(25 NOVIEMBRE 2022) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación 19-78100 VERSIÓN ÚNICA EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que, mediante la Resolución N°44870 del 12 de julio de 2022, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la sociedad NETGOSIT S.A.S identificada con Nit 900.886.785-1, de CATORCE MILLONES CIENTO TREINTA Y SIETE MIL CUATROSCIENTOS OCHENTA Y OCHO PESOS M/CTE ($14.137.488), equivalente a TRESCIENTOS SETENTA Y DOS UVT (372), por el incumplimiento del deber establecido en: i) El literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal d) del artículo 4 de la misma Ley, y con el artículo 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015. ii) El literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012. ii) El literal j) del artículo 17 en concordancia con el artículo 15 de la Ley 1581 de 2012.
SEGUNDO: Que la Resolución N°44870 del 12 de julio de 2022 fue notificada de forma electrónica a la sociedad NETGOSIT S.A.S, el 14 de julio de 2022, así mismo, se comunicó a los denunciantes, según consta en certificación de la Secretaría General Ad-hoc, visible en el expediente con radicado N°19-78100- -77 del 04 de agosto de 2022.
TERCERO: Que, dentro del término concedido para el efecto, mediante comunicación recibida el 29 de julio de 2022, con número de radicado 19-78100- -76, la sociedad NETGOSIT S.A.S, interpuso recurso de reposición y en subsidio de apelación contra la resolución aludida, manifestando lo siguiente: 3.1. En primer lugar, solicitó se revoque la resolución N°. 44870 del 12 de julio de 2022 y en su lugar se profiera un nueva donde se determine que la recurrente “no incurrió en ninguna de las omisiones o violaciones que se le acusa de haber cometido, ya que sí posee los mecanismos necesarios, instrumentos y medidas de seguridad previstos en el régimen de protección de datos personales para garantizar el derecho al hábeas data y la seguridad de la información de las personas”. 3.2.
Manifestó que “se determine que su actuar no es negligente y en esa medida la sanción a imponer sea reducida a su mínima expresión, teniendo en cuenta que la mencionada sociedad no carece de los instrumentos exigidos para garantizar el derecho al hábeas data y además está dispuesta a cumplir con cualquier medida correctiva que se le requiera”. 3.3.
Hace alusión a los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.4.1 señalando que la autorización otorgada por los titulares se obtiene a través de conductas inequívocas toda vez que “los titulares de la información personal relacionados dentro de la investigación desplegaron conductas inequívocas que, sin lugar a dudas ni equivocación, permitieron “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” concluir de forma notoriamente razonable que otorgaban la autorización para el tratamiento de sus datos personales (…) el primer paso consiste en que la persona haga un clic o toque en la información exhibida para que se abra el formulario de ingreso de datos, el segundo paso consiste en que la persona decida ingresar los datos requeridos en el formulario y proceda a redactarlos, el tercer paso es que la persona acepte los términos y condiciones de Facebook y nuestra Política de tratamiento de datos personales enlazada o vinculada al formulario web, el cuarto paso es que la persona haga clic o toque el enlace de la mencionada Política con el fin de conocer todo su contenido y las finalidades del uso de la información incorporadas en la misma, con lo cual se cumple de forma cabal el deber de poner en conocimiento del titular las finalidades del uso de la información y la misma Política de tratamiento de datos personales de la compañía” 3.4.
Indicó que la sociedad si cuenta con medias de seguridad de la información, un procedimiento para atender peticiones quejas y reclamos de los titulares, política de tratamiento de datos necesaria para garantizar el derecho al hábeas data y la seguridad de la información los cuales allegan junto con el escrito del recurso “Cabe aclarar que al momento de diligenciar el formulario de ingreso de datos las personas son enlazadas a los mencionados instrumentos para que los puedan conocer, estar informadas acerca de los mismos y sepan cuál es su contenido, así como las finalidades del tratamiento de la información”.
CUARTO: Que, el procedimiento, oportunidad y requisitos para la interposición del recurso de reposición se encuentra contemplado en los artículos 74 al 82 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, los cuales disponen lo siguiente: “Artículo 74. Recursos contra los activos administrativos. Por regla general, contra los actos definitivos procederán los siguientes recursos. 1.
El de reposición, ante quien expidió la decisión para que la aclare, modifique, adicione o revoque…” 2. El de apelación, para ante el inmediato superior administrativo o funcional con el mismo propósito. No habrá apelación de las decisiones de los Ministros, Directores de Departamento Administrativo, superintendentes y representantes legales de las entidades descentralizadas ni de los directores u organismos superiores de los órganos constitucionales autónomos.
Tampoco serán apelables aquellas decisiones proferidas por los representantes legales y jefes superiores de las entidades y organismos del nivel territorial. “Artículo 76. Oportunidad y presentación. Los recursos de reposición y apelación deberán interponerse por escrito en la diligencia de notificación personal, o dentro de los diez (10) días siguientes a ella, o a la notificación por a viso, o al vencimiento del término de publicación, según el caso.
Los recursos contra los actos presuntos podrán interponerse en cualquier tiempo, salvo en el evento en que se haya acudido ante el juez…” “Artículo 77 Requisitos. Por regla general los recursos se interpondrán por escrito que no requiere de presentación personal si quien lo presenta ha sido reconocido en la actuación. Igualmente, podrán presentarse por medios electrónicos.
Los recursos deberán reunir, además, los siguientes requisitos: 1. Interponerse dentro del plazo legal, por el interesado o su representante o apoderado debidamente constituido. 2. Sustentarse con expresión concreta de los motivos de inconformidad. 3. Solicitar y aportar las pruebas que se pretende hacer valer. 4. Indicar el nombre y la dirección del recurrente, así como la dirección electrónica si desea ser notificado por este medio.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” (…)”1 QUINTO: Que, con base en las citadas normas, este Despacho concluye que se encuentran reunidos los requisitos necesarios para estudiar de fondo el recurso de reposición recibido para el caso en concreto previstos en el artículo 77 de la Ley 1437 de 2011, por cuanto: 5.1 El recurso fue interpuesto por la sociedad NETGOSIT S.A.S.dentro del término legal en virtud de lo dispuesto en el artículo 76 de la Ley 1437 de 2011, a través de correo electrónico del 29 de julio de 2022 y la sociedad recurrente fue notificada de forma electrónica el día 14 de julio de 2022, conforme a la certificación expedida por la Secretaría General de esta Superintendencia bajo radicación N°19-78100- -77 del 04 de agosto de 2022. 5.2.
El mencionado recurso sustenta los motivos de inconformidad en contra del acto administrativo impugnado que se señalan en el numeral TERCERO del presente acto. 5.3. De igual manera, si bien la sociedad recurrente no solicita la práctica de pruebas en el escrito, sí aporta pruebas y se exponen los fundamentos fácticos y jurídicos que sustentan los motivos de inconformidad. 5.4.
Por último, la recurrente en su escrito indicar con claridad sus datos de identificación y la dirección en donde recibirá notificaciones.
SEXTO: Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.
SÉPTIMO: Que con base en las funciones otorgadas a esta Superintendencia y de acuerdo con los motivos de inconformidad expuestos por la recurrente, este Despacho procederá a resolver a continuación el recurso interpuesto, el cual se concreta en los aspectos descritos en el numeral TERCERO del presente acto administrativo 7.1. Frente al deber de contar con autorización previa, expresa e informada de los titulares para el tratamiento de sus datos personales.
En relación con el recurso presentado, la sociedad sancionada manifestó que “los titulares de la información personal relacionados dentro de la investigación desplegaron conductas inequívocas que, sin lugar a dudas ni equivocación, permitieron concluir de forma notoriamente razonable que otorgaban la autorización para el tratamiento de sus datos personales”.
Conforme al principio de libertad consagrado en la Ley 1581 de 2012, según el cual “[e]l Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización”, es claro que el Tratamiento de los Datos solo puede ser el autorizado por el Titular de la información con sujeción a la finalidad especificada por el Responsable del Tratamiento.
Este principio es desarrollado por el artículo 9° y por el literal b) del artículo 17 de la norma ut supra, los cuales detallan que “en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior” y que el Responsable del Tratamiento de los Datos debe cumplir con varios deberes, entre ellos, el de “[s]olicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”.
Además de lo anterior, el Decreto Único Reglamentario 1074 del 20151 señala en su artículo 2.2.2.25.2.2. que: “ARTÍCULO 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para Ley 1437 de 2011 “Por la cual se expide el Código de Procedimiento Administrativo y de lo Contencioso Administrativo” “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”.
De este modo es claro que el Responsable del Tratamiento debe adoptar los procedimientos adecuados para solicitar y conservar copia de la autorización otorgada por cada uno de los Titulares que se encuentre en su(s) base(s) de datos o ficheros de información y debe informar cuáles datos serán recolectados junto con las finalidades específicas para las cuales se va a obtener el consentimiento del Titular.
De igual manera, en la Ley 1581 de 2012 el consentimiento es tanto un principio rector (artículo 4 (literal c) como un elemento de legitimación constitucional de los procesos de administración de datos personales (artículos 9, 10, y artículo 26, literal a). El artículo 9 establece que en el tratamiento se requiere la autorización previa, expresa, e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior, mientras que el artículo 10 prevé las excepciones o los otros fundamentos de legitimación constitucional del tratamiento de datos personales, incluidos los casos de urgencia manifiesta, tratamiento de información autorizado por la ley para fines históricos, estadísticos o científico, etc.
Por su parte, el literal a) del artículo 3 de la Ley 1581 de 2012 establece que el consentimiento o autorización exigida para el tratamiento de datos personales es, además, calificado, por cuanto debe ser previo, expreso e informado. En este sentido, la Corte Constitucional interpretó esta definición en sentencia C-748 del 2011 de la siguiente manera: “En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato.
Así por ejemplo, en la Sentencia T-022 de 1993, se dijo que la veracidad del dato no implica que el Responsable del Tratamiento no tenga el deber de obtener una autorización anterior. En igual sentido, la Sentencia T-592 de 2003 dijo que el derecho al habeas data resulta afectado cuando los administradores de la información recogen y divulgan hábitos de pago sin el consentimiento de su titular.
La Corte expresó que el consentimiento previo del titular de la información sobre el registro de sus datos económicos “en los procesos informáticos, aunado a la necesidad de que aquel cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, resultan esenciales para salvaguardar su derecho a la autodeterminación informática.
En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito. Lo anterior, por varias razones: En primer lugar, la jurisprudencia constitucional ha exigido tal condición y ha dicho que el consentimiento debe ser explícito y concreto a la finalidad específica de la base de datos.
(…) En segundo lugar, de una interpretación armónica de todo el articulado se deduce que el legislador estatutario tuvo una intención inequívoca que el consentimiento siempre fuese expreso. Así, desde el artículo 3 se dice que éste debe ser “previo, expreso e informado”. Esto mismo se repite en el artículo 4. Posteriormente, el artículo 8 ordinal b), garantiza al Titular el derecho de solicitar prueba de la autorización, y señala que ésta sólo puede considerarse exceptuada en los casos consagrados en el artículo 10.
El artículo 9 ordena que la autorización sea “obtenida por cualquier medio que pueda ser objeto de consulta posterior Por otro lado, el artículo 10 señala, en forma taxativa, los casos en que no se requiere autorización, y no hace referencia alguna a la existencia de un consentimiento tácito, lo cual necesitaría expresa autorización legal.
(…) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. En este mismo sentido, en la Sentencia T-592 de 2003, la Corte señaló que la autorización debe ser cualificada y debía contener una explicación de los efectos de la misma.
Además, a pesar de que se presente la autorización, el Responsable y Encargado del Tratamiento debe actuar de buena fe. De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no está “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.
Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez. ( )” No existe, por tanto, otra interpretación legal y constitucional diferente a aquella que el consentimiento debe cumplir con los requisitos de ser previo, expreso e informado para que el mismo pueda considerarse legal, pues, de lo contrario, se estaría afectando, como lo señaló la Corte en la sentencia arriba citada, el derecho a la autodeterminación informática entendido como el núcleo esencial del derecho al habeas data y, en la práctica, el Titular perdería el control de sus datos personales.
Aunado a lo anterior, se encuentra pertinente aclarar a la investigada los elementos del consentimiento dispuestos en el régimen general de protección de datos; por cuanto este concepto es fundamental para el efectivo cumplimiento de la Ley en cuestión. Veamos: El artículo tercero de la Ley 1581 de 2012 establece que la autorización o consentimiento es válido cuando se presentan los siguientes tres elementos: (i) previo;
(ii) expreso e (iii) informado. Al considerar estos componentes, la Corte Constitucional en sentencia C 748 del 2011 definió los mismos así: “(…) El consentimiento del titular de la información es un presupuesto para la legitimidad constitucional de los procesos de administración de datos personales, tratándose de un consentimiento calificado: ya que debe ser previo, esto es, que la autorización debe ser suministrada en una etapa anterior a la incorporación del dato; expreso, en la medida que debe ser inequívoco; e informado, toda vez que el titular no sólo debe aceptar el tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. ( )” De esta forma, es claro que el consentimiento del que trata la Ley 1581 de 2012 es calificado ya que se deben reunir las características de ser previo, expreso e informado para que se pueda considerar que el Titular dio su autorización para el tratamiento de sus datos y que dicho consentimiento es legítimo.
Así, se debe verificar si estos tres conceptos se materializan en las solicitudes de autorización para el Tratamiento de los Datos Personales que realicen los Responsables, cuando se habla de una autorización por conductas inequívocas esta obedece a un comportamiento positivo del titular, el silencio, en ningún caso puede ser entendido como el otorgamiento de la autorización, la cual, para que se entienda ajustada al régimen objeto de estudio debe ser calificada, es decir que debe gozar de los elementos señalados por la jurisprudencia. No obstante, lo anterior, si bien la recurrente hace énfasis en la forma que pretenden demostrar se obtiene la autorización para el tratamiento de datos personales, debe recordarse que ese deber no fue objeto de análisis dentro de la presente investigación y tampoco hace parte de los deberes frente a los cuales el Despacho encontró una vulneración y se impuso la sanción pecuniaria los cuales se recuerda correspondieron a: (i) El contemplado en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal d) del artículo 4 de la misma Ley, y con el artículo 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015.
Dicho cargo se encontró probado toda vez que la sociedad investigada no garantizó a los Titulares, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data., puesto que los denunciantes solicitaron que la sociedad NETGOSIT S.A.S. eliminara sus datos personales de sus bases de datos y que no continuara efectuando tratamiento de dicha información, petición que no fue atendida y por el contrario dentro de la investigación se pudo demostrar que la recurrente siguió tratando los datos pese a que claramente los titulares manifestaron no seguir dando su consentimiento.
(ii) El literal j) del artículo 17 en concordancia con el artículo 14 y el literal e) del artículo 4 de la Ley 1581 de 2012 y (iii) El literal j) del artículo 17 en concordancia con el artículo 15 de la Ley 1581 de 2012. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” Frente a este cargo se evidenció que la recurrente no contaba con medidas de seguridad y mecanismos necesarias para proteger los datos personales tratados bajo su custodia o posesión, toda vez que los equipos donde se almacenan datos privados pueden ser objeto de adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, de igual forma se encontró que su página web tampoco cuenta con medidas adecuadas.
De esta manera, no son de recibo los argumentos expuestos por la sociedad recurrente puesto que con los mismos no se desvirtúan las conductas que llevaron a incumplir los deberes motivo de la sanción impuesta mediante la Resolución N°44870 del 12 de julio de 2022 4.2 Frente a la implementación de medidas técnicas, físicas y humanas de seguridad, manual interno de políticas y procedimientos y Política de Tratamiento de la Información como cumplimiento de la orden administrativa Afirma la recurrente que su actuar no es negligente toda vez que implementaron los manuales y tomaron las medidas de seguridad necesarias al afirmar que: “(…) NETGOSIT cuenta con los mecanismos necesarios, instrumentos y medidas de seguridad previstos en el régimen de protección de datos personales para garantizar el derecho al hábeas data y la seguridad de la información de las personas bajo su custodia o posesión, teniendo en cuenta todas las exigencias legales, me permito anexar para estudio las siguientes piezas documentales:
1. MANUAL DE SEGURIDAD DE INFORMACIÓN NETGOSIT S.A.S.
2. MANUAL INTERNO DE POLÍTICAS Y PROCEDIMIENTOS PARA ATENDER RECLAMOS POR PARTE DE TITULARES DE INFORMACIÓN PERSONAL.
3. POLÍTICA DE SEGURIDAD DE INFORMACIÓN NETGOSIT S.A.S.
4. POLÍTICA DE PROTECCIÓN Y TRATAMIENTO DE DATOS PERSONALES NETGOSIT S.A.S. Y MANUAL DE TRATAMIENTO DE DATOS PERSONALES (…)”. Frente a tal consideración, es preciso aclarar que este Despacho durante la visita administrativa realizada en a instalaciones de la sociedad NETGOSIT S.A.S. el día 6 de septiembre de 2019 recopiló pruebas y material probatorio que obra en el informe de visita2 donde consta que en la inspección insitum no se encontraron documentados ni implementadas medidas de seguridad a la información para evitar la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; políticas y procedimientos de atención de consultas, quejas y reclamos y una Política de tratamiento de Datos personales, adicionalmente la recurrente no presentó escrito de descargos ni alegatos de conclusión, motivo por el cual la documentación aportada junto con el escrito del recurso de reposición será tenida en cuenta para verificar el cumplimento de la orden impartida.
Adicionalmente, es importante resaltar que los Responsables o Encargados del Tratamiento de los Datos, no se convierten en dueños de estos como consecuencia del almacenamiento en sus Bases o archivos. En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada.
Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los Titulares de los Datos. En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada.
El artículo 263 -Demostración- establece que, “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que 2 Expediente 19-78100 - -36 informe de visita 3 El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.
En respuesta a un requerimiento de la “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.
Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.
El artículo 27 -Políticas Internas Efectivas-, exige que los responsables del tratamiento de datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, con respecto a cualquier aspecto del tratamiento.”4 Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1.
Diseñar y activar un programa integral de gestión de datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2. Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales.
El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza5 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales. El mismo, exige que los responsables y encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia.
Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los Datos personales. El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos personales.
El éxito de este dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos. Así las cosas, y de acuerdo con lo antes expuesto, los argumentos de la sociedad investigada junto con los manuales y políticas allegadas, no es suficiente para desvirtuar los hallazgos evidenciados por este Despacho en la Visita realizada en las instalaciones de la sociedad NETGOSIT S.A.S. puesto que allí, para dicho momento no solo se encontró la ausencia de dichos documentos, sino que al realizar la inspección de los equipos donde reposan los datos personales de los titulares entre otras cosas: No existe bloqueo para la utilización de Puertos USB, toda vez que el equipo permitió formatear un disco duro, así como la copia de archivos desde PC a un medio extraíble USB.
Se pueden realizar Capturas de Pantalla. El usuario puede ejecutar archivos con extensión exe, sin que para esto requiera clave de administrador. la implementación efectiva de las medidas de seguridad apropiadas” 4 El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio.
Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.
La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”. 5 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo involucran procesos y procedimientos con características propias en atención al objetivo que persiguen.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” El equipo contaba con una versión de prueba de antivirus cuya licencia había caducado al momento de la visita administrativa. Se puede acceder a las redes sociales sin ningún tipo de restricción. Se puede acceder a servicios de almacenamiento en la nube como: Dropbox y Google Drive sin restricciones.
Se tiene libre acceso a cuentas de correo electrónico distintos a los corporativos El acceso al Equipo requiere una contraseña la cual nunca solicita cambio. Y aunque dichos eventos pueden, a la fecha, encontrarse en mejores condiciones de acuerdo con lo manifestado por la recurrente, este Despacho evidenció claras falencias de seguridad, que pusieron en peligro los datos personales de los titulares, y con ello se evidenció el incumplimiento al deber contemplado en el literal d) de la Ley 1581 de 2012.
Además, dentro de los argumentos expuestos por la investigada, no se encuentra que esta hubiese realizado esfuerzos para controvertir las pruebas y los hallazgos antes señalados. y en vista de todo lo anterior, este Despacho confirmará la sanción impuesta.
OCTAVO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo6, este Despacho encuentra que no fueron desvirtuados los argumentos que fundamentaron la Resolución, por lo cual será confirmada.
NOVENO: CONCLUSIONES Sin perjuicio de lo ya expresado no se accederá a las pretensiones de la recurrente por las siguientes razones: 1. La sociedad al momento de realizar la visita de inspección no contaba con medidas de seguridad y mecanismos necesarios para proteger los datos personales tratados bajo su custodia o posesión toda vez que los equipos donde se almacenan datos privados pueden ser objeto de adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, die igual forma se encontró que su página web tampoco cuenta con medidas adecuadas, así como un procedimiento específico para dar trámite a las solicitudes de los titulares en los términos de la Ley 1581 de 2012 y una Política de Tratamiento de la Información. 2.
Adicionalmente con ocasión al recurso presentado no desvirtuó haber atendido las peticiones las peticiones de los titulares en el sentido de obtener confirmación sobre los datos registrados que dicha sociedad tiene bajo su custodia o posesión y tampoco frente a la supresión de los datos de la base de datos de la compañía.
DÉCIMO: Que con el fin de garantizar los derechos fundamentales de la sociedad NETGOSIT S.A.S identificada con Nit 900.886.785-1, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su representante legal y/ó apoderada vinculados al correo electrónico de notificación judicial de la sociedad juridico@brunalabogados.com quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. Ley 1437 de 2011. Norma vigente al momento de iniciar la actuación administrativa.
“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” En mérito de lo anterior, esta Dirección
RESUELVE
ARTÍCULO PRIMERO: CONFIRMAR íntegramente la Resolución N°44870 del 12 de julio de 2022 por las razones expuestas en la parte motiva de este acto administrativo.
ARTÍCULO SEGUNDO: CONCEDER el recurso de apelación interpuesto subsidiariamente por el recurrente y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO TERCERO: NOTIFICAR personalmente la presente decisión a la sociedad NETGOSIT S.A.S identificada con Nit 900.886.785-1 en calidad de recurrente, a través de su representante legal y/o apoderado, entregándoles copia de este acto administrativo, advirtiéndoles que contra la presente decisión no procede recurso alguno.
ARTICULO CUARTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Avenida Carrera 7 # 31 A - 36 pisos 3 y 3a en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 25 NOVIEMBRE 2022 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUNOZ SALAZAR MUNOZ Fecha: 2022.11.25 14:28:10 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: YLAC Revisó: AMCC Aprobó: CESM NOTIFICACION: Investigada: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: NETGOSIT S.A.S Nit 900.886.785-1 DIANA CAROLINA RIASCOS VALENCIA C.C. 38.667.440 Calle 38 Norte #6-35, Bodega 2 Cali – Valle del Cauca gerencia@netgosit.com Apoderada: Identificación: Correo electrónico: ALEXANDRA NAYIBE BRUNAL OBREGÓN C.C. 1.067.847.529 juridico@brunalabogados.com7 7 Expediente virtual.
Consecutivo 76. Página 2 (folio 7).