MINISTERIO OE COMERCIO, INDUSTRIA Y TURISMO SUPERINTENOENCIA OE INOUSTRIA Y COMERCIO RESOLUCION NUMERO 1 3 5 2 6 - -;E 2019 <J ~ MAY 2019 i y se imparten unas 6rdenes•· Radicaci6n 16-121691 EL DIRECTOR DE INVESTIGACION DE PROTECCION DE DATOS PERSONALES l~n ejercicio de sus facultades legales, en especial las conferidas por el articulo 19 y 21 de la Ley 1581 de 2012, y el numeral 5 del artlculo 17 def Decreto 4886 de 2011 y,
CONSIDERANDO
PRIMERO: Que, esta Superintendencia. a traves de la denuncia presentada por la senora, tuvo conocimiento de la presunta violaci6n de las normas de protecci6n de datos personales contenidas en la Ley 1581 de 2012, per parte de la sociedad ROYAL FILMS S.AS., identlficada con el NIT 890.105.652-3, per lo que inici6 investigacl6n admlnistrativa en consideraci6n a los siguientes hechos: 1 1 Manifest6 la quejosa que la sociedad ROYAL FILMS S.AS. public6 sus datos personales en internet sin que ella le hubiera otorgado autorizaci6n para este prop6sito.
Al respecto, aport6 una captura de pantalla tomada al buscador Google en la cual se vlsualizan algunos de los datos publicados, presuntamente, desde el dominio en internet de la sociedad denunciada. 1 2 Asegur6 tambien que, con ocasi6n del anterior hecho, el 11 de marzo de 2016 se comunic6 telef6nicamente con la sociedad a fin de requerir la eliminaci6n inmediata de sus datos de internet y, a !raves de este medic, le sumlnistraron los correos · servicioalcliente@royal-films.com" e "lnfo@royal-films.com" para reali zar la correspondiente solicitud. 1 3 Por otra parte, advierte que realiz6 la solicitud de eliminaci6n de sus dates a los correos suministrados por la sociedad, sin embargo. al notar que esta no le entregaba respuesta y al verificar que sus dates aun se encontraban publicados en internet, afectando su vida personal, el 11 de abril de 2016 present6 una queja por la referlda situaci6n ante esta Superintendencia. 1 4 El 10 de mayo de 2016, segun inform6 la quejosa, la sociedad denunciada le brind6 una respuesta, con la cual, inform6 no enconlrarse satisfecha.
SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advlerte la presunta violaci6n de las normas sobre protecci6n de datos personales, y en particular las disposiciones contenidas en i} el literal b} del articulo 17 de la Ley 1581de 2012, en concordancia con el artfculo 9 de la misma ley y los articulos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Unico Reglamentario 1074 de 201 5; ii} el literal d) del articulo 17, en concordancia con los literates f} y g) del articulo 4 de la Ley 1581 de 2012: iii) el literal j) del articulo 17, en concordancia con el articulo 15 de la Ley 1581 de 2012: y, iv) el literal n) def articulo 17 de la Ley 1581 cle 2012, en concordancia con el artfculo 19 de la misma ley, se inici6 la presente investlgaci6n administrativa mediante la expedici6n de la Resoluci6n No. 17184 de 2018 por medic de la cual se formularon cargos a la sociedad ROYAL FILMS S.AS. 2.1 La mencionada resoluci6n le fue notificada a la parte investigada el 16 de marzo de 2018 1, para que se pronunciara sobre los hechos materia de investigaci6n y aportara las pruebas que pretendiera hacer valer dentro del referido tramite, con el fin de que ejerciera a cabalidad su: 1:ertiflcaci6n obrante a folio 42..., ' RESOLUCl6N NUMERO J t& - - - HOJA N 2 I VERSION PUBLICA "Por la cua/ se 1mpone una sanci6n administrativa Y se 1mparten unas 6rdenes". derecho de defensa y contradicci6n. lgualmente, se comunic6 de la misma actuaci6n al denunciante.
TERCERO: Que la investigada, medlante escrito radicado el 11 de abril de 2018 die respuesta a la formulaci6n de cargos aduciendo, entre otras cosas, lo siguiente (fls.55 a 63): 3.1 En primer lugar asegura que "ROYAL FILMS sl solicit6 a11torizaci6n al momento de/ dlligenclamiento de/ formulario via web, puesto c;ue exislla la recomendaci6n literal "RECUERDA QUE TUS DATOS HAN SIDO SUMINSTRADOS DE FORMA VOLUNTARJA AUTORIZANDO A ROYAL FILMS A UTILIZARLOS PARA GENERAR BASES DE DATOS DE FUTUROS EMPLEADOS".
Sin embargo debido al incidente de seguridad de la violaci6n de /os datos de encriptaci6n, tuvimos que proceder a ellmlnar la anterior pagina web. Jo que nos imposibilito la conseNaclon de la prueba de dicha autorizaci6n. • (Subraya v noglilla en lex!O) 3.2 Continua, senalando al respecto que ' De b anlerior, queda presente que ROYAL FILMS S.A. S si cumplio con el deber de solicitar la autorizaci6n otorgada por el tiltilar para el tratamiento de sus datos. contemplado en el literal b) de/ articolo 17 de la Ley 1581 de 2012, aun coando dicha recolecci6n era para 11na (mica finalidad de requerir recurso l1umano para la ftlet7a de trabajo de la compaiiia.
No obs/ante al lnciden:e de hackeo sobrepaso nuestra disposici6n de conservacion. puesto que la solucion de /os encargados de sistema fue la eliminaclon de la ptigina web anterior y la creaci6n de otra. Todo esto con la finalidad de protecci611 de la informaci6n y datos consig11ados". 3.3 De otra parte. en relaci6n con el segundo cargo formulado, lnforma qua "igualmante se cumplio con el daber de conservar la informacion de los titulares en condiciones de seguridad, y por tanto, se manej6 con las medidas tecnicas, humanas y administrativas nacesarias para otorgar seguridad.
Al respeclo, es menester especificar el protocolo de seguridad que ROYAL FIL MS habfa suscrito a fin de evitar o mili9ar cualquier riesgo de axposici6n de datos. La pagina y aplicalivos web contaban con uso de variables de sesion, lo que permitfa que la informacion transmitida solo (sic) es sensible por tin/ca vez y no las sucesivas veces que se envia.
Asimismo estaba protegido por register_globals apagado o "off' en al archivo php.inl de/ servidor, lo que evitaba que /as variables qua se ul//izan no pasen sin ser filtradas por un arraglo de la variable de/ servidor; contaba ademas con una lumwnienta denominada sitelock que se instala en el dominio y protege el sitio web qoe t1ay alojado en el de amenazas informti/icas y con el archivo robots.txt q11e esta configurada para la negaci6n de acceso y monilorao por parte de Google de almacenamiento de datos" 3.4 Concluye, a este respecto, que "No obslar:te nuestra diligencia. lamenlablemente nuestra oompailia fua vlctima de una violaci6n de los procesos de encriptacion por agantes externos, dicho suceso sobrepasa a nuestra posibilidad de protecci6n. pues aun cuanto (sic) contamos con proveedores de protocolos de seguridad y nuestra politica intema de datos, nos vimos expuestos a tal incidente de seguridad_ (...) De los hechos esgrimidos e11 el expadiente, es u11 11echo notorio que en nuestra actuacion ft1imos diligentes con el asonto, puesto qua consarvamos la intormacion bajo las condlciones de sagoridad nacasarias para impedir si1 adulteracion, perdida, co11sulta, uso o accaso no autorizado o fraudu/ento y para esto se suscribieron prolocolos de seguridad citados anteriormenla ". 3.5 En el mlsmo sentido, expresa que •Adicionalmente. una vez tuvirnos conocimiento def incidenta y a fin de garanlizarle el pleno y efectivo ejercicio de habeas data elevamos una solicitud ante Goo le con fecha de/ 29 de abril de 2016 ctJyo objeto era la aliminacion def contenido de la senora URL, a esto respondieron satisfactoriamente, y por tanto. al dia 10 de ma ode 2016 removido por parte de Google la URL donde aparece al nombre de la senora Acto saguido se cito a la seiiora para darle una explicaci6n y disculpas por lo sucedido ro dicha carta no 'ue recibida. y procedimos a anviarla por correo, el 10 de mayo de 2016, sin embargo no obtuvimos electr6nico respuesta a/guna·.
RESOLUCl6N NUMERO -- 1mpst1en unas Ordenes· - HOJA N 3 I. VERSl6 N PUBUCA 3.6 Acerca del tercer cargo formulado por el Despacho, manifiesta que ' ROYAL FILMS, ir1mediatamente se hizo efectivo el fraslado de la queja presentada a la Superintendencia de lndustria y Comercio, tramit6 el reclamo promovido realiz6 lo debido para reclificar y eliminar la publicaci6n de datos persona/es de la seflora Dicha gesli6n no se /1izo anteriormente puesto que se nos hizo imposible tener conocimiento previo porque la litu/ar de los datos persona/es no agot6 en debida forma el reclamo directo ante el encargado de los datos persona/es, en la medida en que envi6 la solicitud al correo info@rovalfilms.com, el cual esta definido para informaci6n sobre publicidad de ROYAL FIL MS S.A y por lento, no era la via competente para elevar ta/ requerimiento; asimismo, respeclo al otro correo utillzado servidoalctiente@royal-fitms.com liable sufrido por saturaci6n debido a la recepci6n de muchos correos.
Situaci6n que obstaculiz6 la respuesta oportuna al reclamo direc/o de habeas data• 3.7 Finalmente. asevera que 'la sociedad si estaba dispuesta a informar el incidente de seguridad, para ta/ fin se habfan indicado reuniones con el equipo de ingenieria de sistemas para conocer las posibles consecuencias de las violaciones de los procesos de encriptaci6n.
Sin embargo, la sef!ora adelant6 la lnformaci6n con la presentaci6n de la queja y pvso en conocimiento de esta de/egaci6n las consec11encias def incidente de segurldad que /Jabiamos sufrido. Adicionalmente, es importante reiterar qve en la fey estatutatia de /Jabeas data no indican un tennino perentorio en el cval deba ponerse en conocimiento de la Superintendencia de lndusttia y Comercio el incidente def cual fuimos vlclimas•.
CUARTO: Que mediante Resotuci6n N° 38029 del 31 de mayo de 20182 se orden6 incorporar y tener como prueba los siguientes documentos. y se decret6 la prueba sollcitada por la sociedad investigada: 4.1 Copia de la solicitud enviada a Google el 29 de abril de 2016 {H.59) 4.2 Copia def correo electr6nico enviado a la senora {ft.61) 4.3 Copia del informe tecnico del jefe de slstemas de ROYAL FILMS S.A. acerca de los parame tros de seguridad que tenia la pagina web al momento del incidente de seguridad (fls.62 y 63) 4.4 Copia del certificado de existencia y representaci6n legal de ROYAL FILMS S.A.S expedido por la Camara de Comercio (fl 64 at 71).
QUINTO: Que. segun consta en certificaci6n visible a folio 72, expedida por la Secretaria General de esta Superintendencia, la Resoluci6n 38029 de 2018 fue comunicada el 05 de junio de 2018 al senor ABRAHAM OSMAN CHAMALI en calidad de Representante Legal y/o apoderado de la sociedad ROYAL FILMS S.A.S.
SEXTO: Que el 09 de julio de 2018 se practice la prueba decretada mediante Resoluci6n 38029 de 2018, consistente en la recepci6n del testimonio del senor. en calidad de jefe de sistemas de la sociedad ROYAL FILMS S.A.S, cuyo testigo documental se encuentra visible en folio 79.
SEPTIMO: Que mediante Resotuci6n 52686 del 26 de julio de 2018, la Direcci6n de lnvestigaci6n de Protecci6n de Datos Personales resolvi6 incorporar y tener como prueba las obrantes a la fecha en el expediente 16-1 21691 (folios 1 al 79) con el valor legal que les corresponda. En el mismo acto se corri6 traslado a la sociedad lnvestigada presentar sus alegatos de conclusion.
OCTAVO: Que la Resotuci6n 52686 de 2018 fue comunicada el 27 de julio de 2018 al senor ABRAHAM OSMAN CHAMALI. en calidad de representante legal ylo apoderado de la sociedad ROYAL FILMS S.A.S segun consta en certilicaci6n expedida por la Secretaria General Ad-Hoc de esta Superintendencia. obrante a folio 89. ' Obrante en folio• 75 v 76 HOJAN 4 RESOLUCION NUMERO "Por la cval se impone vna sanci6n administrativa y se VERS!6N PUBLICA imparten unas 6rdenes" '--- - -- -- --' NOVENO: Que, mediante escrito radicado ~ode 20183, la investigada solicit6 copia del audio del testimonio practicado al s e i i o r - - a s i como la ampliaci6n del termino para entregar los alegatos de conclusion respectivos.
DECIMO: Que, mediante escrito rad icado el 13 de agosto de 2018 4, la sociedad ROYAL FILMS S.A.S present6 alegatos de conclusi6n, reiterando lo expresado en el escrito de descargos. 10.1 Que. la Coordinaci6n del Grupo de Trabajo de lnvestigaciones Administrativas entreg6 respuesta a la petici6n de la pa rte investigada, el 15 de agosto de 20185, mediante la cual concedi6 la pr6rroga solicitada, ampliando el termino para rendir descargos hasta el 10 de septiembre de 2018. 10.2 Que, dentro del termino dispuesto, la sociedad ROYAL FILMS S.AS. present6 escrito mediante el cual reitera lo seiialado durante la actuaci6n administrativa, y expresando adicionalmente que "En el testimonio recibido por esla (sic) de/egaci6n se evidencia que el incidente de seguridad sucedido con la sef'lora obedeci6 a un ataque cibernetico que ocasion6 una baja en el sistema y produjo 11n error en el CEO de la pagina.
En el desarrol/o de las respuestas otorgadas por el testigo se evidencia que una vez conocido el hecho, realizamos la solicit11d inmediata a Google para que eliminara los datos expuestos de la quejosa y adicionalmenle, se deja por senlado que se hicieron las pruebas requeridas, cuyo resullado arroj6 que efectivamente los dalos llablan sido eliminados, de igual forma, se especifica que la politica de datos esla publicadas (sic) en la pagina web, ta/ y como lo indica la norma.
En cuanto al sistema de seguridad, el jefe de sislemas manifest6 que ROYAL FILMS SAS, tiene un firework adminislrado por ingenieros y dos puertos autorizados: el 80 y el 23, los demas estan bloqueados y no se penniten /os ataques de navegaci6n de servicio, ademas de la pagina CERTIFICADO categoria A, que garantiza que la informaci6n viaja cifrada y una configuraci6n para evitar /as inyecciones.
Asimismo se /lace alusi6n a que solo (sic) los trabajadores responsables de/ tratamiento de datos y capacitados para ta/, tienen acceso previo y un otorgamienlo de c6digo, ademas debe tenerse Jos conocimientos para descifrar la informaci6n, p11esto que esta viaja codificada".
DECIMO PRIMERO: Competencia de la Superintendencia de lndustria y Comercio De conformidad con lo establecido en los artlculos 19 y 21 de la Ley 1581 de 2012 y los numerales 5 y 9 del articulo 17 del Decreto 4886 de 2011, la Direcci6n de lnvestigaci6n de Protecci6n de Datos Personales es competente para investigar e imponer las sanciones pertinentes a los Responsables y Encargados del Tratamiento de datos una vez verifique el incumplimiento de las disposiciones en materia de protecci6n de datos.
DECIMO SEGUNDO: Analisis del caso 12.1 Adecuaci6n tipica La Corte Constitucional mediante sentencia C-748 de 2011, estableci6 lo siguiente refiriendose al derecho administrativo sancionatorio: "En relaci6n con el principio de lipicidad, encuenlra la Sala qve, pese a la generalidad de la fey, es determinable la infracci6n administrativa en la medida en que se sefla/a que la constituye ei incumplimiento de las disposiciones de la Jey, esto es, en termino especlficos, la regu/aci6n qua hacen /os articu/os 17 y 18 de/ proyecfo de Jey, en Jos que se seflalan /os deberes de los responsab/es y encargados de/ tratamiento def dato• Atendiendo a los parametros fijados por la citada jurisprudencia, para el caso concreto se tiene que El articulo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares.
El incumplimiento de tales mandates dara lugar a la aplicaci6n de las sanciones contempladas en la misma normatividad. 1 F'"olio 80 "Obrantc de folios 81 a 84 ~ J.\ctuaci6n radlcada bajo el numero 16-121691· -24-0, ob1ante a folio 85 imparten unas 6rdenes". VERSl 6 N POBLICA Por lo descrito, este Despacho procedera a realizar un analisis de i) los hechos narrados por el quejoso, ii) las pruebas aportadas durante toda la actuaci6n tanto por el denunciante como por la investigada, y iii) los fundamentos de hecho y de derecho expuestos por la investigada, todo lo cual se hara atend iendo a lo regulado por el legislador en la materia y la jurisprudencia de la Corte Constitucional. 12.2 Valoraci6n probatoria y conclusiones 12.2.1.
Del deber def Responsable del Tratamiento de solicitar y conservar copia o evidencia de la autorizaci6n previa, expresa e informada de los Titulares El articulo 15 de la Constituci6n Polftica establece que las personas, en desarrollo de sus derechos a la autodeterminaci6n informatica y el principio de libertad, son quienes de forma expresa deben autorizar que la informaci6n que sobre ellos sea recaudada pueda ser incluida en una base datos.
Al respecto la Corte Constitucional ha senalado lo siguiente: "Principio de liberlad: El /ratamiento solo puede ejercerse con el consentimiento, previo, expreso e informado de/ titular. Los datos persona/es no podran ser obtenidos o divulgados sin previa autorizaci6n, o en ausencia de mandato legal o judicial que re/eve el consentimiento (...)".
Este principio, pilar fundamental de la administraci6n de datos. permite al ciudadano elegir voluntariamente si su informaci6n personal puede ser utilizada o no en bases de datos. Tambien impide que la informaci6n ya registrada de un usuario, la cual ha sido obtenida con su consentimiento. pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorinirlo ioic:ialmente.
El literal c) del Proyecto de Ley Estatutaria no solo desarrolla el objeto fundamental de la protecci6n del habeas data, sino que se encuentra en intima relaci6n con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantia de determinar que datos quiere sean conocidos y tiene e l derecho a determinar lo que podria denominarse su "imagen informatica".
Por lo anterior, se concluye que sin la autorizaci6n previa e informada del titular, los datos personales no podran ser registrados, divulgados, ni tratados. Sin embargo, tal prohibici6n no es absoluta pues la Ley 1581 de 2012 en su articulo 10 establece los casos en los que no es necesario contar con la autorizaci6n por parte del titular, entre los cuales se encuentran los datos de naturaleza publica.
Ahora, con el prop6sito de dilucidar los hechos narrados por la quejosa, y verificar e l cumplimiento de los deberes a cargo de la sociedad ROYAL FILMS S.A.S, el dia 24 de mayo de 2016 el Laboratorio de Informatica Forense de esta Superintendencia realiz6 una preservaci6n del sitio web https://www.royal-films.com, de la cual qued6 evidencia en el acta suscrita obrante de folios 29 a 35 del expediente.
Dicho informe de preservaci6n contiene la siguiente observaci6n, en relaci6n con e l procedimiento para la recolecci6n de datos de los titulares: - 6 Formulario de "contactenos· en el que el titular de informaci6n interesado debe ingresar nombre, documento, direcci6n, teletono, correo, ciudad, teatro, dirigido a (el titular escoge entre atenci6n al cliente, tarjeta cliente royal, quejas y reclamos, concursos, contabilidad, recursos humanos, entre otros), asunto (el titular escoge entre inconforme con la atencion, atenci6n telef6nica, tarjeta c/iente royal, personal teatro, proyecci6n y sonido, cafeteria, aseo y presentaci6n) y comentario.
Este fonnulario no especifica la finalidad de eslos datos y tampoco contempla un aviso de privacidad o cm en/ace con el documento de TERM/NOS Y CONDICIONES" De igual manera, mediante radicado 16-121691--4-0 del 23 de mayo de 2017, la Coordinaci6n del Grupo de Trabajo de lnvestigaciones Administrativas solicit6 a la sociedad ROYAL FILMS S.A.S. que informara, entre otras cosas, si cuenta con la autorizaci6n de la senora & Reverso folio 31. ~ActtJ ce pfeser\tac..::>11 de p3gfr:as ureb" RESOLUCION NUMER. 3 5 2Be - - - HOJAN imparten unas 6rdenes" ' - -- - - - - - - ' para el tratamiento de su informaci6n personal.
En respuesta al requerimiento efectuado la sociedad, a traves del escrito radicado el 07 de junio de 2017 7, manifesto que "En relaci6n con no es esta pregunta, quiero manifestar al Despacho que la senora c/ienle de ROYAL FILMS, su trato con la empresa fue con la inlenci6n de participar en la vacanle de Empleo. Sin embargo, al momenta de ingresar a la pagina anterior de ROYAL FILMS para la fecha de los hechos, exislia la recomendaci6n de: Recuerda que tus datos han sido suministrados de forma voluntaria, aulorizando a royal films a utilizarlos para generar bases de datos de futuros empleados.
Quiero reiterar que la pagina fue hackeada y por ta/ molivo se cre6 una nueva pagina." Precisado lo anterior, encuentra este Despacho que la sociedad ROYAL FILMS S.A.S, por medic del sitio web https://www.royal-films.com!bienvenidos, tenia disp·uesto un formulario para la recolecci6n de dates personales, sin contar con mecanismos para solicitar la autorizaci6n previa, expresa e informada de los Titulares conforme lo preve el literal b) del articulo 17 de la Ley 1581 de 2012, en concordancia con el articulo 9 de la misma ley y los articulos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Unico Reglamentario 1074 de 2015.
Adicionalmente, si bien la investigada refiere, sin sustento probatorio, en su escrito de descargos la existencia de una leyenda presuntamente indicativa de las finalidades de la recolecci6n de los datos personales asi, "ROYAL FILMS si solicit6 la autorizaci6n al momento de/ diligenciamiento def formulario via web, puesto que existia la recomendaci6n literal: "recuerda que tus datos han sido suministrados de forma voluntaria autorizando a Royal Films a utilizarlos para generar base de dalos de futuros empleados'; sin embargo debido al incidente de seguridad de la violaci6n de los datos de encriptaci6n, tuvimos que proceder a eliminar la anterior pagina web, lo que nos imposibilit6 la conse1vaci6n de la prueba de die/la auiorizaci6n'•, de acuerdo con lo evidenciado en la inspecci6n tecnica realizada a la pagina wet;> par parte de esta Superintendencia, dicha expresi6n no figuraba ni tampoco mecanismo distinto para que el titular otorgara su autorizaci6n y tuviera conocimiento de las finalidades dispuesta~ para el tratamiento de sus dates personales.
Asi las cosas, teniendo en cuenta que la sociedad ROYAL FILMS S.A.S, en el curso de la presente actuaci6n administrativa no demostr6 el cumplimiento del deber de conservar copia de la autorizaci6n de la denunciante, para su posterior consulta; y tampoco, el de contar con mecanismos para la obtenci6n del consentimiento de los titulares a traves de su pagina web, la Direcci6n de lnvestigaci6n de Protecci6n de Dates Personales procedera a imponer la respectiva sanci6n pecuniaria.
Asi mismo, teniendo en cuenta que la sociedad al suprimir la pagina web elimin6 los soportes de las autorizaciones, se debe ordenar a la sociedad ROYAL FILMS S.A.S., establecer un procedimiento con el fin de tener una copia de seguridad de las bases de dates que administra, asi coma de las autorizaciones de los Titulares, en las terminos previstos en la Ley 1581 de 2012. 12.2.2 Del deber de conservar la informaci6n bajo las condiciones de seguridad necesarias para impedir su adulteraci6n, plirdida. consulta, uso o acceso no autorizado o fraudulento Bajo los postulados que gobiernan la disposici6n contenida en el literal d) del articulo 17 de la Ley1581 de 2012, es evidente que para que se pueda extraer un juicio de responsabilidad coma consecuencia de la infracci6n a este deber, debe demostrarse que la informaci6n personal de las Titulares fue accedida por terceros no autorizados. rompiendo con las principios de circulaci6n restringida y de seguridad de la informaci6n.
Por su pa rte, teniendo en cuenta el articulo 15 de la Constituci6n Politica de Colombia, en concordancia con los principios rectores de seguridad y de confidencialidad, se 1iene que coma una extension de los mismos, el legislador concibi6 en el literal d) del articulo 17 de la Ley Estatutaria de Protecci6n de Datos Personales, como deber de los Responsables en el Tratamiento de dates, la conservaci6n de la informaci6n con todas las medidas de seguridad qui! sean necesarias con el fin de no poner en riesgo los datos personales de los Titulares. -: Folie> 19 QQ Folio 31.
Efecfuada la oonsulta en el aplicativo VMOIS. tigura et rcgistro del d0<nlnio a nombte d0 la sociedad ROYAL FILMS S.A.$. ver folio 5S. RESOLUCl6N NUMERO - -- • Por la cual se impone una sancr6n administrative y se imparten unas 6rdenes• HOJAN 7 VERSlON PiJBLICA Asl pues, el Responsable debera tener en cuenta tanto el volumen de la base de datos a la que realiza Tratamiento, como la naturaleza de los datos que trata. hacienda que dlchas medidas o controles de seguridad sean directamente proporcionales a los datos alojados.
De esta manera el legislador dispuso, entre otros, como principios rectores del Tratamiento y la administraci6n de los datos personales el princlpio de seguridad y de confidencialidad que a la luz del artlculo 4 de la Ley 1581de 201 2 disponen lo siguiente: "( ) f) Prlnciplo de acceso y circulaci6n re!;tringlda: El Tratamiento se sujeta a los lfmites que se dorivan do la 11aturaleza de los datos persona/es. dQ las disposiciones de la presente tey y la ConstJtuci6n.
En osto sonlido, el Tratamiento s6/o podrfJ hiJIXll'$0 Pof personas autorizadas por el Titular ylo por las person/ls previstas en la presente Jey; Los datos persona/es. salvo ta informaciOn pilblica. no podron ostar disponibles en lntemet u otros niedios de divvlgaci6n o comunicaciOn maslva, sa.lvo qvo ol acceso sea tecnicamente conlrolable para brindar un conocimiento restring/do s61o a 10s Titulares o terceros auforiwdos confomie s 18 presente loy: g) Prlncipio de seguridad: La informaci6n sujo/ii I.I T1'6 /8miento por el Responsable de/ Tratomioflto o ETJCl.l1'fl~do def Tratamiento a qve se refioro /(l presente ley, se debera manejor con tos modidas tecnicos. hum{)nas y administratlvas que seon nocosari8s para otorgar segurldad a tos r&gistros 9v/tondo St1 aclrilleraci6n, perdida, consulta, uso o occoso no auto1izado o fraudulento;
( )'. Al respecto la Corte Constitucional ha relacionado aste deber con el principio de seguridad, manifestando que la •(...) informacion sujeta a tratamiento por el responsable o encargado, se debera manejar ccn las medldas tecnicas, humanas y administrativas que sean necesarias para otorgar segt1ridad a los registros evtlando su adulteraci6n, perdida, consulta, uso o acceso no autorizado o fraudulento· 10• Ahora bien. retomando el caso bajo estudio, se encuentra la quejosa remiti6 una captura de pantalla con en la cual se visuallza su nombre, numero de telefono, ocupaci6n y disponibilidad de tiempo publicados en el sitio web de la sociedad ROYAL FILMS S.A.S", pieza probatoria que eran susceptibles permite inferir que los dates personales de la Titular de consulta a traves del buscador Google por parte de cualquier internauta.
Al momento en que el Laboratorio de Informatica Forense de esta Superintendencia realize el cotejo de la situaci6n, se encontr6 que previamente la URL en la cual estaba contenida la informaci6n habia sido objeto de desindexaci6n, sin embargo. en la preservaci6n de la pagina web'2se observ6 que los datos personales (nombre, direcci6n de correo electr6nlco y telefono) de al menos 48 Titulares se encontraba publlca en internet desde otro dominio".
Al respecto, manifesto el representante de la investigada que •( ) cumpli6 con et deber de conservar la informaci6n de los litulares en condiciones de seguridad, y por tanto. se manej6 con las medidas tecnicas, humanas y administrativas necesarias para otorgar segurideif, afirmaci6n esta que detalla seiialando que cuenta con algunos protocolos y herramientas fnformaticas para mitigar los riesgos y amenazas. a traves de la negaci6n de acceso y monitoreo por parte de Google.
Ahora bien. a fin de garantizar el derecho de defensa material de la sociedad ROYAL FILMS S.A.S. y de contar con mas elementos de juicio, esta Direcci6n decret6 y practic6 la ~l icitada por la investigada. consistente en la recepci6n del testimonio del senor · en su calidad de Jefe de Sistemas, acerca de los aludidos parametros. Una vez efectuado el analisis del testimonio recibldo, se advierte ·que las simples manifestaciones entregadas por el jefe de sistemas de la lnvestigada no otorgaron certeza acerca de la efectiva implementaci6n de procesos ylo procedlmientos para garantizar la conservacl6n de la lnformaci6n personal recolectada en sus bases de datos, a fin de evitar su adufteraci6n. perdlda, consulta, uso o acceso no autorizado.
De este modo, consldera el Despacho que, en el caso bajo examen es la • Veron: C<>no Cor\$ijl\J<:iollal Sernencia C-748 aet 6 de oc<uble de 2011 MP. Je<ge lgn:lcio PreteR C~Ub '"" Reverao k>ho 6. " Oboanto a folios zg al • t. 'l Ra$uft0do ObtenKlo re~lizando ta bUSqucda oon los cr~erlos 'Adml111Stl'9dOrCS Royal site: \WN~.rovaJ..JilmLf..!m" que PotMll(I cxtracr una portiOn de datos de 10$ Titulai ll'S f&gistrados...
RESOLUCION NUMERO --- E imparten unas 6rdenes" HOJAN 8 prueba documental 14, la conducente e id6nea para desvirtuar el incumplimiento de la disposici6n contenida en el literal d) del articulo 17, en concordancia con los literales f) y g) del articulo 4 de la Ley 1581 de 2012, por cuanto, esta permitiria conocer y determinar con exactitud las actuaciones desplegadas en calidad de Responsable del Tratamiento, asi como la debida diligencia en su proceder. lgualmente, facilitaria precisar el momento en que los procedimientos fueron aplicados, esto es, el caracter previo a la ocurrencia del presunto incidente de seguridad sufrido en sus sistemas informaticos, segun fue expresado.
Adicionalmente, es necesario hacer referencia al hallazgo senalado en el Acta de lnforme de Preservaci6n. respecto de la exposici6n de datos en el buscador de Google. asi: ""Como resultado de la bbsqueda de los datos de la titular se estab/ece que la pagina web www.roval-films.com/bienvenidos, publica hacia internet una base de datos con informaci6n de titulares que se encontraban registrados como posibles prospectos a empleados ylo empleados efectivos (esto con base en vincu/os en cache al 24 Feb 2016 20:03:21y16 Mar 2016 07:05:06).
Actualmente al intentar ingresar a estos en/aces de resultado de Msqueda, se encuentran con acceso directo a la base de datos bloqueado mediante el re-direccionamiento hacia la pagina de inicio def sitio web; sin embargo, al rea/izar la bbsqueda con criterios "Administradores Royal site: "www.roval-films.com" en el motor de bbsqueda, los datos obtenidos penniten extraer una porci6n de dalos de los titulares que conforman ·dicha base de datos" ( ) En total fueron encontradas 6 paginas con resultados en las que en promedio existen datos de 8 personas por cada pagina (...)" Lo anterior deja en evidencia que la sociedad ROYAL FILMS S.A.S dej6 expuestos dates de, al menos otros 48 Titulares, informaci6n a la que personas no autorizadas podian tener acceso realizando una busqueda bajo la restricci6n de resultados al dominio www.royal-films.com, de acuerdo con lo trazado en el informe tecnico dispuesto para el efecto.
Por esto, esta plenamente demostrado que en su condici6n de Responsable del Tratamiento de los datos personales de los titulares, desconoci6, ademas, los preceptos normativos contenidos en los literales f) y g) del articulo 4 de la Ley 1581 de 2012. Conviene. entonces, traer a colaci6n lo establecido por la Honorable Corte Constitucional mediante senlencia C-748 de 2011, respecto a los principios de seguridad y, acceso y circulaci6n restringida en la administraci6n de dates personales, asi: ' "Principio de seguridad: Al amparo de este principio, la informaci6n sujeta a trafamiento por el responsable o encargado, se debera manejar con las medidas tecnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteraci6n, perdida, consulta, uso o acceso no autorizado o fraudulento.
De este principio se deriva entonces la responsabilidad que recae en el administrador de/ dato. El afianzamiento de/ principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad intemacional, en razon de/ efecto "diluvio de datos" {240], a traves de/ cual dia a dia la mesa de datos persona/es existente, objeto de tratamiento y de ulterior transferencias, no cesa de aumentar.
Los avances tecnol6gicos han producido un crecimiento de Jos sistemas de infonnaci6n, ya no se encuentran solo sencillas bases de datos, sino que surgen nuevos fenomenos como las redes sociales, el comercio a traves de la red, la preslacion de servicios, entre muchos otros. Ello tambien awnenta los riegos de filtraci6n de datos, que hacen necesarias la adopcion de medidas eficaces para su conservaci6n.
Por otro /ado, el ma/ manejo de la infonnacion puede tener graves efectos negativos, no solo en terminos econ6micos, sino tambien en los ambitos persona/es y de buen nombre" Principia de acceso y circulacion restringida: En razon de esla directriz, el Tratamiento se sujeta a los limiles que se derivan de la naturaleza de /os datos persona/es, de las disposiciones de la presente ley y la Constituci6n.
En este sentido, este solo podra hacerse por personas autorizadas 1o1c6digo Genefal del Proceso. Articulo 243. Distintas Clasos Do Oocumentos. Son docun~entos k>S esclitos, impresos, pianos. dibujos. cuadros, mensajes de datos. fotogroffas, cintas cineinatogfaf.cas, discos, grabaciones magnetof6nicas. videograbacionc-s. radlograffas, talooes, c.ontrasen.as. cvpones. etiquetas. sellos y. en general. todo objeto mveble que ten9s caracter representativo o dedarativo, y las lnscripciones en 18pidas, monumentos, edificios o similares. ~s LabOratorto de lnforrnil.tica forense.
Ada de infonnc de presefVaci6n de pagioas web. folio 35. 3 5 2& - -:. HOJA N 9 • Por la cual se impone una sanciOn administrativa Y se I VERSION POBLICA imparten unas 6rdenes•, RESOLUCl6N NUMERd por el titular y/o por las personas previstas en la presenta Jey, Ademils. se prohibe que /os datos personeles, salvo informaciOn pub/lea, se encuentren dispcnibles en Internet. a menos que se ofrezca un central tecnico para asegurer el ccnoeimiento restringido.' En llnea con lo expuesto, se concluye que si bien. la sociedad ROYAL FILMS S.A.S asegur6 contar con protocolos de seguridad tendientes a garantizar una adecuada protecci6n de los datos personales que administra, durante la presente investigaci6n no acredit6 sus afirmaciones pues, como se ha dicho, tan solo se limit6 a hacer una descripci6n de dichos protocolos sin allegar un sustento documental que permitiera constatar las condiciones particulares de su aplicaci6n En consecuencia, resulta claro el actuar negllgente de la sociedad investigada en la medida en que conociendo la ocurrencia del incidente no tom6 las medidas necesalias para que el mismo no siguiera sucediendo y permiti6 que en fecha posterior se pudiera continuar consultando y accediendo a la informaci6n personal de los Titulares sin autorizaci6n ni restricci6n alguna. por lo que se procedera a imponer u na sanci6n administrativa por el incumplimiento del deber establecido en literal d) del articulo 17 de la Ley 1581 de 2012 en concordancia con los literates f) y g) del articulo 4 de la Ley 1581 de 2012.
Asl mismo. esta Direcci6n encuentra pertinente impartir unas ordenes administrativas tendientes a exhortar a la sociedad (i) realizar autorias a los proveedores de servicios y; (ii) modificar las pollticas internas de seguridad con el fin de implementar procedimientos tendientes a establecer copia de seguridad de las bases de datos con datos personales. asi como de las autorizaciones de los Titulares. 12.2.3 Del deber de tramitar las consultas v reclamos formulados en los terminos sei\alados en la lev Sobre el particular, se observa que la senora present6 dos reclamaciones a la sociedad ROYAL FILMS S.A.S el dia 14 de marzo de 2016. comunicaciones que fueron dirigidas a las dlrecciones de correo electr6nico info@royal-films.com y servicioalcliente@royal-films.com (folios 5 y 6).
Reclamaciones tendientes a que se realizara la supresi6n de la informaci6n que de ella, se encontraba expuesta en la web. por parte de la aqui investigada. Al respecto, inform6 la sociedad que no dio tramite a las peticiones presentadas por la denunciante en raz6n a que, por un lado, el correo info@royal-films.com " est~ definido para informacion sabre publicidad de ROYAL FILMS S.A.S."; y de otra. el correo servjcioa/cliente@rovalfiims,oom habla sufrido un cierre temporal por saturaci6n debido a la recepcion de muchos correos".
Ahora bien. a juicio de esta Direcci6n, los argumentos esbozados por la investigada no resultan admisibles para justificar la desatenci6n de las peliciones lncoadas por la Titular de la lnformaci6n. teniendo en cuenta que las direcciones a las cuales fueron remitidas. efectivamente eran administradas por ROYAL FILMS S.A.S. como se encuentra probado en el expediente.
No obstante, y sin perjuicio de lo anteliormente expuesto. conviene recordar que es deber de los Responsables del Tratamiento de datos garantizar el goce efectivo del derecho de habeas data de las personas cuyos datos administran. deber que se m aterializa en tomar medidas para evitar su vulneraci6n o cesarfa cuando esta se hubiere causado.
En el caso sub examine, la sociedad demostr6 haber desple ado una actuaci6n para mermar la conculcaci6n del derecho de la senora al haber solicitado la elimlnaci6n de la URL en la que se encontraban alojados sus datos personales, sltuaci6n que se evidencia en la prueba allegada junto con los descargos, visible a folio 59. Por las razones expuestas, se prescindira de imponer una sanci6n administrativa por la vulneraci6n de la norms sel\alada en el presente cargo. 12.2.4 Del deber de informar a la autoridad de protecci6n de datos cuando se presenten violaciones a los c6diqos de seguridad y existan riesgos en la admln istraci6n de la informaci6n personal de los Titulares En relaci6n con el citado deber, es necesalio precisar la finalidad de informar a la autoridad de protecci6n de datos acerca de los liesgos asociados a la ocurrencia de un incidente de seguridad de la informaci6n. en palabras de la Corte Constitucional "( )informar oportunamente a la autoridad encargada de la protecci6n de/ dato sabre violaciones a /os c6digos de seguridad y la existencla de riesgos en la administraci6n de la informaci6n de los titu/ares- literal n): siendo estos deberes, sin lugar a dudas, tambiiln desarrollo def principio de seguridad jurldica·, lo cual se..
RESOLUC16N NUMERd j J L lie - -: imparlen unas 6rdenes· HOJA N 10 I. traduce en poner en conocimiento de la Superintendencia de lndustria y Comercio la ocurrencia de un hecho, por defecto. ajeno a la voluntad del sujeto pasivo, con el prop6sito de valorar las repercusiones que puedan generarse en la administraci6n de los datos personales, dimensionar los riesgos, y finalmente adoptar las medidas necesarias para superar el hecho.
Dicho esto. observa el Despacho que en el case particular, la sociedad ROYAL FILMS S.A.S con su conducta poco diligente omiti6 dar cumplimiento al deber sei'\alado en el literal n) del articulo 17 de la Ley 1581 de 2012, ya queen ningun memento report6 la presunta violacl6n a su sistema lnformfltico ("hackeo''), siendo necesarlo que la denunciante con la queja presentada, comunicara a esta Direcci6n las irregularidades presentadas en torno a sus dates personales, previamente suminlstrados a la investigada.
No son de recibo, entonces las afirmaciones del representante de la sociedad al asegurar que actu6 come "el buer hombre de negocios" conforme a lo previsto en la ley 222 de 1995, pues ello significaria haber atendido de manera acuciosa y con prontitud la presunta manipulaci6n fraudulenta de su sitio web por parte de terceros, a fin de evitar las consecuencias ampliamente acreditadas en la presente actuaci6n.
Ahora bien, la sociedad investigada indic6 que •estaba dispuesta• a informar el incidente de seguridad esta Superintendencia, por lo qua se encontraba en proceso de realizer las reuniones pertinentes y generar un informe complete del alcance de la posible vulneraci6n, cuando la. Titular present6 la reclamaci6n y puso en conoc miento a esta Direcci6n las consecuencias del incidente de seguridad. asimismo afirm6 qua en la Ley no se indica un termino perentorio en el cual se deba poner en conocimiento a la Superintendencia de la ocurrencia del incidente••.
Para despejar el panorama sobre este tema, el 28 de mayo de 2015, la Superlntendencia de lndustria y Comercio, a traves de la Delegatura para la Protecci6n de Datos Personales, realize el lanzamiento de las "Guias para la lmp le'Tlentaci6n de/ Principia de Responsabilidad Demostrada (Accountability)", documento que busca que las organizaciones asuman el compromise de incrementar sus estandares de protecci6n en el tratamiento de la informaci6n personal. a !raves de algunas pautas que les ayuden a hacer mas eficientes sus procedimientos y contrlbuyan en el prop6sito de construir un Programa Integral de Gesti6n de Dates Personales.
En las mencionadas guias se describe un "PROTOCOLO DE RESPUESTA EN EL MANEJO DE VIOLACIONES E INCIDENTES"17 • en el qua se hace referencia. precisamente, al concepto de incidente de seguridad en los siguientes terminos "Los lncidentes se refieren a cuatquier evento en los sistemas de informac/6n o b1Jses de datos manuales o sistematizadas, qua aten~e contra la seguridad de los datos persona/es en ellos almacenados.
La Ley 1581 de 2012 no /Jace distinci6n alguna respecto de Jos inctdentes que deben ser reporledos a la Superintendencia, por lo qua, lndependlenlemente de su impacto, deben reportarse a esta entldad todos los Inc/denies ocu"idos. Como minima, debe informarse el tipo de incidenle, la fecha an que ocurrl6 y la fec/Ja en la que se tuvo conocimiento de/ mismo, la causal, el tipo de datos persona/es comprometidos y la cantidad de hfutares afectados.• (Negrilla fuera de texto).
Como se ve, el concepto transcrito es claro en determiner que cualquier suceso en los slstemas de informaci6n que atente contra la seguridad de los datos personales almacenados en una base de datos se constituye en un incidente. SI bien, las referidas guias no pueden constituirse en una norma vinculante y de obligatorio cumplirriento pues escapan a la tradlcional concepci6n de las normas juridicas propiamente dichas, si constituyen un criterio de orientac16n -por e//o son una gula- que puede ser tenido en cuenta por aquellos que realizan actividades que Involucran el manejo de informaci6n personal.
Es esta. quiza, una manifestaci6n de la tendencia del derecho publico a acercarse al concepto de soft law, normas cuasi legates que no son coercitivas a pesar de que pueden estar construidas como reglas, pero que, en todo caso, buscan lnflulr en la conducta de sus destinatarios. • Ver foMo 88. " El" "" cep~ulO 2 8, el refMdO dOcumento sefiaila Q1Je ·p;a$ "'°'4CIOMS a /Os COCl.•go.s de seg-.Jridad oe la~ QIPMllaQIC>MS ~ un &l'UstmO rio&go ptfi tos ti·ru:Ms de ta informacion y son causarutts err Jnt>ehos CBSO$ re impactos muy Stgf11frcaUV'O$ 1 111 r!put~ corporativa.
Por to tJ11lerlOr. v,, Progfi)ma lr>tegtal de GJ?sfiOn de Daros Persono.ias cNJDO tnVO:uCl'tir un compone,?te de ges!iOO de nesgo.s, w101nos y oxternos. que le iHln'f1ft1 fd<tnulic11 sus vut1>oftlb:lkJades a ffempo y enfoc&r sus l'OCUfSOS a la odopci6n d!t medkJes rJe m.itigao•·On do f'Hl$'QO quo m:nfm1'C8n ~Jc.~ impacto tanto p(tra ta organizoci6n como para tos ti'tul1Jres ~la in~cjo11". ~ 3 5 2r&_ - - - RESOLUCION NUMERO imparten unas 6rdenes" HOJAN 11 VERSl6 N PUBLICA De otro lado, el Gobierno Nacional reglament6 la informaci6n minima que debe contener el Registro Nacional de Bases de Dates y los terminos y condiciones bajo los cuales se deben inscribir los Responsables del Tratamiento, con fundamento en el articulo 25 de la Ley 1581 de 2012, a !raves del capitulo segundo articulo 2.5 del Titulo V de la Circular Unica' 8, en el cual se estableci6: "(ii) lncidentes de seguridad.
Se refiere a la violaci6n de /os c6digos de seguridad o la perdida, robo ylo acceso no autorizado de informaci6n de una base de datos administrada por el Responsable def Tratamiento o por su Encargado, que deberan reportarse al RNBD dentro de /os quince (15) dias habiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o area encargada de atenderlos.·" En consecuencia, las Responsables del Tratamiento deben reportar los incidentes de seguridad a la autoridad de protecci6n de Dates Personales, Superintendencia de Ind ustria y Comercio, dentro de las quince (15) dias habiles siguientes al momenta en que se detecten o sean puestos en conocimiento de la persona o area encargada.
Esta Direcci6n encuentra que de lo informado par la sociedad investigada se i nfiere que el procedimiento establecido para la atenci6n del incidente era realizar reuniones con el equipo de ingenieria de sistemas para conocer las posibles consecuencias de las violaciones y remitir un informe complete del alcance la posible vulneraci6n a la Superintendencia de lndustria y Comercio1, sin embargo, se observa que la sociedad invesligada a la fecha no ha reportado el incidente a esta Superintendencia, tampoco report6 el incidente en el Registro Nacional de Bases de Dates y que la ocurrencia del mismo solo se ha conocido a traves de la denuncia de la senora y ahora en virtud de la presente actuaci6n.
Asi mismo, se encuentra que la sociedad no demuestra ni se pronuncia respecto del deber que tiene de informar a los Titulares cuyos datos se vieron afectados por el incidente, de la ocurrencia del mismo. En virtud de lo expuesto, resulta evidente la negligencia de la sociedad respecto del cumplimiento del deber establecido en el literal n) del articulo 17 de la Ley 1581 de 2012, en la medida de que transcurridos mas de dos ai'ios, no ha reportado el incidente de seguridad ante la autoridad competente ni ha informado a los Titulares de la ocurrencia del mismo, por lo que se impondra la correspondiente sanci6n.
DECIMO TERCERO: lmposici6n y graduaci6n de la sanci6n 13.1 Monto de la sanci6n Respecto a las sanciones que se imponen por violaci6n al Regimen de Protecci6n de Datos. debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador. la autoridad administrativa en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanci6n y la finalidad de la norma que establezca, asi coma la proporcionalidad entre el hecho constitutive de la infracci6n y la sanci6n aplicada.
Sabre la aplicaci6n de este principio, la Corte Constitucional ha seiialado: "En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, este (sic) exige que tanto la fa/ta descrita como la sanci6n correspondiente a las mismas que resulten adecuadas a los fines de la norma.• esto es, a la realitaci6n de los princip ios que gobiernan la funci6n pub/ica.
Respecto de la sanci6n administrativa, la proporcionalidad implica tambien que el/a no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad". De este modo, el operador juridico en materia de protecci6n de datos personales debe, en primera medida analizar la dimension del daiio o peligro al/los interes(es) juridico(s) tutelado(s) asi como la obtenci6n de un posible beneficio econ6mico; la resistencia, negativa u obstrucci6n a " Resoh.1Ci6n No. 76434 dcl 4 de diciembre de 2012.
Pubticada en et Oiarlo Oficial No. 48635 del 5 dediciembre de 20 12. ~por 1a cua1se deroga el oontenido del i itulo V d& Ja Circular Onica de la Superintendencia de hldustrla y Comorcio. sob re Acreditaci6n. y se imparten inslrucc;iones relalivas a la protecci6n de da1os pcrsonales. en particular, acerca del cumplimiento da la Ley 1266 de 2008. sobre reportes de !nformaci6n tinanciera. crediticia, comerclal, de scrvicios y la proveniente de terceros pals.es. las etiales se incorporan en el c~ado Tltulo..
RESOLUCION NUMERb 3 ~ °L ~E- -:. imparten (lnas 6rdenes• HOJAN 12 VERSl6N POBUCA la acci6n investigadora, en concurrencia con otros factores tales como la capacidad econ6mica del investigado, la reincidencia en la comisi6n de la infracci6n, y, por ultimo la colaboraci6n del investigado para el esclarecimiento de los hechos objeto de investigaci6n".
Tambien se tendran en cuenta para la dosificaci6n de la sanci6n, el tamaiio de la empresa, sus ingresos operacionales, patrimonio, y, en general su informaci6n financiera, de tal forma que la sanci6n resulte disuasoria mas no confiscatoria. Finalmente, se tendra en cuenta la conducta de la investigada durante el tramite de la acci6n adrrinistraliva. 13.1. 1 La dimensi6n del daiio o peligro a los intereses juridicos tutelados por la ley 13. 1.1.1 Para el caso que nos ocupa. como se ha expuesto, es claro que la sociedad investigada, respecto del ca rgo primero, de una parte transgredi6 las disposiciones normativas de la Ley Estatutaria de Protecci6n de Datos, 1581 de 2012, al no contar con mecanismos para la obtenci6n y conservaci6n de la autorizaci6n de los Titulares de la informaci6n almacenada en sus bases de datos y en general realizar tratamiento de datos personales sobre los cuales no contaba con el consentimiento de sus Titulares.
Por tal motive, se encuentra que la sociedad vulner6 el deber contenido en el literal b) del articulo 17, en concordancia con lo establecido en los articulos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto 1074 de 2015, raz6n por la cual se impondra como sanci6n una multa de treinta (30) salarios minimos legales mensuales vigentes. 3.1.1. 2 De igual manera, respecto del cargo segundo queda. entonces, demostrado que a pesar de las explicaciones presentadas por la sociedad investigada, a juicio del Despacho no existe justificaci6n va lida para haber omitido conservar la informaci6n personal de los titulares cuyos datos personales fueron expuestos publicamente en internet a terceros no autorizados. bajo las medidas de seguridad que demandaban.
En tal sentido, esta Direcci6n encuentra que la sociedad invesligada permili6 que fueran divulgados y sin ningun tipo de control datos personales; y, que posterior a que la esta tuviera conocimiento del presunto incidente esta Direcci6n consult6 la informaci6n y pudo acceder a la misma, por lo que aunque la sociedad ROYAL FILMS S.A.S. suprimi6 la inforrnaci6n de la denunciante, expuso datos personales de 48 Titulares mas.
En consecuencia, resulta absolutamente evidente para esta Direcci6n la dimension del dano que efectivamente se materializ6 en el caso en cuesti6n, en raz6n a la inobservancia de la sociedad ROYAL FILMS S.AS. de sus deberes, al no conservar la informaci6n bajo las condiciones de seguridad necesarias para impedir su adulteraci6n, perdida, consulta, uso o acceso no autorizado o fraudulento, y aun mas despues de que la sociedad tuvo conocimiento del incidente de seguridad, la misma no tom6 medidas a tiempo y necesarias para superar la vulneraci6n de los derechos de los titulares.
Por lo anterior, esta Direcci6n considera que la sociedad vulner6 el derecho de habeas data de los titulares al no adoptar las medidas tecnicas, humanas y administrativas de seguridad para evitar que se presentara el incidente de seguridad ni ccn posterioridad a la ocurrencia del mismo, con el fin de impedir que este persistiera, conculcando el derecho fundamenta l de habeas data de los titulares, e incluso poniendo en peligro otros derechos fundamentales como la intimidad, motive por el que se impondra una multa por la vuln.eraci6n del deber establecido en el litera l d) del articulo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del articulo 4 de la norma en menci6n, equivalente a treinta (30) salaries minimos legales mensuales vigentes. 3.1.1.3Finalmente respecto del deber de informar a esta Superintendencia cuando se presenten violaciones a los c6digos de seguridad que generen riesgos en la administraci6n de los dates personales de los Titulares, formulado en el cuarto cargo, esta Direcci6n considera que el legislador estatutario incorpor6 a la norma dicha obligaci6n legal buscando minimizar el riesgo para la informaci6n que de tal situaci6n se puede desprender y que se adopten las medidas conducentes para evitar la afectaci6n de derechos fundamentales como la intimidad y el habeas data. 1 ~ Ley 1266 de 2008 "Arllcufo 19.
Critencs pD1'tJ groduar las sa11ciot1es. Las sanclon&s tor ' 1nfrtJcc.'O.·>es a las que se refieren et Dt!icu.IO a:>terior, S& graduar8n atendiendo los s.iguief/tes critedos. en cuanto resulfen aplicabtgs: a) La d1mcns.iOn del dano o peligro a tos fntctosos jurldlcos tutelaaos por la presenfe ley; b) B beneficio econ6mic.o obtenkto por cl irifrocior o ferc.c.ros, en vjr.ud de la comisi6n de la in.iracci6n: c) La reinddencfa en la comisi6n de la infraccj6n; cf) la resistencia. negativa u cbstrucciO!l a fD xciOn invcsr,gadora o de •11gHaocla de la Supen'ntefldencia do lrtdus!n·tJ y Co~n;io; e) La 1enuer.cia o desaca:o 8 cumplir las 6rdenes impsrlkfas por la Saperintendencia de lrKJvstn·a y Comerc.b; f) B reconocim,;ento o aceptoci6n exprosos que h<Jga oJ mvest:gado sobte la cotr1lsi6fl dt! Ja it1!:a::cl611Bn!es de fa:mposicitn de /IJ s8nc;0n B que h1Jbiere (ugar."..
RESOLUCl6N NUMER - -- E imparten unas 6rdenes• HOJAN 13 VERSION POBUCA Sin embargo, al no informarse a esta entidad acerca de la configuraci6n del lncldente de seguridad, la sociedad ROYAL FILMS S.A.S incumpli6 su deber legal. Por lo que es pertinente resaltar que a la fecha no ha reportado el incidente de seguridad a esta Superlntendencia la quien solo tuvo conocimiento def mencionado lncldente a traves de la denuncia presentada por la Titular.
Comoquiera qua la sociedad investigada no observ6 el cumplimiento del debar de informar a la autoridad de protecci6n de datos acerca de la violaci6n de sus c6digos de seguridad, esta Superintendencia. al tenor de lo selialado en inciso primero del articulo 23 de la Ley Estatutaria de Proteccl6n de Datos Personales. impondra una multa de cincuenta (50) salaries mlnlmos legales mensuales vigentes, por el incumplimiento del debar establecido en el literal n) del artlculo 17 de la Ley 1581 de 2012..
De este modo, y para efectos de establecer la dimension del dafio producido con la conducta y el consecuente monto de la sanci6n a imponer. esta Superintendencia considera que. respecto a la violaci6n de los deberes, previamente sellalados, de la sociedad investigada, se impondra como sanci6n una sanci6n multa de CIENTO DIEZ (110) salarios minimos legales mensuales vigentes. 13. 1.2 Otros criterios de graduaci6n Para la tasaci6n de la multa no seran aplicados los criterios de graduaci6n agravantes de la sanci6n senalados en los literales b), c), d) y e) del articulo 24 de la Ley 1581 de 2012 debido a que (i) dentro de la investigaci6n realizada no se encontr6 que la investigada hubiera obtenido beneficlo econ6mico alguno por la comisi6n de la infracci6n.
(ii) no hubo resistencia u obstrucci6n a la acci6n investigativa de la Superintendencia. (iii) no hubo reincidencia en la comisi6n de la lnfracci6n y, iv) no hubo renuencia o desacato a cumplir las 6rdenes e instrucciones def Despacho. Tampoco se tendra en cuenta el criteria de atenuaci6n sei'lalado en el literal f) por cuanto, la investigada no admiti6 la comisi6n de la inrracci6n de tos hechos materia de investigaciOn.
DECIMO CUARTO: En este orden de ideas, una vez analizadas las pruebas obrantes en el expediente yen virtud del literal e) del artlculo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones. esta Superintendencia el "( )lmpartir instrucciones sobre las medidas y procedimientos necesarios para la adecuaci6n de las operaciones de los Responsables de/ Tratamiento y Encargados def Tratamiento a las disipaciones previstas en la presente Ley ( )". esta lnstancia procedera a impartir las siguientes instrucciones: 14.1 La sociedad ROYAL FILMS S.A.S debera implementar un Programa Integral de Gesti6n de Datos Personales en el cual se involucre la gesti6n de riesgos, Infernos y externos, asi como implementar un procedlmiento y una persona o area responsable de manejar los incidentes o vulneraciones a los sistemas de informaci6n donde se gestionan los datos personales, y un mecanismo para rendir informes intemos y reportar los incidentes a los Titulares, para informarles sobre el incidente de seguridad relacionado con sus datos personales y las posibles consecuenclas y a esia Superintendencia. 14.2 La sociedad ROYAL FILMS S.A.S debera implementar la realizaci6n auditorlas a los proveedores de servicios y modificar las politicas internas de seguridad con el fin de implementar procedimientos tendlentes a establecer copia de seguridad de las bases de datos con datos personales. asl come de las autorizaciones de los Titulares.
De acuerdo con lo establecido en el literal d) del artlculo 17 de la Ley 1581 de 2012 por lo que se impondra la correspondiente sanci6n. 14.3 La sociedad ROYAL FILMS S.A.S debera establecer o modificar un manual lnterno de polltlcas y procedimientos para la atencl6n de consultas y reclamos en ejercicio del derecho de habeas data con el fin de garantizar la atencl6n de todas las quejas. petlciones y consultas instauradas por los Titulares atendiendo cada una de las preguntas y solicitudes de los titulares. sin dilaciones ni atrasos, de manera completa y de fondo y dentro del termino legal establecido.
Asl mismo implementar medidas tendlentes a impedir que se cierre temporalmente por saturaci6n el correo establecldo para la atenci6n de consultas y reclamos. HOJA N 14 I VERSION PUBLICA.] • Por /a cua/ se impone una sancion adminisiraliva Y se imparten unas 6rdenes·. De lo anteriormente ordenado la sociedad ROYAL FILMS S.A.S, identificada con el NIT. 890.105.652· 3 debera acreditar a este Despacho las acciones correctivas adoptadas, denlro del termlno sellalado en la parte resolutiva del presente acto administrative.
En merito de lo expuesto este Despacho, RESUELVE ARTiCULO PRIMERO: lmponer una sanci6n pecuniaria a la sociedad ROYAL FILMS S.A.S identificada con el NIT.890.105.652-3, de NOVENTA YUN MILLONES NOVENTA Y DOS Mil SETECIENTOS SESENTA PESOS (91.092. 760) equivalentes a ciento diez (110) salarios minimos legales mensuales vigentes. por la vulrn;raci6n de las disposiciones contenidas en: I) II) II I) El literal b) del articulo 17 de la Ley 1581 de 2012. en concordancia con el artlculo 9 de la misma ley y los articulos 2.2.2.25.2.2 y 2.2.2.252.5 del Decreto Unico Reglamentario 1074 de 2015;
El literal d) del articulo 17. en concordancia con los literales f) y g) del articulo 4 de la Ley 1581 de 2012; y, El literal n) del articulo 17 de la Ley 1581 de 2012, en concordancia con el articulo 19 de la misma ley.
PARAGRAFO: El valor de la sanci6n pecunlaria que per esta resoluci6n se lmpone, debera consignarse en efectivo o en cheque de gerencla en el Banco Popular. Cuenta No. 050000249. a nombre de Direcci6n del Tesoro Nacional- Fondos Comunes, C6digo Rentistico No. 350300. NIT. 899999090-2. En el recibo deberfl indicarse el numero del expediente y el numero de la presente resoluci6n.
El pago debera acreditarse dentro de la pagaduria de esta Superintendencia, con el original de la consignaci6n, dentro de los cinco (5) dias habiles siguientes a la ejecutoria de esta resoluc16n. ARTiCULO SEGUNDO: ORDENAR a la sociedad ROYAL FILMS S.A.S, identificada con el NIT. 890.105.652-3, cumplir con las 6rdenes lmpartidas per esta Direcci6n en el presente acto administrative, segun lo expuesto en su parte moliva, para lo cual debera dar cumplimiento a lo ordenado dentro de los cuatro (4) meses siguientes a la ejecutoria del presente acto administrative.
PARAGRAFO PRIMERO: La sociedad ROYAL FILMS S.A.S, identiflcada con el Nit. 890.105.652·3, debera acreditar el cumplimiento de lo ordenado en el presente articulo ante esta Superintendencia dentro de los cinco (5) dias habiles siguientes a la expiracl6n del plaza previsto para su acatamiento. Oicha certificaci6n debe ser emitida per una persona jurldica nacional o extranjera, la cual debe ser un tercero imparcial y especializado en las temas que involucra la implementaci6n de cada orden.
PARAGRAFO SEGUNDO: El incumpfimiento de lo ordenado en el presente acto administrative, hara a la sociedad ROYAL FILMS S.A.S, identificada con el Nit. 890.105.652-3. acreedora de las sanciones previstas en la Ley. ARTiCULO TERCERO: Notificar el contenido de la presente resoluci6n al representante legal de la sociedad ROYAL FILMS S.A.S. identificada con el NIT 890.105.652-3, o a quien haga sus veces, entregandole copia de la misma e informandole que contra ella precede recurse de reposici6n ante el Director de lnvestigacl6n de Protecci6n de Dates personales y el de apelaci6n ante el Superlntendente Delegado para la Protecci6n de Oatos Personales, dentro de los diez ( 10) dlas slguientes a la diligencia de notificaci6n.
ARTiCULO CUARTO: Comunicar el contenido de la presente resoluci6n a la sellora -..... -- 'D@- ---~ RESOLUCION NOMERO • Por la cual se impone una sanci6n administraliva y se imparten unas 6rdenes" HOJAN 15 VERSION P0BLICA NOTIFiQUESE, COMUNiQUESE Y CUMPLASE Dada en Bogota D. C., MA~Y-""".,_ ~ El Director de lnvestigaci6n de Protecci6n de Datos Personales, CAR Ptoy~c(Q: LMRZ RevisO: AMVJ NOTIFICACION: lnvestigada: Enlidad ldenlificaci6n: Direcci6n: Representante legal: ldentificaci6n: Ciudad Correo electr6nico: COMUNICACION: ROYAL FILMS S.A.S NIT 890.105.652-3 Carrera 58 N° 68-27 ABRAHAM OSMAN CHAMALI C.C.15.360.632 Barranquilla (Atlantico) Contabilidad@royal-films.com UNOZ