto se descarga toda la información. Dura 120 días http://92.204.135.5:4041/InterfacesDatajuridica.rar (...)”; una vez el equipo del laboratorio forense procedió a dar apertura al link, dentro del período de los 120 días, evidenció que la no era posible acceder a la información, razón por la cual, el Despacho, a través del radicado 18 – 153189 - - 63 del 16 de septiembre de 2021, requirió por tercera vez a la investigada solicitándole la información a que hace referencia la resolución 19197 del 9 de abril de 2021.

De esta manera, mediante radicado 18 – 153189 - - 64 del 20 de septiembre de 2021, la investigada, mediante su apoderado judicial remitió el siguiente link: https://we.tl/t-CdGWXiCFZn, por medio de los cuales allegaron los siguientes documentos, a saber: (a) (b) (c) Archivo en formato Word llamada interfaces datajurídica que contiene la explicación que se hicieron su momento.

Getnewsfromgooglwe: es el código fuente que es el de buscador de noticias de Google que fue desarrollado en su momento, y; JuzgadosJEPMS el tercero es el código fuente del motor de búsqueda que se desarrolló en su momento para la búsqueda de información jurídica. De la documentación remitida por parte de apoderado de la Investigada, es necesario resaltar el documento denominado “Interfaces Datajurídica” en su sección: “Búsqueda en Juzgados de ejecución de penas y medidas de seguridad Colombia” y “Consulta de Noticias internacionales”, indicó lo siguiente sobre las búsquedas realizadas por el portal Datajurídica.com en la web de la Rama Judicial, en los siguientes términos: (a) “Búsqueda en Juzgados de ejecución de penas y medidas de seguridad Colombia” “Descripción del proceso Se crea un servicio web compatible con SOAP y Rest bajo la arquitectura “Cross-Plataform webservice” para realizar la consulta en juzgados de ejecucion de penas y medidas de seguridad Se crea el proyecto juzgadosJEPMSServices con un método para realizar consultas a la rama judicial tanto por nombre como por documento de identidad HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras Por la cual se incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de La consulta se realiza directamente al webservice como parámetro el número de otrasel enviando documento de identidad o nombre del titular a ” consultahttp://SERVIDOR:PUERTO/CheckProcesos/1022958879 El sistema realiza la búsqueda en paralelo en cada uno de los juzgados de ejecucion de penas y retorna los procesos encontrados con el formato que solicita el cliente, puede ser XML, JSON, CSV, SOAP, HTML4 Respuesta del webservice (b) “Consulta de Noticias internacionales” “El Proceso Se crea un servicio web compatible con SOAP y Rest bajo la arquitectura “Cross-Plataform webservice” que utiliza un componente creado para Windows los cuales se comunican via “PIPEs El cliente solicita las noticias para el nombre de un titular, define el idioma y el país en donde necesita buscar dichas noticias 4 18-153189 - - 64 del 20 de septiembre de 2021, p. 8 – 10.

HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras Por la cual se incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” El sistema recibe la petición y la envia a Google news usando un control webbrowser personalizado en el servidor. Se serializa la respuesta y se entrega”5 NOTA: La comunicación entre el webservice y la aplicación Windows del servidor se realiza usando un PIPE especifico QUINTO: Mediante radicado 18-153189 - - 65 del 26 de julio de 2022, se le comunicó a la sociedad investigada la 5.1.

Mediante radicado 18 – 153189 - - 68 del 11 de agosto de 2022, el apoderado de la sociedad investigada presentó alegatos de conclusión cuyo el contenido principal es el siguiente: 1. “ Se sigue contra DATASET TECNOLOGIES –en liquidación- una investigación al considerarla responsable de la información. 2. Tal calificación ha sido ampliamente desmentida a lo largo de la presente actuación administrativa en la medida en que dataste ha obrado como proveedor de software para diferentes compañías, entre otras las mencionadas en diferentes apartes del oficio de acusación. 3.

Adicionalmente, con base en supuestos que, en nuestro concepto, han carecido de sustento factico, por parte de esa Superintendencia se ha indicado que DATASET TECNOLOGIES –en liquidación- es beneficiaria de los servicios prestados por páginas de búsquedas de antecedentes judiciales, particularmente DATAJURÍDICA. Frente a esto, DATASET TECNOLOGIES –en liquidación-, en su momento, por parte de su representante legal, presentó sus descargos y junto con todos los argumentos tendientes a demostrar que su actuación ha estado completamente apegada a las normas que regulan la protección de los datos personales en Colombia. 4. 5.

En adición a lo anterior, manifestamos, que la relación existente entre DATASET y PROXY SISTEMS era la de cualquier proveedor de servicios. En este caso la relación comercial fue la del desarrollo de software, que fue contratado para la elaboración de una solución informática con unas determinadas características y, como es costumbre generalizada en este tipo de negocios, el acompañamiento en actividades de soporte tanto internas como frente a usuarios que tuvieran algún tipo de petición o queja frente a su funcionamiento.

La negociación para el desarrollo del software se realizó inicialmente entre DATASET TECNOLOGIES –en liquidación- y su cliente, quien posteriormente, en razón a una transacción totalmente ajena a DATASET TECNOLOGIES –en liquidación- y sobre cuyas particularidades nos es imposible pronunciarnos al desconocer sus condiciones específicas, cedió́ el negocio de DATAJURÍDICA a PROXY SISTEMS.

Sobre este aspecto, me permito reiterar lo manifestado inicialmente por parte de DATASET TECNOLOGIES –en liquidación- al rendir sus descargos: “( ) Finalmente, respecto del presunto entramado para evadir responsabilidades por la vulneración de la normatividad de protección de datos personales en Colombia, no me cabe otra cosa que manifestarles, que seria ilógico adelantar ese tipo de entramados para realizar una 5 Ibidem, p. 11 – 12.

HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras actividad cuya legalidad no tiene duda, tal y como esa misma Superintendencia lo ha reconocido como también lo reconocen muchas que la y realizan forma publica Por la cual se y incorporan pruebas dentro dempresas una y personas investigación se de decreta de y oficio la práctica de bajo el escrutinio de cualquier autoridad que quiera efectuar una revisión sobre la misma ( )”. otras Cabe recordar, para el efecto lo ya manifestado ” en nuestro documento de descargos en relación a los conceptos de esa Superintendencia “( ) Esta Dirección de Investigación de Protección de Datos Personales determinó que, en principio, a través de los reseñados portales web no se recolectan datos personales de carácter privado, pues la pagina web funciona como una plataforma que redirecciona al buscador de procesos de la rama judicial, la cual, en todo caso, trata información que tiene el carácter de publica.” 6.

Hechos sobrevinientes 6.1. Del acceso al expediente y el derecho de defensa. Sobre este aspecto nos permitimos presentar dos puntos de suma importancia que conllevan a que en el proceso investigativo que se adelanta en contra de DATASET TECNOLOGIES –en liquidación- resulte viciado. En primer lugar, por medio de oficio de fecha 27 de julio de 2022, dirigido a “DATASET TECNOLOGIES SAS EN LIQUIDACION <rodocorreal@hotmail.com>” esa Superintendencia remite traslado para alegatos finales a la empresa DATASET TECNOLOGIES –en liquidaciónRecibida tal comunicación y siguiendo los pasos en ella establecidos, el señor XXXXXXX XXXXXXX, su representante Legal, actuando de acuerdo con lo establecido por esa Superintendencia, solicita acceso al expediente con el fin de obtener la información que le permitiera el esclarecimiento de los hechos con base en los cuales se realizan algunas presunciones por parte de la autoridad.

Sin embargo, de forma para el sorprendente, esa Superintendencia decide negarle el acceso al expediente, mediante oficio remitido a través de correo electrónico del 5 de agosto de 2022, en el cual, ni siquiera se hace mención del expediente sobre el cual se pidió́ acceso, sino que indica el expediente 18 – 127153, cuyo contenido desconozco.

Es decir, mediante un oficio esa Superintendencia le indica al representante legal de la investigada que abre espacio para presentar sus alegatos de conclusión y que para el ejercicio de su derecho a la defensa puede acceder al expediente a través de una ruta y, luego, cuando el requerido intenta hacerlo, la misma Superintendencia le indica que no le es permitido, además haciendo referencia a otro expediente.

Huelga decir, todo esto sin que el suscrito, apoderado de la entidad DATASET TECNOLOGIES –en liquidación-, hubiese recibido algún tipo de notificación por parte de esa Superintendencia, la cual, a la fecha del presente escrito, no se ha recibido Esto, sin ninguna duda, constituyó una nueva falencia dentro del proceso que se adelanta en contra de DATASET TECNOLOGIES –en liquidación, que debe ser advertida a esa entidad, amen de todos los antecedentes jurisprudenciales existentes sobre el efecto, a algunos de los cuales ya se hizo mención en el escrito de descargos presentado por la entidad y las posibles responsabilidades que se pueden generar por hechos como el acaecido.

Sin embargo, pese a no tener acceso reciente al expediente y pese a no haber sido debidamente notificados de las actuaciones de esa Superintendencia, procedemos a radicar en termino el presente escrito contentivo de nuestros alegatos finales. 6.2. Actas de preservación No. 159-19, radicada No. 18-153189- -00013-0000 sobre el sitio web htttp://wwww.datajurídica.com. elaborada a partir de la solicitud efectuada el día 30 de mayo de 2018, según se manifiesta en el informe presentado.

Sobre tal informe valga en primer lugar indicar, que el mismo parte de una inconsistencia, que lo hace carecer de validez en adelante pues, según informa la citada acta todo lo dicho se hace sobre una compañía cuya existencia desconocíamos llamada DATAJURÍDICA identificada con NIT 900872465-7. De aquí́ que cualquier información en ella contenida es sobre una entidad de la cual tuvimos una primera noción, únicamente hasta que fue mencionada en el informe, como la empresa sobre la cual se realizan las aseveraciones allí́ contenidas.

Dicho lo anterior y dirigiéndonos a los “hallazgos” efectuados en el acta se encuentra que la única observación realizada en el punto 9 descrito en la pagina 15 del documento, como conclusión del informe, consiste en lo siguiente: “( ) Se observan dos formularios los cuales permiten el acceso a la política de privacidad, cuenta con mecanismos de aceptación de la misma y contiene validación de seguridad para comprobar que es un humano quien diligencia los registros y no un robot 6.3.

De la caducidad de la facultad investigativa y sancionatoria de las autoridades. En adición a lo manifestado en nuestro escrito de descargos en torno a los casi ya diez (10) anos en que se efectuaron los primeros requerimientos de esa Superintendencia en torno a los servicios prestados por DATAJURIDICA, encontramos que ha pasado más de un (1) ano desde que se profirió́ la resolución de apertura de la investigación en contra de DATASET TECNOLOGIES –en liquidación-, la cual en la mayoría de sus aspectos decía sustentarse en investigaciones efectuadas por parte de esa superintendencia que iniciaron, según lo advierte esa entidad el 29 de mayo del año 2018 cuando mediante oficio con radicado 18-153189- - 00 se requirió́ a la sociedad comercial PAYU COLOMBIA SAS para que “( ) remitiera la siguiente información sobre el comercio o persona jurídica asociada al portal: (i) Nombre o razón social, NIT, Dirección física y de correo electrónico, número telefónico y demás información en poder de payo ( )” según se establece en el punto 2.2. de los considerandos de la resolución 78820 de 2020 Frente a tal requerimiento, la mentada sociedad respondió́ a esa Superintendencia, mediante oficio con radicado 18-153189 - - 02 del 12 de junio de 2018, con la información que se cita en el punto 2.4. de los considerandos de la resolución 78820 de 2020.

Posteriormente, requiere nuevamente a PAYU para que entregue información entorno a proxy sistema y DATASET TECNOLOGIES -en liquidación- mediante oficio del 20 de abril de 2020 de fecha 18 – 153189 – 16 según se establece en el punto en el punto 2.13. de los considerandos de la resolución 78820 de 2020. HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras Frente a esto, esa Superintendencia indica en el punto 2.14 de los considerandos de la resolución 78820 de 2020, que la citada entidad envía la información relevante frente ade Proxy Por la cual se incorporan pruebas dentro de una investigación y se decreta oficio la práctica de System, según se puede observar en la respuesta dada el 6 de mayo de 2020. otras Sin embargo, la respuesta de la citada entidad ” no tiene ninguna información acerca de DATASET TECNOLOGIES -en liquidación-.

En esa medida, las disquisiciones que está efectuando esa Superintendencia sobre las presuntas relaciones de Proxy System y DATASET TECNOLOGIES –En liquidación- son el resultado de una información del ano 2018, esto es, hace más de cuatro (4) anos a la fecha de presentación de estos alegatos. De acuerdo con esto, esa Autoridad, de manera inusual, podría estar infiriendo relaciones y adelantando cargos con una “foto” de una fecha, que de haberse verificado en la realidad no tendría ningún tipo de asidero para poder ser utilizadas para el juzgamiento de DATASET TECNOLOGIES -en liquidación-, puesto que tal “foto” podría haber sido valida hasta pasados tres anos de su captura para el juzgamiento de mi representada, esto es junio de 2021, pero de ninguna forma a la fecha de presentación de este documento, pues muestra información de un momento específico en el tiempo susceptible de cambios posteriores, más aun cuando DATASET TECNOLOGIES -en liquidación- no se encuentra realizando ningún tipo de operación comercial, diferente a los actos para su liquidación desde hace ya casi tres (3) anos, como se puede apreciar en los estados financieros suministrados en su momento.

Huelga decir, que lo manifestado conlleva un argumento adicional que presentamos ante esa Superintendencia para ratificar lo ya manifestado en torno a la caducidad de su facultad sancionatoria, lo cual no significa, de ninguna manera, nuestra aceptación a la aseveración que se hace en torno a la posible responsabilidad de DATASET TECNOLOGIES -en liquidación-, como responsable de la información crediticia por una presunta posible relación con Datajurídica.”

1. NUESTRA SOLICITUD De acuerdo con lo manifestado a lo largo del presente documento, así́ como nuestros descargos iniciales, de manera respetuosa reitero la solicitud efectuada para que se proceda al ARCHIVO de la presente investigación. Esto en la medida en que, como lo indicamos en nuestro documento de descargos: 1) DATASET TECNOLOGIES -en liquidación- no puede ser considerado responsable de la información; 2) El servicio de conexión que se presta a un ciudadano para la búsqueda de información en portales oficiales que contienen información pública, del que como se mostró́ DATASET TECNOLOGIES -en liquidación- no era propietario, es perfectamente legal realizado por múltiples compañías en el ámbito nacional.

A esto se suma 3) Una información por parte de empresas prestadoras de servicios proveniente del ano 2018, que además de no incriminar o permitir inferencias incriminadoras en contra de DATASET TECNOLOGIES -en liquidación- tiene más de tres (3) anos de haber sido proveída 4) Un acta de preservación de información desarrollada por investigadores de esa Superintendencia realizada en torno a una empresa cuya existencia se desconoce por nuestra parte. 5) Las pruebas presentadas en relación con los estados financieros de DATASET TECNOLOGIES -en liquidación-, una sociedad que debido a los malos resultados económicos presentados en el desarrollo de su operación como proveedor de desarrollos tecnológicos debió́ entrar en proceso de liquidación.”

SEXTO: Competencia de la Superintendencia de Industria y Comercio La L.1581/12, art. 19 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

SÉPTIMO: Análisis del caso 7.1. DATAJURÍDICA no puede alegar la caducidad de la facultad sancionatoria por cuanto la conducta sigue ejecutándose y no existe legítima expectativa por actos que no son definitivos por parte de la administración. En el derecho administrativo sancionatorio la caducidad de la acción o capacidad sancionatoria del Estado se encuentra regulado por el artículo 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (“C.P.A.C.A.”), el cual, claramente, establece que la administración tiene 3 años contados desde ocurrida la conducta u omisión, para expedir el acto de imputación de cargos y notificarlo, perdiendo después de este período la facultad sancionatoria.

Así mismo, la norma también establece que “cuando se trate de un hecho o conducta continuada, este término se contará desde el día siguiente a aquel en que cesó la infracción y/o ejecución”. Por tanto, se fija dos reglas para la administración en relación con la expedición de actos administrativos sancionatorios so pena de perder esta facultad: (i) 3 años desde que ocurrieron el acto vulnera torio o la omisión por parte del administrado, o bien;

(ii) en hechos o conductas vulneratorias continúas, el término de 3 años lo empiezan a contar a partir del día siguiente en que cesa la actividad vulneratoria por parte del administrado. HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras Por otra parte, la legitima expectativa en el derecho administrativo solo es aplicable en el escenario cual se incorporan dentro de una investigación y se decreta oficio la práctica de dePor losladerechos adquiridos,pruebas donde un derecho entra dentro del patrimonio dede una persona al haber otras cumplido con los requisitos exigidos para el efecto; sin embargo, existe la posibilidad de una nueva ” configuración legislativa que desactiva el derecho, pero al casi cumplir los requisitos exigidos por parte de una persona para su acceso, no es posible su desconocimiento, lo cual configura una legítima expectativa.

En todo caso, existe también el escenario de la mera expectativa, donde no se cumplen ninguno o pocos requisitos de la antigua configuración legislativa, no siendo estos particulares sujetos de ningún derecho o trato especial frente al cambio de configuración normativa. En el caso en concreto, el apoderado de la investigada mediante los alegatos de conclusión presentados mediante radicado 18 – 153189 - - 68 del 11 de agosto de 2022, manifestó lo siguiente sobre la facultad sancionatoria de la SIC: (i) la SIC se tomó casi diez (10) años presentar descargos;

(ii) ha pasado más de un año desde que se realizó la imputación de cargos, y su sustento se basa en investigaciones realizadas con anterioridad a la imputación de cargos, y; (iii) la sociedad investigada desde hace más de tres (3) años no realiza ningún tipo de actividad comercial, tal como se prueba en sus estados financieros. La argumentación presentada por parte del apoderado de la investigada, sin que se presenten pruebas fehacientes de que la actividad de tratamiento halla cesado, está hilada de cara a ajustarse a la primera regla del ya mencionado artículo 52 del C.P.A.C.A., y es el cumplimiento de los tres (3) años exigidos por la norma para realizar la imputación, los cuales, para el apoderado de la sociedad investigada ya se cumplieron.

Adicional indicó que, debido a inactividad comercial, el tratamiento de los datos ha cesado, razón por la cual la capacidad sancionatoria de la SIC ha caducado. Sin embargo es necesario anotar que la actividad de tratamiento de datos del portal DATAJURÍDICA no ha cesado, sino que a la fecha se encuentra plenamente en funcionamiento, por lo que no se puede predicar la aplicación ninguna de las reglas de la caducidad arriba ya explicadas, y por el contrario, se puede indicar que la conducta de indebido tratamiento de datos personales mediante el citado portal es continua desde hace varios años sin que se pueda predicar la caducidad de la facultad investigativa de ésta Delegatura.

Por otra parte, que este despacho haya proferido un acto no definitivo en investigaciones administrativa ya terminadas donde se indicó que no existe mérito para realizar una respectiva imputación, no es óbice para concluir que se haya configurado un derecho adquirido o una legítima expectativa sobre que la actuación sancionatoria de la SIC no procedería a indagar e investigar sobre la forma en que DATASET, y sus aliadas, realizan e tratamiento de información mediante su portal DATAJURÍDICA; más aún cuando después del año 2014 se presentaron numeroso de denuncias en contra de la investigada por realizar el tratamiento de la información personal de los titulares sin la debida autorización, actuación que continúa a la fecha en que se profiere el presente acto administrativo.

Por tanto, no existe para DATASET una legítima expectativa en que no estará sujeta a la actividad sancionatoria de la SIC, más teniendo en cuenta que existe nuevas denuncias y evidencia del indebido tratamiento de datos personales. Así las cosas, no se puede predicar la caducidad de la actividad sancionatoria más cuando la actividad de tratamiento de información mediante el portal de DATAJURÍDICA es continua hasta la fecha, así como tampoco existe una legítima expectativa en la no sujeción a la actividad sancionatoria de la SIC basado en un acto en concreto que en nada contempla las nuevas denuncias y hallazgos presentadas en contra de la sociedad. 7.2.

Estructura de DATAJURÍDICA como negocio en Colombia y beneficios económicos de la operación e incapacidad de los titulares de diferenciar entre PROXY SYSTEMS y DATASET como responsable y encargado, siendo DATASET el responsable en Colombia. DATAJURÍDICA, estaba estructurado de tal manera de que los beneficios económicos de las operaciones que se realizara en Colombia a través del portal se dividían entre DATASET y PROXY SYSTEMS, de manera que para los Titulares, no existía diferencia entre estas al momento de proceder a realizar las consultas de los titulares colombianos, por el contrario, identificaron que el responsable del tratamiento es la sociedad DATASET como propietario de la operación en Colombia6, la cual prestó todo el soporte tecnológico para poner en funcionamiento el portal en Colombia, incluyendo la negociación con PayU del mecanismo de pago virtual en Colombia, y del 6 Anónimo, “Datajurídica Sicario Virtual”, (Nov. 23, 2020, 1:39 pm) en https://vidamia1958.wordpress.com/2014/03/25/datajuridica-sicario-virtual/.

HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras cual, como ya se indicó, era beneficiaria7 junto con PROXY SYSTEMS. A lo anterior se le debe sumar Por quien la cualfunge se incorporan pruebas dentro de una investigación y se de oficio práctica que, como responsable y/o representante legal de lasdecreta sociedades, al la menos ende la implementación de la medida de pago a través deotras PayU8, es el señor XxXXXXXXXXXXXXXXXXXXX, ” identificado con la cédula de ciudadanía número 79.541.122 (el “Representante legal”).

De acuerdo con lo anterior, DATAJURÍDICA en Colombia era operada conjuntamente por las sociedades PROXY SYSTEMS y DATASET, y las cuales ejecutaban su operación de recolección y tratamiento de información – a titulo de responsables- sobre antecedentes judiciales en la Rama Judicial de los Titulares en Colombia, puesto que los Titulares al ingresar al dominio www.datajuridica.com -de propiedad de PROXY SYSTEMS- y una vez realizada la suscripción por parte del Titular/usuario/consumidor, se redireccionaba a https://searcher.datajuridica.com administrada por DATASET- por medio del cual, aun en la actualidad, se realiza la consulta de la información requerida por parte del Titular/usuario/consumidor, y hasta el año 2019 los pagos se realizaban a través de la plataforma PayU, y cuyo único beneficiario era DATASET.

La estructura de negocio establecida por PROXY SYSTEMS y DATASET en Colombia está creada con el fin de evadir cualquier responsabilidad frente al Régimen de Protección de Datos en Colombia, en el entendido de que si bien, en primer medida cumplieron con las exigencias establecidas por el Régimen de Protección de Datos; una vez se presentaron las respectivas reclamaciones por parte de los Titulares, ni la persona jurídica en Colombia o en Panamá dieron respuestas que garantizan los derechos de los Titulares consagrados por la Ley 1581 de 2012, puesto que la responsabilidad de DATASET era diferida a PROXY SYSTEMS.

Aún así, DATASET, hasta el año 2019, ejecutó el tratamiento de la información, así como varias de las obligaciones establecidas por el Régimen de Protección de Datos Colombia. Desde el año 2020 PROXY SYSTEMS se hicieron responsables del tratamiento, dando los mismos resultados que en años anteriores. Lo anteriormente expuesto se ve resumido en la siguiente ilustración, a saber: Ilustración 1.Funcionamiento de DATAJURÍDICA en Colombia En ese orden de ideas, la estructura de negocio de DATAJURÍDICA esta formada con el fin de que toda la operación de recolección y tratamiento de información fuese realizada por DATASET, incluyendo la atención parcial de quejas por parte de los Titulares, a los cuales se les informaba de forma posterior, que quien era el propietario y Responsable del tratamiento era la sociedad panameña, la cual dio respuesta a las quejas presentadas en los términos establecidos en la L.1581/12; operación que para el año 2020, y con el fin de evitar Por tanto, DATASET es la sociedad comercial, a título de responsable del tratamiento, quien debe fungir como responsable de la presunta vulneración del régimen de protección de datos en el entendido de que ésta fue quien ejecutó y facilitó los actos tendientes al tratamiento y recolección de información de los Titulares en Colombia. 7 Radicado 18 – 153189 - - 02 del 12 de junio de 2018. 8 Ibidem.

HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras 7.3. Estructura de DATAJURÍDICA en Colombia hace presumir una presunta situación de Por lacontrol cual seyincorporan pruebas dentro deadministrador una investigación decreta de oficio la práctica de de Responsabilidad de su poryelseincumplimiento otras De acuerdo con el Código de Comercio (“C.Co.”), ”artículo 260 -modificado por la L.222/95, art. 26-, una sociedad podrá entenderse como controlada cuando su poder de decisión se encuentre sometido ala voluntad de otra(s) persona(s) que serán matriz o controlante, ya sea directamente, en cuyo caso se le denominará filial, o bien, o por intermedio de otra(s) subordinada(s) de la matriz, que en dicho caso se le denominará subsidiaria.

Por su parte, el C.Co., artículo 261 - modificado por la L.222/95, art. 27- establece varios supuestos y factores que llevan a presumir la situación de control, del cual debe destacarse el contenido por el numeral (3) del mencionado artículo, el cual establece lo siguiente: “Cuando la matriz, directamente o por intermedio o concurso de las subordinadas, en razón de un acto o negocio con la sociedad controlada o con sus socios, ejerza influencia dominante en la decisiones de los órganos de administración de la sociedad.” Al respecto, la Superintendencia de Sociedades emitió concepto en relación con la situación de control por parte de matriz extranjera, indicando que “(...) Entre dos sociedades, una extranjera y su filial colombiana, puede darse la situación de control, en tanto que aquella ejerza el poder de decisión sobre la colombiana; y, adicionalmente, puede configurarse la situación de Grupo Empresarial, si se presenta como elemento adicional, que en el direccionamiento organizacional, exista la unidad de propósito y dirección entre la controlante y la filial, caracterizada por la consecución de un objetivo común. La configuración de grupo empresarial podría establecerse entre una sociedad extranjera y una sola sociedad colombiana, en donde la sociedad extranjera sea dueña de más del 50% de las acciones de la sociedad colombiana, siempre y cuando se presente, adicionalmente, unidad de propósito y dirección (...)”9 Por otra parte, el C.Co. artículo 200 -modificado por la L.222/95, art. 24-, establece la presunción de responsabilidad los administradores, creando una responsabilidad solidaria e ilimitada por parte de estos de los perjuicios que por culpa o dolo que le pudiesen causar a la sociedad, a los socios y a terceros en casos de incumplimiento o extralimitación de sus funciones, violación de los estatutos y/o la ley.

En el caso en concreto, se advirtió, de acuerdo con lo expuesto por parte de DATASET en el radicado 18 – 153189 - - del 14 de septiembre de 2020 esta sociedad celebró, de forma aparente, un contrato con PROXY SYSTEMS “(...) desarrollar algunas aplicaciones para la página Datajuíridica.com específicamente para el desarrollo de algunos crawlers o arañas y soporte de algunos correos y canales de atención (...)”.

Así mismo, se advirtió que el representante legal de las dos sociedades, de acuerdo con lo manifestado por parte de PayU a través del radicado 18 – 153189 - - 02 del 12 de junio de 2018, en el cual se advierte que el señor xxxx funge como responsable o contacto de la operación de recaudo de dinero para la operación de DATAJURIDICA en Panamá y en Colombia, sino que funge como Representante Legal de las dos sociedades; hechos que cumplen los supuestos de hecho de los factores presentados en el numeral (3) del C.Co., artículo 261, puesto que existe un supuesto acto jurídico y un mismo administrador que permite a PROXY SYSTEMS tener el control de las decisiones que se tomen en DATASET sus administradores.

De este modo, de forma aparente, PROXY SYSTEMS, como matriz, usó a DATASET como filial para realizar la recolección y tratamiento de la información de los titulares colombianos, incluyendo el recaudo de dinero por sus servicios, tal como estos lo manifiestan, el soporte de correos y canales de atención, lo cual, en el contexto de la L.1581/12, sin estipulación expresa que determine lo contrario, constituye uno de los deberes del Responsable.

Así las cosas, se advierte que existe una situación de control por parte de PROXY SYSTEMS sobre DATASET que permite concluir que este ejerce las funciones de recolección y tratamiento, no como encargado, sino como responsable, y por tanto, presumiendo que esta fue la que ejecutó los actos vulnera torios del Régimen de Protección de Datos Personales en Colombia, y que la manifestación de ser dos sociedades separadas va encaminada única y exclusivamente a exonerarse de la responsabilidad, al igual que su matriz, por las vulneraciones al régimen de protección de datos vigente en Colombia, el cual exige unos deberes frente a los derechos de los Titulares, y los cuales, debido a las numerosas quejas presentadas ante este Despacho, se decidió desde el 2020 migrar lo totalidad del negocio a Panamá con el fin de evadir la responsabilidad administrativa ante la Autoridad Nacional de Protección de Datos. 9 Oficina Jurídica.

Superintendencia de Sociedades. Concepto 220-002605. (Ene. 15, 2018). HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras 7.4. Adecuación típica Por la cual se incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras El artículo 19 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la ” se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

La Corte Constitucional, mediante sentencia C-748 de 201110, estableció́ lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del tratamiento de los datos personales de los titulares. El incumplimiento de tales deberes dará́ lugar a la aplicación de cualquiera de las sanciones definidas en el artículo 23 de la Ley 1581 de 2012;

(ii) De conformidad con los hechos enunciados, que dieron lugar a la apertura de la presente investigación, y de la preponderancia de la evidencia obrante dentro del expediente, se puede indicar que la conducta desplegada por parte de la sociedad investigada, como responsable, se concreta la vulneración de:  CARGO PRIMERO: La presunta de vulneración, en calidad de Responsables, del principio de acceso y circulación restringida (L.1581/12, art. 4(f)) debido a que realiza el tratamiento de datos personales, que aun de naturaleza pública, existe una prohibición expresa por parte de la Rama Judicial de realizar el tratamiento por tener información privada y sensible de los Titulares en Colombia;  CARGO SEGUNDO: La presunta vulneración, en su calidad de Responsables, del principio de veracidad o calidad (L.1581/12, art. 4(d)) y el deber de suministrar información veraz, completa, exacta, actualizada, comprobable y comprensible (L.1581/12, art. 17(e);  CARGO TERCERO: La presunta vulneración, en su calidad de Responsables, del principio de libertad (L.1581/12, art. 4(c)), y los deberes de obtener la autorización (L.1581/12, art. 17(b)) y tramitar las consultas y reclamos realizados por los Titulares en los términos fijados por el Régimen de Protección de Datos (L.1581/12, art. 17(j)) De esta manera, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará́ lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos objeto de investigación, así́ como las razones de hecho y de derecho aducidas por la investigada en el escrito los alegatos de conclusión, así́ como el conjunto de pruebas allegadas al expediente, tal como pasará a analizarse a continuación: 7.4.1.

CARGO PRIMERO: La presunta de vulneración, en calidad de Responsables, del principio de acceso y circulación restringida (L.1581/12, art. 4(f)) debido a que realiza el tratamiento de datos personales, que aun de naturaleza pública, existe una prohibición expresa por parte de la Rama Judicial de realizar el tratamiento por tener información privada y sensible de los Titulares en Colombia.

Tal como se indicó en la Resolución 78820 del 9 de diciembre de 2020, la Ley 1581 de 2012 en artículo 4, literal (f) define el principio de acceso y circulación restringida, el cual establece que el tratamiento de información se sujetará a los límites que se derivan de la naturaleza propia de los Corte Constitucional [C.C.] Sentencia C-748/11, M.P. Jorge Ignacio Pretelt Chaljub, Gaceta de la Corte Constitucional [G. C. C.] (Vol. n/d, p. 5) (Colom.).

HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras datos personales, la disposición del Régimen General de Protección de Datos, por lo que aquellos Porsea la cual se incorporan pruebas no dentro de una y sedisponibles decreta de oficio la práctica de 11, investigación que considerados personales públicos no podrán estar en internet u otros otras sea técnicamente controlable para dar un medios de divulgación masiva, salvo que el acceso conocimiento restringido solo a los titulares o” terceros autorizados.

Al respecto, la Corte Constitucional manifestó: “En lo que respecta al acceso de datos personales por internet u otro medio de divulgación o comunicación masiva, salvo la información pública, no podrá estar disponible o de ser consulta generalizada, pues su conocimiento se limita a los titulares o terceros autorizados conforme a la ley. Como se observa la única excepción se encuentra en los datos públicos, entre otras razones, porque a través de ellos se garantiza el derecho de todas las personas a la información, conforme se establece en el artículo 20 del Texto Superior, así como la posibilidad de acceder a los documentos públicos, que contengan información distinta a aquella que sea reservada o semiprivada, en los términos del artículo 74 de la Constitución.”12 De lo anterior se desprende que el tratamiento de la información privada o sensible, cuando no sea de naturaleza pública en tanto que no toda la información contenida en fuentes públicas conlleva esta característica, debe sujetarse a las siguientes elementos para el cumplimiento del Régimen de Protección de Datos: (i) el tratamiento deberá estar sujeto a los dispuesto en la ley y Constitución;

(ii) solo podrá hacerse por autorización de los Titulares y/o autorizados; (iii) debe tener acceso controlable para brindar un conocimiento restringidos, cuando la información se encuentre en internet u otras formas de divulgación masiva. En el caso que nos ocupa, habiéndose esclarecido que DATASET es responsable de la operación de DATAJURÍDICA en Colombia, mediante el radicado 18 – 153189 - - 09 del 14 de septiembre de 2020, esta sociedad indicó que su operación en Colombia se articula de la siguiente manera: “(...) la información (...) son varias disponibles en internet, todas públicas y gratuitas.

Entre las que Datajurídica busca son Juzgados de ejecución de penas y medidas de seguridad – Consulta por Apellidos -cuidades (...). (...) Para todos los planes la información es la misma y se consulta de páginas oficiales públicas y gratuitas Nacionales e internacionales en control, y en boletines y circulares internacionales públicas con la finalidad que el usuario se entere de su situación tal cual se les informa en el momento de la compra.

También es utilizada por muchos abogados, jueces y entidades del gobierno para hacer seguimiento a sus procesos judiciales de la Rama Judicial de una forma más fácil y eficiente (...) Datajuridica es un buscador especializado de libre acceso colaborando al ´PRINCIPIO DE PUBLICIDAD JUDICIAL – elemento esencial al derecho fundamental al debido proceso y al derecho a la información (...)”; operación ejecutada sin haber adquirido con la autorización expresa de los Titulares de la información sustraída del portal de la Rama Judicial.

De esta manera, habiendo establecido a DATASET como responsable del tratamiento de la información del portal de internet de la Rama Judicial –pública y gratuita, para el cumplimiento del principio de publicidad de las actuaciones judiciales- se evidenció también esta actuación es contraria a los preceptos legales establecidos en Ley 270 de 1996 en su artículo 95, el cual ordena garantizar dentro de las actuaciones judiciales “(...) confidencialidad, privacidad y seguridad de los datos de carácter personal que contengan en los términos que establezca la ley”; prohibición confirmada por parte del Centro de Documentación Judicial del Consejo Superior de la Judicatura (“CENDOJ”) mediante radicado 18 – 153189 - - 23 del 5 de junio de 2020, en el cual se indicó que: “(...) [En] la Rama Judicial se han expedido los siguientes actos administrativos: Acuerdo PSAA14-10279: “Por el cual se aprueban las políticas y procedimientos de Seguridad de la Información para la Rama Judicial” en el que indica que corresponde a la Dirección Ejecutiva de Administración Judicial (artículo 2) y se refiere puntualmente a los datos personales en el numeral 26; la Circular de la misma Dirección Ejecutiva de Administración Judicial DEAJC19-9: “Cumplimiento política tratamiento de datos personales y de la Información. La mencionada Política de Tratamiento de Información (“PTI”), como medida de seguridad para evitar el acceso a la información, erigió las siguientes prohibiciones: “Ningún contenido de este sitio puede ser copiado, reproducido, recopilado, cargado, publicado, transmitido, distribuido, o utilizado para la creación de servicios derivados de PORTAL WEB DE LA RAMA JUDICIAL sin su consentimiento previo por escrito, salvo que se le 11 D.1377/13, art. 3(2): Son considerados datos públicos los relativos al estado civil de las personas, profesión u oficio, los cuales pueden estar contenidos registros y documentos públicos, gacetas y boletines oficiales y sentencias judiciales ejecutoriadas. 12 Corte Constitucional [C.C.] Sentencia T-020/15, M.P. Luis Guillermo Guerrero, Gaceta de la Corte Constitucional [G. C. C.] (Vol. n/d, p. 3) (Colom.).

HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras otorgue permiso para acceder y visualizar las páginas web dentro de Por la cual se incorporan dentro investigación y se decreta de oficio la práctica de este sitio,pruebas únicamente parade su una uso personal y no comercial.” (...) otras En el caso particular del aplicativo de ” Consulta de Procesos Nacional Unificada, se pueden realizar desde este sitio web, consultas normales sin restricción con la frecuencia que se desee, no obstante, no se puede ejecutar consultas automatizadas o la utilización de robots informáticos hacia dicho aplicativo, esto en aras de proteger la integridad y disponibilidad de los datos y del sistema de información, dado que dichas automatizaciones representan un potencial peligro, en la efectividad del servicio.” Así mismo, tal como se indicó en la resolución 78820 del 9 de diciembre de 2020, el CENDOJ manifestó que tomó las medidas de seguridad informática necesarias para poder evitar el minado de información o la utilización de bots (robots) para la sustracción de información de sus bases de datos por parte de terceros, incluyendo, pero sin limitarse, aquellos datos contenidos en los portales denominados “consulta de proceso nacional unificada”, “consulta de procesos” y Justicia XXI web” así: “Respecto del portal web www.ramajudicial.gov.co las políticas de uso, la seguridad a nivel de las bases de datos, está totalmente restringida al público.

Se cuenta con medidas de seguridad perimetral WAF (web aplicación firewall) y a nivel de aplicación la protección de re captcha a nivel 3, para evitar consultas masivas y recursivas”, medidas que a parecer fueron insuficientes para evitar que DATASET, como responsable del tratamiento de la información a través del Portal DATAJURIDÍCA, obviara el principio de acceso y circulación restringida, toda vez que: (i) no realizó el tratamiento de acuerdo a la Constitución y a la Ley -L.1581/12, L.260/96, y PTI-, sino que ignoró sus provisiones, y procedió a tratar información sobre la cual no tiene autorización legal para hacerlo debido a sus característica mixta -datos públicos y privados-;

(ii) Debido a que la página de la Rama Judicial tiene información mixta, donde se incluye también datos privados sensibles, no contó con la autorización de los Titulares; (iii) ignoró y vulneró el acceso controlado -legal y tecnológico- creado por parte del CENDOJ de la Rama Judicial para ofrecer información personal, en algunos casos imprecisa, a los usuarios de su portal, pues si bien el portal de la rama judicial13 es de carácter público, la información contenida allí no reviste el mismo carácter puesto que puede extenderse dado el tipo de proceso- a información que puede catalogarse como privada, semi-privada, inclusive sensible (como puede ser los datos de menores de edad, penales de proceso en curso, origen racial o étnico, orientación política, convicciones religiosas, pertenencia a un movimiento sindical, organizaciones sociales, de derechos humanos, salud, vida sexual, y hasta datos biométricos).

En su defensa, mediante radicado 18-153189 - - 42 del 14 de enero de 2021, DATASET manifestó contra este cargo que la SIC uso para su acusación la mención de la misma DATASET sobre el uso que le daba ésta a los datos, y la presunta violación de los datos de conformidad con el acuerdo PSAA14-10279 “Por el cual se aprueban las políticas y procedimiento de Seguridad de la Información para la Rama Judicial”, de la misma Dirección Ejecutiva de Administración Judicial DAEJC19-9: “Cumplimiento política de tratamiento de datos personales y de la información” y “Políticas de Privacidad y condiciones de Uso” que aparecen al momento de acceder a la página de “CONSULTA DE PROCESOS NACIONAL UNIFICADA”; cuyos textos contienen términos y condiciones contradictorias, que llevaron a la SIC a una conclusión errónea, por ello se aclaró lo siguiente: a. “De ninguna manera se puede dudar que la información procesal que aparece en la página es pública y de acceso ilimitado, pues se limita a comunicar la existencia de un proceso y el estado en que se encuentra, allí no reposa la copia de ninguna providencia ni puede accederse a ella a través del portal Datajurídica como tampoco puede hacerse desde el portal de la Rama Judicial. b. En caso de quererse guardar confidencialidad y reserva sobre una determinada información la misma Rama Judicial ha diseñado los mecanismos para impedir su acceso al público, dirigido a los funcionarios públicos que alimentan el sistema.

Los datos privados y sensibles de los procesos no son cargados a la página de la Rama Judicial. La información que muestra la página es la existencia de un proceso, el tipo de este, la calidad de demandante y demandado y el estado del proceso, justamente para que los usuarios puedan hacer seguimiento a sus procesos, e intervenir en ellos oportunamente. c. Aun si DATAJURÍDICA y los demás portales que prestan el servicio de seguimiento de procesos desaparecieran del mercado, la información Compuesto por los portales “consulta de proceso nacional unificada”, “consulta de procesos” y Justicia XXI web”.

HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras seguirá́ siendo publicada por la Rama Judicial en virtud del deber de Por la cual se incorporan pruebas unacceso investigación decretacomo de oficio la práctica de publicidad judicial ydentro será́ dedelibre para toda y la se ciudadanía servicio público que es, el serviciotras de administración de justicia, y por la misma razón, DATAJURIDICA y los ” demás portales de este tipo de servicios carecen de la potestad de modificar, suprimir o alimentar el portal de la Rama Judicial, por ende, las quejas de los usuarios sobre la información publicada por la rama judicial sólo puede ser modificada o suprimida por esta última.”14 Ahora, con respecto a la prohibición establecida por parte de la Rama Judicial, DATASET manifestó lo siguiente: “(...) no reproduce, recopila, carga, publica, transmite, distribuye o utiliza la información para crear servicios de información nueva o derivada de la Rama Judicial, lo que ofrece el portal es una ventana de acceso a esa página pública de manera que la búsqueda de cualquier usuario o persona interesada en los procesos sea más ágil y le ofrece alertas o notificaciones cuando un proceso se mueve para que a través del sistema o portal DATAJURÍDICA ingrese y consulte en la página de la Rama Judicial.

Es un navegador que le permite obtener resultados más precisos, pero en la misma pagina pública, no hay entonces información nueva, tratada, modificada o almacenada en ningún sitio diferente a la misma página o fuente pública. Por la misma razón no existen robots o consultas automatizadas que sustraigan o “bajen” la información de la Rama Judicial para que se almacene en una fuente externa o se organice de otra manera o se altere o se modifique, el portal es un buscador para que el interesado acceda a las publicaciones del historial de procesos de la Rama Judicial.” 15 Respecto a lo anterior, DATASET categoriza que una cosa es la responsabilidad por la violación de políticas y términos y condiciones de la Rama Judicial y otra, en su criterio muy distintas, la vulneración del habeas data -Régimen General de Protección de Datos Personales- de la información personal que reposa en el portal público de la Rama Judicial.

Con respecto a lo primero, indicaron que de imponerse una sanción con base en la violación de los términos y condiciones, se violaría el principio de tipicidad y legalidad, por cuanto no existe un tipo relacionado con esta clase de actuaciones. En cuanto al uso de los datos, esta información es pública y de libre acceso para cualquier persona, y la cual se accede a través de un metabuscador.16 La anterior defensa no resulta valida toda vez que la prohibición expresa de la rama judicial de no permitir el uso de los datos contenidos en la Rama Judicial, sin importar su naturaleza de públicos, una restricción valida y ligada al principio de finalidad y circulación restringida, por lo que el uso de uso metabuscadores, tal como lo indica la sociedad DATASET está totalmente vedado, y anotar estas limitaciones por parte de la SIC si se encuentra de las posibilidades sancionatorias, por cuanto se trata de una limitación que el responsable le dio dentro de la PTI, y que su violación constituye a la vez una vulneración al Régimen General de Protección de Datos Personales, específicamente al principio de circulación restringida, dado que solo es a través del portal propio de la Rama Judicial, y no como lo pretende hacer ver DATASET, por cualquiera como actividad económica, más cuando la información arrojada no corresponde a la realidad jurídica del consultado, siendo posible la imputación de cargos y sanción como consecuencia legal.

Por otra parte, en cuanto la categorización que le da la sociedad, y también la Rama Judicial, de que la información contenida en la página de la Rama Judicial es pública, resulta una acotación equivocada por ambas, dado que en muchos casos la consulta entrega información que puede ser categorizada como privada, semi-privada y/o sensible, información que no puede ser categorizada bajo ninguna circunstancia como pública, resultando la necesidad imperativa de tomar las medidas humanas y tecnológicas necesarias para proteger los derechos de los titulares, medidas que fueron ignoradas por DATASET para su beneficio económico.

Por otra parte, al existir una limitación dada por la PTI de la Rama Judicial, incluyendo la Ley 270 de 1996 en su artículo 95 17, la actividad de uso de un metabuscador por parte de DATASET resulta prohibida, dada que su circulación resulta restringida; aun así, tal como lo indicaron en el radicado 18-153189 - - 64 del 20 de septiembre de 2021, su “metabuscador”, que no es otra cosa que un calor informático, realiza la búsquedas de la siguiente manera: 14 _________________, p. 19 – 20. 15 Ibidem, p. 20 – 21. 16 _______________, p. 22. 17 L.270/96, art. 95: “(...) confidencialidad, privacidad y seguridad de los datos de carácter personal que contengan en los términos que establezca la ley”.

HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras La consulta se realiza directamente al webservice enviando como parámetro el número de documentopruebas de identidadde o nombre y se del decreta titular de a Por la cual se incorporan dentro una el investigación oficio la práctica de consultahttp://SERVIDOR:PUERTO/CheckProcesos/1022958879 otras El sistema realiza la búsqueda en paralelo en ” cada uno de los juzgados de ejecucion de penas y retorna los procesos encontrados con el formato que solicita el cliente, puede ser XML, JSON, CSV, SOAP, HTML18 Respuesta del webservice Estas nuevas búsquedas constituyen un nuevo tratamiento que contrarió no solo a la PTI de la Rama Judicial, sino de las limitaciones propias de la ley 270 de 1996, sino también a la Ley 1581 de 2012, por cuanto esta nueva recopilación de información requiere una nueva autorización, dadas las limitaciones para el tratamiento establecidas por la normativa vigente, y por las medidas tecnológicas propias del portal de la Rama Judicial.

Así las cosas, DATESET, como responsable del tratamiento de la información a través del portal DATAJURÍDICA, vulneró el principio de acceso y circulación restringida debido a que: (i) no realizó el tratamiento de acuerdo a la Constitución y a la Ley, en especial la Ley 1581 de 2012, Ley 260 de 1996, y PTI de la Rama Judicial, ignorando sus respectivas provisiones, y procedió́ a tratar información sin la autorización legal para hacerlo debido a su característica mixta -datos públicos y privados-;

(ii) Debido a que la página de la Rama Judicial tiene información mixta, donde se incluye también datos privados sensibles, no contó con la autorización de los Titulares; (iii) ignoró y vulneró el acceso controlado -legal y tecnológico- creado por parte del CENDOJ de la Rama Judicial para ofrecer información personal, en algunos casos imprecisa, a los usuarios de su portal, pues si bien el portal de la rama judicial es de carácter público, la información contenida allí́ no reviste el mismo carácter puesto que puede extenderse -dado el tipo de proceso judicial- a información que puede catalogarse como privada, semi-privada, inclusive sensible (como puede ser los datos de menores de edad, penales de proceso en curso, origen racial o étnico, orientación política, convicciones religiosas, pertenencia a un movimiento sindical, organizaciones sociales, de derechos humanos, salud, vida sexual, y hasta datos biométricos).

En todo caso, es necesario aclarar que el principio y deber de acceso y circulación restringida establecida por el Régimen General de Protección de Datos “(...) confiere al titular del dato la garantía de que el tratamiento de su información personal y la transmisión de datos a los usuarios solo se realizará para los propósitos de la base de datos y que han sido objeto de autorización o mandato legal o judicial excepcional.

(...) este principio significa que la administración de datos personales se sujeta a los límites que se derivan de la naturaleza de los datos, de las disposiciones estatutarias y de los principios de la administración de datos personales, especialmente de los principios de temporalidad de la información y la finalidad del banco de datos. Esta restricción implica la prohibición del tratamiento indiscriminado de datos personales.”19 En efecto, tal como se indicó, y a falta de defensa expresa por parte de la sociedad investigada, se evidenció que: (i) la sociedad 18 18-153189 - - 64 del 20 de septiembre de 2021, p. 8 – 10. 19 Corte Constitucional [C.C.] Sentencia T-032/21, M.P. Gloria Stella Ruiz Delgado, Gaceta de la Corte Constitucional [G. C. C.] (Vol. n/d, p. 15) (Colom.).

HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras investigada ignoró de forma deliberada el alcance la de la autorización dada por los titulares, incluso la cualobtenerla, se incorporan de una investigación y se decreta dede oficio la práctica de dePor abstuvo y; (ii) pruebas le dio undentro tratamiento que estaba prohibida por parte la Rama Judicial, otrastécnicas para evitar su consulta sistematizada, ignorando y vulnerando completamente las medidas ” lo que en conjunto redunda en una vulneración al Régimen de Protección de Datos, en cuanto no dio cumplimiento al principio de acceso y circulación restringida contenida en el artículo 4 (f) de la Ley 1581 de 2012, al desconocer la prohibición expresa por parte de la Rama Judicial de utilizar tecnologías de consultas “(...) automatizadas o la utilización de robots informáticos hacia dicho aplicativo (...)”20.

En ese orden de ideas, y debido a que la sociedad DATASET TECNOLOGIES S.A.S. es una sociedad en proceso de liquidación, y no se puede tener certeza del estado financiero actual de la misma, resulta adecuado imponer como sanción la suspensión de actividades de tratamiento de datos personales por un término de seis (6) meses, debiendo adoptar las siguientes medidas correctivas frente al cargo en concreto: (1) Establecer una metodología por medio de la cual se obtenga el consentimiento expreso, previo e informado de los titulares para que su información pueda ser consultada a través del portal www.datajurídica.com;

(2) Abstenerse de utilizar tecnologías automatizadas, incluyendo, pero no limitándose, a robots, crawlers informáticos y similares para consultar información de los titulares de las páginas de consulta de procesos de la Rama Judicial; debiendo reemplazarla por una metodología de consulta a demanda para el titular en particular de forma posterior a la obtención de su autorización en los términos establecidos por el Régimen de Protección de Datos;

(3) Dar cumplimiento a las Políticas de Tratamiento de la Información de la Rama Judicial, en es especial la prohibición de hacer uso comercial de la información personal reportada en los portales de consulta de procesos de la Rama Judicial. 7.4.2. CARGO SEGUNDO: La presunta vulneración, en su calidad de Responsables, del principio de veracidad o calidad (L.1581/12, art. 4(d)) y el deber de suministrar información veraz, completa, exacta, actualizada, comprobable y comprensible (L.1581/12, art. 17(e);

El principio de veracidad o calidad, tal como se manifestó en la resolución 78820 del 9 de diciembre de 2020, la Ley 1581 de 2012 en artículo 4 (d)), indica que la información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible, prohibiendo el tratamiento parcializado de datos, incompletos, fraccionados.

Este principio se torna uno obligación en el artículo 17 (e) de la Ley 1581 de 2012, teniendo que el responsable garantizar que la información que el responsable suministre debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. En virtud de este principio y deber, la Corte Constitucional ha indicado lo siguiente en la materia: “Según el principio de veracidad, los datos personales deben obedecer a situaciones reales, deben ser ciertos, de tal forma que se encuentra prohibida la administración de datos falsos o erróneos.

(...) ´la información que se registre o se divulgue a partir del suministro de datos personales debe ser completa, de tal forma que se encuentra prohibido el registro y divulgación de datos parciales, incompletos o fraccionados. Con todo, salvo casos excepcionales, la integridad no significa que una única base de datos pueda compilar datos que, sin valerse de otras bases de datos, permitan realizar un perfil completo de las personas. ´” “(...) La ley recoge dos de los principios desarrollados por la jurisprudencia: (i) el de veracidad y (ii) el principio de integridad de los datos.

Según el primero, los datos personales deben obedecer a situaciones reales, actualizadas y comprobables. Bajo el segundo, se prohíbe que el manejo de los datos sea incompleto y pueda inducir a error. 21 De este modo, en desarrollo del principio de veracidad, queda limitado el suministro de datos con errores, falsos, incompletos o fraccionados puesto que la información que se suministre a través de estos debe ser completa.

Para el efecto, para cumplir con el principio, y con los deberes que 20 Radicado 18 – 153189 - - 23 del 5 de junio de 2020 (trasladado al presente expediente por tratarse de la respuesta a los cuestionamientos realizados a través del radicado 18 – 153201 - - 35) 21 21 Corte Constitucional [C.C.] Sentencia C-748/11, M.P. Jorge Ignacio Pretelt Chaljub, Gaceta de la Corte Constitucional [G. C. C.] (Vol. n/d, p. 15) (Colom.).

HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras correlativamente surgen para el suministro de información como responsable, se debe cumplir con la cual se elementos: incorporan pruebas dentro de investigación decreta de oficio la práctica de losPorsiguientes (i) veracidad: la una información debey se obedecer a situaciones reales, actualizadas y comprobables;

(ii) Integralidad: Elotras manejo de datos no puede ser incompleto o inducir a error. De este elemento no puede desprenderse” que solo una base de datos pueda manejar la información sin valerse de otras para su formación, sino que ejecución de esta tarea, debe garantizar veracidad e integralidad de la información, y de no hacerlo, se estaría en directa contradicción del Régimen de Protección de Datos.

En el presente caso, tal como se indicó en la resolución de imputación de cargos, DATASET mediante el radicado 18 – 153189 - - 09 del 14 de septiembre de 2018 manifestó lo siguiente: “Datajuridica.com es una motor de búsqueda de información pública desarrollada en C#, JQuery, Json, Javascript y otros lenguajes de programación. Cuando el usuario hace clic en el botón buscar, la petición llega a un método que utilizando Namespace System Threading ejecuta tareas en paralelo, una tarea para cada fuente, cada uno de estos procedimientos o tareas usan la clase HttpWeb Request para realizar la petición al buscador de la fuente, y la respuesta (listado de nombres y documentos de identidad) que entrega la fuente se lee mediante el uso de métodos de búsqueda de la librería Html Agility Pack.

Si la consulta se realiza es por número de identidad, se muestra en pantalla el resultado de la primera fuente que responda, en caso de los otros tipos de búsqueda, el sistema espera hasta obtener la mayor cantidad posible de resultados de las consultas hechas a las fuentes, para mostrarlos en la pantalla de resultados tal como fueron encontrados en las diferentes fuentes y este procedimiento se repite para consulta.” Adicionalmente, mediante radicado 18-153189 - - 64 del 20 de septiembre de 2021,confirmaron el proceso mediante el cual obtiene, incluso en la actualidad, que el proceso es a través de un proceso invasivo de los servidores de la Rama Judicial, así: La consulta se realiza directamente al webservice enviando como parámetro el número de documento de identidad o el nombre del titular a consultahttp://SERVIDOR:PUERTO/CheckProcesos/1022958879 El sistema realiza la búsqueda en paralelo en cada uno de los juzgados de ejecucion de penas y retorna los procesos encontrados con el formato que solicita el cliente, puede ser XML, JSON, CSV, SOAP, HTML22 Respuesta del webservice Estas actuaciones ejecutadas por parte de DATSET, resultan ser contrarias a la regla fijada por el principio veracidad y calidad, en cuanto el crawler-metabuscador de información no permite que se cumplan con los elementos propios de la regla, puesto que: (i) las tareas en paralelo que ejecuta el Namespace System Threading no garantiza que la información arrojada en la pantalla de información 22 18-153189 - - 64 del 20 de septiembre de 2021, p. 8 – 10.

HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras corresponda a situaciones reales, actualizadas y comprobables, ya que sustrae información parcial cual se que incorporan pruebas dentrode debúsqueda una investigación y sepor decreta de oficio la práctica de dePor laslafuentes cumplan los criterios ingresados el usuario, y dentro de las cuales, la de la Rama Judicial, tiene establecida otras la prohibición expresa del uso de robots y uso de la información para fines económicos; esto también” se ve reflejado en los términos y condiciones aplicables a DATAJURÍDICA en Colombia, donde indican que23: “Los contenidos, información, documentos, gráficos e imágenes publicados en el sitio pueden contener inexactitudes, errores tipográficos u otros errores.

Nosotros no nos comprometemos a actualizar el sitio. Nos reservamos el derecho de contenido temporal o permanente, modificar, alterar, o suprimir en el sitio sin previo aviso. Datajurídica MUESTRA LA INFORMACIÓN PUBLICADA EN LA FUENTE PUBLICA, POR LO TANTO SI EXISTE UN ERROR O INEXACTITUD EN LA INFORMACIÓN PUBLICADA EN NUESTROS RESULTADOS ES POR QUE ESTÁ IGUAL EN LA ENTIDAD Y DEBE PEDIR QUE SEA RECTIFICADO.” Lo cual lleva concluir, que DATASET era totalmente consciente de que la información suministrada a los usuarios, tal como se indicó en la citada resolución de imputación de cargos, no obedece, a situaciones reales, actualizadas y comprobables.

Así mismo, no es posible cumplir con el elemento de integralidad, dado que el crawler y/o metabuscador, ya sea para búsquedas con números de cédulas de ciudadanía y otros criterios, induce a errores o información incompleta para los usuarios, lo cual es confirmado a través de la siguiente afirmación: “(...) NO GARANTIZAMOS QUE APAREZCA TODA LA INFORMACIÓN JUDICIAL QUE EXISTE RESPECTO A UNA PERSONA JURIDICA O NATURAL SOBRE LA QUE SE HACE LA CONSULTA.

NO BUSCAMOS EN TODAS LAS BASES DE DATOS NI PÁGINAS DEL ESTADO. Los usuarios no deben confiar en la información contenida en este sitio a la hora de hacer negocios, asuntos económicos, personales o de otra índole (...)”.24 Este fenómeno constituye en una imposibilidad por parte de DATASET de cumplir sus deber de proveer a titulares y usuarios de información veraz, completa, exacta, actualizada, comprobable y comprensible de conformidad con las exigencias de la ley 1581 de 2012.

En su defensa contra el presente cargo, mediante radicado 18 -.153189 - - 42 del 14 de enero de 2021, manifestó que este Despacho está errado, ya que el portal sola facilita la información a quien la requiere, siendo responsable de la veracidad de la información la Rama Judicial -y los administradores secundarios25, equiparando sus funciones a aquellas que cumple Google como buscador, por lo que no pueden ser catalogados como responsables del tratamiento.

En cuanto los avisos de exclusión de responsabilidad -disclaimers-, la sociedad indicó que se trata de cláusulas estándar presentadas en portales de indexación tales como booking.com y Colombia Compra eficiente, en tanto solo encuentra información, no la organiza, ni menos es responsable con la calidad de la información, pues es la Rama Judicial quien debe responsabilizarse por la calidad de la información arrojada por el portal.

La argumentación presentada por parte de DATASET no es de recibo por parte del Despacho, puesto la forma en que realiza la sustracción de la información del portal de la Rama Judicial no es equivalente a la función que ejerce Google, que es la búsqueda de información de acuerdo a palabras claves o criterios específicos, arrojando información indexada de acuerdo a estos, nunca siendo, como en el caso de Datajurídica.com, un nuevo tratamiento donde se realiza la búsqueda basada en dos criterios, nombre completo y cédula de ciudadanía, organizando la información de acuerdo al tipo de proceso judicial y entregándoselo al solicitante de forma organizada, y a lo cual solo se puede acceder mediante pago previo.

Lo anterior se debe a que se arroja información judicial organizada y categorizada en un informe al usuario, información que en muchos casos no obedece a la realidad, y que al ser tratada de esta manera por parte de DATASET, le surge la obligación, más cuando se trata de una búsqueda paga, de garantizar que la información se veraz y completa.

En cuanto los disclaimers, resultan mecanismo limitantes de la responsabilidad asociada al correcto tratamiento de datos personales, más cuando se trata de datos personales privados, semi-privado y/o sensibles, lo cual no pueden ser tenidos en cuenta para ningún efecto, y menos comparables con aquellos establecidos por otros responsables, ya que la información a tratar no es información 23 Dataset Tecnologies, S.A.S., “Términos y condiciones” para Colombia.

(Nov.27, 2020). En: www.datajuridica.com 24 Ibidem 25 Presidentes de cada Corporación, por los Directores de Unidad de la Sala Administrativa del Consejo Superior de la Judicatura, por el Director Ejecutivo de Administración Judicial, por los Presidentes de los Consejos Seccionales de la Judicatura, y los Directores Seccionales de Administración Judicial, Oficinas y despachos.

HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras personal, sino indexación de otro tipo de datos, o bien, la información tratada fue tratada en Por la cual se incorporan pruebas dentro de una investigación y se decreta de oficio correspondencia con una autorización expresa, previa e informada por parte del titular.la práctica de otras ” En ese orden de ideas, y debido a que la sociedad DATASET TECNOLOGIES S.A.S. es una sociedad en proceso de liquidación, y no se puede tener certeza del estado financiero actual de la misma, resulta adecuado imponer como sanción la suspensión de actividades de tratamiento de datos personales por un término de seis (6) meses, debiendo adoptar las siguientes medidas correctivas frente al cargo en concreto: (1) Tomar medidas de mejoras frente a la tecnología implementada para la recolección de la información, teniendo en cuenta el principio de veracidad, incluyendo que la información arrojada al usuario final y la prohibición por parte de la Rama Judicial en relación con la prohibición de la sustracción sistematizada de la información contenida en sus páginas de consulta, y;

(2) Garantizar, para cualquier tipo de consulta, que la información que se entregue al usuario final sobre cualquier titular, previa la otorgación de su autorización, sea actualizada, veraz, completa, y no induzca a error al usuario con respecto a su temporalidad. 7.4.3. CARGO TERCERO: La presunta vulneración, en su calidad de responsables, del principio de libertad (L.1581/12, art. 4(c)), y los deberes de obtener la autorización (L.1581/12, art. 17(b)) y tramitar las consultas y reclamos realizados por los Titulares en los términos fijados por el Régimen de Protección de Datos (L.1581/12, art. 17(j)) De acuerdo con la Ley 1581 de 2012, artículo 4 literal (c), tal como se expuso en la resolución 78820 del 9 diciembre 2020, el principio de libertad establece el deber de que: “El tratamiento solo puede ejercerse con el consentimiento, previo, expreso e informado del titular.

Los datos personales no podrán ser obtenidos (…) sin previa autorización (…)”. Así mismo, Ley 1581 de 2012, artículo 9 establece que: “Sin perjuicio de las excepciones previstas en la ley, en el tratamiento se requiere la autorización previa e informada del titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.” Sumado a lo anterior, la Ley 1581 de 2012, artículo 17, literal (b), establece el deber para el responsable de: “Solicitar y conservar (...) copia de la respectiva autorización otorgada por el titular”;

Lo cual fue reglamento por parte del Decreto 1377 del 2013, artículo 5, incorporado al Decreto único Reglamentario 1074 del 2015, artículo 2.2.2.25.2.2., el cual establece lo siguiente: “El responsable del tratamiento deberá adoptar procedimiento para la solicitar el tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del tratamiento para las cuales se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentran a disposición del público, pueden ser tratados por cualquier persona y cuando, por su naturaleza, sean datos públicos (...)”. Para lograr lo anterior, el Decreto 1377 del 2013, artículo 7, incorporado al Decreto único Reglamentario 1074 del 2015, artículo 2.2.2.25.2.3., establece la modalidad de obtener la autorización en los siguientes términos: “Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentra legitimado (...) que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del. Titular permitan concluir de forma razonable que otorgó la autorización. En ningún caso, el silencio podrá asimilarse a una conducta inequívoca.” Una vez obtenida la autorización en los términos anteriormente indicados, el Decreto 1377 del 2013, artículo 8, incorporado al Decreto Único Reglamentario 1074 del 2015, artículo 2.2.2.25.2.5., HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras establece lo siguiente: “Los responsables deberán conservar prueba de la autorización otorgada por la cualde sedatos incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de losPor titulares personales para el tratamiento de los mismos.” otras Así mismo, la Ley 1581 de 2012, artículo 17, literal”(j), estableció el deber para los Responsables de tramitar las consultas y reclamos formulados en los términos pactados en el Régimen de Protección de Datos.

Para el efecto, el Decreto 1377 de 2013, artículo 14 – 16, estableció los procedimientos de consultas, reclamos, y requisito de procedibilidad para los Titulares en el ejercicio de su derecho de corrección, actualización o supresión, cuando se advierta se advierta cualquier incumplimiento de los deberes consagrados por el Régimen de Protección de Datos.

Tal como se indicó en la Resolución 78820 del 9 de diciembre de 2020, DATASET, como responsable del tratamiento de información DATAJURÍDICA, manifestó en el radicado 18 – 153189 - - 09 del 14 de septiembre de 2018 que la información es obtenida de fuentes públicas de carácter gratuito, razón por la cual no se requiere autorización. Empero, esta sociedad no advirtió que, a pesar de que la página de la Rama Judicial es de carácter pública y gratuita, la información allí contenida no es enteramente pública, sino puede ser privada, semi privada y/o sensible, por lo cual el titular debe otorgar su autorización en los términos establecidos por la Ley.

Debido a esta obligación estatutaria, el CENDOJ de la Rama Judicial manifestó en el radicado 18 – 153189 - - 22 del 26 de mayo de 2020, que dentro de su PTI, y en cumplimiento de la Ley 1581 de 2012, que: “(...) los titulares tienen derecho a autorizar el tratamiento de sus datos personales, revocar la autorización, conocer los datos que son tratados, actualizarlos, rectificarlos cuando se considere que existe deficiencia en su calidad, y finalmente solicitar la supresión de datos siempre y cuando no exista una obligación legal o contractual de continuar con el tratamiento (artículo 2.2.2.25.2.8 Decreto 1074 de 2015).

(...) La Consulta de Procesos Nacional Unificada garantiza el acceso a la información de los procesos judiciales y las personas vinculadas a los mismos, no se permite el acceso indiscriminado a datos personales protegidos por el derecho de habeas data.”26 Por tanto, a pesar de que la página de la Rama Judicial es una página pública que contiene datos de carácter mixto, y que existe la necesidad legal del tratamiento -publicidad de los procesos judiciales en virtud de la Ley de Transparencia-, reconoce la existencia de la posibilidad de que existan datos que no sea públicos -privados, semi-privado y/o sensibles- sobre los cuales los titulares tienen derecho de revocar la autorización, conocer los datos que son tratados, actualizarlos, rectificarlos cuando se considere que existe deficiencia en su calidad, y finalmente solicitar la supresión de datos siempre y cuando no exista una obligación legal o contractual de continuar con el tratamiento, limitando también el acceso indiscriminado de los datos protegidos por el habeas data; situación que DATASET desconoce indicando, en primer medida, que por tratarse de un portal público, no se requiere autorización por parte del Titular para el tratamiento de la información 27, en segundo lugar, quien debe adquirir la autorización para la consulta de los datos personales de los titulares a través del portal DATAJURÍDICA, es el usuario, como se demuestra a través de esta advertencia dentro de su portal: Esta limitación al derecho de los titulares se ve reflejada en varias denuncias interpuestas ante esta Superintendencia por parte de titulares donde, en general, los titulares manifestaron no a ver otorgado su autorización para el tratamiento de la información por parte del portal de Datajurídica, lo conduce a indicar que DATASET ha realizado el tratamiento de información de los Titulares sin la debido autorización bajo la premisa de que la información de la Rama Judicial es pública en su totalidad, obviando las limitaciones propias de la Ley y la impuestas por la Rama Judicial para efectos de la obtención de la autorización en los términos establecidos por el Régimen de Protección de 26 Radicado 18 -153189 - - 23 del 5 de junio de 2020. 27 Radicado 18 – 153189 - - 09 del 14 de septiembre de 2018.

HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras Datos, lo que en consecuencia ha llevado a DATASET, como responsable, a negar el derecho de los Por la cual incorporan pruebas dentroode una investigación decreta de la práctica de Titulares de secorrección, actualización supresión, cuando yseseadvierta se oficio advierta cualquier incumplimiento de los deberes consagrados porotras el Régimen de Protección de Datos a través los procedimientos de consultas, reclamos, y requisito”de procedibilidad para los Titulares en el ejercicio de su derecho, lo cual se ve reflejado en lo expresado por parte de un Titular a través de la denuncia con radicado 20 – 53780 del 4 de marzo de 2020, solicitud que ignoró de forma premeditada, así como en otras ocasiones.

Al respecto, la sociedad DATASET, mediante radicado 19-153189 - - 42 del 14 de enero de 2021, manifestó contra el presente cargo lo siguiente: (i) en cuanto a la violación del principio de libertad: “[La] manifestación efectuada por parte de la Superintendencia parte de un desafortunado error en que incurren los funcionarios de esa Entidad en la lectura y posterior interpretación y contextualización de lo manifestado por el Consejo Superior de la Judicatura, que quiero poner de presente.

En efecto, lo dicho por el CENDOJ es correcto, pero el contexto sobre el cual lo menciona, esto es sobre la información que proporciona un usuario al registrarse en el PORTAL WEB DE LA RAMA JURISDICCIONAL”. Agregó que los datos publicados en la Rama Judicial no privados, sino públicos “(...) tienen esta categoría porque la misma ley ha ordenado dar publicidad a los procesos y facilitar su consulta y así́ lo referencian las citas jurisprudenciales hechas por el propio C. S. de la J. (...)” Frente a esta manifestación, es necesario ponderar los beneficios Régimen General de Protección de Datos Personales y aquellos tratados por el Régimen de Transparencia y acceso a la Información Pública Nacional, en el entendido de que estos dos regímenes no son incompatibles ni excluyentes, sino que son complementarios, pues si bien la primera permite a cualquier persona conocer, actualizar, y rectificar la información que haya sido recolectada y tratada en cualquier base de datos por parte de entidades privadas y/o públicas; ambos en el desarrollo estatutario de los artículos 15 y 20 de la Constitución Política de Colombia, razón por la cual la primera debe aplicarse en estricta observación de la segunda, la cual permite a los ciudadanos el acceso de toda información en posesión, bajo control o custodia de una entidad pública es pública y no podrá ser reservado o limitada sino por disposición legal o constitucional; y por otra parte, El Régimen de Transparencia y acceso a la Información Pública Nacional, establecido por la ley 1712 de 2014 y el Decreto 1081 de 2015, estableció que su ámbito de aplicación es la regulación del derecho fundamental al acceso a la información pública, creando los procedimientos para el ejercicio y garantía de este Derecho, así como las excepciones a la publicidad de cierta información (art. 1).

Es así que se entiende como información, dentro del contexto de esta norma, como ya bien se expuso, aquella en posesión, control o custodia por parte de cualquier entidad pública y que no podrá ser reservada o limitada salvo disposición constitucional o legal, en los términos de esta norma (art. 2). Es así que, cualquier ciudadano, en ejercicio de su derecho fundamental de acceso a la información, puede solicitar el acceso a la información en posesión o control de una entidad pública.

Sin embargo, el acceso a la información solamente podrá ser restringido de forma excepcional, y dichas limitaciones deberán ser limitadas y proporcionales, además las cuales deberán estar contempladas por la ley (art. 4). Es así que, como criterio para definir las limitaciones al derecho fundamental de información, el Régimen de Transparencia y acceso a la Información Pública Nacional en su artículo 6 definió las categorías de información objeto de regulación por la normativa, en la cual se destaca la definición dada por el literal (c) sobre información pública clasificada: “(...) “información que estando en poder o custodia de un sujeto obligado en su calidad de tal, pertenece al ámbito propio, particular y privado o semiprivado de una persona natural o jurídica por lo que su acceso podrá ser negado o exceptuado siempre que se trate de las circunstancias legítimas y necesarias y los derechos particulares o privados (...)”.

Por su parte, el artículo 2.1.1.4.1.1. del D. 1081/15, manifestó que la información pública que contiene datos semiprivados o privados, tal como son definidos en los literales (g) 28 y (h)29 del artículo 3 de la L.1266/08, o bien, personales o sensibles, según lo establecido por los L.1266/08, art. 3(g): “Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley.” L.1266/08, art. 3(h): “Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular.” HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras artículos 330 y 531, así como aquella definida por el numeral (3)32 del artículo 3 del D.1377/08, deberá Por la cual se pruebas dentro de una investigación y se decreta de oficio la práctica de ser divulgada deincorporan acuerdo con las reglas fijadas para dichas normas. otras ” C-274/13, por medio de la cual se analizó la Por su parte, la Corte Constitucional en sentencia constitucionalidad de la L.1712/14, indicó sobre su coexistencia con el Régimen de Protección de Datos (L.1266/08 y L.1581/12), lo siguiente: “(...) La Corte considera que no es necesario este condicionamiento, como quiera que la Ley 1581 de 2011, al ser una ley estatutaria que regula el derecho de hábeas data y fijar reglas que hacen parte del bloque de constitucionalidad, para proteger ciertos datos considerados como “ datos sensibles”, por afectar el derecho a la intimidad y otros derechos fundamentales que pueden ser reservados, cumple las exigencias constitucionales para el establecimiento de reservas al derecho de acceso a la información pública, y que resultan compatibles con las reglas específicas que fijará este proyecto de ley estatutaria una vez sea sancionado (...) Así por ejemplo, cuando reguló el derecho al hábeas data y la protección de los datos personales, el legislador estatutario optó por una terminología distinta, pero armónica con la contenida en el proyecto de ley, mediante la cual se restringe la posibilidad de acceso a la información. En efecto, en el literal c) dentro de la categoría de información pública clasificada quedarían todos los datos privados, semiprivados o sensibles a los que hacen referencia las leyes estatutarias 1266 de 2008 y 1581 de 2012, cuya difusión afecta gravemente del derecho a la intimidad de las personas.”33 De esta manera, es evidente que las normas que componen el Régimen de Transparencia y Acceso a la Información Pública Nacional Función Pública, debido a su complementariedad con el Régimen General de Protección de Datos Personales, obliga a las Entidades Públicas, indistintamente de que los datos sean, por regla general, de carácter público, a realizar el tratamiento de la información personal privada, semi-privada y sensible de conformidad con las reglas fijadas para su tratamiento, incluyendo, debido a su naturaleza, las medidas de seguridad administrativas, humanas, y en especial, tecnológicas para su evitar su acceso indebido o uso para fraude.

Por tanto, la afirmación realizada por parte de DATASET, citando a la Rama Judicial, resulta imprecisa en tanto que no toda la información contenida en la Rama Judicial es de carácter pública, sino tiene otras categorías que la Rama Judicial, como DATASET, deben tener en cuenta en sus respectivos tratamientos. Por otra parte, la sociedad DATASET en su escrito de descargos, radicado 18-153189- - 42 del 14 de enero de 2021, manifestó: (ii) Frente a la presunta violación al derecho al habeas data de los titulares: “[S]on las propias autoridades jurisdiccionales, las que en múltiples pronunciamientos, principalmente en instancia de tutela promovidas por titulares de la información que consideran que el hecho de aparecer en la búsquedas del portal DATAJURÍDICA es violatorio de su derecho fundamental al habeas data, han encontrado: 1) Que la actividad del portal DATAJURÍDICA no comporta visos de ilegalidad; 2) Que el portal DATAJURÍDICA no hace otra cosa que ayudar a quienes solicitan sus servicios en la búsqueda de los procesos que están publicados en la página de la misma rama jurisdiccional; 3) Que si un titular de la información desea que su información no aparezca ante una búsqueda de los procesos en que se encuentra involucrada, el único camino correcto es dirigirse ante la propia rama jurisdiccional y particularmente ante las instituciones públicas que hacen parte de la misma rama y que obran como administradoras del portal de búsqueda de procesos para que, si es viable su solicitud de actualización, corrección o eliminación de información, se proceda de conformidad;

L.1581/12, art. 3: “Definiciones. Para los efectos de la presente ley, se entiende por: (a) Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales; (b) Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento; (c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables;

(d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento;(e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;(f) Titular: Persona natural cuyos datos personales sean objeto de Tratamiento;(g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.” L.1581/12, art. 5: “Datos sensibles.

Para los propósitos de la presente ley, se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos.” D.1377/13, art. 3(3): Datos sensibles: “Se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual, y los datos biométricos.” 33 Corte Constitucional [C.C.] SentenciaC-274/13, M.P. María Victoria Calle Correa, Gaceta de la Corte Constitucional [G. C. C.] (Vol. n/d, p. 22) (Colom.).

HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras 4) Que lo máximo que puede llegar a hacer el portal DATAJURÍDICA ante una Por la cual se incorporan pruebas dentrolade una investigación y se decretase depueda oficio la práctica de solicitud de un titular es eliminar posibilidad de que por su intermedio acceder a la información de sus procesosotras ante una determinada búsqueda futura, lo cual no excluye que tal información siga apareciendo en el portal de la Rama Judicial ” y sea accesible mediante la búsqueda que se pueda realizar a través de otros portales.” Frente a esta manifestación el Despacho considera que estas son apreciaciones propias de DATASET, dado que en el expediente no existe evidencias de las mencionada providencias judiciales a que hace referencia, solo estando de acuerdo que es derechos de los titulares solicitar la corrección, rectificación y/o remoción de sus datos persones ante los responsables, rol que ha cumplido DATASET, contrario a las manifestaciones en contra, al poder resolver las solicitudes de FRANCISCO xxxxx AMxxx MARTÍNEZ, XXXXX XXXXXX XXX XXXXXX, XXXXX XXXXXXX XXXXXX XXXXXX y ANDREA MANCIPE ACUÑA, y lo cual no ejecutó al momento de la solicitud individual, sino en virtud de la presente actuación administrativa sancionatoria.

Lo anteriormente expuesto conlleva a este Despacho a concluir que la sociedad investigada, a través de la conducta arriba descrita, realizó actos vulneratorios al Régimen de Protección de Datos, por cuanto formó una base datos de información de sustraída de la página de consulta de procesos de la Rama Judicial, de uso restrictivo, sin el consentimiento de los titulares, arrojando información, a los usuarios que realizaban la consulta, informaciones poco veras y actualizada.

De esta forma, la actuación de la sociedad investigada daría lugar a la imposición de una sanción económica, al desconocerse su estado patrimonial actual, resulta inadecuado pudiendo configurarse una medida expropiatoria, por lo que resulta más adecuada la sanción correspondiente a la suspensión de actividades hasta por un término de seis (6) meses, hasta tanto tome las siguientes medidas correctivas: (1) Eliminar todos los datos personales, de cualquier naturaleza, hayan podido adquirirse de las páginas de consulta de la Rama Judicial por no haber obtenido la autorización en los términos establecidos por la L.1581/12.

(2) Establecer los mecanismos necesarios y automatizados para que la investigada, previo al tratamiento de los datos, obtenga el consentimiento de los titulares; (3) Implementar dentro de las de las Políticas de Protección de la Información una descripción expresa de la finalidad el tratamiento que se pretende dentro de portal de la investigada.

OCTAVO: Imposición y graduación de la sanción La Ley 1581 de 2012 le confirió́ a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá́ imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicaran los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

( )”. Debe precisar que se impone por infracción a los deberes contenidos en la Ley 1581 de 2012, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que fuera HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras trasgredida, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción Por la cual se incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de aplicada. otras ” Así las cosas, con el objeta de realizar una correcta adecuación entre los hechos y la sanción aplicable, esta Dirección debe analizar en primera instancia la dimensión del daño y peligro a los intereses jurídicos tuteladas, así como el posible beneficia económica, de suerte que luego se analicen las demás circunstancias objeta de graduarían de la sanción, cómo lo son, la capacidad económica del investigada, la reincidencia en la comisión de la infracción, la colaboración del investigado en el esclarecimiento de los hechas objeto de investigación. 34 También se tendrá en cuenta, para efectos de la dosificación de la sanción de la sanción, el tamaño de la compañía, sus ingresos operacionales, patrimonio, y en general, su información financiera, de tal manera que la sanción que se llegue a imponer resulte disuasoria, y no confiscatoria; finalmente, se tendrá en cuenta la conducta de la investigada durante el trámite de la presente investigación. En el caso en concreto, quedó demostrado que la sociedad investigada sustrajo datos de las páginas de consulta de la Rama Judicial bajo el pretexto que la totalidad de la información contenida es de carácter público, ignorando la prohibición expresa de la Rama Judicial de darle tratamiento adicional a la información allí contenida con propósitos económicos; además de realizar el tratamiento sin la autorización expresa, previa e informada, de los titulares cuya información es consultada en el portal de la investigada.

A lo cual se le suma que, teniendo en cuenta que la información es actualizada por cada juzgado de forma individual, la información puede carecer de veracidad y exactitud, induciendo al error al usuario quien realiza la consulta sobre la información del titular, a lo cual se le aúna que no haya implementado las medidas de seguridad necesarias para proteger la información y evitar su robo y/o adulteración por parte de terceros.

La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen General de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así́ como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, este exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en L.1581/12, art. 24: Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: (a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley;(b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción;

(c) La reincidencia en la comisión de la infracción;(d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio;(e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio;(f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.

HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras rigidez frente a la gravedad de la conducta, ni tampoco carente de Por la cual se incorporan pruebas de una investigación y se decreta de oficio la práctica de importancia frente adentro esa misma gravedad” 35 otras También se tendrán en cuenta para la dosificación ” de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Así́ como, la conducta de la investigada durante el trámite de la investigación administrativa. De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así́ como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados.

En el caso en concreto, quedó demostrado que la sociedad investigada sustrajo datos de las páginas de consulta de la Rama Judicial bajo el pretexto que la totalidad de la información contenida es de carácter público, ignorando la prohibición expresa de la Rama Judicial de darle tratamiento adicional a la información allí contenida con propósitos económicos; además de realizar el tratamiento sin la autorización expresa, previa e informada, de los titulares cuya información es consultada en el portal de la investigada.

Así las cosas, al evidenciarse que la sociedad investigada vulneró el Régimen de Protección de datos, específicamente los siguientes principios y normas: (i) L.1581/12, art. 4(f); (ii) L.1581/12, art. 4(d), y art. 17(e); (ii) L.1581/12, art. 4(c) y art. 17(b); (iii) L.1581/12, art. 4(c) y art. 17(b): este Despacho ordenará a la sociedad DATASET TECNOLOGIES S.A.S. -en liquidación-, la suspensión de actividades en el territorio de Colombia por el término de seis (6) meses hasta que cumpla con las siguientes medidas correctivas: (1) Establecer una metodología por medio de la cual se obtenga el consentimiento expreso, previo e informado de los titulares para que su información pueda ser consultada a través del portal www.datajuridica.com;

Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp. Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. L.1581/12, art 23: “La Superintendencia de Industria y Comercio podrá́ imponer a los responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un termino de seis (6) meses.

En el acto de suspensión se indicaran los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el termino de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad publica a las disposiciones de la presente ley, remitirá́ la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras (3) Dar cumplimiento a las Políticas de Tratamiento de la Información de la Rama Judicial, en es Por laespecial cual se la incorporan pruebas dentro una investigación y se decreta de oficio la práctica de prohibición de hacer usodecomercial de la información personal reportada en los otrasJudicial. portales de consulta de procesos de la Rama ” (4) Tomar medidas de mejoras frente a la tecnología implementada para la recolección de la información, teniendo en cuenta el principio de veracidad, incluyendo que la información arrojada al usuario final y la prohibición por parte de la Rama Judicial en relación con la prohibición de la sustracción sistematizada de la información contenida en sus páginas de consulta.

(5) Garantizar, para cualquier tipo de consulta, que la información que se entregue al usuario final sobre cualquier titular, previa la otorgación de su autorización, sea actualizada, veraz, completa, y no induzca a error al usuario con respecto a su temporalidad. (6) Eliminar todos los datos personales, de cualquier naturaleza, hayan podido adquirirse de las páginas de consulta de la Rama Judicial por no haber obtenido la autorización en los términos establecidos por la L.1581/12.

(7) Establecer los mecanismos necesarios y automatizados para que la investigada, previo al tratamiento de los datos, obtenga el consentimiento de los titulares, y; (8) Implementar dentro de las de las Políticas de Protección de la Información una descripción expresa de la finalidad el tratamiento que se pretende dentro de portal de la investigada.

DÉCIMO: RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) EN EL TRATAMIENTO DE DATOS PERSONALES. La regulación colombiana le impone al responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad. Por el contrario, debe ser real y demostrable.

Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante”. 37 Adicionalmente, es importante resaltar que los responsables o encargados del tratamiento de los datos, no se convierten en dueños de estos como consecuencia del almacenamiento en sus bases o archivos.

En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los titulares de los datos.

En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. Por su parte, el artículo 2638 -Demostración- establece que, “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así́, resulta imposible ignorar la forma en que el responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, Corte Constitucional [C.C.] Sentencia T-227/03, M.P. Eduardo Montealegre Lineth, Gaceta de la Corte Constitucional [G. C. C.] (Vol. n/d, p. 12) (Colom.).

D.1377/13, art. 26: El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: (1) La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente.

(2) La naturaleza de los datos personales objeto del tratamiento. (3) El tipo de Tratamiento (4) Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta de las medidas de seguridad apropiadas evidencia sobre la implementación efectiva HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras y no solo se limiten a creaciones teóricas e intelectuales.

El artículo 27-Políticas Internas Efectivas-, Por la cual incorporan pruebas dentro de investigación y semedidas decreta efectivas de oficio la práctica de exige que losseresponsables del tratamiento deuna datos implementen y apropiadas otras que garanticen, entre otras: “( ) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, con respecto” a cualquier aspecto del tratamiento.”39 Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió́ el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada (accountability)”.

El término “accountability”, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente. Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: (1) Diseñar y activar un programa integral de gestión de datos (en adelante PIGDP).

Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; (2) Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP, y; (3) Demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales. El principio de responsabilidad demostrada –accountability- demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales.

El mismo, exige que los responsables y encargados del tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales.

El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales. El éxito de este, dependerá́ del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será́ insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos.

Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá́ de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales”.40 (Énfasis añadido) D.1377/13, art. 27: “Políticas internas efectivas.

En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.

La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será́ tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”.

Red Iberoamericana de Protección de Datos. Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió́ un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización de este depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.

HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras El principio de responsabilidad demostrada busca que los mandatos constitucionales y legales sobre Por la cual de se incorporan pruebassean dentrouna de una investigación y se de en oficio la práctica tratamiento datos personales realidad verificable y decreta redunden beneficio de de la otras protección de los derechos de las personas.

Por eso, es crucial que los administradores de las ” organizaciones sean proactivos respecto del tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: (i) los derechos de los titulares de los datos personales, y; (ii) una gestión respetuosa de los derechos humano.

DÉCIMO PRIMERO: CONCLUSIONES Son las siguientes las conclusiones del Despacho en relación con el caso en concreto, a saber: (1) Los datos consignados en bases de datos públicas o de entidades públicas no son siempre de carácter público, sino que deben ser analizadas con el fin de determinar la naturaleza real de los datos allí contenido, y así verificar si resulta necesario la consecución de la autorización en los términos establecidos por la Ley;

(2) Cuando se realice el tratamiento de datos personales de naturaleza privada, se debe procurar, anterior al tratamiento, la obtención previa del consentimiento previo, expreso e informado, del titular, y; (3) La obtención de la autorización puede realizarse a través de mecanismo automatizados que permitan ya sea de forma verbal o escrita su obtención y conservación. En todo caso el asentimiento tácito no constituye, en ninguna circunstancia, la otorgación de este.

DÉCIMO SEGUNDO: Que con el fin de garantizar los derechos fundamentales de contradicción de la sociedad comercial DATASET TECNOLOGIES S.A.S. -EN LIQUIDACIÓN- con NIT.: 900.520.797-7, esta Dirección ha concedido el acceso al presente Expediente digital, por intermedio de su representante legal, vinculado al correo electrónico de notificación judicial de la sociedad: xxxxxxxxxxxxxxxxxxxxx, quienes deberán registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ ServiLinea/Portada.php En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando el número de radicado del expediente, los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

RESUELVE

ARTÍCULO PRIMERO: IMPONER la sanción a la sociedad comercial DATASET TECNOLOGIES S.A.S. -EN LIQUIDACIÓN- con NIT.: 900.520.797-7, la suspensión de actividades que involucren el tratamiento de datos personales mediante su portal www.datajuridica.com, hasta por el término de (6) seis meses, contados a partir de la ejecutoria del presente acto administrativo, por la violación de lo previsto en el literal (o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 19 de la misma ley, en tanto se acredite el cumplimiento de las siguientes instrucciones: (1) Establecer una metodología por medio de la cual se obtenga el consentimiento expreso, previo e informado de los titulares para que su información pueda ser consultada a través del portal www.datajuridica.com.

HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras cual se incorporan pruebas dentro de una investigación y se decreta oficioJudicial, la práctica (3)Por laDar cumplimiento a las Políticas de Tratamiento de la Información de ladeRama en de es otras de la información personal reportada en los especial la prohibición de hacer uso comercial ” Judicial. portales de consulta de procesos de la Rama (4) Tomar medidas de mejoras frente a la tecnología implementada para la recolección de la información, teniendo en cuenta el principio de veracidad, incluyendo que la información arrojada al usuario final y la prohibición por parte de la Rama Judicial en relación con la prohibición de la sustracción sistematizada de la información contenida en sus páginas de consulta.

ARTÍCULO SEGUNDO: Para certificar el cumplimiento de la orden impartida, dentro de los seis (6) meses de suspensión, el representante legal deberá remitir documento donde certifique el cumplimiento de las medidas correctivas expuestas en la parte motiva del presente acto administrativo.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad DATASET TECNOLOGIES S.A.S. -EN LIQUIDACIÓN- con NIT.: 900.520.797-7, a través de su representante legal y/o su apoderado en calidad de recurrente, entregándole copia de la misma e informándole que contra ella procede el recurso de reposición ante el Director de investigaciones de Protección de Datos Personales, y en subsidio el de apelación ante el Superintendente Delegados para la Protección de Datos, dentro de los diez (10) días siguientes a la diligencia de notificación.

ARTÍCULO CUARTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: -Correo Superindustria: contactenos@sic.gov.co -Sede Principal: Carrera 7 No. 31ª - 36, Pisos 3 y 3A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 15 SEPTIEMBRE 2022 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR SALAZAR MUNOZ MUNOZ Fecha: 2022.09.15 13:04:55 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JATS Revisó: CASM Aprobó: CASM HOJA Nº,2 “Por la cual se imparten ordenes administrativas y se suspende temporalmente” de otras Por la cual se incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras NOTIFICACIÓN: ” Investigada: NIT.: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: DATASET TECNOLOGIES S.A.S. -EN LIQUIDACIÓN900.520.797-7 Rodolfo Ignacio Correal García C.C. 79.54.122 Calle 69ª número 4 – 12 Bogotá D.C. – Colombia XXXXXXXXXXXXXXXXXXXX Apoderado: Nombre: Identificación: Tarjeta Profesional: Dirección: Ciudad: Correo: José Ignacio Pedro Elías Novoa Serrano C.C.79.592.192 100.709 del C.S. de la J. Carrera 19ª número 84 – 29, oficina 704.

Bogotá D.C. pnovoa@mscol.co

Resolución sancionatoria N° 78820 de 2022

CONSIDERANDO

RESUELVE