Resolución sancionatoria N° 23571 de 2022

(27 ABRIL 2022) VERSIÓN PÚBLICA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación: 20-78074 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales (5) y (9) del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022; y

CONSIDERANDO

PRIMERO: Que, la señora XXXXXX XXXXXXXX XXXXXXX XXXXXXXX identificada con cédula de ciudadanía 1.111.111.111, presentó denuncia ante esta Superintendencia mediante escrito con radicado 20-078074 del 03 de abril de 2020. Esta reclamación se dirige en contra de la sociedad CONSULTING GROUP MARADO S.A.S. identificada con Nit. 900.446.658 – 5 por las presuntas infracciones al Régimen General de Protección de Datos Personales que se causaron en virtud de los hechos narrados por la Titular: 1.1 Manifestó que, “EL DÍA 03 DE ABRIL EL SEÑOR XXXXXX XXXXXXXX XXXXXX EJECUTIVO DE CUENTA DE LA SOCIEDAD SE COMUNICÓ CON EL DOCTOR XXXXXX XXXXX MEDIANTE CORREO ELECTRÓNICO, CON EL FIN DE OFRECER SUS SERVICIOS PARA REALIZAR EL REGISTRO MARCARIO DE LA MARCA XXXXXX XXXXX, NO OBSTANTE EL JAMÁS HA SUMINISTRADO DATOS DE INFORMACIÓN A DICHA SOCIEDAD, POR LO QUE, MANIFESTÓ DICHA SOCIEDAD QUE ESA INFORMACIÓN LA SACABAN DE LA PÁGINA DE LA SIC, NO OBSTANTE POR HABEAS DATA LES ESTÁ PROHIBIDO USAR ESA INFORMACIÓN PARA FINES COMERCIALES”. 1.2.

Explica que, “DE LA ANTERIOR SITUACIÓN SE GENERA UN CONFLICTO ENTRE ESTAS SOCIEDADES QUE SE APROVECHAN DE LAS BASES DE DATOS PUBLICAS SO PRETEXTO, SE QUE LAS PUEDE MANIPULAR CUALQUIER PERSONA, SITUACIÓN QUE DESCONOCE TOTALMENTE EL MARCO NORMATIVO COLOMBIANO Y GENERA CONFUSIONES A LAS PERSONAS QUE DESEAN REALIZAR REGISTROS DE MARCA” 1.3. Por lo que solicitó lo siguiente: “HACER UN REQUERIMIENTO FORMAL A DICHA SOCIEDAD PARA QUE DEJEN DE EMPLEAR ESA MALA PRAXIS Y POR LO TANTO APLIQUE LAS SANCIONES PERTINENTES.

DE ESTA MANERA QUIERE RECALCARQUE EN MESES ANTERIORES INTERPUSO UNA DENUNCIA POR UNA SITUACIÓN SIMILAR PERO HASTA LA FECHA NO HA RECIBIDO RESPUESTA POR PARTE DE LA SIC. SIENDO IMPERANTE EL DEBER DE ESTA DE INTERVENIR. EN CASO DE QUE DESEEN CONOCER EL CONTENIDO DE LA COMUNICACIÓN DE LAS SOCIEDADES PONGO A DISPOSICIÓN MÍ NUMERO TELEFÓNICO PARA ENVIARLA.

NO OBSTANTE LO ANTERIOR, SI LA SIC DECIDE QUE ES PROCEDENTE LA MANIPULACIÓN DE TERCEROS DE INFORMACIÓN DE BASES PÚBLICAS, AGRADEZCO REMITIR LOS RESPECTIVOS SOPORTES JURÍDICOS EN LOS QUE LA SIC ACEPTE ESA PRACTICA, PUES CON ELLO, SE PODRIA EVIDENCI AR QUE ESTA SITUACIÓN ES NORMAL Y NO ATIPICA COMO SE TIENE CERTEZA ( )”

SEGUNDO: Que, con el propósito de precisar las circunstancias de tiempo, modo y lugar, las personas naturales o jurídicas involucradas, las normas presuntamente trasgredidas y las medidas o sanciones que serían procedentes, esta Dirección, a través del Grupo de Trabajo Investigaciones de Administrativas, adelantó las siguientes averiguaciones preliminares: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, 2.1.

Mediante oficio con radicado No. 20-78074-9 del 5 de mayo de 2020 se requirió a la reclamante XXXXXX XXXXXXXX XXXXXXX XXXXXXXX con el fin de que informara lo siguiente: “( ) 1. Indique el correo electrónico desde el cual se comunicó el señor XXXXXXXX XXXXXXX XXXXXXX, conforme a lo indiciado por usted. De ser posible, acredite su respuesta adjuntando el pantallazo del mail enviado.” 2.2.

Mediante oficio con radicado No. 20-78074-11 del 8 de septiembre de 2020 se requirió a CONSULTING GROUP MARADO S.A.S. con el fin de que informara lo siguiente: “ ( ) 1. Respecto a la comunicación enviada por ustedes, el día 3 de abril de 2020 al correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx en el que se ofrecen servicios jurídicos para el registro de marca, informe lo siguiente: 1.1.

¿Cómo recolectó la información correspondiente al correo electrónico del señor XXXXXX XXXXXXXX XXXXX XXXXXX? 1.2 ¿Cuenta con la autorización del señor XXXXXX XXXXXXXX XXXXX XXXXXX? para el Tratamiento de sus datos personales? Acredite su respuesta 1.3. Aporte prueba mediante la cual se informe la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. 1.4.

¿Cuál fue el mecanismo implementado por esa sociedad para la recolección de los datos personales en comento? 2. Indique si el señor XXXXXX XXXXXXXX XXXXX XXXXXX ha presentado alguna reclamación frente a esta sociedad. Adjunte dichas reclamaciones, la respuesta dada y la guía de envía correspondiente. 3. Informar las políticas internas de seguridad bajo las cuales conservan la información de los Titulares para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. 4.

¿Cuáles son las Políticas de Tratamiento de la Información implementadas por ustedes para el manejo de datos personales? Remita copia de las mismas. 5. Allegue copia del Manual de Seguridad implementado por la sociedad e indique cuáles son las medidas de seguridad implementadas para salvaguardar la información que poseen o almacenan en sus bases de datos o archivos, según lo dispuesto por la Ley 1581 de 2012. 6.

Manifieste si ha tenido algún tipo de incidente de seguridad en los que se haya accedido sin su autorización a los datos tratados por la sociedad. En caso afirmativo, indique y acredite si lo ha puesto en conocimiento de esta Superintendencia (…)”

TERCERO: Que, como resultado de las averiguaciones preliminares realizadas por esta Dirección, las entidades y personas naturales requeridas informaron lo siguiente: 3.1. Mediante comunicación con radicado 20-78074-10 del 28 de mayo de 2020 la reclamante XXXXXX XXXXXXXX XXXXXXX XXXXXXXX informó lo siguiente: “Buenas tardes estimados, En virtud a su comunicación de fecha 20 20 de mayo en la que me solicita indicar el correo electrónico desde el cual se comunicó el señor XXXXXXXX XXXXXXX XXXXXXX,, conforme a lo indiciado por usted. De ser posible, acredite su respuesta adjuntando el pantallazo del mail enviado.

Me permito allegar la cadena de correos, en donde se evidencia la comunicación remitida al representante legal de la sociedad, y donde le comunico el trámite llevado a cabo. Por otro lado, esta el número de contacto en donde ustedes se pueden comunicar y constatar la respuesta de ellos que consiste en que ellos pueden usar la información de la superintendencia para fines comerciales y personales.

Quedo atenta a sus valiosos comentarios. ( )” A la anterior comunicación se anexo (i) mail enviado desde el correo electrónico atencion@marado.com.co a xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx y (ii) carta adjunta a la cadena de correos dirigida al señor XXXXXX XXXXXXXX XXXXXXy firmada por el ‘departamento comercial’ de la sociedad CONSULTING GROUP MARADO S.A.S. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, 3.2.

Mediante comunicación con radicado 20-78074-12 del 22 de septiembre de 2020 la sociedad CONSULTING GROUP MARADO S.A.S. respondió lo siguiente: (…) 1. Respecto a la comunicación enviada por ustedes, el día 3 de abril de 2020 al correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx en el que se ofrecen servicios jurídicos para el registro de marca, informe lo siguiente: 1.1.

¿Cómo recolectó la información correspondiente al correo electrónico del señor XXXXXX XXXXXXXX XXXXX XXXXXX? El correo electrónico fue tomado con base a la información publicada en la GACETA DE PROPIEDAD INDUSTRIAL No. xxx. A través de la oficina virtual de Propiedad Industrial, se recolectaron los datos públicos allí registrados por el solicitante mediante el link: https://sipi.sic.gov.co/sipi/Extra/Default.aspx?sid=637352373853946339. 1.2.

¿Cuenta con la autorización del señor XXXXXX XXXXXXXX XXXXX XXXXXX para el Tratamiento de sus datos personales? Acredite su respuesta. De acuerdo al Artículo 10 de la Ley 1581 de 2012, en su literal b) que reza: “ARTÍCULO

10. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓN. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.” (el subrayado es nuestro) El correo enviado al señor XXXXXX XXXXXXXX XXXXX XXXXXX, fue de CARÁCTER INFORMATIVO; cómo se puede evidenciar en el mensaje enviado por nuestra parte de fecha 3 de abril de 2020 (Anexo No. 1), en el cual no solo se ofrece un servicio relacionado con registros de marcas, sino que adicionalmente se informa el medio por el cual se obtuvieron sus datos y se solicita a través del mismo nos indique su autorización, así: “si su deseo es desistir o continuar recibiendo información comercial, seguimiento y promoción de nuestros servicios nos los puede manifestar AQUÍ.” Dado lo anterior y a pesar que no es necesaria la autorización en los datos de naturaleza pública, se cumple con solicitar la misma al señor XXXXXX XXXXXXXX XXXXX XXXXXX.

Ahora bien, a pesar que a la fecha no hemos recibido respuesta NI POSITIVA – NI NEGATIVA de parte del señor XXXXXX XXXXXXXX XXXXX XXXXXX. Confirmamos a su Despacho que departe de nuestra empresa desde el 3 de abril de 2020, NO SE HA ENVIADO NINGUN OTRO TIPO DE COMUNICACIÓN ADICIONAL OFRECIENDO NUESTROS SERVICIOS, tal y como se ilustra a continuación: 1.3.

Aporte prueba mediante la cual se informe la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. Los derechos que le asisten al señor XXXXXX XXXXXXXX XXXXX XXXXXX, y a cualquier persona que desee tener vínculos comerciales con nuestra compañía, se encuentran estipulados en nuestra política de tratamiento de datos, debidamente registrada ante su entidad.

REGISTRO DE LA BASE DE DATOS radicado No. xx-xxxxxx de fecha 12 de agosto de 2016 (Anexo No.2) – La cual se puede observar a través del formulario de Autorización Manejo de Datos Ley 1581 de 2012 y Decreto 1377 de 2013, que hemos destinado para dicho fin. Y que se ilustra así: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, La finalidad y los derechos reposan en nuestra política de tratamiento de datos rezan así: “ 3.

FINALIDAD Y TRATAMIENTO DE LA INFORMACIÓN: 3.1. ¿Qué información recolecta MARADO? La información tratada por MARADO corresponde a datos personales de sus proveedores, empleados y clientes; Datos públicos contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales, sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva. 3.2.

¿Con qué fin se utiliza la información? MARADO utiliza la información para: ✓ Informar por primera vez el estado actual de un trámite ante alguna entidad básicamente ✓ Enviar información comercial -Seguimiento y promoción de productos y servicios. ✓ Dar cumplimiento a los contratos suscritos entre MARADO sus clientes, proveedores y empleados. ✓ Realizar pedidos y pagos a sus proveedores y reportar información tributaria referente a las compras a sus proveedores. ✓ Generar pagos laborales, seguridad social, aportes parafiscales, reportar información tributaria y cualquier otro que se derive de su relación contractual con MARADO ✓ Mantener en sus bases de datos información referente a contacto para casos de emergencia, formación académica y trayectoria. ✓ Enviar comunicados a sus empleados referente a temas de actualidad jurídica, convocatorias, actividades internas, estadísticas y reformas de MARADO frente a sus empleados. ✓ Realizar convocatorias laborales y adelantar procesos de selección. ✓ Promover la actualización, inclusión o supresión de la información consignada en las bases de datos de MARADO. ✓ Hacer contacto en caso de quejas, reclamos sugerencias sobre el servicio de MARADO.

4. DERECHOS DE LOS TITULARES DE LOS DATOS PERSONALES: Los Titulares de los Datos Personales tendrán los derechos detallados a continuación, en concordancia con todo lo dispuesto en el presente documento: 4.1. Conocer, actualizar y rectificar sus datos personales frente a MARADO o los encargados del tratamiento de los mismos. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo tratamiento esté expresamente prohibido o no haya sido autorizado. 4.2.

Solicitar prueba de la autorización otorgada a MARADO, salvo que la Ley indique que la misma no es necesaria. 4.3. Presentar solicitudes ante MARADO o el encargado del tratamiento respecto del uso que le ha dado a sus datos personales, y a que éstas le entreguen tal información. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, 4.4.

Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a la Ley. 4.5. Revocar su autorización y/o solicitar la supresión de sus datos personales de las bases de datos de MARADO, cuando la Superintendencia de Industria y Comercio haya determinado mediante acto administrativo definitivo que en el tratamiento MARADO o el encargado del tratamiento ha incurrido en conductas contrarias a la Ley o cuando no hay una obligación legal o contractual de mantener el Dato personal en la base de datos del responsable. 4.6.

Solicitar acceso y acceder en forma gratuita a sus Datos Personales que hayan sido objeto de Tratamiento de acuerdo con el artículo 21 del Decreto 1377 del 2013. 4.7. Conocer las modificaciones a los términos de esta política de manera previa y eficiente a la implementación de las nuevas modificaciones o, en su defecto, de la nueva política de tratamiento de la información. 4.8.

Tener fácil acceso al texto de esta política y sus modificaciones. 4.9. Acceder de manera fácil y sencilla a los datos personales que se encuentran bajo el control de MARADO para ejercer efectivamente los derechos que la Ley les otorga a los titulares. 4.10. Conocer a la dependencia o persona facultada por MARADO frente a quien podrá presentar quejas, consultas, reclamos y cualquier otra solicitud sobre sus datos personales. 4.11.

Los Titulares podrán ejercer sus derechos de Ley y realizar los procedimientos establecidos en esta Política, mediante la presentación de su cédula de ciudadanía o documento de identificación original. Los menores de edad podrán ejercer sus derechos personalmente, o a través de sus padres o los adultos que detenten la patria potestad, quienes deberán demostrarlo mediante la documentación pertinente.

Así mismo podrán ejercer los derechos del Titular los causahabientes que acrediten dicha calidad, el representante y/o apoderado del titular con la acreditación correspondiente y aquellos que han hecho una estipulación a favor de otro o para otro.” 1.4. ¿Cuál fue el mecanismo implementado por esa sociedad para la recolección de los datos personales en comento? Cuando la entidad genero la GACETA DE PROPIEDAD INDUSTRIAL No. xxx.

En el ejercicio de nuestra actividad comercial legalmente constituida ante la Cámara de Comercio de Bogotá con matrícula mercantil No xxxxxxxx; se realiza una revisión detallada de las solicitudes allí publicadas, para determinar si afectan los derechos de clientes actuales de nuestra firma y de paso las solicitudes hechas a título personal por terceros sin apoderado para hacer un primer acercamiento por si es del interés del solicitante se brinde nuestro acompañamiento profesional.

Al acceder a los datos del titular de la marca a través de la oficina virtual de Propiedad Industrial (Anexo No.3), de allí se tomó el correo para enviar nuestro CORREO INFORMATIVO. 2. Indique si el señor XXXXXX XXXXXXXX XXXXX XXXXXX ha presentado alguna reclamación frente a esta sociedad. Adjunte dichas reclamaciones, la respuesta dada y la guía de envía correspondiente.

A la fecha no hemos recibido comunicación por parte del señor XXXXXX XXXXXXXX XXXXX XXXXXX, por ninguno de los medios designados por nuestra compañía, para este tipo de solicitudes. Sin embargo y de acuerdo a la notificación realizada por su Despacho el día 9 de septiembre de 2020 se procedió inmediatamente a restringir la información de su propiedad de nuestra base de datos.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, 3. Informar las políticas internas de seguridad bajo las cuales conservan la información de los Titulares para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Dentro del manual de seguridad de la información de la compañía Consulting Group MARADO S.A.S. en 21 folios (Anexo No. 4) se detallan las políticas internas de seguridad implementadas y que se relacionan a continuación: 3.

“POLITICA INTEGRAL DE SEGURIDAD DE LA INFORMACION Para MARADO, los activos de información que generan, procesan o resguardan los datos de los procesos de negocio, las bases de datos son de vital importancia y como tal propenderá por su protección. Es política de MARADO trabajar continuamente en proteger los activos de información contra todo tipo de amenazas tanto internas como externas, deliberadas o accidentales y procurará que se cumplan con los siguientes requisitos Proteger la información de los empleados, clientes, proveedores, prospectos. • Mantener la integridad de la información creada, procesada o resguardada por los procesos. • Posibilitar la confidencialidad de la información. • Cumplir las disposiciones legales, regulatorias y contractuales relacionadas con la seguridad de la información. 4.

LINEAMIENTOS Y NORMAS DE SEGURIDAD DE LA INFORMACION 4.1.CUMPLIMIENTO Y SANCIONES 4.1.1. LINEAMIENTO Todos los colaboradores de MARADO deben cumplir y acatar el manual de políticas en materia de protección y seguridad de la información. Corresponde velar por su estricto cumplimiento al Gerente de Tecnología.

4.1.2. NORMAS DE SEGURIDAD DE LA INFORMACION Todo incumplimiento de algún lineamiento de seguridad de la información por un colaborador, es causal para iniciar acciones disciplinarias o contractuales, las cuales de acuerdo a su gravedad pueden derivar la terminación de la vinculación laboral del empleado con MARADO. 4.2.CONTROL DE ACCESO A LOS SISTEMAS DE INFORMACIÓN 4.2.1.

LINEAMIENTO Todos los colaboradores de MARADO que accedan a las bases deben disponer de un equipo de cómputo y su acceso debe estar controlado a través de un usuario y contraseña.

4.2.2. NORMAS DE SEGURIDAD DE LA INFORMACION 4.2.2.1. Usuario y contraseña únicos. Cada usuario tendrá asignado un equipo propiedad de MARADO y las contraseñas de acceso a sitios web estarán protegidas a través del gestor de contraseñas LASTPASS para tener acceso a la plataforma. 4.2.2.2. Identificación y autenticación de usuarios Para el acceso a cualquier de los recursos de tecnología informática de MARADO mediante la red pública o privada se requerirá de un proceso de autenticación del usuario. 4.2.2.3.

Creación, eliminación e inhabilitación de usuarios El Gerente de Tecnología será el responsable de crear, eliminar o inhabilitar los usuarios. 4.2.2.4. Creación de las contraseñas Todas las contraseñas deberán ser creadas de acuerdo con un estándar definido por MARADO. Deberá considerarse el uso de herramientas automáticas que aseguren el cumplimiento de este estándar de contraseñas. 4.2.2.5.

Vigencia de las contraseñas Las contraseñas usadas deberán ser cambiadas cada 30 días. 4.2.2.6. Confidencialidad de las contraseñas Las contraseñas o cualquier otro medio de autenticación son totalmente confidenciales y restringidos para el uso del usuario no se debe almacenar en los exploradores como Chrome, Mozilla u otros y será protegida a través del gestor de contraseña LASTPASS, donde la misma estará oculta para el usuario. 4.2.2.7.

Cifrado de las contraseñas Las contraseñan deberán ser almacenadas utilizando un algoritmo de cifrado, no se podrán almacenar en texto claro. 4.2.2.8. Usuarios por defecto y/o privilegiados Se creará en cada pc un usuario por defecto y un usuario con privilegios de administrador con los sistemas operativos, bases de datos, productos y programas relacionados con las diferentes plataformas instaladas en MARADO para restringir su uso por usuarios primarios. 4.2.2.9.

Usuario Administrador El usuario con privilegios como Administrador del Sistema o de las Bases de Datos de la compañía, será el gerente de Tecnología. 4.2.2.10. Acceso a bases de datos de producción. El aplicativo desarrollado para este fin deberá ser el único medio para acceder a los datos. 4.2.2.11. Bloqueo de las estaciones de trabajo.

Todas las estaciones de trabajo de los usuarios deberán tener activado el bloqueo automático de estación, el cual deberá activarse luego de un período de ausencia o inactividad de 3 minutos. Por otra parte, el escritorio del equipo de trabajo deberá estar despejado y ordenado, de tal forma que la información que se encuentre en el “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, puesto de trabajo o en la pantalla (escritorio) del equipo sea la suficiente y necesaria para la labor que se desempeña.” 4.

¿Cuáles son las Políticas de Tratamiento de la Información implementadas por ustedes para el manejo de datos personales? Remita copia de las mismas. Comparto las políticas de tratamiento de la información y protección de datos personales implementadas por Consulting Group MARADO SAS las cuales se encuentran adjuntas (Anexo No. 5). Las mismas también pueden ser consultadas en el link: https://www.marado.com.co/files/Tratamiento_Datos_MARADO.pdf 5.

Allegue copia del Manual de Seguridad implementado por la sociedad e indique cuáles son las medidas de seguridad implementadas para salvaguardar la información que poseen o almacenan en sus bases de datos o archivos, según lo dispuesto por la Ley 1581 de 2012. Adjunto manual de seguridad de la información de la compañía Consulting Group MARADO S.A.S. en 21 folios (Anexo No. 4).

Las medidas de seguridad implementadas se describen a continuación: 3. “POLITICA INTEGRAL DE SEGURIDAD DE LA INFORMACION Para MARADO, los activos de información que generan, procesan o resguardan los datos de los procesos de negocio, las bases de datos son de vital importancia y como tal propenderá por su protección. Es política de MARADO trabajar continuamente en proteger los activos de información contra todo tipo de amenazas tanto internas como externas, deliberadas o accidentales y procurará que se cumplan con los siguientes requisitos: • Proteger la información de los empleados, clientes, proveedores, prospectos. • Mantener la integridad de la información creada, procesada o resguardada por los procesos. • Posibilitar la confidencialidad de la información. • Cumplir las disposiciones legales, regulatorias y contractuales relacionadas con la seguridad de la información. 4.LINEAMIENTOS Y NORMAS DE SEGURIDAD DE LA INFORMACION 4.3.CUMPLIMIENTO Y SANCIONES 4.3.1.

LINEAMIENTO Todos los colaboradores de MARADO deben cumplir y acatar el manual de políticas en materia de protección y seguridad de la información. Corresponde velar por su estricto cumplimiento al Gerente de Tecnología.

4.3.2. NORMAS DE SEGURIDAD DE LA INFORMACION Todo incumplimiento de algún lineamiento de seguridad de la información por un colaborador, es causal para iniciar acciones disciplinarias o contractuales, las cuales de acuerdo a su gravedad pueden derivar la terminación de la vinculación laboral del empleado con MARADO. 4.4.CONTROL DE ACCESO A LOS SISTEMAS DE INFORMACIÓN 4.4.1.

LINEAMIENTO Todos los colaboradores de MARADO que accedan a las bases deben disponer de un equipo de cómputo y su acceso debe estar controlado a través de un usuario y contraseña.

4.4.2. NORMAS DE SEGURIDAD DE LA INFORMACION 4.4.2.1. Usuario y contraseña únicos. Cada usuario tendrá asignado un equipo propiedad de MARADO y las contraseñas de acceso a sitios web estarán protegidas a través del gestor de contraseñas LASTPASS para tener acceso a la plataforma. 4.4.2.2. Identificación y autenticación de usuarios Para el acceso a cualquier de los recursos de tecnología informática de MARADO mediante la red pública o privada se requerirá de un proceso de autenticación del usuario. 4.4.2.3.

Creación, eliminación e inhabilitación de usuarios El Gerente de Tecnología será el responsable de crear, eliminar o inhabilitar los usuarios. 4.4.2.4. Creación de las contraseñas Todas las contraseñas deberán ser creadas de acuerdo con un estándar definido por MARADO. Deberá considerarse el uso de herramientas automáticas que aseguren el cumplimiento de este estándar de contraseñas. 4.4.2.5.

Vigencia de las contraseñas Las contraseñas usadas deberán ser cambiadas cada 30 días. 4.4.2.6. Confidencialidad de las contraseñas Las contraseñas o cualquier otro medio de autenticación son totalmente confidenciales y restringidos para el uso del usuario no se debe almacenar en los exploradores como Chrome, Mozilla u otros y será protegida a través del gestor de contraseña LASTPASS, donde la misma estará oculta para el usuario. 4.4.2.7.

Cifrado de las contraseñas Las contraseñan deberán ser almacenadas utilizando un algoritmo de cifrado, no se podrán almacenar en texto claro. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, 4.4.2.8. Usuarios por defecto y/o privilegiados Se creará en cada pc un usuario por defecto y un usuario con privilegios de administrador con los sistemas operativos, bases de datos, productos y programas relacionados con las diferentes plataformas instaladas en MARADO para restringir su uso por usuarios primarios. 4.4.2.9.

Usuario Administrador El usuario con privilegios como Administrador del Sistema o de las Bases de Datos de la compañía, será el gerente de Tecnología. 4.4.2.10. Acceso a bases de datos de producción. El aplicativo desarrollado para este fin deberá ser el único medio para acceder a los datos. 4.4.2.11. Bloqueo de las estaciones de trabajo Todas las estaciones de trabajo de los usuarios deberán tener activado el bloqueo automático de estación, el cual deberá activarse luego de u período de ausencia o inactividad de 3 minutos.

Por otra parte, el escritorio del equipo de trabajo deberá estar despejado y ordenado, de tal forma que la información que se encuentre en el puesto de trabajo o en la pantalla (escritorio) del equipo sea la suficiente y necesaria para la labor que se desempeña.” 6. Manifieste si ha tenido algún tipo de incidente de seguridad en los que se haya accedido sin su autorización a los datos tratados por la sociedad.

En caso afirmativo, indique y acredite si ha puesto en conocimiento de esta Superintendencia. Manifiesto a su Despacho que a la fecha no hemos tenido ningún incidente de seguridad con ninguna persona natural o empresa, ni reclamación realizada ante esta Superintendencia como entidad competente para dirimir esta clase de situaciones.

CUARTO: Que, con base en los hechos anotados, el 26 de febrero de 2021 se inició la presente investigación administrativa mediante la expedición de la Resolución N°. 9384 del 2021, por medio de la cual se formuló cargo único a la sociedad CONSULTING GROUP MARADO S.A.S., por el presunto incumplimiento a las disposiciones contenidas en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

QUINTO: Que la Resolución N°. 9384 del 26 de febrero de 2021 le fue notificada a la investigada de forma electrónica el 4 de marzo de 2021 de conformidad con la certificación con número de radicado 20-78074- -24 de fecha del 17 de marzo de 2021 expedida por la Secretaría General de esta Superintendencia, para que ésta se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

SEXTO: Que el 26 de marzo de 2021, estando dentro del término establecido por la Resolución N°. 9384 del 26 de febrero de 2021, la investigada CONSULTING GROUP MARADO S.A.S presentó escrito de descargos, bajo el número de radicado 20-78074-26.

SÉPTIMO: Que mediante Resolución N° 48919 del 3 de agosto de 2021, se incorporaron las pruebas allegadas a la presente actuación administrativa, se declaró agotada la etapa probatoria y se corrió traslado a la investigada para que rindiera los alegatos de conclusión.

OCTAVO: Que la Resolución N°. 48919 del 3 de agosto de 2021 le fue comunicada a la investigada el 4 de agosto de 2021, de conformidad con la certificación radicada bajo el número 20-78074- -30 del 17 de agosto de 2021 expedida por la Secretaría General Ad- Hoc de esta Superintendencia.

NOVENO: Que, durante el término establecido por esta Dirección para que la investigada rindiera alegatos de conclusión, la investigada CONSULTING GROUP MARADO S.A.S guardó silencio.

DÉCIMO: Que mediante la Resolución No. 80305 del 9 de diciembre de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la sociedad CONSULTING GROUP MARADO S.A.S, identificada con Nit. 900.446.658 – 5, de SEIS MILLONES TRESCIENTOS NOVENTA MIL DOSCIENTOS OCHO PESOS M/CTE ($6.390.208), equivalente a CIENTO SETENTA Y SEIS (176) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación a lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

DÉCIMO PRIMERO: Que la Resolución No. 80305 del 9 de diciembre de 2021 fue notificada electrónicamente el 13 de diciembre de 2021 a la sociedad CONSULTING GROUP MARADO S.A.S., a través de su representante legal, de acuerdo con la certificación expedida por la Secretaría “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado 20-78074-00037 del 13 de enero de 2022.

DÉCIMO SEGUNDO: Que mediante comunicación con radicado 20-78074-00036 del 27 de diciembre de 2021, la sociedad CONSULTING GROUP MARADO S.A.S., a través de su representante legal, interpuso recurso de reposición y en subsidio de apelación contra la Resolución No. 80305 del 9 de diciembre de 2021 para que se revoque el acto administrativo impugnado y en su lugar se modifique la sanción impuesta, con fundamento en: “(…) ARGUMENTOS DEL RECURSO: Dada la sanción impuesta por su Despacho solicito respetuosamente se ponga en consideración los siguientes aspectos importantes: 1.

La sociedad Consulting Group MARADO S.A.S. es una sociedad legalmente constituida y desde su creación se ha esforzado por cumplir con todos los lineamientos necesarios para que sus servicios cumplan a cabalidad con los reglamentos establecidos por la normatividad vigente. Es por esto que dentro del plan de ejecución del ofrecimiento de sus servicios tiene totalmente establecidos procesos donde prima la protección de datos personales de sus clientes y posibles clientes prospectos donde a cada uno de ellos se les respeta la decisión de guardar o no sus datos, ahora bien la compañía desde al año 2012 ha estado trabajando arduamente para cumplir a cabalidad lo establecido con la Ley 1581 de 2012, en su artículo 10, literal b). con el fin de evitar al 100% cualquier tipo de anomalía que se pueda llegar a presentar al respecto. 2.

Ahora bien, en la resolución aquí impugnada se encuentra que el funcionario que decidió el caso no se pronuncia acerca de cada una de las situaciones manifestadas en el escrito de descargos por parte de CONSULTING GROUP MARADO SAS donde de manera importante se resaltan los siguientes puntos importantes: a. Que la persona a quien se envió la comunicación inicial “XXXXXX XXXXX” nunca manifestó inconformidad, solicitud, reclamo o similar frente a Consulting Group Marado SAS solicitando no recibir información de parte de la compañía. b. Seguidamente, es un tercero (XXXXXX XXXXXXXXXX XXX) que no es el señor XXXXXX XXX quien se manifestó ante esta misma Superintendencia, y no actúa como apoderada ni está facultada expresamente para hacerlo y en su momento mediante resolución 9384 de fecha 26 de febrero de 2021 la entidad le solicitó lo siguiente: “DÉCIMO: Que, para los propósitos establecidos en el artículo 37 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo), esta Dirección ordenará comunicarle el presente acto administrativo a la señora XXXXXX XXXXXXXX XXXXXXX XXX identificada con cédula de ciudadanía 1.111.111.111en calidad de denunciante, con el propósito de que informe si desea constituirse como parte en la presente investigación administrativa, de conformidad con lo establecido en el artículo 383 de la Ley citada.” (el subrayado y la negrilla son nuestros), a lo cual la denunciante nunca se manifestó. c. A pesar de que los procedimientos están establecidos por la Ley 1581 de 2012 en sus artículos 15 y 16 que es función de la SIC hacerlos valer y respetar, el funcionario tampoco se pronunció a este respecto, por lo que no se está teniendo en cuenta que Consulting Group MARADO SAS solicitó autorización de tratamiento de datos dados los procesos establecidos. d. Este Despacho tampoco se pronuncio con respecto al concepto jurídico emanado por la misma entidad, donde se pronuncia acerca del uso de los datos obtenidos a través de la gaceta de propiedad industrial y la base de datos de la entidad. e. Ahora bien, solicitamos se tenga en cuenta que la misma SIC no guarda reserva los datos personales de las personas naturales o jurídicas que llevan actuaciones ante la entidad, tienen acceso a pesar de que nosotros implementamos los mecanismos necesarios para respetar los datos de los allí involucrados y solicitar la autorización pertinente situación que tampoco se obtuvo pronunciación en la resolución aquí impugnada, sino que están a disposición del publico en general. 3.

No obstante y dado todo lo anterior solicitamos reconocer las acciones correctivas y la buena disposición que la sociedad CONSULTING GROUP MARADO S.A.S. siempre ha tenido y que HOJA N, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” su único interés es cumplir con los lineamientos establecidos por las entidades competentes, respetuosamente solicito a este Despacho las siguientes: III.

PETICIONES 1. Se tenga en cuenta que es una pequeña empresa que se desempeña en el sector jurídico y que dado a la pandemia mundial producida por la COVID-19 desde el 2020, tuvo un impacto en su actividad comercial lo que la lleva a solicitar: 2. Se revoque la sanción pecuniaria impuesta o en su defecto se disminuya el valor de la misma. 3.

Solo en caso de que se mantenga algún tipo de sanción pecuniaria, se autorice acuerdo de pago para el valor a cancelar.”

DÉCIMO TERCERO: Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

DÉCIMO CUARTO: Que el artículo 77 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso administrativo o “CPACA”) consagra los requisitos para presentar los recursos y el 78 de la misma Ley las causales de rechazo de aquellos. Al respecto, este Despacho concluye que se encuentran presentes los requisitos necesarios para estudiar de fondo el recurso de reposición recibido para el caso en concreto.

DÉCIMO QUINTO: Frente a los argumentos presentados por la recurrente se encuentra que los mismos se concretan en los siguientes aspectos, a saber: (i) Frente al esfuerzo de la sociedad CONSULTING GROUP MARADO S.A.S., para cumplir con la normatividad vigente.; (ii) Frente al pronunciamiento de algunos argumentos esgrimidos en el escrito de descargos y;

(iii) Frente al reconocimiento de las acciones correctivas realizadas por la sociedad CONSULTING GROUP MARADO S.A.S 15.1 Frente al esfuerzo de la sociedad CONSULTING GROUP MARADO S.A.S., para cumplir con la normatividad vigente Frente a este argumento es necesario indicar que la sociedad recurrente señaló lo siguiente: “La sociedad Consulting Group MARADO S.A.S. es una sociedad legalmente constituida y desde su creación se ha esforzado por cumplir con todos los lineamientos necesarios para que sus servicios cumplan a cabalidad con los reglamentos establecidos por la normatividad vigente.

Es por esto que dentro del plan de ejecución del ofrecimiento de sus servicios tiene totalmente establecidos procesos donde prima la protección de datos personales de sus clientes y posibles clientes prospectos donde a cada uno de ellos se les respeta la decisión de guardar o no sus datos, ahora bien la compañía desde al año 2012 ha estado trabajando arduamente para cumplir a cabalidad lo establecido con la Ley 1581 de 2012, en su artículo 10, literal b). con el fin de evitar al 100% cualquier tipo de anomalía que se pueda llegar a presentar al respecto.” Lo primero que se debe mencionar es que esta Entidad no pone en duda que la sociedad CONSULTING GROUP MARADO S.A.S. se ha esforzado por implementar medidas y políticas en procura de salvaguardar el derecho al habeas data de los ciudadanos. Es así como esta entidad en la Resolución No. 9384 del 2021 formuló un único cargo relacionado con el deber de solicitar y conservar copia de la autorización previa, expresa e informada al titular de la información. Es pertinente mencionar que este único cargo fue formulado con base en la denuncia realizada por la señora XXXXXX XXXXXXXX XXXXXXX XXXXXXXX respecto de los hechos que dieron lugar a la actuación administrativa, y en los que se determinó que, si hubo una omisión para el caso en particular, pues la sociedad CONSULTING GROUP MARADO S.A.S no aportó la autorización dada por el titular de los datos personales, evidenciando que se realizó el tratamiento de datos personales semiprivados del Titular, contrariando lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

Así mismo, la sociedad CONSULTING GROUP MARADO S.A.S a lo largo de la investigación administrativa no aportó prueba alguna que acreditara, que previo a la ocurrencia de los hechos objeto de denuncia, se habían tomado todas las medidas técnicas, administrativas y humanas con el fin de evitar que sucediera los hechos denunciados. Por lo tanto, no es posible pretender eximirse de una sanción por la vulneración de un derecho fundamental en virtud de la negligencia en el cumplimiento de un deber legal establecido en la Ley 1581 de 2012 excusándose en que de manera general se está “esforzado por cumplir con todos los lineamientos necesarios para que sus servicios cumplan a cabalidad con los reglamentos establecidos por la normatividad vigente” y que “tiene totalmente establecidos procesos donde prima la protección de datos personales de sus clientes y posibles clientes prospectos donde a cada uno de ellos se les respeta la decisión de guardar o no sus datos”.

Si los hechos y pruebas del caso específico demuestran lo contrario, respecto del deber objeto de estudio. Ahora bien, de este único cargo y sanción no puede desprenderse una generalización, según la cual esta Superintendencia no reconoce el esfuerzo que la realizado la sociedad CONSULTING GROUP MARADO S.A.S por cumplir las normas de datos personales, como ya se mencionó las razones de la sanción obedecieron al caso puntual que fue analizado. 15.2 Frente al pronunciamiento de algunos argumentos esgrimidos en el escrito de descargos De otro lado, la recurrente indicó: “Ahora bien, en la resolución aquí impugnada se encuentra que el funcionario que decidió el caso no se pronuncia acerca de cada una de las situaciones manifestadas en el escrito de descargos por parte de CONSULTING GROUP MARADO SAS donde de manera importante se resaltan los siguientes puntos importantes:” y procede a señalar cinco situaciones.

Por lo anterior, esta Dirección aclara que la presente actuación administrativa tuvo como origen la denuncia presentada por la señora XXXXXX XXXXXXXX XXXXXXX XXXXXXXX quien puso en conocimiento de esta Superintendencia la omisión cometida en relación con los datos del señor XXXXXX XXXXXXXX XXXXX XXXXXX. Sobre este particular es necesario aclarar que las denuncias de protección de datos buscan proteger un interés general, el cual es el derecho de todas las personas a que se respeten su derecho Fundamental de habeas data.

La presentación de denuncias ante esta Superintendencia activa una investigación de carácter administrativo, la cual puede resultar o no en una multa de carácter administrativo para la sociedad denunciada, dependiendo de lo que se concluya al terminar la actuación administrativa. Igualmente, es necesario aclarar que quien presenta una denuncia no obtiene ningún tipo de reconocimiento particular, pues lo que se busca es proteger a la comunidad en general.

No obstante lo anterior, esta Dirección procederá a pronunciarse respecto de cada uno de los argumentos y/o situaciones indicadas por la recurrente: a. Que la persona a quien se envió la comunicación inicial “XXXXXX XXXXX” nunca manifestó inconformidad, solicitud, reclamo o similar frente a Consulting Group Marado SAS solicitando no recibir información de parte de la compañía. Frente a la afirmación previa, es necesario indicar que la Ley no establece ningún requisito de procedibilidad para iniciar una investigación de carácter sancionatorio, pues tal como lo estableció el artículo 21 de la Ley 1581 de 20121 se pueden iniciar de oficio o a petición de parte, así pues,, es indiferente el hecho de que el titular haya denunciado o manifestado su inconformidad respecto del tratamiento de sus datos personales directamente a la recurrente. 1 “b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.

Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;” “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, b. Seguidamente, es un tercero (Jazmín Angélica Quintero Pinilla) que no es el señor XXXXXX XXXXX quien se manifestó ante esta misma Superintendencia, y no actúa como apoderada ni está facultada expresamente para hacerlo y en su momento mediante resolución 9384 de fecha 26 de febrero de 2021 la entidad le solicitó lo siguiente: “DÉCIMO: Que, para los propósitos establecidos en el artículo 37 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo), esta Dirección ordenará comunicarle el presente acto administrativo a la señora XXXXXX XXXXXXXX XXXXXXX XXXXXX identificada con cédula de ciudadanía 1.111.111.111 en calidad de denunciante, con el propósito de que informe si desea constituirse como parte en la presente investigación administrativa, de conformidad con lo establecido en el artículo 383 de la Ley citada.” (el subrayado y la negrilla son nuestros), a lo cual la denunciante nunca se manifestó. En cuanto a lo que a este argumento concierne, es importante recordar que nuestro ordenamiento jurídico establece la posibilidad de que una persona gestione los negocios de otra sin que exista mandado o poder como tal, dicha figura está consagrada en el artículo 2304 del Código de Comercio y en el artículo 57 del Código General del Proceso.

Dichas normas establecen lo siguiente: “ARTICULO 2304. <DEFINICIÓN DE AGENCIA OFICIOSA>. La agencia oficiosa o gestión de negocios ajenos, llamada comúnmente gestión de negocios, es un contrato (sic) por el cual el que administra sin mandato los bienes de alguna persona, se obliga para con ésta, y la obliga en ciertos casos.

ARTÍCULO

57. AGENCIA OFICIOSA PROCESAL. Se podrá demandar o contestar la demanda a nombre de una persona de quien no se tenga poder, siempre que ella se encuentre ausente o impedida para hacerlo; bastará afirmar dicha circunstancia bajo juramento que se entenderá prestado por la presentación de la demanda o la contestación. El agente oficioso del demandante deberá prestar caución dentro de los diez (10) días siguientes a la notificación que se haga a aquel del auto que admita la demanda.

Si la parte no la ratifica, dentro de los treinta (30) días siguientes, se declarará terminado el proceso y se condenará al agente oficioso a pagar las costas y los perjuicios causados al demandado. Si la ratificación se produce antes del vencimiento del término para prestar la caución, el agente oficioso quedará eximido de tal carga procesal.

La actuación se suspenderá una vez practicada la notificación al demandado del auto admisorio de la demanda, y ella comprenderá el término de ejecutoria y el de traslado. Ratificada oportunamente la demanda por la parte, el proceso se reanudará a partir de la notificación del auto que levante la suspensión. No ratificada la demanda o ratificada extemporáneamente, el proceso se declarará terminado.

Quien pretenda obrar como agente oficioso de un demandado deberá contestar la demanda dentro del término de traslado, manifestando que lo hace como agente oficioso. Vencido el término del traslado de la demanda, el juez ordenará la suspensión del proceso por el término de treinta (30) días y fijará caución que deberá ser prestada en el término de diez (10) días.

Si la ratificación de la contestación de la demanda se produce antes del vencimiento del término para prestar la caución, el agente oficioso quedará eximido de tal carga procesal. Si no se presta la caución o no se ratifica oportunamente la actuación del agente, la demanda se tendrá por no contestada y se reanudará la actuación. El agente oficioso deberá actuar por medio de abogado, salvo en los casos exceptuados por la ley.” Como puede observarse, la normatividad colombiana permite que una persona sin poder pueda iniciar actuaciones, en este caso ante la Superintendencia de Industria y Comercio, con el fin de que se protejan los derechos de habeas data de un tercero que por alguna circunstancia no puede hacerlo de manera directa, pero que facilita toda la información y pruebas para que la actuación administrativa pueda desarrollarse.

Igualmente, es importante señalar que al no tener datos de contacto del Titular se procedió a solicitarlos a la persona que interpuso la denuncia, en la medida en que se evidencia un posible interés y de conformidad con lo establecido en el art. 37 del CPACA, el cual indica: “Cuando en una actuación administrativa de contenido particular y concreto la autoridad advierta que terceras personas puedan resultar directamente afectadas por la decisión, les comunicará la existencia de la actuación, el objeto de la misma y el nombre del peticionario, si lo hubiere, para que puedan constituirse como parte y hacer valer sus derechos.

La comunicación se remitirá a la dirección o correo electrónico que se conozca si no hay otro medio más eficaz. De no ser posible dicha comunicación, o tratándose de terceros indeterminados, la información se divulgará a través de un medio masivo de comunicación nacional o local, según el caso, o a través de cualquier otro “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, mecanismo eficaz, habida cuenta de las condiciones de los posibles interesados.

De tales actuaciones se dejará constancia escrita en el expediente.”. Igualmente, no hay lugar a revocar la sanción impuesta a la sociedad CONSULTING GROUP MARADO S.A.S., debido a que fue un tercero el que puso en conocimiento de esta Superintendencia lo sucedido con los datos personales del Titular, pues esta actuación no otorga indemnizaciones ni ningún tipo de reconocimiento a la persona afectada con la violación de normas de protección de datos, sino que busca perseguir un bien común, el cual es el respeto por las normas de habeas data.

Así mismo, se aclara que la decisión tomada tuvo como fundamento todas las pruebas aportadas por la señora XXXXXX XXXXXXXX XXXXXXX XXXXXXXX, en las cuales se evidenció una omisión por parte de la sociedad CONSULTING GROUP MARADO S.A.S c. A pesar de que los procedimientos están establecidos por la Ley 1581 de 2012 en sus artículos 15 y 16 que es función de la SIC hacerlos valer y respetar, el funcionario tampoco se pronunció a este respecto, por lo que no se está teniendo en cuenta que Consulting Group MARADO SAS solicitó autorización de tratamiento de datos dados los procesos establecidos.

En cuanto a este argumento es pertinente aclarar que a lo largo de la investigación, la investigada afirmó que el correo electrónico del Titular se trataba de un dato público y en consecuencia no se debería solicitar la autorización, es así como la investigada manifestó lo siguiente “…nuestro primer y único acercamiento con el titular de los datos obtenidos como dato público de esta Superintendencia”, así mismo, indico que: “cumple el fin de informar por primera vez el estado actual de un trámite que esta llevando a cabo ante la entidad e indica al final de nuestros correos lo siguiente: “Este correo es de carácter informativo; si su deseo es desistir o continuar recibiendo información comercial, seguimiento y promoción de nuestros servicios nos los puede manifestar AQUÍ.” Link que no fue utilizado por parte del titular de los datos.

Donde se encuentra la solicitud de Autorización Manejo de Datos Ley 1581 de 2012 (Anexo) y Decreto 1377 de 013 y nuestra política de tratamiento de datos.” Por lo tanto, es pertinente recordar que, en la parte motiva de la resolución recurrida se analizó y explicaron las razones por las cuales un dato personal como el correo electrónico del Titular, solo por el hecho de estar publicado en la GACETA DE PROPIEDAD INDUSTRIAL No. xxx no se convierte en un dato público.

Adicionalmente en la Resolución recurrida se plasmó de manera clara que “el hecho que los datos personales de los titulares se encuentren publicados en medios masivos como internet o periódicos, en NINGÚN momento quiere decir que los datos sean públicos y que se pueda hacer uso de los mismos sin cumplir con las disposiciones establecidas en la Ley, puesto que esto vulnera el derecho fundamental de habeas data del titular” y que “la información tomada por la investigada de la Gaceta de Propiedad Industrial a través de la oficina de propiedad industrial fue publicada única y exclusivamente para efectos de publicidad, con el fin de que los intervinientes dentro del proceso o los terceros afectados conozcan de las decisiones, con el fin de garantizar el debido proceso y los principios de la función pública, y en consecuencia de modo alguno se pueden tomar estos datos personales privados y semiprivados para tratarlos con fines comerciales.” En consecuencia, es claro que esta Dirección sí analizó lo expuesto por la recurrente a lo largo de la investigación. Adicionalmente, respecto a que presuntamente la recurrente “solicitó autorización de tratamiento de datos dados los procesos establecidos”, es importante aclarar que el enviar un correo electrónico quiere decir que la sociedad ya está realizando tratamiento de datos personales, por lo que solicitar la autorización del titular posterior al tratamiento iría en contra de lo dispuesto en la Ley 1581 de 2012, la cual establece lo siguiente: “Art. 3 literal a) Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales;” Art. 4 c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, Artículo 9°. Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.

Así mismo, la Corte Constitucional en sentencia de control de constitucionalidad hizo las siguientes precisiones: “En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato. Así, por ejemplo, en la Sentencia T-022 de 1993, se dijo que la veracidad del dato no implica que el responsable del Tratamiento no tenga el deber de obtener una autorización anterior.

En igual sentido, la Sentencia T-592 de 2003 dijo que el derecho al habeas data resulta afectado cuando los administradores de la información recogen y divulgan hábitos de pago sin el consentimiento de su titular. La Corte expresó que el consentimiento previo del titular de la información sobre el registro de sus datos económicos “en los procesos informáticos, aunado a la necesidad de que aquel cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, resultan esenciales para salvaguardar su derecho a la autodeterminación informática.

(…) De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez.” d. Este Despacho tampoco se pronunció con respecto al concepto jurídico emanado por la misma entidad, donde se pronuncia acerca del uso de los datos obtenidos a través de la gaceta de propiedad industrial y la base de datos de la entidad.

Respecto al concepto jurídico emanado por esta Superintendencia, se tiene que aquel concepto hizo referencia a lo que es un dato público, pero en este nunca se establece que los datos personales, como el correo electrónico del señor XXXXXX XXXXXXXX XXXXX XXXXXX, el cual es gestionado por el proveedor de servicios “Gmail” y se refiere a nombres y apellidos del titular, sea un dato público, o que el hecho de que existan datos que se encuentran publicados en medios masivos como internet o periódicos, necesariamente son datos sean públicos y que se pueda hacer uso de los mismos sin cumplir con las disposiciones establecidas en la Ley, puesto que esto vulnera el derecho fundamental de habeas data del titular.

En consecuencia, los argumentos expuestos por la sociedad CONSULTING GROUP MARADO S.A.S. en su recurso no desvirtúan las razones por las que fue impuesta la sanción contenida en la Resolución No. 80305 del 9 de diciembre de 2021. e. Ahora bien, solicitamos se tenga en cuenta que la misma SIC no guarda reserva los datos personales de las personas naturales o jurídicas que llevan actuaciones ante la entidad, tienen acceso a pesar de que nosotros implementamos los mecanismos necesarios para respetar los datos de los allí involucrados y solicitar la autorización pertinente situación que tampoco se obtuvo pronunciación en la resolución aquí impugnada, sino que están a disposición del público en general.

Este Despacho considera pertinente manifestarle al recurrente que no es cierto que esta Entidad no guarde reserva de los datos de las personas naturales o jurídicas que llevan actuaciones ante esta entidad, como ya se ha manifestado, la información publicada en la Gaceta de Propiedad Industrial a través de la Oficina de Propiedad Industrial fue publicada única y exclusivamente para efectos de publicidad, y con el propósito de que los intervinientes dentro del trámite administrativo, o los terceros afectados puedan conocer la información que les concierne, únicamente, con el fin de garantizar el debido proceso y los principios de la función pública.

Ninguno de los propósitos explicados arriba vulnera la reserva de los datos personales de los involucrados en actuaciones administrativas ante esta Entidad, pues lo que se busca es cumplir con HOJA N, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” un deber legal. Adicionalmente, esta entidad se cerciora de solicitar la debida autorización para el tratamiento de datos personales en los casos en que sea necesario y tomar las medidas necesarias para salvaguardar los datos objeto de tratamiento.

Finalmente se recuerda lo establecido en el artículo 9 de la Ley 1581 de 2012: “Artículo 10. Casos en que no es necesaria la autorización. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.

Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley.” (resaltado fuera del texto) 15.3 Frente al reconocimiento de las acciones correctivas realizadas por la sociedad CONSULTING GROUP MARADO S.A.S Sobre este argumento es importante aclarar que esta Entidad no desconoce que la sociedad CONSULTING GROUP MARADO S.A.S ha tomado acciones correctivas y siempre ha tenido una buena disposición para atender los requerimientos realizados durante toda la investigación. Como reflejo de ello, se tiene que esta Superintendencia al momento de graduar la sanción, tuvo en cuenta que la sociedad CONSULTING GROUP MARADO S.A.S no es reincidente en la comisión de la infracción, que no hubo resistencia u obstrucción de su parte a la acción investigativa, y que tampoco se mostró renuente a cumplir las órdenes e instrucciones del Despacho, criterios que de acuerdo a lo establecido en la sentencia de control de constitucionalidad, son agravantes de la sanción. En conclusión, no hay razones para reponer la Resolución No. 80305 del 9 de diciembre de 2021, en la medida en que el recurrente no desvirtuó ninguno de los fundamentos que se tuvieron en cuenta para imponer la sanción. Igualmente, frente a falencias en la protección de datos personales, el deber ser es que la sociedad CONSULTING GROUP MARADO S.A.S implemente acciones correctivas encaminadas a que los hechos objeto de denuncia no vuelvan a ocurrir, sin embargo, se aclara que la Ley no estableció como criterio atenuante este hecho, por lo tanto, no se tiene en cuenta al momento de graduar la sanción. Los criterios de graduación de la sanción en la Ley 1581 de 2012 son: “Artículo 24.

Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la HOJA N, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Al respecto la Corte Constitucional en sentencia de control de constitucionalidad señaló: “2.23.3.

La constitucionalidad del artículo 24 Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.”(resaltado fuera del texto)

DÉCIMO SEXTO: CONCLUSIÓN Sin perjuicio de lo establecido, se concluye, entre otras, lo siguiente:  Se confirmó que la sociedad incumplió el deber contenido en el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con al literal c) del artículo 4 de la misma ley, y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, dado que la sociedad CONSULTING GROUP MARADO S.A.S en calidad de Responsable de los datos personales hizo uso de los datos personales del señor XXXXXX XXXXXXXX XXXXX XXXXXX sin contar con autorización previa.  Esta Superintendencia no desconoce el esfuerzo que la realizado la sociedad CONSULTING GROUP MARADO S.A.S por cumplir las normas de datos personales, como ya se mencionó las razones de la sanción obedecieron al caso puntual que fue analizado.  La Ley no establece ningún requisito de procedibilidad para iniciar una investigación administrativa, puesto que esta Dirección de investigación de protección de datos personales puede iniciarla de oficio o a petición de parte, por lo tanto, es indiferente el hecho de que el Titular haya denunciado o manifestado su inconformidad respecto del tratamiento de sus datos personales directamente a la recurrente.  Los datos personales privados sólo pueden ser tratados con el consentimiento libre, previo, expreso e informado del titular.

El silencio del Titular nunca podría inferirse como autorización del uso de su información.  La información emitida en la Gaceta de Propiedad Industrial es publicada única y exclusivamente para efectos de publicidad, y con el propósito de que los intervinientes dentro del trámite administrativo, o los terceros afectados puedan conocer la información que les concierne, y con el objetivo de garantizar el debido proceso y los principios de la función pública.  Esta Dirección no otorga indemnizaciones ni ningún tipo de reconocimiento a la persona afectada con la violación de normas de protección de datos, sino que busca perseguir un bien común, el cual es el respeto por las normas de habeas data.

DÉCIMO SÉPTIMO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad CONSULTING GROUP MARADO S.A.S con Número de Identificación Tributaria 900.446.658-5, esta “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial de la sociedad gerencia@marado.com.co quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

DÉCIMO OCTAVO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará en todas sus partes la Resolución No. 80305 del 9 de diciembre de 2021. En mérito de lo expuesto este Despacho,

RESUELVE

ARTÍCULO PRIMERO: CONFIRMAR en todas sus partes la Resolución No. 80305 del 9 de diciembre de 2021 por las razones expuestas en la parte motiva de este acto administrativo.

ARTÍCULO SEGUNDO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la recurrente y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución la sociedad CONSULTING GROUP MARADO S.A.S., identificada con NIT 900.446.658-5, a través de su representante legal, entregándoles copia de la misma.

ARTÍCULO CUARTO: COMUNICAR a la señora XXXXXX XXXXXXXX XXXXXXX XXXXXXXX, identificada con Cédula de Ciudadanía No. 1.111.111.111, el contenido de la presente decisión.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 27 ABRIL 2022 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUNOZ SALAZAR MUNOZ Fecha: 2022.04.27 14:39:03 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JIHM Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Investigada: Identificación: CONSULTING GROUP MARADO S.A.S. Nit. 900.446.658-5 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Representante Legal: Identificación: Dirección: Correo electrónico: Ciudad: bbbbbbbbbbbbbbbbbbbbbbbbb C.C. 1.111.111.111 bbbbbbbbbbbbbbbbbbbbbbbbbbb gerencia@marado.com.co Bogotá D.C. COMUNICACIÓN: Señora: Identificación: Ciudad: Correo electrónico: XXXXXX XXXXXXXX XXXXXXX XXXXXXXX C.C.1.111.111.111 Bogotá D.C. vvvvvvvvvvvvvvvvvvvvvvvv2 2 La denunciante no informó dirección de correspondencia física HOJA N,