Resolución sancionatoria N° 55003 de 2021

(27 AGOSTO 2021) “Por la cual se impone una sanción y se imparten órdenes” Radicación 19-220175 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I ETAPAS I Y II PROPIEDAD HORIZONTAL (en adelante la investigada) identificada con Nit. 830.084.128-5, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos narrados por el señor XXXXXXXXXXXXXXXXXXXXXXXXXXXX: 1.1 Asegura que: “El conjunto residencial parques de primavera, no cumple con la ley 1581 de 2012 y sus normas reglamentarias con especial énfasis en el tratamiento de datos sensibles.

Recolecta sin autorización de las personas sus datos como son las imágenes y las grabaciones de video vigilancia, LAS EXPONE PUBLICAMENTE MEDIANTE COMUNICADOS ESCRITOS, CORREOS ELECTRONICOS, VIDEOS TOMADOS DE LAS CAMARAS. No cuenta con los mecanismos para garantizar la confidencialidad de la información. No informa a los visitantes del conjunto sobre sus derechos y finalidades y demás exigencias del artículo 12 de la ley 1581 de 2012.No tiene política de tratamiento de datos El CONJUNTO POR SER PERSONA JURIDICA, es responsable de los datos que recolectan, almacenan, por lo tanto están obligados a cumplir la constitución y las leyes 1581 del 2012 o 1266 de 2008, según sea el caso.” 1.2 Posteriormente indica que “Soporto evidencias tomadas de las cartillas de asamblea donde ratifica que sovipar operó en el conjunto, soporte de la deuda económica que el conjunto suscribió con la empresa de vigilancia, aun sabiendo que era contratación ilegal el conjunto siguió pagando.

Soporto carta de comunicado circular No.10 del 27 de julio, la cual los entes administrativos del conjunto, EXPUSIERON PUBLICAMENTE A UNA SEÑORA COPROPIETARIA AL ESCARNIO PUBLICO, HACIENDO acusaciones EN UN COMUNICADO EMITIDO A TODOS LOS COPROPIETARIOS MEDIANTE CORREO ELECTRONICO, EN CARTA FISICA, EN VIDEOS TOMADOS DE LAS CAMARAS DE VIGILANCIA, EXPONIENDOLE EL NOMBRE Y APELLIDO exponiendo la integridad física, faltando al principio de libertad, seguridad y confidencialidad.

Probablemente faltando a la ley 1581 del 2012, el artículo 5 de la ley 1581, la video vigilancia son datos biométricos, ya que en su responsabilidad está el tratamiento de los datos que recolecta y almacena.Este conjunto residencial tiene una población aproximada de 3.500 habitantes son 886 aptos. GRACIAS POR SU ATENCION.”

SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: en i) Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como el artículo 2.2.2.25.2.2 y del Decreto Único Reglamentario 1074 de 2015 ii) Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley iii) inciso 2 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015 y iv) el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 e inciso 2 del artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015, se inició la presente investigación administrativa mediante la expedición de la Resolución No. 30103 de 19 de junio de 2020 por medio de la cual se formularon cuatro (4) cargos a la sociedad CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I ETAPAS I Y II PROPIEDAD HORIZONTAL identificada con Nit. 830.084.128-5.

HOJA N, “Por la cual se impone una sanción y se imparten órdenes”

TERCERO: Que la investigada fue notificada mediante aviso No. 13233 el 7 de julio de 2020 de la Resolución No. 30103 de 19 junio de 2020 de acuerdo con la certificación disponible en el consecutivo 19-220175- 13 del expediente digital.

CUARTO: Que, por conducto de su apoderado especial la investigada, encontrándose dentro del término establecido para el efecto, mediante escrito radicado bajo el número 19-220175-18 de marzo de 2021, presentó escrito de descargos, aduciendo lo siguiente: “RESPUESTA AL PRIMER CARGO; De antemano mi representada Conjunto Residencial Parques de Primavera I Etapas I y II P. H, reconoce y acepta que, al momento del requerimiento por queja presentada, no había solicitado ni conserva la autorización previa, expresa e informada del Titular para el tratamiento de sus datos personales, como quiera que la información básica que maneja se basa en datos vinculados directamente por los Arrendatarios / Propietarios o Residentes del Conjunto mediante escritos que envían al correo electrónico o mediante documentos que radican, donde indican a que dirección o porque medio se les debe dar respuesta.

La base de datos que se ha conformado durante los 20 años de existencia del conjunto se conformó con los documentos Certificados de Libertad que en forma directa y voluntaria aportaron los PROPIETARIOS, y su modificación de datos y cambios de titulares de propiedad se realiza mediante escritos (Correos o cartas radicadas) y mediante copia del Certificado de Libertad cuando se dan las ventas de las unidades privadas que hacen parte del Conjunto.

En igual sentido los Arrendatarios y Residentes familiares de propietarios se venían vinculando en forma individual mediante la radicación física o electrónica de cartas, requerimientos, quejas, generadas directamente por ellos, en forma voluntaria, indicando sus datos personales (Nombre y Apellido, correo electrónico) donde recibirían la respuesta conforme a su requerimiento.” “A la fecha mi Poderdante en cabeza de su representante legal (Administradora) informa que IMPLEMENTO Y NOTIFICO, a los Propietarios, Residentes, Empleados, Prestadores de servicios, Contratistas y Visitantes las POLITICAS Y PROCEDIMIENTOS PARA LA PROTECCIÓN DE DATOS PERSONALES, mediante el envío del respectivo MANUAL INTERNO con el FORMATO DE AUTORIZACIÓN que deben diligenciar las personas interesadas en que su información personal, repose y sea tratada y manejada por la ADMINISTRACIÓN del Conjunto para las finalidades propias del objeto social del conjunto y para la finalidad del tratamiento de datos debidamente relacionado en el manual.” “RESPUESTA AL SEGUNDO CARGO;

De antemano mi representada Conjunto Residencial Parques de Primavera I Etapas I y II P. H, reconoce y acepta que, al momento del requerimiento por queja presentada, no había informar debidamente al Titular de la finalidad de la recolección de datos y los derechos que le asisten en virtud de la autorización otorgada, como quiera que, la información básica que maneja se basa en datos vinculados directamente por los Arrendatarios / Propietarios o Residentes del Conjunto mediante escritos que envían al correo electrónico o mediante documentos que radican, donde indican a que dirección o porque medio se les debe dar respuesta.

La base de datos que se ha conformado durante los 20 años de existencia del conjunto se conformó con los documentos Certificados de Liberta que en forma directa y voluntaria aportaron los PROPIETARIOS, y su modificación de datos y cambios de titulares de propiedad se realiza mediante escritos (Correos o cartas radicadas) y mediante copia del Certificado de Libertad cuando se dan las ventas de las unidades privadas que hacen parte del Conjunto.

En igual sentido los Arrendatarios y Residentes familiares de propietarios se venían vinculando en forma individual mediante la radicación física o electrónica de cartas, requerimientos, quejas, generadas directamente por ellos, en forma voluntaria, indicando sus datos personales (Nombre y Apellido, correo electrónico) donde recibirían la respuesta conforme a su requerimiento.

A la fecha, se allego el MANUAL INTERNO DE POLITICAS Y PROCEDIMIENTOS DE PROTECCIÓN DE DATOS PERSONALES, el cual lleva anexo el respectivo formato de AUTORIZACIÓN para el tratamiento de datos cuyo único responsable es el Conjunto residencial parques de Primavera I Etas I y II P. H, en cabeza de su Representante Legal (Administradora) XXXXXXXXXXXXXXXXXXXX.

Dentro del mismo se relaciona tanto las FINALIDADES COMO LOS DERECHOS DE LOS TITULARES…” HOJA N, “Por la cual se impone una sanción y se imparten órdenes” “RESPUESTA AL TERCER CARGO; De antemano mi representada Conjunto Residencial Parques de Primavera I Etapas I y II P. H, reconoce y acepta que, al momento del requerimiento por queja presentada, no había implementado EL MANUAL DE POLITICAS Y PROCEDIMIENTO PARA EL TRATAMIENTO DE DATOS PERSONALES, como quiera que la información básica que maneja se basa en datos vinculados directamente por los propietarios mediante la entrega de los certificados de libertad donde demuestran su calidad de propietarios de determinada unidad privada que hace parte del conjunto, dicho proceder lo hacen los titulares del derecho en forma voluntaria.

En igual sentido los Arrendatarios y Residentes familiares de propietarios se venían vinculando en forma individual mediante la radicación física o electrónica de cartas, requerimientos, quejas, generadas directamente por ellos en forma voluntaria, indicando sus datos personales (Nombre y Apellido, correo electrónico) donde recibirían la respuesta.

La información recopilada en los 20 años de existencia del Conjunto, reposa en la base de datos de la administración que se compone de correos y documentos y son parte del archivo que siempre ha sido debidamente resguardada, sin dársele manejo diferente al del objeto social del conjunto y en especial al de la Administración que trata del manejo y cuidado de las zonas comunales.

A la fecha mi Poderdante en cabeza de su representante legal (Administradora) informa que IMPLEMENTO Y NOTIFICO, a los Propietarios, Residentes, Empleados, Prestadores de Servicios, Contratistas y Visitantes las POLITICAS Y PROCEDIMIENTOS PARA LA PROTECCIÓN DE DATOS PERSONALES, mediante él envió del respectivo MANUAL INTERNO con el FORMATO DE AUTORIZACIÓN que deben diligenciar las personas interesadas en que su información personal, repose y sea tratada y manejada por la ADMINISTRACIÓN del Conjunto, informando de manera CLARA Y EXPRESA la FINALIDAD DE LA RECOLECCIÓN DE LOS DATOS y LOS DERECHOS QUE LE ASISTEN AL TITULAR CONFORME A LA AUTORIZACIÓN OTORGADA, esto debidamente relacionado en el manual que se anexa en físico como medio de prueba.” “RESPUESTA AL CUARTO CARGO;

De antemano mi representada Conjunto Residencial Parques de Primavera I Etapas I y II P. H, reconoce y acepta que, al momento del requerimiento por queja presentada, no había implementado UN MANUAL INTERNO DE POLITICAS Y PROCEDIMIENTO PARA EL TRATAMIENTO DE DATOS PERSONALES, EN ESPECIAL PARA ATENCIÓN DE CONSULTAS Y RECLAMOS, como quiera que, la información básica que maneja se basa en datos vinculados directamente por los Arrendatarios / Propietarios o Residentes del Conjunto mediante escritos que envían al correo electrónico o mediante documentos que radican, donde indican a que dirección o porque medio se les debe dar respuesta.

La base de datos que se ha conformado durante los 20 años de existencia del conjunto se conformó con los documentos Certificados de Liberta que en forma directa y voluntaria aportaron los PROPIETARIOS, y su modificación de datos y cambios de titulares de propiedad se realiza mediante escritos (Correos o cartas radicadas) y mediante copia del Certificado de Libertad cuando se dan las ventas de las unidades privadas que hacen parte del Conjunto.

En igual sentido los Arrendatarios y Residentes familiares de propietarios se venían vinculando en forma individual mediante la radicación física o electrónica de cartas, requerimientos, quejas, generadas directamente por ellos, en forma voluntaria, indicando sus datos personales (Nombre y Apellido, correo electrónico) donde recibirían la respuesta conforme a su requerimiento.

A la fecha, se allego el MANUAL INTERNO DE POLITICAS Y PROCEDIMIENTOS DE PROTECCIÓN DE DATOS PERSONALES, el cual lleva anexo el respectivo formato de AUTORIZACIÓN para el tratamiento de datos cuyo único responsable es el Conjunto residencial parques de Primavera I Etas I y II P. H, en cabeza de su Representante Legal (Administradora) XXXXXXXXXXXXXXXXXXXX.

Dentro del mismo se relacionó EL PROCEDIMIENTOS DE ATENCIÓN DE CONSULTAS Y RECLAMOS QUE TIENEN LOS TITULARES…” “comedidamente solicito se sirva abstenerse de imponer sanción al Conjunto por las siguientes razones: HOJA N, “Por la cual se impone una sanción y se imparten órdenes” A. El Conjunto Residencial Parques de Primavera I Etapas I y II P. H, es un conjunto sin ánimo de lucro, fue proyectado y construido por el Fondo Nacional del Ahorro por ser de Interés Social para empleados del estado.

B. La información básica con que cuenta la administración, son los archivos documentales y una base de datos alimentada en forma directa por cada uno de los propietario o arrendatarios conforme a las quejas, reclamos, o requerimientos que en forma voluntaria envía cada usuario al correo electrónico e-mail parquesdeprimavera@gmail.com, en la venta de apartamentos por cambio de propietario, solo se registra la información del nuevo propietario conforme a la información que aparezca en la copia del certificado de libertad que debe aportar para realizar tal modificación de cambio de titular del derecho de propiedad de la unidad residencial privada.

A la fecha estamos en la conformación del libro de copropietarios de las seis (6) torres, para un total de 886 apartamentos, conforme aprobación de asamblea, con los certificados de libertad. C. La administración no ha utilizado en indebida forma la información de datos personales, ni de imágenes o videos para degradar o afectar el derecho al buen nombre de los propietarios o residentes, arrendatarios o visitantes.

Al contrario, la administradora se ha negado en forma rotunda a todos los derechos de petición tendiente a obtener acceso a la base de datos (correos electrónicos) por parte de varios propietarios, de lo cual se dejó huella de aviso pidiendo autorización a los titulares del derecho si lo permitían y la respuesta por mayoría fue NEGATIVA. D. Mi representada a través de su representante legal entiende la obligatoriedad del acatamiento de la Constitución y la Ley, razón por la cual implemento el MANUAL INTERNO DE POLITICAS Y PROCEDIMIENTOS DE PROTECCIÓN DE DATOS PERSONALES de conformidad con la ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015, garantizando a los titulares de los datos personales, el conocimientos de sus derechos, las formas de consultar o reclamar, modificar o suprimir la información entregada y autorizada.

E. Para efectos de conocimientos de la comunidad que conforma el conjunto ha Notificado el MANUAL INTERNO DE POLITICAS Y PROCEDIMIENTOS DE PROTECCIÓN DE DATOS PERSONALES, junto con la AUTORIZACIÓN EXPRESA, a la fecha se están recopilando las AUTORIZACIONES para el manejo de la información, y se iniciara la conformación de la base de datos autorizada que reposara en la administración. Se ha habilitado el correo electrónico e-mail parquesprimaveradatos886@gmail.com y el teléfono 3755144, con lo cual se facilita la comunicación entre el TITULAR de datos personales y el responsable del manejo de los mismos que es la Administración en cabeza de la Representante Legal (Administradora) XXXXXXXXXXXXXX.

F. Desde ya señala mi Representada, que por problemas con algunos propietarios y residentes quienes realizaron una reunión denominada asamblea extraordinaria se generaron acciones de hecho con el cierre de la administración, a principios del mes de septiembre de 2019, lo cual conllevo a las acciones policivas pertinentes, y de cuyos hechos y acciones aparecen grabaciones de los acontecimientos tomadas con CELULARES de propietarios y residentes.

La administración nunca ha facilitado la información de sus cámaras, salvo que medie orden judicial de autoridad competente, sobre hechos delictivos, o hechos relacionados con daños, o posibles conductas sospechosas. G. Respecto de la Queja presentada, nos permitimos aclarar que, de ninguna forma, se ha utilizado imágenes o grabaciones para exponerlas públicamente, como lo señala el quejoso de cámaras del conjunto.

Como previamente se informó, por los problemas de acciones de hecho, existen varias grabaciones obtenidas de celulares de propietarios y residentes con las cuales evidenciaron las acciones y atropellos que en diferentes momentos se dieron hasta el restablecimiento de la posesión de la administración en cabeza de la Representante Legal (Administradora) XXXXXXXXXXXXXXXXXXX, quien es la actual administradora debidamente reconocida y con personería jurídica ante la Alcaldía Local de Puente Aranda.

Esas imágenes son de la comunidad, y su utilización, divulgación esta fuera de la voluntad y manejo de mi Representado Conjunto Residencial Parques de Primavera I Etapas I y II P. H, y menos aún de la Representante Legal (Administradora). H. Consientes del deber ser, y de las obligaciones que emanan de mi poderdante para el acatamiento de la Constitución y la Ley, desde ya solicitamos a su Despacho se sirva IMPARTIR LAS ORDENES NECESARIAS para hacer efectivo el derecho de Habeas Data HOJA N, “Por la cual se impone una sanción y se imparten órdenes” tal como lo menciona el literal b) del artículo 21 de la ley 1581 de 2012, las cuales ya se están implementando y acatando con la elaboración del MANUAL INTERNO DE POLITICAS Y PROCEDIMIENTOS DE PROTECCIÓN DE DATOS PERSONALES que el Conjunto elaboro, notifico y del cual está recolectando las AUTORIZACIONES EXPRESAS para conformar la base de datos legal, que se inscribirá en el Registro Único de Base de Datos de la Superintendencia de Industria y Comercio.

I. En el evento de proyectarse una posible sanción, sírvanse tener en cuenta además de las condiciones económicas del conjunto, también las ATENUACIONES DE RESPONSABILIDAD por la ACEPTACIÓN DE LAS INFRACCIONES relacionadas En el acápite de cargos base de la investigación de la referencia. Cabe resaltar que ya se implementó, notifico y se está recolectando las autorizaciones expresas para conformar la base de datos ajustadas al habeas data y estamos prestos a recibir y acatar las ORDENES que su Despacho indique para adecuar la implementación del manual de ser necesario para cumplir la finalidad del Derecho de Habeas Data.”

QUINTO: Que mediante Resolución No. 10374 de 3 de marzo de 2021, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 19-220175, con el valor legal que le corresponda, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

SEXTO: Que mediante escrito presentado el 17 de marzo de 2021, la investigada interpuso recurso de reposición y en subsidio de apelación contra la Resolución No. 10374 de 3 de marzo de 2021, mediante la cual se incorporan las pruebas obrantes en el expediente radicado bajo el número 19220175, expediente digital radicado 19-220175-18.

SÉPTIMO: Que mediante Resolución No. 30773 de 21 de mayo de 2021, está Dirección rechazó de plano por improcedente el recurso de reposición y en subsidio de apelación interpuesto en contra la Resolución No. 10374 de 3 de marzo de 2021.

OCTAVO: Que, vencido el término concedido de diez (10) días hábiles para que la sociedad investigada rindiera los alegatos respectivos, conforme a lo dispuesto en el inciso segundo del artículo 48 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, la sociedad investigada guardó silencio.

NOVENO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO: Análisis del caso 10.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. 1 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

HOJA N, “Por la cual se impone una sanción y se imparten órdenes” El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012. (ii) De conformidad con los hechos alegados por las reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración al i) Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como el artículo 2.2.2.25.2.2 y del Decreto Único Reglamentario 1074 de 2015 ii) Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley iii) inciso 2 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015 y iv) el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 e inciso 2 del artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por las denunciantes, así como las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 10.2 Valoración probatoria y conclusiones 10.2.1 Aclaraciones preliminares Luego de analizar el expediente en cuestión esta Dirección considera importante aclarar que si bien el recurso de reposición y en subsidio de apelación presentado por la investigada dentro del término para presentar alegatos fue rechazado mediante Resolución No. 30773 de 21 de mayo de 2021, los documentos y pruebas allegadas con el mismo, serán tenidas en cuenta por esta Dirección al momento de decidir.

Lo anterior de conformidad con el artículo 40 del Código Administrativo y de lo Contencioso Administrativo, el cual señala lo siguiente: “ARTÍCULO 40. PRUEBAS. Durante la actuación administrativa y hasta antes de que se profiera la decisión de fondo se podrán aportar, pedir y practicar pruebas de oficio o a petición del interesado sin requisitos especiales.

Contra el acto que decida la solicitud de pruebas no proceden recursos. El interesado contará con la oportunidad de controvertir las pruebas aportadas o practicadas dentro de la actuación, antes de que se dicte una decisión de fondo.” Aclarado lo anterior, se procederá a analizar cada uno de los cargos formulados en contra del CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I ETAPAS I Y II PROPIEDAD HORIZONTAL. 10.2.2 Respecto del deber de solicitar y conservar copia de la autorización El artículo 15 de la Constitución Política establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base datos.

Al respecto la Corte Constitucional en sentencia C-748 de 2011 ha señalado lo siguiente: “Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.

Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser HOJA N, “Por la cual se impone una sanción y se imparten órdenes” humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su ‘imagen informática’”2.

Por lo anterior, se concluye que sin la autorización previa e informada del titular, los datos personales no podrán ser registrados, divulgados, ni tratados. Sin embargo, tal prohibición no es absoluta pues la Ley 1581 de 2012 en su artículo 10 establece los casos en los que no es necesario contar con la autorización por parte del titular, entre los cuales se encuentran los datos de naturaleza pública 3.

El principio rector, que para el cargo primero es el de libertad, debe confluir en cuanto a su aplicación con los deberes y derechos contenidos en la Ley 1581 de 2012, específicamente para el cargo es relevante mencionar el deber consagrado en el literal b) de solicitar y conservar copia de la respectiva autorización otorgada por el titular.

Adicionalmente, el artículo 9 de la misma Ley, señala que “Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior”. (subraya fuera del texto) En este mismo sentido, la Corte Constitucional señaló lo siguiente: “El consentimiento del titular de la información es un presupuesto para la legitimidad constitucional de los procesos de administración de datos personales, tratándose de un consentimiento calificado: ya que debe ser previo, esto es, que la autorización debe ser suministrada en una etapa anterior a la incorporación del dato; expreso, en la medida que debe ser inequívoco; e informado, toda vez que el titular no sólo debe aceptar el tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. (Resaltado fuera del texto) (…) La libertad en la administración de datos personales significa que el sujeto concernido mantenga, en todo momento, las facultades de conocimiento, actualización y rectificación de la información personal contenida en las bases de datos.

Si ello es así, es evidente que la libertad del individuo ante el poder informático se concreta, entre otros aspectos, en la posibilidad de controlar la información personal que sobre sí reposa en las bases de datos, competencia que está supeditada a que exprese su consentimiento para la incorporación de la información en el banco de datos o archivo correspondiente.

Este ejercicio de la libertad en los procesos informáticos, a juicio de la Corte, se concreta en la exigencia de autorización previa, expresa y suficiente por parte del titular de la información, requisito predicable de los actos de administración de datos personales de contenido comercial y crediticio. La eliminación del consentimiento del titular, adicionalmente, genera una desnaturalización del dato financiero, comercial y crediticio, que viola el derecho fundamental al hábeas data, en tanto restringe injustificadamente la autodeterminación del sujeto respecto de su información personal.

Para la Constitución, la libertad del sujeto concernido significa que la administración de datos personales no pueda realizarse a sus espaldas, sino que debe tratarse de un proceso transparente, en que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación. La eliminación de la autorización previa, expresa y suficiente para la incorporación del dato en los archivos y bancos de datos administrados por los operadores permite, en últimas, la ejecución de actos ocultos de acopio, tratamiento y divulgación de información, operaciones del 2 Ver en: Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP.

Jorge Ignacio Pretelt Chaljub. 3 “Artículo 10. Casos en que no se necesita la autorización. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.

Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley”. HOJA N, “Por la cual se impone una sanción y se imparten órdenes” todo incompatibles con los derechos y garantías propios del hábeas data. (Resaltado fuera del texto)”4 Así mismo, el artículo 2.2.2.25.2.2 del Decreto 1074 de 2015 fue claro en indicar lo siguiente: “ARTÍCULO 2.2.2.25.2.2.

Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento.” Al respecto el quejoso argumenta lo siguiente: “El conjunto residencial parques de primavera, no cumple con la ley 1581 de 2012 y sus normas reglamentarias con especial énfasis en el tratamiento de datos sensibles. Recolecta sin autorización de las personas sus datos como son las imágenes y las grabaciones de video vigilancia, LAS EXPONE PUBLICAMENTE (sic) MEDIANTE COMUNICADOS ESCRITOS, CORREOS ELECTRONICOS,(sic) VIDEOS TOMADOS DE LAS CAMARAS(sic)”.

Al respecto, preliminarmente se encontró que mediante comunicación con radicado 19-220175-05 del 07 de febrero de 2020, el CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I ETAPAS I Y II PROPIEDAD HORIZONTAL informó, entre otras cosas, lo siguiente: “3. Como se viene señalando la información la aportan voluntariamente los Propietarios de cada unidad residencial, y como lo hacen de manera verbal o por correo electrónica (sic), consideramos que contamos con una autorización expresa, en tratándose que es desde su voluntad libre y espontánea entregar la información para mantener una comunicación fluida entre las partes.” Conforme a lo anterior, se establece que la investigada preliminarmente no cuenta con autorización expresa, toda vez que no se aporta prueba mediante la cual se acredite que de manera previa e informada los Titulares dieron consentimiento específico para el Tratamiento de sus datos.

En este sentido, esta Dirección encontró preliminarmente que la sociedad CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I ETAPAS I Y II PROPIEDAD HORIZONTAL no solicitó, ni conservó la autorización previa para el Tratamiento de datos personales de los Titulares, en efecto dicha sociedad mediante comunicación, expediente digital radicado 19-220175-18 página 20, aceptó el incumplimiento del presente deber señalando lo siguiente: “RESPUESTA AL PRIMER CARGO;

De antemano mi representada Conjunto Residencial Parques de Primavera I Etapas I y II P. H, reconoce y acepta que, al momento del requerimiento por queja presentada, no había solicitado ni conserva la autorización previa, expresa e informada del Titular para el tratamiento de sus datos personales, como quiera que la información básica que maneja se basa en datos vinculados directamente por los Arrendatarios / Propietarios o Residentes del Conjunto mediante escritos que envían al correo electrónico o mediante documentos que radican, donde indican a que dirección o porque medio se les debe dar respuesta.

La base de datos que se ha conformado durante los 20 años de existencia del conjunto se conformó con los documentos Certificados de Libertad que en forma directa y voluntaria aportaron los PROPIETARIOS, y su modificación de datos y cambios de titulares de propiedad se realiza mediante escritos (Correos o cartas radicadas) y mediante copia del 4 Ver en: Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP.

Jorge Ignacio Pretelt Chaljub. HOJA N, “Por la cual se impone una sanción y se imparten órdenes” Certificado de Libertad cunado se dan las ventas de las unidades privadas que hacen parte del Conjunto.” Ahora bien, aunque la sociedad investigada reconoce el incumplimiento es importante entrar a analiza el modelo de autorización que aportan con el escrito de descargos (expediente digital 19220175-18 página 20): Analizado el modelo que aportan, se observa que citan el Decreto Reglamentario 1377 de 2013, por lo que lo mejor es actualizarlo debido a que el mismo fue compilado en el Decreto Único 1074 de 2015.

HOJA N, “Por la cual se impone una sanción y se imparten órdenes” De otro lado, se encontró en etapa preliminar en comunicación 19-220175-05 del 07 de febrero de 2020 “A la anterior comunicación se adjuntaron seis imágenes en las que figura un aviso que reza “¡Atención! Lugar equipado con cámaras de seguridad. Ud (sic) está siendo grabado y monitoreado las 24hs” y “por su seguridad y la nuestra usted está siendo grabado”” Al respecto, es importante aclarar algunos puntos referentes a la recolección de Datos Personales a través de los Sistemas de Videovigilancia, pues para estos casos se deber tener en cuenta lo dispuesto por la “Guía de Protección de Datos Personales en Sistemas de Videovigilancia”5 la cual indica lo siguiente: “Ya que los SV pueden implementarse en lugares como establecimientos de comercio, copropiedades, edificios, centros comerciales y parqueaderos, entre otros, en todos los casos se debe informar a los Titulares de datos personales que se encuentran en una zona de videovigilancia y obtener su autorización para el Tratamiento de los mismos.

Para ello, se pueden utilizar señales o avisos distintivos en las zonas de videovigilancia, principalmente en las zonas de ingreso a los lugares que están siendo vigilados y monitoreados y al interior de estos. (…) Las señales o avisos implementados deben, como mínimo, cumplir con el contenido de un aviso de privacidad, a saber: • Incluir información sobre quién es el Responsable del Tratamiento y sus datos de contacto. • Indicar el Tratamiento que se dará a los datos y la finalidad del mismo. • Incluir los derechos de los Titulares. • Indicar dónde está publicada la Política de Tratamiento de la Información. Adicionalmente, el aviso debe ser visible y legible teniendo en cuenta el lugar en el que opere el SV(…)” En referencia a lo anterior, la investigada junto con la respuesta al requerimiento efectuado por esta Dirección, aportó los avisos de videovigilancia que implementan dentro del conjunto residencial, tal como se aprecian a continuación: 5 Documento que no es de obligatorio cumplimiento pero que esta encaminado a guiar a los Responsables del tratamiento para aplicar de manera adecuada la Ley 1581 de 2012 en el tratamiento de datos personales a través de sistemas de videovigilancia. HOJA N, “Por la cual se impone una sanción y se imparten órdenes” Al respecto, esta Dirección encuentra que si bien la investigada dispone de avisos de video vigilancia, estos no incluyen toda la información mínima que señala la ”Guía de Protección de Datos Personales en Sistemas de Videovigilancia”, en concreto no incluye la siguiente información: “• Quién es el Responsable del Tratamiento y sus datos de contacto. • Indicar el Tratamiento que se dará a los datos y la finalidad del mismo. • Incluir los derechos de los Titulares. • Indicar dónde está publicada la Política de Tratamiento de la Información.” Así las cosas, se concluye que se encuentra probado y es confesado, el actuar negligente por parte de la investigada en el cumplimiento del deber de solicitar y conservar copia de la autorización previa y expresa, consagrado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 ibídem, y el literal c) del artículo 4 de la misma ley y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, al realizar tratamiento de datos personales de residentes y/o propietarios, para la fecha del requerimiento de información, sin solicitar y conservar copia de la autorización, así mismo recolectar y tratar datos personales a través del sistema de video vigilancia sin solicitar la autorización previa e informada.

En consecuencia, se impondrá una sanción por el cargo objeto de estudio y se impartirá una orden administrativa. 10.2.3 Respecto del deber de informar debidamente al titular las finalidades de la recolección El literal c) del artículo 17 de la Ley 1581 de 2012 consagra el deber de los Responsables del Tratamiento, de “(i)nformar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;”.

Al respecto la Corte Constitucional en sentencia C-748 de 2011 ha señalado que: “En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación: (…) HOJA N, “Por la cual se impone una sanción y se imparten órdenes” (ii) Informar al titular la finalidad de esa autorización y actuar en consecuencia; por tanto, el responsable no puede conducirse por fuera de los lineamientos de la autorización, lo que significa que, por ejemplo, no puede suministrar al encargado del tratamiento más datos que los que fueron objeto de autorización, ni puede someterlos a un tratamiento con finalidades diferentes a las informadas (…)”.

Por su parte el artículo 4 de la Ley 1581 de 2012, contempla los principios para el tratamiento de datos personales, entre los cuales se encuentra el principio de finalidad que señala que “(e)l Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular”. Sobre esto, la Honorable Corte Constitucional en sentencia C-748 de 2011, señaló que en virtud del principio de finalidad los datos personales deben ser procesados con un propósito específico y explicito, razón por la cual se impone el deber de informar clara, suficiente y previamente al titular acerca de la finalidad de la información suministrada, prohibiendo así la recopilación de datos sin la especificación clara acerca de su finalidad.

Adicionalmente, el artículo 12 de la Ley 1581 de 2012, señala que el responsable debe informar clara y expresamente al titular: (i) el tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; (ii) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes;

(iii) Los derechos que le asisten como Titular; (iv) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. En virtud de lo expuesto, es importante aclarar que el consentimiento es un elemento esencial en el manejo de la administración de los datos, y que el mismo debe ser calificado, por cuanto debe ser previo, expreso e informado, así pues, el titular antes de expresar su consentimiento debe conocer las finalidades para las cuales serán tratados sus datos, con el fin de autorizar su conservación, uso y circulación según lo informado por el responsable del tratamiento, en los términos del artículo 2.2.2.25.2.2 del Decreto 1074 de 2015, esto es, informarle al Titular “(…) los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento (…)”.

En el caso analizado, esta Dirección puedo evidenciar preliminarmente, que “el CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I ETAPAS I Y II PROPIEDAD HORIZONTAL, en la comunicación con radicado 19-220175-05 del 07 de febrero 2020 no aportó documento mediante el cual acredite que, se le informó al Titular acerca de las finalidades del uso de sus datos personales y tampoco de los derechos que le asisten.” Frente al cargo objeto de estudio y una vez revisado el acervo probatorio que obra en el expediente, se encontró que la investigada no acreditó que contaba con la autorización previa y expresa por parte del Titular para el tratamiento de sus datos personales, tal como fue analizado en el cargo anterior.

En consecuencia, es claro para esta Dirección que la investigada tampoco cumplió con su deber como Responsable de informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, en efecto la investigada mediante comunicación, expediente digital radicado 19-220175-18 página 20, aceptó el incumplimiento del presente deber señalando lo siguiente: “RESPUESTA AL SEGUNDO CARGO;

De antemano mi representada Conjunto Residencial Parques de Primavera I Etapas I y II P. H, reconoce y acepta que, al momento del requerimiento por queja presentada, no había informar debidamente al Titular de la finalidad de la recolección de datos y los derechos que le asisten en virtud de la autorización otorgada, como quiera que, la información básica que maneja se basa en datos vinculados directamente por los Arrendatarios / Propietarios o Residentes del Conjunto mediante escritos que envían al correo electrónico o mediante documentos que radican, donde indican a que dirección o porque medio se les debe dar respuesta.

La base de datos que se ha conformado durante los 20 años de existencia del conjunto se conformó con los documentos Certificados de Liberta que en forma directa y voluntaria aportaron los PROPIETARIOS, y su modificación de datos y cambios de titulares de propiedad se realiza mediante escritos (Correos o cartas radicadas) y mediante copia del Certificado de Libertad cunado se dan las ventas de las unidades privadas que hacen parte del Conjunto.

En igual sentido los Arrendatarios y Residentes familiares de propietarios se venían vinculando en forma individual mediante la radicación física o electrónica de cartas, HOJA N, “Por la cual se impone una sanción y se imparten órdenes” requerimientos, quejas, generadas directamente por ellos, en forma voluntaria, indicando sus datos personales (Nombre y Apellido, correo electrónico) donde recibirían la respuesta conforme a su requerimiento.” Así las cosas, se concluye que se encuentra probado y es confesado por la investigada, el actuar negligente por parte de la investigada en el cumplimiento del deber de informar debidamente a las Titulares sobre las finalidades de la recolección y los derechos que les asisten como Titulares de la información para la fecha del requerimiento de información, consagrado en el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la norma en comento, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

En consecuencia, se impondrá una sanción por el cargo objeto de estudio y se impartirá una orden administrativa. 10.2.4 Respecto del deber de los Responsables del Tratamiento de adoptar una Política de Tratamiento de Datos Personales Frente al tercer cargo formulado, esta Dirección consideró que la investigada presuntamente había incumplido el deber de adoptar una Política de Tratamiento de Datos Personales de acuerdo con lo previsto en el inciso 3 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015; normas que establecen lo siguiente: Ley 1581 de 2012 “Artículo 25.

Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes.

Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. (Subraya adicionada) Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en este los Responsables del Tratamiento”.

(Subrayado y negrita adicionados) Decreto Único Reglamentario 1074 de 2015 “Artículo 2.2.2.25.3.1. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas. Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares.

Dichas políticas deberán incluir, por lo menos, la siguiente información: 1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. 2. Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. 3. Derechos que le asisten como Titular. 4.

Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. HOJA N, “Por la cual se impone una sanción y se imparten órdenes” 5. Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. 6.

Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente Decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas”.

(Subrayado y negrita adicionados) Preliminarmente se encontró que “Mediante comunicación con radicado 19-220175-05 del 07 de febrero de 2020 el CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I ETAPAS I Y II PROPIEDAD HORIZONTAL informó, al respecto, lo siguiente: “6. La política principal es NO DAR INFORMACIÓN de la base de datos a ninguna persona o entidad, salvo autorización escrita del titular del derechos(sic) de habeas data que desee que su información sea entregada.” En virtud de lo anterior se encuentra que la investigada no cuenta con una Política de Tratamiento de Datos Personales”.

Al respecto la investigada mediante comunicación, expediente digital radicado 19-220175-18 página 20, aceptó el incumplimiento del presente deber señalando lo siguiente: “RESPUESTA AL TERCER CARGO; De antemano mi representada Conjunto Residencial Parques de Primavera I Etapas I y II P. H, reconoce y acepta que, al momento del requerimiento por queja presentada, no había implementado EL MANUAL DE POLITICAS Y PROCEDIMIENTO PARA EL TRATAMIENTO DE DATOS PERSONALES, como quiera que la información básica que maneja se basa en datos vinculados directamente por los propietarios mediante la entrega de los certificados de libertad donde demuestran su calidad de propietarios de determinada unidad privada que hace parte del conjunto, dicho proceder lo hacen los titulares del derecho en forma voluntaria.

En igual sentido los Arrendatarios y Residentes familiares de propietarios se venían vinculando en forma individual mediante la radicación física o electrónica de cartas, requerimientos, quejas, generadas directamente por ellos en forma voluntaria, indicando sus datos personales (Nombre y Apellido, correo electrónico) donde recibirían la respuesta.” Y también adjuntó un “MANUAL DE POLÍTICAS Y PROCEDIMIENTOS DE PROTECCIÓN DE DATOS PERSONALES” cuya fecha de entrada en vigencia es 1 de agosto de 2020, fecha posterior al requerimiento efectuado por esta Dirección el 23 de enero de 2020, tal como se aprecia a continuación: En virtud de lo expuesto, se concluye que se encuentra probado y confesado por la investigada el actuar negligente por parte de la investigada frente al tratamiento de los datos en su calidad de Responsable al tener implementada y puesta a disposición de los titulares, para la fecha del requerimiento de información, con una Política de Tratamiento de Datos Personales, de conformidad con lo consagrado en el inciso 3 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015.

En consecuencia, se impondrá una sanción por el cargo objeto de estudio. Ahora bien, con el fin de verificar si el documento aportado por la sociedad cumple con el contenido mínimo establecido en el Artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015, a continuación, se detalla lo evaluado y los resultados o comentarios sobre cada ítem: REQUISITO LEGAL COMENTARIO HOJA N, “Por la cual se impone una sanción y se imparten órdenes” 1.

¿La PTI consta en medio físico o electrónico? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). SÍ La PTI cumple con el requisito señalado al constar en medio físico. 2. ¿La PTI fue redactada con un lenguaje claro y sencillo? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).

SÍ Se evidencia que la investigada lo cumple. 3. ¿la PTI contiene el nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable? (Numeral 1 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). 4. ¿La PTI informa la finalidad del Tratamiento de los Datos? (Numeral 2 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).

SI Se evidencia que la PTI cumple con este requisito SÍ La PTI cumple con este requisito. 5. ¿La PTI Menciona de manera completa los derechos del Titular del Dato? (Numeral 1 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y artículo 8 de la Ley 1581 de 2012). SI Se evidencia que la PTI cumple con este requisito 6.

¿En la PTI se informa al Titular del dato que tiene derecho “conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado”? (Literal a) del artículo 8 de la L. 1581 de 2012).

SÍ Se evidencia que la PTI cumple con este requisito. HOJA N, “Por la cual se impone una sanción y se imparten órdenes” 7. ¿En la PTI se informa al Titular del dato que tiene derecho a “solicitar prueba de la autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10” de la Ley 1581 de 2012? (Literal –b- del artículo 8 de la L 1581 de 2012).

SI Se evidencia que la PTI cumple con este requisito 8. ¿En la PTI se informa al Titular que tiene derecho a “ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus datos personales”? (Literal -c- del artículo 8 de la L 1581 de 2012). SI Se evidencia que la PTI cumple con este requisito 9.

¿En la PTI se informa al Titular del dato que tiene derecho a “presentar ante la y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen? (Literal -d- del artículo 8 de la L 1581 de 2012). SI Se evidencia que la PTI si cumple con este requisito. 10. ¿En la PTI se informa al Titular del dato que tiene derecho a revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales? (Literal -e- del artículo 8 de la L 1581 de 2012).

SÍ Se evidencia que la PTI cumple con este requisito 11. ¿En la PTI se informa al Titular del dato que tiene derecho a “acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento”? (Literal -f- del artículo 8 de la L 1581 de 2012). SÍ Se evidencia que la PTI cumple con este requisito. HOJA N, “Por la cual se impone una sanción y se imparten órdenes” 12.

¿En la PTI se señala quién es la persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el Dato y revocar la Autorización? (Numeral 4 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y artículo 23 del Decreto 1377 de 2013).

SÍ Se evidencia que la PTI cumple con este requisito. 13. ¿En la PTI se describe el procedimiento para que los Titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar, suprimir información y revocar la Autorización? (Numeral 5 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, artículo 18 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.6. del Decreto 1074 de 2015 y numeral 3 del artículo 27 del Decreto 1377 de 2013).

SI Se evidencia que la PTI cumple con este requisito 14. ¿La PTI indica la fecha de entrada en vigencia de la política de Tratamiento de la información? (Núm. 6, art 13 del Decreto 1377 de 2013 incorporado en el Artículo 2.2.2.25.3.1 Decreto 1074 de 2015). SI Se evidencia que la PTI si cumple con este requisito. 15. ¿La PTI informa el período de vigencia de la Base de Datos? (Numeral 6 del artículo 13 del Decreto 1377 de 2013 incorporado en el Artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).

SI Se evidencia que la PTI si cumple con este requisito. Analizados los anteriores puntos, esta Dirección encuentra que si bien el “MANUAL DE POLÍTICAS Y PROCEDIMIENTOS DE PROTECCIÓN DE DATOS PERSONALES” aportado cumple con el contenido mínimo establecido en el Artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015, en este documento nuevamente se cita el Decreto Reglamentario 1377 de 2013, por lo que lo mejor es actualizar esta información, pues como ya se mencionó anteriormente, el mismo fue compilado en el Decreto Único 1074 de 2015.

Por lo anterior se impartirá también una orden. 10.2.5 Respecto del deber de los Responsables del Tratamiento de adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos HOJA N, “Por la cual se impone una sanción y se imparten órdenes” “Ley 1581 de 2012 ARTÍCULO 17.

“Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos”.

Decreto 1074 de 2015 “Artículo 2.2.2.25.2.1. Recolección de datos personales. En desarrollo de los principios de finalidad y libertad, la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos conforme a la normatividad vigente. Salvo en los casos expresamente previstos en la ley, no se podrán recolectar datos personales sin autorización del Titular.

A solicitud de la Superintendencia de Industria y Comercio, los Responsables deberán proveer una descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso.

No se podrán utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales. (…) Artículo 2.2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso”.

Preliminarmente se encontró que la sociedad no cuenta con un manual interno de políticas y procedimientos en el “que se describan los procedimientos de recolección, almacenamiento, uso, circulación y supresión de información ni tampoco se específica acerca de la atención de consultas o reclamos.” Al respecto la investigada mediante comunicación, expediente digital radicado 19-220175-18 página 20, aceptó el incumplimiento del presente deber señalando lo siguiente: “RESPUESTA AL CUARTO CARGO;

De antemano mi representada Conjunto Residencial Parques de Primavera I Etapas I y II P. H, reconoce y acepta que, al momento del requerimiento por queja presentada, no había implementado UN MANUAL INTERNO DE POLITICAS Y PROCEDIMIENTO PARA EL TRATAMIENTO DE DATOS PERSONALES, EN ESPECIAL PARA ATENCIÓN DE CONSULTAS Y RECLAMOS, como quiera que, la HOJA N, “Por la cual se impone una sanción y se imparten órdenes” información básica que maneja se basa en datos vinculados directamente por los Arrendatarios / Propietarios o Residentes del Conjunto mediante escritos que envían al correo electrónico o mediante documentos que radican, donde indican a que dirección o porque medio se les debe dar respuesta.

La base de datos que se ha conformado durante los 20 años de existencia del conjunto se conformó con los documentos Certificados de Liberta que en forma directa y voluntaria aportaron los PROPIETARIOS, y su modificación de datos y cambios de titulares de propiedad se realiza mediante escritos (Correos o cartas radicadas) y mediante copia del Certificado de Libertad cuando se dan las ventas de las unidades privadas que hacen parte del Conjunto.” En virtud de lo expuesto, se encuentra probado y es confesado por la sociedad que no contaba, para la fecha del requerimiento de información, con un manual interno de políticas y procedimientos para (i) la atención de consultas y reclamos; y (ii) para el ciclo del dato, de acuerdo a lo establecido en literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015.

En consecuencia, se impondrá una sanción por el cargo objeto de estudio. No obstante lo anterior, y de acuerdo con lo manifestado por la sociedad en los descargos, “A la fecha, se allego el MANUAL INTERNO DE POLÍTICAS(sic) Y PROCEDIMIENTOS DE PROTECCIÓN DE DATOS PERSONALES, el cual lleva anexo el respectivo formato de AUTORIZACIÓN para el tratamiento de datos cuyo único responsable es el Conjunto residencial parques de Primavera I Etas I y II P. H, en cabeza de su Representante Legal (Administradora) XXXXXXXXXXXXXXXXXXXXXX Dentro del mismo se relacionó EL PROCEDIMIENTOS DE ATENCIÓN DE CONSULTAS Y RECLAMOS QUE TIENEN LOS TITULARES, (…)” De este modo, luego de analizar el respectivo Manual, esta Dirección considera que si bien la sociedad prevé todo lo relativo a la consulta y reclamos, no contiene un manual de ciclo del dato, el cual debe señalar el ciclo de vida de los datos personales, el proceso mediante el cual se señalan todas las políticas y procedimientos para la recolección y/o extracción de los datos, los medios de almacenamiento, los diferentes usos que se le darán a los datos, si se compartirán con terceros o se depurará la información, y finalmente la disposición final de los datos ya sea si se suprimirán, después de cuánto tiempo, a través de qué mecanismo o si se deben mantener almacenados, en donde lo tendrán, la medidas de seguridad para garantizar su integridad, entre otros.

Por lo anterior, se impartirá también una orden.

DÉCIMO PRIMERO: En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones: • La sociedad CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I ETAPAS I Y II PROPIEDAD HORIZONTAL deberá adecuar la información contenida en los avisos de videovigilancia conforme a lo establecido en la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015.

Se le recuerda que tiene a su disposición la “Guía de Protección de Datos Personales en Sistemas de Videovigilancia” disponible en el siguiente enlace: https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Guia_Vigilancia_sept16_201 6.pdf • La sociedad CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I ETAPAS I Y II PROPIEDAD HORIZONTAL deberá poner a disposición de los interesados su Política de Tratamiento de Datos Personales así como adecuarla a la normativa vigente, de conformidad con lo consagrado en el inciso 3 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015.6 6 Se encuentra publicada para su consulta: “Formato modelo para el cumplimiento de obligaciones establecidas en la Ley 1581 de 2012 y sus decretos reglamentarios”, que no es de obligatorio cumplimiento, sin embargo, orienta a los HOJA N, “Por la cual se impone una sanción y se imparten órdenes” • La sociedad CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I ETAPAS I Y II PROPIEDAD HORIZONTAL deberá incluir dentro de sus manuales internos de políticas y procedimientos un manual de ciclo del dato, el cual debe señalar las políticas y procedimientos internos para regular todo el ciclo del dato dentro de la empresa, desde la recolección, almacenamiento, uso, y disposición final, de acuerdo a lo establecido en literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 e inciso 2 del artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 20157.

De lo anteriormente ordenado la sociedad CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I ETAPAS I Y II PROPIEDAD HORIZONTAL deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO SEGUNDO: Imposición y graduación de la sanción La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe Responsables y Encargados del Tratamiento sobre el cumplimiento de las obligaciones específicas, como son: (i) solicitar y conservar copia de la autorización y de la información que debe suministrarle a los titulares previo a la autorización;

(ii) contar con una Política de Tratamiento de Datos Personales disponible a los Titulares; (iii) contar con un aviso de privacidad, cuando no sea posible poner a disposición de los Titulares la política. Disponible en el siguiente link: https://www.sic.gov.co/centro-de-publicaciones?field_tema_general_tid=5&field_anos_p_value=All Puede consultar la Cartilla de guía de formatos datos personales en el siguiente enlace: https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Publicaciones/Cartilla_formatos_datos_Personales_nov22.pdf.

También puede consultar otras publicaciones en materia de protección de datos personales que ha expedido la Superintendencia de Industria y Comercio en el siguiente enlace: https://www.sic.gov.co/centro-depublicaciones?field_tema_general_tid=5&field_anos_p_value=All HOJA N, “Por la cual se impone una sanción y se imparten órdenes” hacerse de manera inmediata por parte de todas las entidades de orden nacional8.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2020 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional9 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”10 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden 8 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. 9 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 10 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. HOJA N, “Por la cual se impone una sanción y se imparten órdenes” tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros 11. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”12.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia13. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2314 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Artículo 24. Criterios Para Graduar Las Sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; 11 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 12 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 13 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 14Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva..” HOJA N, “Por la cual se impone una sanción y se imparten órdenes” c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 12.1.1 Literal a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”15 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados16.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine quedó demostrado que: 15 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 16 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada.

En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” HOJA N, “Por la cual se impone una sanción y se imparten órdenes” i. Quedó demostrado que la sociedad investigada actuó negligentemente y fue confesado por la misma, frente al tratamiento de los datos en su calidad de Responsable, en el cumplimiento del deber de solicitar y conservar copia de la autorización previa y expresa, al no solicitar la autorización para la fecha del requerimiento así como tampoco tenía implementado avisos de privacidad que permitieran recolectar la autorización previa expresa e informada de los datos recolectados a través del sistema de videovigilancia, incumpliendo lo consagrado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 ibídem, y el literal c) del artículo 4 de la misma ley y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

En consecuencia, esta Dirección impondrá, dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012, una multa de DOS MILLONES SEISCIENTOS OCHENTA Y SEIS MIL SETECIENTOS NOVENTA Y DOS PESOS (2.686,792 pesos) M/CTE, correspondiente a (74) unidades de valor tributaria- UVT17, por la vulneración del Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como el artículo 2.2.2.25.2.2 y del Decreto Único Reglamentario 1074 de 2015. ii.

Quedó demostrado el actuar negligente de la sociedad, para la fecha del requerimiento de información, y fue confesado por parte de la investigada, en el cumplimiento del deber de informar debidamente a los Titulares sobre las finalidades de la recolección y los derechos que les asisten como Titulares de la información, consagrado en el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la norma en comento, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

En consecuencia, esta Dirección impondrá, dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012, una multa de DOS MILLONES SEISCIENTOS OCHENTA Y SEIS MIL SETECIENTOS NOVENTA Y DOS PESOS (2.686,792 pesos) M/CTE, correspondiente a (74) unidades de valor tributaria- UVT18, por la vulneración del Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley iii) inciso 2 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015. iii.

Quedó demostrado el actuar negligente y fue confesado por parte de la investigada, frente al tratamiento de los datos en su calidad de Responsable al realizar tratamiento de datos personales, para la fecha del requerimiento de información, sin contar con una Política de Tratamiento de Datos Personales, de conformidad con lo consagrado en el inciso 3 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015.

En consecuencia, esta Dirección impondrá, dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012, una multa de DOS MILLONES SEISCIENTOS OCHENTA Y SEIS MIL SETECIENTOS NOVENTA Y DOS PESOS (2.686,792 pesos) M/CTE, correspondiente a (74) unidades de valor tributaria- UVT19, por la vulneración del inciso 2 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015. iv.

Quedó demostrado el actuar negligente y fue confesado por parte de la investigada, al realizar tratamiento de datos personales, para la fecha del requerimiento de información, sin contar con un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para (i ) la atención de consultas y reclamos, y (ii) un manual interno del ciclo del dato, de acuerdo a lo establecido en literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015.

En consecuencia, esta Dirección impondrá, dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012, una multa de DOS MILLONES SEISCIENTOS OCHENTA Y SEIS MIL SETECIENTOS NOVENTA Y DOS PESOS (2.686,792 pesos) M/CTE, correspondiente a (74) unidades de valor tributaria- UVT20, por la vulneración del literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 e inciso 2 del artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015. 12.1.2 El reconocimiento o aceptación de la comisión de una aceptación 17 Ibidem 18 Ibidem 19 Ibidem 20 Ibidem HOJA N, “Por la cual se impone una sanción y se imparten órdenes” El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581de 2012 se aplicará toda vez que la investigada, en el escrito de descargos, expediente digital radicado 19-220175-18 página 20, reconoció la comisión de la infracción de cada uno de los cargos formulados por esta Dirección, tal como se señaló textualmente en el análisis de cada cargo.

En virtud de lo expuesto, se procederá a reducir la sanción impuesta del siguiente modo: i. En el cargo primero por la vulneración del deber consagrado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 ibídem, y el literal c) del artículo 4 de la misma ley y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, en VEINTE (20) unidades de valor tributario vigentes, por el reconocimiento de la infracción. ii.

En el cargo segundo por la vulneración del deber consagrado en el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la norma en comento, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, en VEINTE (20) unidades de valor tributario vigentes, por el reconocimiento de la infracción. iii.

En el cargo tercero por la vulneración del deber consagrado en el inciso 2 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015, en VEINTE (20) unidades de valor tributario vigentes, por el reconocimiento de la infracción. iv. En el cargo cuarto por la vulneración del deber consagrado en literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo con el inciso 2 del artículo 2.2.2.25.2.1 e inciso 2 del artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015, en VEINTE (20) unidades de valor tributario vigentes, por el reconocimiento de la infracción. Por lo anterior, la sanción total queda en un valor equivalente a 216 UVT. 12.1.3 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

DÉCIMO TERCERO: CONCLUSIÓN Se procederá a imponer una sanción por las siguientes razones: i. Se comprobó que la sociedad investigada actuó negligentemente frente al tratamiento de los datos en su calidad de Responsable, en el cumplimiento del deber de solicitar y conservar copia de la autorización previa y expresa, consagrado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 ibídem, y el literal c) del artículo 4 de la misma ley y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015., razón por la cual se impartió una orden y se impuso una sanción multa pecuniaria. ii.

Se comprobó que la sociedad investigada actuó negligentemente frente al tratamiento de los datos en su calidad de Responsable, en el cumplimiento del deber de informar debidamente a los Titulares sobre las finalidades de la recolección y los derechos que les asisten como Titulares de la información, consagrado en el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la norma en comento, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, razón por la cual se impartió una orden y se impuso una sanción multa pecuniaria. iii.

Se comprobó que la sociedad investigada actuó negligentemente frente al tratamiento de los datos en su calidad de Responsable, al no contar con una Política de Tratamiento de Datos Personales, de conformidad con lo consagrado en el inciso 3 del artículo 25 de la HOJA N, “Por la cual se impone una sanción y se imparten órdenes” Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015, razón por la cual se impartió una orden y se impuso una sanción multa pecuniaria. iv.

Se comprobó que la sociedad investigada actuó negligentemente frente al tratamiento de los datos en su calidad de Responsable, al no contar con un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos, de acuerdo a lo establecido en literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015, razón por la cual se impartió una orden y se impuso una sanción multa pecuniaria. v. Que debido a que la sociedad investigada reconoció la infracción a cada uno de los cargos formulados, esta Dirección efectuó una reducción a la sanción, de conformidad con lo señalado en el literal f) del artículo 24 de la Ley 1581de 2012.

Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer la sanción correspondiente a SIETE MILLONES OCHOCIENTOS CUARENTA Y DOS MIL QUINIENTOS VEINTIOCHO PESOS ($7.842.528) M/CTE, correspondiente a (216) unidades de valor tributaria- UVT, por la violación de las disposiciones contenidas en: en i) Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como el artículo 2.2.2.25.2.2 y del Decreto Único Reglamentario 1074 de 2015 ii) Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley iii) inciso 2 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015 y iv) el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 e inciso 2 del artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015.

DÉCIMO CUARTO: Que, en virtud de la situación y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I ETAPAS I Y II PROPIEDAD HORIZONTAL identificada con Nit. 830.084.128-5, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial de la sociedad, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad parquesprimavera@gmail.com, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Finalmente, indicando que la totalidad del Expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I ETAPAS I Y II PROPIEDAD HORIZONTAL considera estrictamente necesario el acceso del Expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la radicado.

Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. En mérito de lo anterior, esta Dirección HOJA N, “Por la cual se impone una sanción y se imparten órdenes”

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I ETAPAS I Y II PROPIEDAD HORIZONTAL identificada con Nit. 830.084.128-5, de SIETE MILLONES OCHOCIENTOS CUARENTA Y DOS MIL QUINIENTOS VEINTIOCHO PESOS M/CTE ($7.842.528), correspondiente a (216) unidades de valor tributariaUVT, por la violación del en i) Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como el artículo 2.2.2.25.2.2 y del Decreto Único Reglamentario 1074 de 2015 ii) Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley iii) inciso 2 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015 y iv) el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 e inciso 2 del artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: IMPARTIR las siguientes órdenes administrativas a la sociedad CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I ETAPAS I Y II PROPIEDAD HORIZONTAL identificada con Nit. 830.084.128-5 así: • La sociedad CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I ETAPAS I Y II PROPIEDAD HORIZONTAL deberá adecuar la información contenida en los avisos de videovigilancia conforme a lo establecido en la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015.

Se le recuerda que tiene a su disposición la “Guía de Protección de Datos Personales en Sistemas de Videovigilancia” disponible en el siguiente enlace: https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Guia_Vigilancia_sept16_201 6.pdf • La sociedad CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I ETAPAS I Y II PROPIEDAD HORIZONTAL deberá poner a disposición de los interesados su Política de Tratamiento de Datos Personales así como adecuarla a la normativa vigente, de conformidad con lo consagrado en el inciso 3 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015.21 • La sociedad CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I ETAPAS I Y II PROPIEDAD HORIZONTAL deberá incluir dentro de sus manuales internos de políticas y procedimientos un manual de ciclo del dato, el cual debe señalar las políticas y procedimientos internos para regular todo el ciclo del dato dentro de la empresa, desde la recolección, almacenamiento, uso, y disposición final, de acuerdo a lo establecido en literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 e inciso 2 del artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 201522.

PARÁGRAFO PRIMERO: La sociedad CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I 21 Se encuentra publicada para su consulta: “Formato modelo para el cumplimiento de obligaciones establecidas en la Ley 1581 de 2012 y sus decretos reglamentarios”, que no es de obligatorio cumplimiento, sin embargo, orienta a los Responsables y Encargados del Tratamiento sobre el cumplimiento de las obligaciones específicas, como son: (i) solicitar y conservar copia de la autorización y de la información que debe suministrarle a los titulares previo a la autorización;

(ii) contar con una Política de Tratamiento de Datos Personales disponible a los Titulares; (iii) contar con un aviso de privacidad, cuando no sea posible poner a disposición de los Titulares la política. Disponible en el siguiente link: https://www.sic.gov.co/centro-depublicaciones?field_tema_general_tid=5&field_anos_p_value=All 22 Puede consultar la Cartilla de guía de formatos datos personales en el siguiente enlace: https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Publicaciones/Cartilla_formatos_datos_Personales_nov22.pdf.

También puede consultar otras publicaciones en materia de protección de datos personales que ha expedido la Superintendencia de Industria y Comercio en el siguiente enlace: https://www.sic.gov.co/centro-de-publicaciones?field_tema_general_tid=5&field_anos_p_value=All HOJA N, “Por la cual se impone una sanción y se imparten órdenes” ETAPAS I Y II PROPIEDAD HORIZONTAL deberá dar cumplimiento de lo ordenado dentro de los tres (3) meses siguientes hábiles siguientes a la ejecutoria de la presente decisión.

PARÁGRAFO SEGUNDO: La sociedad CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I ETAPAS I Y II PROPIEDAD HORIZONTAL deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.

Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad.

PARÁGRAFO TERCERO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I ETAPAS I Y II PROPIEDAD HORIZONTAL identificada con Nit. 830.084.128-5, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I ETAPAS I Y II PROPIEDAD HORIZONTAL identificada con Nit. 830.084.128-5 a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO CUARTO: COMUNICAR al señor XXXXXXXXXXXXXXXXXXXXXXXXXXXX identificado con la cédula de ciudadanía número XXXXXXXXX de la presente Decisión.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 27 AGOSTO 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR SALAZAR MUÑOZ MUÑOZ Fecha: 2021.08.27 13:00:04 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JBG Revisó: AMVJ Aprobó: CESM HOJA N, “Por la cual se impone una sanción y se imparten órdenes” NOTIFICACIÓN: Investigada: CONJUNTO RESIDENCIAL PARQUES DE PRIMAVERA I ETAPAS I Y II PROPIEDAD HORIZONTAL Identificación: Nit. 830.084.128-5 Representante Legal: XXXXXXXXXXXXX Identificación: C.C. No. XXXXXXXX Dirección: Calle 4b No. 39b - 90 Correo electrónico: parquesprimavera@gmail.com Ciudad: Bogotá D.C COMUNICACIÓN: Señor (a): XXXXXXXXXXXXXXXXXXXXXXXXX Identificación: C.C. XXXXXXXX Dirección: XXXXXXXXXXXXXXXXXXXX Correo electrónico: XXXXXXXXXXXXXXXXXXXX Ciudad: Bogotá D.C.