Resolución sancionatoria N° 64884 de 2020

(15 OCTUBRE 2020) VERSIÓN PÙBLICA “Por la cual se imponen unas sanciones” Radicación 18-238043 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad SOLUCIONES VIDA FACIL S.A.S identificada con Nit 901.081.770-8, en adelante “la investigada”, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos narrados por el señor XXXXXXXXXXXX identificado con la cédula de ciudadanía número XXXXXXXXXXX: 1.1 El denunciante señaló que: “El día 25 de agosto de 2018, recibí una llamada telefónica de SOLUCIONES VIDA FACIL S.A.S, mediante la cual, me solicitaron la confirmación de mis datos personales, a saber: número telefónico, nombres y apellidos completos, número de la cédula de ciudadanía, número cíe mi TARJETA DE CREDITOMASTERCARD, domicilio, entre otros.” 1.2 De igual manera el titular afirmó que:” Una vez confirmé mis datos, el agente comercial de SOLUCIONES VIDA FACIL S.A.S, procedió a comunicarme de una manera muy confusa, que tenía acceso a un beneficio de exoneración de la cuota de manejo de la TARJETA DE CREDITO (…)” 1.3 Así mismo, expuso que: (…) no obstante aproximadamente una semana después llego a mi casa una comunicación remitida por la empresa SOLUCIONES VIDA FACIL S.A.S, donde se me informa de la supuesta suscrición (sic) de un contrato entre ellos y yo.

(…)” 1.4 Informó a esta Superintendencia que: “Es inaceptable que la empresa SOLUCIONES VIDA FACIL S.A.S tenga acceso a mis datos personales como los son; número celular, nombres y apellidos completos, número de la cédula de ciudadanía, número de la tarjeta de crédito antes referida, domicilio, entre otros; cuando tales datos no han sido suministrado (sic) a la empresa en mención, como tampoco a otra entidad que no sea COMPAÑÍA DE FINANCIAMIENTO TUYA S.A.Entidad que, vale resaltar, no ha sido autorizada para suministrar información relacionada con mis datos personales,” 1.5 Concluyó su denuncia manifestando lo siguiente: (…) con todo lo anterior, estoy dispuesto a utilizar todos mecanismos legales dispuestos para la protección de mis derechos, impetrando ante las autoridades competentes las acciones pertinentes, como la Superintendecia (sic) de Industria y Comercio, Fiscalía General de la Nación o Superintendencia Financiera de Colombia.”

SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: (i) El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, (ii) El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, y el artículo 2.2.2.25.2.3 ejúsdem, (iii) El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1. ejúsdem y, HOJA N 2, “Por la cual se imponen unas sanciones” (iv) El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.

El día 23 de julio de 2019, se inició la presente investigación administrativa mediante la expedición de la Resolución No. 30003 de 23 de julio 20191 por medio de la cual se formularon 4 (cuatro) cargos al SOLUCIONES VIDA FACIL S.A.S identificada con Nit 901.081.770-8.

TERCERO: Que la Resolución 30003 del 23 de julio 2019, fue notificada mediante aviso 12159 del 6 de agosto 2019, a la señora YURI CAROLINA GÓMEZ PINEDA en representación de la sociedad SOLUCIONES VIDA FACIL S.A.S, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, radicada bajo el número 18-238043- -20 del 28 de noviembre 2019.

CUARTO: Que, mediante escrito radicado bajo el número 18-238043-00017-0001 de fecha 14 de agosto 2019, la sociedad SOLUCIONES VIDA FACIL S.A.S presentó escrito de descargos a través de su representante legal YURY CAROLINA GOMEZ PINEDA manifestando, entre otras cosas, lo siguiente: 4.1 En primer lugar, se refiere a los antecedentes de la presente actuación administrativa así: (…) Con relación a lodenunciado (sic) por el señor XXXXXXXXXXXXXXXXXXX, esta sociedad manifiesta que: 1.

Es cierto que el 25/08/2018, nuestra fuerza de venta se comunicó con el denunciante. 2. No es cierto, que se le solicitó confirmación de todos los datos enunciados, toda vez, que la información que reposa en nuestra base de datos como se manifestó en el oficio cuyo radicado es 18-238043-00008 -0001 de fecha 29 de marzo del 2019 es el nombre completo y el número de celular.

Es decir, XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX 3. De tal manera, que no nos consta lo que dice el denunciante, así mismo, el ciudadano no aporta prueba de lo que afirma y, en consecuencia, de conformidad con el debido proceso, no se puede indilgarresponsabilidad (sic) alguna a la sociedad sin ninguna prueba de ello. 4. Respecto al numeral 1.2, reiteramos que la única información que tenemos que el señor XXXXXXXXXXXXXXXXXXXX, es su nombre y número de teléfono. 5.

Ahora bien, el señor XXXXXXXXXXXXXXXXXXXXXXXXXXX, manifiesta de manera libre y espontánea que: De tal manera, que es claro y evidente que si alguien debe responder por presunta la fuga de información y la presunta transgresión en calidad de responsable de datos, por las malas prácticas en la privacidad que^ dicen tener en la información de sus clientes financieros es la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A donde el denunciante entregó TODA la información objeto de la reclamación. 6.

Es cierto que la compañía que represento realizó el contacto con el señor XXXXXXXXXXXXXXXXXXXXXX con el fin de ejercer una labor comercial que le fue debidamente explicada y detallada al quejoso y con la cual se haría acreedor a un paquete - portafolio de servicios y descuentos. Y fue el mismo quien expresamente aceptó la adquisición del portafolio, acepto el cargo a su Tarjeta de Crédito y además suministro TODOS LOS DATOS PERSONALES Y DE SU TARJETA (Anexo 1 - CD con el audio de la llamada, donde queda completamente claro lo detallado). aprobó, HIZO LAS PREGUNTAS CORRESPONDIENTES y SUMINISTRO SUS DATOS PARA LA NEGOCIACION (como queda corroborado en el audio aportado a la presente contestación y donde está grabada toda la conversación) 7.

Las pretensiones del señor XXXXXXXXXXXXXXXXXXXXXX, es clara y expresa: Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se inicia una investigación administrativa y se formulan cargos”, radicada bajo el número 18-238043-00012 del 25 de julio de 2019. HOJA N 3, “Por la cual se imponen unas sanciones” 4.2 Por otro lado, hace mención de la naturaleza jurídica de SOLUCIONES VIDA FÁCIL. S.A.S., y sostiene que: “En consecuencia, los datos de carácter financiero fueron suministrados a la COMPAÑÍA TUYA S.A es importante señalar que la empresa SOLUCIONES VIDA FÁCIL. S.A.S no es una empresa de servicios financieros, ni recolecta información para tal fin.

Como se evidencia en nuestro objeto social y en las actividades económicas que desarrollamos. (…)” 4.3 De otra parte, manifiesta su desacuerdo frente a los cargos formulados por esta Dirección, expresando que: (…) La dirección de investigación está indilgando un cargo, que no tiene sustento probatorio, pues en el oficio respondido a la coordinadora de grupo de trabajo de investigaciones administrativas radicado: 18238043—00008-0001 del 29 de marzo del 2019, se le preguntó a nuestra sociedad: 5.

Aclare al despacho si el tratamiento que realiza a las bases de datos que tiene almacenadas lo hace en calidad de responsable y /o encargado. A lo que nuestra sociedad respondió: "Hay bases de datos que la tenemos en calidad de responsables y otras en calidad de encargado" Es claro que nunca se nos preguntó si el dato del señor XXXXXXXXXXXXXXXXXXXXX, lo teníamos en calidad, de responsable y/o encargado.

Puesto, que no pueden generalizar para toda la información que hoy tiene nuestra sociedad. HOJA N 4, “Por la cual se imponen unas sanciones” Ahora bien, el cargo formulado asegura que en este caso la información del denunciante la poseemos en calidad de responsable, situación que no se prueba ni en el expediente, ni en las declaraciones del denunciante, ni en la comunicación oficial de nuestra sociedad.

Se presume por la narración de los hechos y las pruebas aportadas por las partes, que El responsable para el tratamiento de datos del señor XXXXXXXXXXXXXXXXX, es como el mismo lo manifestó es la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A Ahora bien, dice la norma, Artículo 3o. Definiciones. Para los efectos de la presente ley, se entiende por: a) Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales; b) Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento; c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables; d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento; e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos; f) Titular: Persona natural cuyos datos personales sean objeto de Tratamiento; g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión. Tal como se manifestó en oficio respondido a la coordinadora de grupo de trabajo de investigaciones administrativas radicado: 18-238043—00008-0001 del 29 de marzo del 2019.

Lo anterior, en virtud de los datos que suministran los ciudadanos, y que autorizan su tratamiento, tiene el alcance legal permitido: a la recolección, almacenamiento, uso, circulación o supresión de los mismos y cuyo procesamiento sea utilizando medios tecnológicos o manuales. Frente a los cargos, sustentando TODOS, en la presuntas vulneraciones y transgresiones, reiteramos claramente que se nos está indilgando la calidad de responsable de datos, cuando el denunciante dijo claramente que el responsable de su tratamiento de datos, es la COMPAÑÍA TUYA S.A. la cual también manifestó que es la responsable del tratamiento de datos. 4.4 Finalmente, realiza las siguientes peticiones y relaciona como fundamentos jurídicos la sentencia C-341/14 del 04 de junio de 2014, así: II.

ARGUMENTOS DE DEFENSA HOJA N 5, “Por la cual se imponen unas sanciones” Revisados los antecedentes del proceso administrativo, que formula el pliego de cargo contra SOLUCIONES VIDA FÁCIL S.A.S. me permito presentar y sustentar probatoriamente las razones por las cuales se debe reponer y/o en su lugar revocar, (sic) La Corte Constitucional mediante sentencia C-341/14 del 04 de junio de 2014, define el Derecho al debido proceso, como el conjunto de garantías previstas en el ordenamiento jurídico, a través de las cuales se busca la protección del individuo incurso en una actuación judicial o administrativa, para que durante su trámite se respeten sus derechos y se logre la aplicación correcta de la justicia, garantías entre las cuales me permito resaltar: "...

Hacen parte de las garantías del debido proceso: (sic) (iii) El derecho a la defensa, entendido como el empleo de todos los medios legítimos y adecuados para ser oído y obtener una decisión favorable. De este derecho hacen parte, el derecho al tiempo y a los medios adecuados para la preparación de la defensa; los derechos a la asistencia de un abogado cuando sea necesario, a la igualdad ante la ley procesal, a la buena fe y a la lealtad de todas las demás personas que intervienen en el proceso;

" (Negrilla y Subrayado fuera de texto). El derecho constitucional al debido proceso, considera como parte del mismo, el conocer las razones por las cuales como en el caso concreto se está siendo investigado, pues a pesar del momento procesal en que nos encontramos y la garantía de recurrir la decisión, la formulación de cargo, indilga una responsabilidad a la sociedad SOLUCIONES VIDA FÁCIL S.A.S y no contempla la posibilidad que de la fuga de información sea por parte de la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. Que claramente la sociedad, manifestó que realiza contrato de alianza con diferentes empresas para el tratamiento de datos, y no indicó que tenga algún vínculo contractual COMPAÑÍA DE FINANCIAMIENTO TUYA S.A. Que el denunciante dice que sus datos de nombre, dirección, teléfono y correo electrónico sólo los suministró a la COMPAÑÍA DE FINANCIMIENTO TUYA S.A, pero esto es absolutamente, imposible pues el denunciante, como es evidente tiene una vida comercial activa, situación que claramente posibilita que estos datos, lo tenga su compañía de teléfono móvil, las centrales de riesgos, las empresas de servicios públicos, la empresas comerciales donde el denunciante realiza compras entre otros, que las pruebas en el expedientes no prueban la existencia de las conductas endilgadas por el quejoso en nuestra contra.

En consecuencia y de acuerdo con los antecedentes aportados al presente recurso, solicito respetuosamente se reponga la Resolución No. 30003 del 23 de julio de 2019 pueslos (sic) cargos formulados son contrarios a los hechos probados con las pruebas aportadas a la presente. En el evento de que no se reponga la citada Resolución, solicito respetuosamente una vez que se valore una vez más cada cargo formulado de conformidad con el presente descargo presentado.

QUINTO: Que mediante Resolución 37547 del 13 de julio de 20202, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 18-238043. En el mismo acto administrativo, se declaró agotada la etapa probatoria y se corrió traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

SEXTO: Que la Resolución 37547 del 13 de julio de 2020 fue comunicada el 27 de julio de 2020 mediante aviso 15477 a la sociedad SOLUCIONES VIDA FACIL S.A.S según consta en la certificación expedida por la secretaria general Ad-Hoc de esta Superintendencia visible en el expediente radicada bajo el número 18-238043- -26 del 19 de agosto de 2020.

Que, una vez vencido el término de diez (10) días hábiles otorgados por este despacho, la sociedad investigada SOLUCIONES VIDA FACIL S.A.S, guardó silencio.

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

OCTAVO: Análisis del caso Resolución 37547 del 13 de julio de 2020 radicado bajo el número 18-238043-00021 del 15 de julio de 2020. HOJA N 6, “Por la cual se imponen unas sanciones” 8.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20113, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que, pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: i. El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

De conformidad con los hechos alegados por el reclamante y el acervo probatorio que obra en el expediente, se puede establecer que las conductas desplegadas por las investigadas se concretan en posible transgresión a los siguientes estamentos normativos: 8.2 (i) El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, (ii) El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, y el artículo 2.2.2.25.2.3 ejúsdem, (iii) El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1. ejúsdem y, (iv) El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.

Valoración probatoria y conclusiones A continuación, se realizará un análisis de cada uno de los cargos imputados a las sociedades investigadas en la presente actuación, así como del acervo probatorio recaudado, para determinar si las conductas denunciadas constituyen infracción al Régimen de Protección de Datos Personales. 8.2.1 Del deber del Responsable del Tratamiento de contar con la autorización previa y expresa de los Titulares El artículo 15 de la Constitución Política establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base datos.

At respecto la Corte Constitucional mediante sentencia C- 748 de 2011, ha señalado lo siguiente: "Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.

Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011 ).

HOJA N 7, “Por la cual se imponen unas sanciones” consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente. El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad.

En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su 'imagen informática". Los principios rectores, además, deben confluir en cuanto a su aplicación con Los deberes y derechos contenidos en la Ley 1581 de 2012, específicamente en el presente caso, es relevante mencionar los deberes que tienen los Responsables de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

Al respecto, la Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realiza el análisis constitucional de la Ley estatutaria 1581 de 2012, manifestó: "De conformidad con la jurisprudencia de esta Corporación, dentro de las prerrogativas contenidos mínimos- que se desprenden de este derecho encontramos por lo menos las siguientes: (i) el derecho de las personas a conocer -acceso- la información que sobre ellas están recogidas en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información;

(ii) el derecho a incluir nuevos datos con el fin de se provea una imagen completa del titular; (iii) el derecho a actualizar la información, es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada o corregida, de tal manera que concuerde con la realidad;

(v) el derecho a excluir información de una base de datos, bien por que se está haciendo un uso indebido de ella, o por simple voluntad del titular-salvo las excepciones previstas en la normativa." A su turno Decreto Único Reglamentario 1074 de 2015 estableció en los artículos 2.2.2.25.2.2 que: “El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso. entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y l a finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar aI momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento." (Subrayado fuera de texto). En el caso bajo estudio, la investigación administrativa tuvo lugar en virtud de la denuncia presentada por el Titular de la información, en la que señala que recibió una llamada mediante la cual le solicitaron confirmación de datos personales sin contar con autorización previa.

Consecuencia de la referida denuncia, esta Dirección solicitó información preliminar a la sociedad SOLUCIONES VIDA FACIL S.A.S mediante escrito radicado bajo el numero 18-238043-3-1 del 22 de octubre de 2018, con el propósito de que informara, entre otras cosas, lo siguiente: (…) 3. En los términos del artículo 9 de la ley 1581 de 2012 ¿Cuenta con autorización expresa, previa e informada del titular XXXXXXXXXXXXXXXXXXXX, para el tratamiento de sus datos personales? En caso de ser afirmativa su respuesta, remitir copia del formulario y/o formato mediante el cual se realiza este procedimiento y se informa al titular la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, aporte si informa las finalidades” HOJA N 8, “Por la cual se imponen unas sanciones” En respuesta al citado requerimiento, la sociedad investigada, mediante escrito radicado bajo el número 18-238043-0008- 0001 del 29 de marzo de 2019, informó lo siguiente: (…) “NO. Toda vez, que en las autorizaciones y formatos que el señor XXXXXXXXXXXXXXXXXXXXXXXXXXXX, diligencia con otras entidades deja expreso también la posibilidad de que sus datos sea suministrado a otra entidad, es decir a fuente de recolección de datos pueden venir desde una simple autorización para participar en una rifa de una encuesta de satisfacción y o la adquisición de un producto.” En virtud de lo expresado por la sociedad investigada, al señalar que no cuenta con la autorización previa del titular para el tratamiento de sus datos personales, se procedió a formular el presente cargo.

Ahora bien, en el escrito de descargos radicado bajo el número 18-238043- -00017-0001 de fecha 14 de agosto de 2019, la sociedad investigada frente a este cargo manifestó lo siguiente: “Ahora bien, el cargo formulado asegura que en este caso la información del denunciante la poseemos en calidad de responsable, situación que no se prueba ni en el expediente, ni en las declaraciones del denunciante, ni en la comunicación oficial de nuestra sociedad.

Se presume por la narración de los hechos y las pruebas aportadas por las partes, que El responsable para el tratamiento de datos del señor XXXXXXX XXXXXXX, es como el mismo lo manifestó es la COMPAÑÍA DE FINANCIAMIENTO TUYA S.A” Sin embargo, advierte esta Dirección, que en el curso de las averiguaciones preliminares adelantadas por el Grupo de Trabajo de Investigaciones Administrativas, mediante escrito radicado bajo el número 18-238043-00005-0001 del 15 de noviembre de 2018 la sociedad COMPAÑÍA DE FINANCIAMIENTO TUYA S.A manifestó lo siguiente: “8.

Sírvase manifestar si le ha cedido o transferido la información personal almacenada en sus bases de datos a la sociedad SOLUCIONES VIDA FÁCIL S.A.S. • No, nuestra Compañía no ha cedido o transferido datos de nuestros clientes con dicha sociedad ni al mencionado establecimiento. Asimismo, aclaramos que mi representada tampoco posee vínculos contractuales con dichas entidades.

Así las cosas, resulta importante resaltar que TUYA S.A. en su condición de entidad financiera, emite cupos de crédito que pueden ser utilizados para la adquisición de bienes o servicios en diferentes establecimientos y tiene establecidas una serie de políticas y procedimientos internos encaminados a proteger la información personal de cada uno de nuestros clientes, en desarrollo del deber de "Reserva Bancaria" que nos asiste al ser una entidad financiera.” Así las cosas, para esta instancia no se ha acreditado la existencia de vínculo alguno entre la sociedad investigada y un tercero que le hubiese entregado la información a título de Encargado del tratamiento de datos personales.

Lo anterior se ratifica al verificar el contenido de la grabación telefónica aportada a la presente causa, en la cual se aprecia que la representante de la investigada le informa al titular en el minuto 9:07 a 9:154 lo que a continuación se cita “somos una entidad netamente comercial que no representamos ninguna entidad bancaria ni financiera”.

De esta manera, está plenamente acreditada la calidad de Responsable del tratamiento que ostenta la sociedad SOLUCIONES VIDA FACIL S.A.S en relación con la administración de la información del titular XXXXXXXXXXXXXXXXXXXXX, conforme a la definición dada por el artículo 3 de la Ley 1581 de 2012. Sentado lo anterior, descendiendo a los hechos materia de investigación para el cargo que nos ocupa, se observa que en la comunicación aportada como prueba mediante grabación de llamada en los minutos 4:30 y 4:425, que la representante de la sociedad SOLUCIONES VIDA FACIL S.A.S, le informa al señor XXXXXXX que: “le recuerdo que usted nos está autorizando a tomar su información y que está siendo protegido por la ley 1581 de 2012 de habeas data donde nuestra empresa se compromete a proteger sus datos ”, advierte esta Dirección que dichas manifestaciones no suplen en modo alguno la obligación que le asiste al Responsable de solicitar y conservar copia de la autorización previa para el tratamiento de datos personales del titular, conforme lo establece el literal b) del artículo 17 de la Ley 1581 del 2012.

Grabación de llamada mediante CD incluido en escrito de descargos radicado bajo el numero18-238043-00017-0001 de fecha 14 de agosto 2019. Grabación de llamada mediante CD incluido en escrito de descargos radicado bajo el numero18-238043-00017-0001 de fecha 14 de agosto 2019. HOJA N 9, “Por la cual se imponen unas sanciones” En este orden de ideas, teniendo en cuenta que la sociedad manifestó que únicamente recolectó el número telefónico6 del denunciante y realizó tratamiento del mismo, en la medida en que lo contactó por este medio para ofrecer sus servicios, sin mediar autorización previa del titular, es importante resaltar que, mediante grabación de llamada7 aportada por la sociedad, se evidenció que también se obtuvieron datos como, dirección de residencia y datos de su tarjeta de crédito, sin el consentimiento del titular, así las cosas, esta Dirección procederá a analizar en primer lugar la naturaleza del dato objeto de estudio, de la siguiente forma: Del número telefónico, dirección de residencia y datos de tarjeta de crédito, como datos personales.

Para determinar el alcance del concepto de “dato personal”, es necesario traer a colación la definición dada por el literal c) del artículo 3 de la Ley 1581 de 2012, de acuerdo con el cual, el dato personal es “(c)ualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables”. Para la Corte Constitucional, el dato personal goza de las siguientes características en contraposición al dato impersonal: “i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercer de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.”8 Los datos de contacto como el número de la línea móvil celular o el de la línea fija, dirección de residencia y datos de tarjeta de crédito, estos también pertenecen al ámbito privado de la persona.

Para el caso puntual de las líneas de telefonía móvil, las cuales funcionan a través de dispositivos electrónicos, se configura como un hecho notorio que estas se han convertido en una de las herramientas más íntimas de la mayoría de las personas. Hoy en día, el número de la línea móvil celular se encuentra vinculada, cada vez más, con aplicaciones y servicios en línea que están profundamente relacionados con la vida personal de un determinado individuo, ameritando un especial cuidado, manejo y respeto.

Por lo anterior, solo si el Titular, consiente que el número asignado a su línea móvil celular personal sea registrado en un archivo de libre circulación, este podrá ser incorporado en dicha pieza y ser divulgado masivamente, pues en este punto el Titular habrá ejercido su derecho a la autodeterminación informativa, de tal forma que el Responsable de la publicación de la información ya no será garante del uso que terceros puedan hacer del dato.

Sin embargo, es necesario precisar que a pesar de que se divulgue el número telefónico personal de un titular, no cambia la naturaleza del dato, esto es, no pierde su carácter de dato personal de naturaleza privada, por lo que su tratamiento estará limitado a la autorización que el titular otorgue para la finalidad que le haya sido informada y frente a la cual haya manifestado su consentimiento.

Por lo mencionado, es claro que los números de líneas telefónicas, sean fijas o móviles, tienen la connotación de dato personal al poder asociarse a una persona natural, por lo que su tratamiento es regulado por la Ley 1581 de 2012 y la vigilancia y control del mismo es competencia de este Despacho. Ahora bien, es importante determinar si el uso del número telefónico, dirección de residencia y datos de tarjeta de crédito requiere la autorización de su Titular, a la luz de la clasificación de los datos personales elaborada por la jurisprudencia y recogida en la Ley 1266 de 2008 9, entonces, según el artículo 3 de la citada ley, los datos personales se clasifican de la siguiente forma: (…) Respuesta a requerimiento de información solicitado por el grupo de investigaciones administrativas radicado bajo el número 18-238043-000080001 del 29 de marzo de 2019. 7 Grabación de llamada mediante CD incluido en escrito de descargos radicado bajo el numero18-238043-00017-0001 de fecha 14 de agosto 2019.

Sentencia C-748 de 2011 Por la cual se dictan disposiciones generales del Hábeas Data y se regula el manejo de la información contenida en bases de d atos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países”. HOJA N 10, “Por la cual se imponen unas sanciones” e) Dato Personal. Es cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica.

Los datos impersonales no se sujetan al régimen de protección de datos de la presente ley. Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal. Los datos personales pueden ser públicos, semiprivados o privados; f) Dato público. Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados de conformidad con la presente ley.

Son públicos entre otros los datos contenidos en documentos públicos, sentencias Judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas; g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su Titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Titulo IV de la presente ley. h) Dato privado.

Es el dato que por su naturaleza intima o reservada sólo es relevante para el Titular. (…) Por su parte, en la Sentencia C-1011 de 2008, la Corte Constitucional declaró la norma exequible en el siguiente entendido: "El dato público, en los términos de la norma estatutaria: corresponde a aquellos que sean calificados de esa manera por la Constitución y la ley, al igual que todos los que no estén incluidos en las categorías de datos semiprivados y privados.

El legislador prevé dentro de la categoría en comento a los documentos públicos, las sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva y los relativos al estado Civil de las personas.” Los datos semiprivados corresponden a aquellos que no tienen naturaleza Intima, reservada, ni pública y que, por ende, su conocimiento puede interesar no solo a su Titular sino a cierto sector o grupo de personas o a la sociedad en general.

Ejemplo de esta categoría es el dato financiero y crediticio de actividad comercial o de servicios, el que, como se ha indicado insistentemente en esta decisión, es el objeto de regulación del Proyecto de Ley. Por último, el dato privado es aquel que por su naturaleza intima o reservada solo es relevante para el Titular.” De acuerdo lo anterior, el número telefónico, dirección de residencia y datos de tarjeta de crédito del señor XXXXXXXXXXXXXXXX, está catalogado como un dato de naturaleza semiprivada, razón por la cual, previo al tratamiento del dato personal, debe solicitar y conservar copia de autorización previa, expresa e informada10 otorgada por el titular de la información, a más tardar en el momento de la recolección de datos y por un medio que pueda ser objeto de consulta posterior.

Continuando con los argumentos expuestos por la representante legal de la entidad investigada, quien señala que “El derecho constitucional al debido proceso, considera como parte del mismo, el conocer las razones por las cuales como en el caso concreto se está siendo investigado “, en el caso concreto, esta Dirección garantizó y respetó el debido proceso a la sociedad SOLUCIONES VIDA FACIL S.A.S, pues mediante Resolución 30003 de 23 de julio 201911 debidamente notificada, se señalaron de manera clara y expresa los argumentos fácticos y jurídicos en los que se basó dicha formulación. Por todo lo expuesto, así como del material probatorio obrante en el expediente y de los argumentos expuestos por el denunciado, este Despacho concluye que, con respecto al primer cargo, no fue desvirtuado el incumplimiento del deber que como Responsable del tratamiento le asiste a la sociedad SOLUCIONES VIDA FACIL S.A.S de contar con la autorización previa y expresa del Titular, conforme lo prevé, el literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, motivo por el cual se impondrá sanción de una multa correspondiente a: UN MILLON SEISCIENTOS DOS MIL TRESCIENTOS QUINCE PESOS M/CTE ($ 1.602.315) equivalente a cuarenta y cinco ( 45) en UVT Unidades de Valor Tributario.

“Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular…” Cfr Ley 1581 de 2012, artículo 4, literal c) Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se inicia una investigación administrativa y se formulan cargos”, radicada bajo el número 18-238043-00012 del 25 de julio de 2019.

HOJA N 11, “Por la cual se imponen unas sanciones” Dicho lo anterior, esta Dirección encuentra, adicionalmente, procedente imponer la sanción prevista en el literal b) del artículo 23 de la Ley 1581 de 2012, consistente en la suspensión de las actividades relacionadas con el tratamiento de datos personales por el término de 3 (tres) meses, entre tanto la sociedad investigada acredite que ha adoptado las siguientes acciones correctivas: • • Implementar un mecanismo efectivo para obtener la autorización previa expresa e informada de los titulares.

Suprimir, de manera definitiva, de sus bases de datos la totalidad de los datos personales que no hayan sido obtenidos y tratados con el consentimiento de su respectivo titular. 8.2.2 Respecto del deber de informar al titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. Sea lo primero aclarar, que el principio de finalidad que se traduce en el deber de informar al Titular lo que se pretende hacer con su información, se encuentra contenido en el artículo 17 de la Ley 1581 de 2012, así: Ley 1581 de 2012 "Artículo 17.

Deberes de los Responsables del Tratamiento Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: ( ) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;

Como puede observarse, el principio de finalidad, que se encuentra íntimamente ligado al principio de libertad, impone unos límites al tratamiento de los datos que estén siendo administrados por el Responsable; dichos limites se derivan de la naturaleza de la información y del uso que se dará a los datos recolectados. En palabras de la Corte Constitucional "( ) tanto el acopio, el procesamiento y la divulgación de los datos personales, debe obedecer a una finalidad constitucionalmente legitima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista ( ) 12.

Dicho principio se hace efectivo al momento en que se solicita autorización al Titular, pues es allí en que esta se cumple el término máximo para informarle al Titular los fines de la recolección de su información, ya que como lo dispuso el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 201513 "el Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento".

Por lo indicado, en el momento en que se solicita información al titular se le debe informar: (i) el Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo (ii) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes (iii) los derechos que le asisten como titular y;

(iv) la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. Ahora bien, abordando estos aspectos la Corte Constitucional en sentencia de constitucionalidad C- 748 de 2011, expuso lo siguiente: "( ) La definición establecida por el legislador estatutario responde a uno establecidos por la Corporación para el manejo de las bases de datos.

Sin e hacerse algunas precisiones. Por una parte, los datos personales deben ser procesados con un propósito específico y explícito. En ese sentido, la finalidad no solo debe ser legitima, sino que la referida información se destinara a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá Corte Constitucional, sentencia C-748 de 2011.

M.P. María Victoria Calle Correa. Norma que compiló el Decreto 1377 de 2013 "Por el cual se reglamenta parcialmente la Ley 1581 de 2012” HOJA N 12, “Por la cual se imponen unas sanciones” recopilarse datos sin la clara especificación acerca de la finalidad de los mismos. Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular.

Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si este siendo usado para la finalidad por 61 autorizada. Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato. Así mismo, los datos personales deben ser procesados solo en la forma que afectada puede razonablemente prever.

Si, con el tiempo, el uso de los datos cambia a formas que la persona razonablemente no espera, debe consentimiento previo del titular. Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales no exceda del necesario para alcanzarla necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas ( )".

Con base en el marco normativo antes señalado, esta Dirección solicitó información preliminar a la sociedad SOLUCIONES VIDA FACIL S.A.S, mediante escrito radicado bajo el numero 18-2380437-1 del 18 de marzo de 2019, con el propósito de que informara, entre otras cosas, lo siguiente (…) remitir copia del formulario y/o formato mediante el cual se realiza este procedimiento y se informa al titular la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, aporte si informa las finalidades” En relación con lo anterior la sociedad investigada SOLUCIONES VIDA FACIL S.A.S mediante escrito radicado bajo el número 18-238043-0008-1, del 29 de marzo de 2019, informó que: “NO. Toda vez, que en las autorizaciones y formatos que el señor XXXXXXXXXXXXXXXXXXXXXXXXXXXXX, diligencia con otras entidades deja expreso también la posibilidad de que sus datos sea suministrado a otra entidad, es decir a fuente de recolección de datos pueden venir desde una simple autorización para participar en una rifa de una encuesta de satisfacción y o la adquisición de un producto.” Respecto lo anterior, la sociedad afirmó que no cuenta con el formato a través del cual informe al titular de la información sobre las finalidades para las cuales se realizaba la recolección de sus datos personales; razón por la cual, este Despacho dio inicio a la presente investigación administrativa y le formuló cargos a la sociedad SOLUCIONES VIDA FACIL S.A.S. En el escrito de descargos radicado bajo el número 18-238043- -00017-0001 de fecha 14 de agosto de 2019, encuentra esta Dirección que la sociedad investigada frente a este cargo no hizo pronunciamiento particular alguno y tampoco aportó prueba de que hubiere informado de manera clara y expresa la finalidad dispuesta para el tratamiento de datos personales.

De manera pues, que queda acreditado el incumpliendo lo dispuesto en el literal c) del artículo 17 de la ley 1581 de 2012. Así las cosas, en el caso en concreto se tiene que la sociedad, no acreditó ante esta Dirección el cumplimiento del deber de que le asiste, en su calidad de Responsable del Tratamiento de informar al Titular, de manera previa, la finalidad o finalidades al que serían sometidos los datos recolectados, ni los derechos que como titular de la información le asistía, razón por la cual quedó demostrado que la sociedad SOLUCIONES VIDA FACIL S.A.S incumplió con el deber contenido en el literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, y el artículo 2.2.2.25.2.3 ejúsdem, motivo por el cual se impondrá sanción de multa correspondiente a: UN MILLON SEISCIENTOS DOS MIL TRESCIENTOS QUINCE PESOS M/CTE ($ 1.602.315) equivalente a cuarenta y cinco ( 45) en UVT Unidades de Valor Tributario.

Dicho lo anterior, esta Dirección encuentra, adicionalmente, procedente imponer la sanción prevista en el literal b) del artículo 23 de la Ley 1581 de 2012, consistente en la suspensión de las actividades relacionadas con el tratamiento de datos personales por el término de 3 (tres) meses, entre tanto la sociedad investigada acredite que ha adoptado las siguientes acciones correctivas: • Implementar un mecanismo efectivo para informar previamente a los titulares sobre las finalidades del tratamiento de la información. HOJA N 13, “Por la cual se imponen unas sanciones” 8.2.3 del deber de desarrollar e implementar un procedimiento para la recolección, almacenamiento, uso circulación y supresión de la información. La corte constitucional en la sentencia C 748 de 2011 mediante la cual realiza el análisis constitucional de la ley estatutaria 1581 de 2012, manifestó: “En el proyecto de ley estatutaria el legislador enlistó en preceptos separados los deberes de los responsables y de los encargados del tratamiento, deberes que, en términos generales, buscan garantizar el pleno ejercicio del derecho al habeas data por parte de los titulares, así como los principios de la administración de datos personales.

(…) Tanto el responsable como el encargado del tratamiento tienen responsabilidades claras, concretas y precisas frente al titular del dato, por cuanto ambos sujetos están obligados a garantizar el ejercicio pleno y efectivo del derecho al habeas data, el cual se irradia por todos los principios que rigen el tratamiento de datos, en donde el titular dispone de todos los medios para lograr la actualización, rectificación y supresión o cancelación de la información, según lo analizado en el acápite anterior.

En estos términos, tanto el responsable como el encargado del tratamiento tienen una responsabilidad concurrente frente a la veracidad, integridad, finalidad e incorporación del dato, si se tiene en cuenta que la recolección y procesamiento de datos no es una actividad neutra que impida al encargado del tratamiento responder, incluso por la veracidad de la información sujeta a proceso, pues a éste le corresponde cerciorarse que se cumplan los requisitos para que un dato personal pueda ser objeto de tratamiento, y si no fuere posible identificar de forma clara la posición de uno y otro, tendrán que responder de forma solidaria y no podrán excusar sus deberes de actualización, rectificación y exclusión o supresión del dato.” Así las cosas, los responsables del tratamiento de la información deben garantizar el cumplimiento de los deberes contendidos en la Ley 1581 de 2012, que entre ellos, se expresó: Ley 1581 de 2012 "Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: ( ) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos".

Decreto 1074 de 2015 "Artículo 2.2.2.25.2.1. Recolección de datos personales. En desarrollo de los principios de finalidad y libertad, la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos conforme a la normatividad vigente. Salvo en los casos expresamente previstos en la ley, no se podrán recolectar datos personales sin autorización del Titular A solicitud de la Superintendencia de Industria y Comercio, los Responsables deberán proveer una descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso.

No se podrán utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales. ( ) Artículo 2.2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. HOJA N 14, “Por la cual se imponen unas sanciones” 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4.

Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso".

Al respecto, es necesario precisar que los aspectos analizados en el presente cargo, guardan relación a los procedimientos internos que debe adoptar los Responsables de la Información con el fin de garantizar la adecuada protección de los datos personales que trata, en virtud del desarrollo de sus actividades; estas actividades van encaminadas a que los responsables, desarrollen políticas internas efectivas que demuestren el cumplimiento de las obligaciones establecidas en la Ley 1581 de 2012 y en su Decreto Reglamentario.

Sobre el particular, se observa que según la Resolución 30003 del 23 de julio de 201914 el presente cargo se fundamenta en que: “para el presente caso, mediante comunicación radicada con el número 18238043-00008 del 29 de marzo de 2019 la investigada expresó que “No” cuenta con un manual donde se describan los procedimientos usado para la recolección, almacenamiento, uso y circulación y supresión de la información al interior de su organización(…).” Ahora bien, la sociedad investigada presentó descargos mediante escrito radicado bajo el número 18-238043- -00017-0001 de fecha 14 de agosto de 2019, sin embargo, no se pronunció ni controvirtió los hechos que fundamentan este cargo, pues no aportó copia del manual en el que se describan los procedimientos usados para la recolección, uso, circulación y supresión de la información, incumplimiento de los requisitos previstos en el artículo 2.2.2.25.6.1 del Decreto 1074 de 2015.

Así las cosas, en el caso en concreto encontramos que la sociedad SOLUCIONES VIDA FACIL S.A.S, no cuenta con un manual de procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de la información, incumplimiento a los preceptos dispuestos en la Ley 1581 de 2012 En consecuencia, para esta Dirección es claro que la sociedad SOLUCIONES VIDA FACIL S.A.S, Incumplió lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1. ejúsdem; motivo por el cual se impondrá sanción de multa correspondiente a: UN MILLON SEISCIENTOS DOS MIL TRESCIENTOS QUINCE PESOS M/CTE ($ 1.602.315) equivalente a cuarenta y cinco ( 45) en UVT Unidades de Valor Tributario.

Dicho lo anterior, esta Dirección encuentra, adicionalmente, procedente imponer la sanción prevista en el literal b) del artículo 23 de la Ley 1581 de 2012, consistente en la suspensión de las actividades relacionadas con el tratamiento de datos personales por el término de 3 (tres) meses, entre tanto la sociedad investigada acredite que ha adoptado las siguientes acciones correctivas: • Desarrollar e implementar un manual que contenga un procedimiento para la recolección, tratamiento, circulación, y supresión de la información de datos personales. 8.2.4 Respecto del deber de contar con un manual interno de políticas de seguridad.

Al respecto la Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realiza el análisis constitucional de la Ley estatutaria 1581 de 2012, manifestó: El legislador estatutario al regular de forma general la protección del dato personal, estaba facultado para señalar los términos en que los responsables y encargados del tratamiento del dato, públicos y privados, deben responder las consultas o peticiones que les eleve el titular del dato o sus causahabientes, con el fin de hacer exigibles entre otros, el derecho a conocer qué datos personales tiene un determinado banco Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se inicia una investigación administrativa y se formulan cargos”, radicada bajo el número 18-238043-12.

HOJA N 15, “Por la cual se imponen unas sanciones” de datos y la forma como éstos son manejados. Compatible con esto, los artículos 17, literal k) y 18 literal f) del proyecto, establecen como uno de los deberes del responsable y encargado del tratamiento del dato, el de adoptar un manual interno de políticas y procedimiento especialmente para la atención de las consultas y reclamos por parte de los titulares.

Igualmente, como una forma de lograr un mayor conocimiento por parte del titular de las bases de datos que operan en el país y cuáles pueden estar tratando su información, el proyecto crea el registro nacional de bancos de datos, artículo 25, el cual será objeto de análisis posteriormente. El literal k) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: "Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos ( ) Artículo 4.

Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: ( ) g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, perdida, consulta, uso o acceso no autorizado o fraudulento Decreto 1074 de 2015 Artículo 2.2.2.25.6.1.

Demostración. ( ) En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas: (…)” Igualmente, conforme al principio de legalidad en materia de datos personales, cualquier forma de tratamiento de información personal desde su recolección hasta su disposición final se encuentra orientada por las normas contenidas no solamente en la ley 1581 de 2012 sino también en la normatividad que sobre la materia se ha expedido, la cual, para el caso en particular, el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, prevé: “Artículo 2.2.2.25.6.1.

Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”: HOJA N 16, “Por la cual se imponen unas sanciones” Expuesto el marco normativo aplicable, es necesario precisar que los aspectos analizados en el presente cargo, guardan relación a los procedimientos internos que debe adoptar los Responsables de la Información con el fin de garantizar la adecuada protección de los datos personales que trata, en virtud del desarrollo de sus actividades; estas actividades van encaminadas a que los responsables, desarrollen políticas internas efectivas que demuestren el cumplimiento de las obligaciones establecidas en la Ley 1581 de 2012 y en su Decreto Reglamentario.

Por lo anterior, es preciso traer a colación lo dispuesto en el párrafo final del artículo 2.2.2.25.6.1 del Decreto Reglamentario 1074 de 2015, por cuanto prevé que " En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas." En consecuencia, la coordinación del Grupo de Trabajo de Investigaciones de esta Dirección requirió a la sociedad investigada, mediante escrito radicado bajo el número 18-238043-7-1 del 19 de marzo de 2019, con el propósito de que informara, entre otras cosas, lo siguiente: (…) Sírvase remitir copia del manual de políticas de seguridad.” En respuesta al citado requerimiento, la sociedad investigada, mediante escrito radicado bajo el número 18-238043-0008 del 29 de marzo de 2019, informó que: “(…) (…) Respecto lo anterior, este Despacho encontró, preliminarmente, que el referido documento no consiste en un Manual de Políticas de seguridad, pues claramente se evidencian una serie de cláusulas laborales, las cuales no garantizan de ninguna manera el adecuado cumplimiento de la Ley 1581 de 2012, exigido por el literal k) del artículo 17 de la Ley 1581 de 2012, razón por la cual, este Despacho aperturó la presente investigación administrativa y le formuló cargos a la sociedad SOLUCIONES VIDA FACIL S.A.S HOJA N 17, “Por la cual se imponen unas sanciones” Ahora bien, la sociedad presentó descargos mediante escrito radicado bajo el número 18-238043-00017-0001 del 14 de agosto de 2019, sin embargo, no se evidenció la implementación de un manual de políticas de seguridad, para el tratamiento de los datos personales recolectados, que cuenten con medidas efectivas y apropiadas para garantizar que la información de los titulares permanezcan bajo las condiciones de seguridad necesarias para impedir su adulteración, perdida, consulta, uso o acceso no autorizado, por parte de la sociedad SOLUCIONES VIDA FACIL S.A.S en calidad de responsable del tratamiento.

Dado lo anterior, la investigada no cumplió con lo estipulado en el artículo 2.2.2.25.6.1. del Decreto 1074 de 2015 “Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo(…)”, y tal como se explicó anteriormente, no se demostró ante esta Superintendencia la implementación de medidas apropiadas y efectivas, para cumplir a cabalidad las obligaciones dispuestas en la Ley 1581 de 2012.

En consecuencia, para esta Dirección es claro que la sociedad SOLUCIONES VIDA FACIL S.A.S Incumplió lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, motivo por el cual se impondrá sanción de multa correspondiente a: UN MILLON SEISCIENTOS DOS MIL TRESCIENTOS QUINCE PESOS M/CTE ($ 1.602.315) equivalente a cuarenta y cinco ( 45) en UVT Unidades de Valor Tributario.

Dicho lo anterior, esta Dirección encuentra, adicionalmente, procedente imponer la sanción prevista en el literal b) del artículo 23 de la Ley 1581 de 2012, consistente en la suspensión de las actividades relacionadas con el tratamiento de datos personales por el término de 3 (tres) meses, entre tanto la sociedad investigada acredite que ha adoptado las siguientes acciones correctivas: • Desarrollar y documentar un manual interno de Políticas de seguridad a través del cual se describan de manera detallada las medidas de seguridad para el Tratamiento de los datos personales, determinando cómo se efectuará el almacenamiento de la información en sus bases de datos y especificando las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad en la custodia de la información personal a cargo de la sociedad SOLUCIONES VIDA FACIL S.A.S, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, incluyendo archivos físicos, digitales y magnéticos.

NOVENO: Que el parágrafo del artículo 2 de la Ley 1581 de 201215 señala que los principios sobre protección de datos serán aplicables a todas las bases de datos incluidas las exceptuadas en el mismo artículo,. De ahí que es procedente solicitar a la investigada que garantice el cumplimiento del principio de responsabilidad demostrada desarrollado en el artículo 2.2.2.25.6.1 y subsiguiente del Decreto Único Reglamentario 1074 de 201516.

Al respecto, es oportuno resaltar lo conceptuado en la Resolución No. 83882 del 15 de noviembre de 2018, emanada del Despacho del Superintendente Delegado Para la Protección de Datos Personales, respecto de la responsabilidad de los administradores, acto administrativo en el que se señaló lo siguiente: Ley 1581 de 2012, artículo 2: “Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.

(…)

PARÁGRAFO. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal. En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley.” Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.6.1: Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectiv as para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta u na descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas. HOJA N 18, “Por la cual se imponen unas sanciones” “(…) 6.1. Responsabilidad de los administradores en materia de tratamiento de datos personales.

El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.

La efectividad de los derechos humanos es un asunta de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.

En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.

En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas.

Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la ley 222 de 1995 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias” (subrayamos) (…) Nótese que el artículo 24 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”.

DÈCIMO: De acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones: 10.1 En cumplimiento de lo dispuesto en el literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo HOJA N 19, “Por la cual se imponen unas sanciones” 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, deberá implementar un mecanismo efectivo para obtener la autorización previa expresa e informada de los titulares, de igual modo, Suprimir de manera definitiva, de sus bases de datos la totalidad de los datos personales que no hayan sido obtenidos y tratados con el consentimiento de su respectivo titular. 10.2 En cumplimiento de lo dispuesto en el literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, y el artículo 2.2.2.25.2.3 ejúsdem, deberá implementar un mecanismo efectivo para informar previamente a los titulares sobre las finalidades del tratamiento de la información. 10.3 En cumplimiento de lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1 ejúsdem, deberá desarrollar e implementar un manual que contenga un procedimiento para la recolección, tratamiento, circulación, y supresión de la información. 10.4 En cumplimiento de lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, deberá implementar un manual interno de Políticas de seguridad a través del cual se describan de manera detallada las medidas de seguridad para el Tratamiento de los datos personales, determinando cómo se efectuará el almacenamiento de la información en sus bases de datos y especificando las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad en la custodia de la información personal a cargo de la sociedad SOLUCIONES VIDA FACIL S.A.S, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, incluyendo archivos físicos, digitales y magnéticos.

De lo anteriormente ordenado la sociedad SOLUCIONES VIDA FACIL S.A.S, deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO PRIMERO: Imposición y graduación de la sanción 10.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIÓN ES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones es: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante HOJA N 20, “Por la cual se imponen unas sanciones” una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 17.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción sociedad como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanción es, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanción es, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanción es o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e sociedad dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: Multa en UVT De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional18 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sanciónador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas.

(…) (negrita añadida) HOJA N 21, “Por la cual se imponen unas sanciones” que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad” 19 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. También se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros20. La imposición de sanción es por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razón amientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”21.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia22. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sanciónatoria que se concreta en el artículo 2323 de la misma ley.

Asimismo, el artículo 24 de la Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e sociedad al hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales v igentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que s e hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva. HOJA N 22, “Por la cual se imponen unas sanciones” norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 10.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sanción ador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”24 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados25..” Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e sociedad al hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras s ubsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un pres unto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” HOJA N 23, “Por la cual se imponen unas sanciones” También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Así como, la conducta de la investigada durante el trámite de la investigación administrativa. Para el caso que nos ocupa, quedó demostrado que la sociedad SOLUCIONES VIDA FACIL S.A.S vulneró los deberes contemplados en: (i) El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, (ii) El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, y el artículo 2.2.2.25.2.3 ejúsdem, (iii) El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1. ejúsdem y, (iv) El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.

De acuerdo con lo anterior, es claro que la investigada vulneró los deberes que tiene los responsables del tratamiento de datos personales, por tal razón, se impondrá Una multa de SEIS MILLONES CUATROCIENTOS NUEVE MIL DOSCIENTOS SESENTA PESOS M/CTE ($6.409.260), equivalente a ciento ochenta UVT (180) unidades de valor tributario vigentes, adicionalmente, se impartirá la sanción prevista en el literal b) del artículo 23 de la Ley 1581 de 2012, consistente en la suspensión de las actividades relacionadas con el tratamiento de datos personales por el término de 3 (tres) meses, entre tanto la sociedad investigada acredite que ha adoptado las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo. 10.1.4 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

Tampoco se tendrá en cuenta el criterio de atenuación señalado en el literal f) por cuanto, la investigada no admitió la comisión de la infracción de los hechos materia de investigación DÉCIMO SEGUNDO: CONCLUSIÓN Se procederá a imponer una sanción por las siguientes razones: Se comprobó que la sociedad SOLUCIONES VIDA FACIL S.A.S infringió abiertamente las normas sobre protección de datos personales consagradas en: • El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, toda vez que la sociedad no aportó copia de la respectiva autorización previa e informada del Titular para el Tratamiento de la información. • El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, y el artículo 2.2.2.25.2.3 ejúsdem, por cuanto la sociedad investigada no demostró por ningún medio prueba mediante la cual acreditara HOJA N 24, “Por la cual se imponen unas sanciones” que informó las finalidades de la recolección de los datos personales, así como los derechos que le asisten al titular. • El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1. ejúsdem.

Al respecto, la sociedad no demostró que cuenta con la implementación de un manual en el que se describan los procedimientos usados para la recolección, uso, circulación y supresión de la información. • El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, por cuanto quedo plenamente demostrado que la sociedad no tenía implementado un manual de políticas de seguridad de la información. Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer una multa correspondiente SEIS MILLONES CUATROCIENTOS NUEVE MIL DOSCIENTOS SESENTA PESOS M/CTE ($6.409.260), equivalente a ciento ochenta UVT (180) unidades de valor tributario vigentes.

Adicionalmente, se impartirá la sanción prevista en el literal b) del artículo 23 de la Ley 1581 de 2012, consistente en la suspensión de las actividades relacionadas con el tratamiento de datos personales por el término de 3 (tres) meses, entre tanto la sociedad investigada acredite que ha adoptado las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO TERCERO: Que, en virtud de la situación actual, teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la sociedad SOLUCIONES VIDA FACIL S.A.S debe: (i) Enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando: número de radicado, nombre completo de la persona que va a consultar el expediente, número de identificación y correo electrónico autorizado;

Una vez reciba respuesta positiva respecto de la solicitud de acceso, la sociedad debe registrarse en servicios en línea link https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo link posteriormente al registro puede consultar el expediente de manera digital. (ii) No obstante, en aras de garantizar los derechos de defensa y contradicción de la sociedad investigada, en el caso en que la misma considere necesario el acceso del expediente en físico, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá. Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.

En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER a la sociedad SOLUCIONES VIDA FACIL S.A.S identificada con Nit 901.081.770-8, una sanción pecuniaria de SEIS MILLONES CUATROCIENTOS NUEVE MIL DOSCIENTOS SESENTA PESOS M/CTE ($6.409.260), equivalente a ciento ochenta UVT (180) unidades de valor tributario vigentes, por la violación a lo dispuesto en el: (i) El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, HOJA N 25, “Por la cual se imponen unas sanciones” (ii) El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, y el artículo 2.2.2.25.2.3 ejúsdem, (iii) El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1. ejúsdem y, (iv) El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO PRIMERO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: IMPONER la sanción de suspensión de actividades relacionadas con el Tratamiento de Datos Personales por un término de tres (3) meses a partir de la ejecutoria del presente acto administrativo a la sociedad SOLUCIONES VIDA FACIL S.A.S identificada con Nit 901.081.770-8, hasta que acredite que ha adoptado las siguientes acciones correctivas: • • Implementar un mecanismo efectivo para obtener la autorización previa expresa e informada de los titulares.

Suprimir, de manera definitiva, de sus bases de datos la totalidad de los datos personales que no hayan sido obtenidos y tratados con el consentimiento de su respectivo titular. Para ello deberá aportar copia del mecanismo utilizado para la obtención de la autorización de los datos personales de los titulares de la información y evidencia técnica de la eliminación de todos los datos personales de los titulares tratados sin autorización previa expresa e informada. • Implementar un mecanismo efectivo para informar previamente a los titulares sobre las finalidades del tratamiento de la información. Para ello deberá aportar copia del mecanismo utilizado para informar previo al tratamiento de a información, sobre la finalidad de la recolección de datos personales. • • Desarrollar e implementar un manual que contenga un procedimiento para la recolección, tratamiento, circulación, y supresión de la información de datos personales.

Desarrollar y documentar un manual interno de Políticas de seguridad a través del cual se describan de manera detallada las medidas de seguridad para el Tratamiento de los datos personales, determinando cómo se efectuará el almacenamiento de la información en sus bases de datos y especificando las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad en la custodia de la información personal a cargo de la sociedad SOLUCIONES VIDA FACIL S.A.S, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, incluyendo archivos físicos, digitales y magnéticos Para ello deberá aportar copia de los manuales implementados.

PARÁGRAFO PRIMERO: Dentro de dicho término, la sociedad SOLUCIONES VIDA FACIL S.A.S deberá implementar las medidas señaladas.

PARÁGRAFO SEGUNDO: Vencido dicho término, esta Superintendencia verificará el cumplimiento de lo ordenado. En caso de incumplir con lo señalado, se impondrá la sanción dispuesta en el literal c) del artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: "Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: ( ) HOJA N 26, “Por la cual se imponen unas sanciones” c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la PARÁGRAFO TERCERO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad SOLUCIONES VIDA FACIL S.A.S identificada con Nit 901.081.770-8, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: Notificar personalmente el contenido de la presente resolución a la sociedad SOLUCIONES VIDA FACIL S.A.S identificada con Nit 901.081.770-8, a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO CUARTO: COMUNICAR el contenido de la presente decisión al señor XXXXXX XXXXXXXXXXXXX, identificado con XXXXXXXXXXX

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 15 OCTUBRE 2020 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR MUÑOZ Firmado digitalmente por CARLOS ENRIQUE SALAZAR MUÑOZ Fecha: 2020.10.15 10:49:26 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó JMBG Reviso LMRZ Aprobó: CESM “Por la cual se imponen unas sanciones” NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Correo electrónico: Ciudad: SOLUCIONES VIDA FACIL S.A.S Nit.901.081.770-8 Yury Carolina Gómez Pineda C.C. No.1.020.797.607 carrera 74 b # 55 60 interior 2 gerencia@solucionesvidafacil.com Bogotá COMUNICACIÓN: Señor: Identificación: Dirección: Ciudad: XXXXXXXXXXXX C.C. No. XXXXXXXXX XXXXXXXXXXXX XXXXXXXXXXX HOJA N 27,