Sanción 73813 de 2022 — SIC

REPÚBLICA DE COLOMBIA (21 OCTUBRE 2022) “Por la cual se impone una sanción y se imparten órdenes” Radicación: 20-462732 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales (5) y (9) del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022; y

CONSIDERANDO

PRIMERO: Que mediante Resolución 51625 del 28 de agosto de 2020, expedida por esta Dirección a través del Grupo de Trabajo de Hábeas Data1, se ordenó lo siguiente: “ARTÍCULO CUARTO: Remitir copia de la presente Resolución al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección con el fin de que determine si existe o no mérito para adelantar una actuación administrativa de carácter sancionatorio y, conforme a la decisión adoptada, se informe al Grupo de Trabajo de Habeas Data lo pertinente”.

SEGUNDO: Que en la parte motiva de la Resolución 51625 del 28 de agosto de 2020, expedida por esta Dirección a través del Grupo de Trabajo de Hábeas Data, de cara a la queja presentada ante esta Superintendencia por el señor XXXXX XXXXXX XXXXX XXXX, identificado con cédula de ciudadanía número XXXXXXXX, en contra de la sociedad HOTEL TERMALES EL OTOÑO S.C.A., identificada con NIT. 810.006.693-1, se consideró lo siguiente: “6.2 Respecto del trámite a seguir cuando el titular de la información o sus causahabientes presente una petición frente al responsable del manejo de su información. (…) En la presente actuación administrativa, se encuentra que el Señor XXXXXXX XXXXXX XXX, radicó dos derechos de petición ante la sociedad Hotel Termales El Otoño S.C.A., de la siguiente manera: 1 Cfr. Resolución 54004 del 17 de septiembre de 2012 del Superintendente de Industria y Comercio, por la cual se crea el Grupo de Trabajo de Hábeas Data y se le asigna el desarrollo de unas funciones.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 2 VERSIÓN RESERVADA De igual manera, se tiene que el titular de la información manifestó que la sociedad Hotel Termales El Otoño S.C.A., no le había dado respuesta a sus peticiones. Al respecto, este Despacho envío una solicitud de explicaciones a la sociedad la sociedad Hotel Termales El Otoño S.C.A., el 20 de abril de 2020, sobre la cual no se obtuvo ninguna respuesta, por ende se evidencia que dicha sociedad no allegó copia de la respuesta suministrada a dichas peticiones.

Así las cosas, este Despacho encuentra procedente impartir una orden encaminada a proteger el derecho fundamental de hábeas data del titular, ordenando a la sociedad Hotel Termales El Otoño S.C.A. suministrar respuesta a los derechos de petición incoados por el señor XXXXX XXXXX XXXXXXX, toda vez que dicha sociedad en su condición de Responsable del Tratamiento posiblemente vulneró el deber previsto que le asiste de resolver los reclamos y peticiones de los titulares en la forma descrita en el artículo 15 de Ley 1581 de 2012. 6.3.

Respecto a la solicitud de supresión de información personal del titular. (…) En el caso bajo examen, el titular de la información señaló que el 26 de noviembre de 2019 solicitó dos veces a la sociedad Hotel Termales El Otoño S.C.A. a través del correo electrónico info@termaleselotono.com que eliminaran sus datos personales de sus bases de datos.

Sin embargo, asegura nunca recibió respuesta a sus peticiones. Por lo tanto, solicita que la sociedad investigada elimine sus datos personales de sus bases de datos y se inicie la respectiva investigación administrativa sancionatoria contra dicha sociedad por no dar cumplimiento a los deberes establecidos en la Ley 1581 de 2012. Al respecto, es importante también tener en cuenta que en el presente caso tal como ha quedado establecidos hechos atrás, el 20 de abril de 2020, fue enviada una comunicación a la sociedad denunciada en la que se hizo una solicitud de explicaciones, y la misma nunca fue contestada a pesar de haber sido enviada al correo electrónico que aparece dentro del registro mercantil, lo que quiere decir que los hechos alegados por el reclamante se presumirán como ciertos mientras no se demuestre lo contrario.

De acuerdo con lo anterior, y conforme al análisis realizado a lo largo de la actuación administrativa, este Despacho emitirá una orden en el presente acto administrativo que conlleve a la eliminación de los datos personales del señor XXXXX XXXXXX XXXXX de las bases de datos de dicha sociedad, y en ese sentido la sociedad Hotel Termales El Otoño S.C.A deberá allegar para el efecto prueba técnica o un certificado expedido por el Jefe del Área Técnica y/o Área de Auditoría de la Organización que acredite la correspondiente supresión de los datos personales del titular.

Por último, este Despacho ordenará la remisión del expediente al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección para que determine si hay mérito o no para iniciar una investigación administrativa de carácter sancionatorio, dirigida a “Por la cual se impone una sanción y se imparten órdenes” HOJA N 3 establecer el posible incumplimiento de los deberes y principios regulados por la Ley 1581 VERSIÓNHotel RESERVADA de 2012 por parte de la sociedad Termales El Otoño S.C.A.”

TERCERO: Que, dentro de la actuación administrativa adelantada por el Grupo de Trabajo de Hábeas Data, se recolectaron, entre otros, los elementos materiales probatorios que se enlistan a continuación: 3.1. Comunicación presentada ante esta Superintendencia, radicada con el número 20-74506-0 del 30 de marzo de 2020 mediante la cual, el señor XXXXXX XXXXXX XXXXXXX puso en conocimiento de este Despacho que el 26 de noviembre de 2019 a través del correo electrónico info@termaleselotono.com le solicitó a la sociedad HOTEL TERMALES EL OTOÑO S.C.A., identificada con NIT. 810.006.693-1, la eliminación de sus datos personales, pese a ello la sociedad no emitió respuesta alguna.

CUARTO: Que, dentro de la actuación administrativa adelantada por el Grupo de Trabajo de Investigaciones Administrativas, se recolectaron, entre otros, los elementos materiales probatorios que se enlistan a continuación: 4.1. Oficio con número de radicado 20-462732-2 del 09 de diciembre de 2020, mediante el cual está Dirección se le solicitó a la sociedad HOTEL TERMALES EL OTOÑO S.C.A., entre otras cosas: 1.

Remita copia de la Política de Protección de Datos Personales (o privacidad) implementada por la sociedad. 2. Remita copia de la Política de Seguridad de la Información implementada por la sociedad. 3. Remita copias de los formatos que tiene implementados para la recolección y tratamiento de datos personales. 4. Informe la manera en la que obtiene autorización de los titulares de la información para el tratamiento de sus datos personales y la manera en la que conserva prueba de dicha autorización. Lo anterior tanto para procesos físicos, como para procesos por medios digitales tales como páginas web, redes sociales, etc. 5.

Informe que datos personales trata del señor XXXX XXXXX XXXXXXX XXXX identificado con cédula de ciudadanía número XXXXXXXX (tales como, nombre, número de identificación, dirección, correo electrónico, números telefónicos, imágenes, etc.). 6. Informe si cuenta con la autorización del señor XXXXX XXXXXX XXXXXXX XXXXXL identificado con cédula de ciudadanía número XXXXXXXXX para el tratamiento de sus datos personales y en caso de que su respuesta sea afirmativa, remita copia de dicha autorización. 7.

Informe si ha recibido peticiones, quejas, reclamos o algún tipo de comunicación por parte señor XXXXXX XXXXXX XXXXXX XXX identificado con cédula de ciudadanía número XXXXXXX, en caso de ser afirmativa su respuesta, sírvase aportar copia de la(s) misma(s) con su respectiva respuesta. 8. Informe los mecanismos con que cuentan los titulares para interponer quejas o reclamos relacionados con sus datos personales tratados por la sociedad y el proceso o procedimiento implementado para tal fin.” Frente a este oficio con radicado número 20-462732-2 del 09 de diciembre de 2020, la sociedad no atendió el requerimiento, el cual fue enviado a la dirección física “KM 5 ANTIGUA VIA AL NEVADO VEREDA GALLINAZO VILLAMARÍA, CALDAS, COLOMBIA”, la cual se encuentra registrada en el Certificado de Existencia y Representación Legal expedida por la Cámara de Comercio de Manizales por Caldas, mediante la guía de envío número RA293899690CO de la empresa de envíos 4-72, como se evidencia a continuación: “Por la cual se impone una sanción y se imparten órdenes” VERSIÓN RESERVADA HOJA N 4 “Por la cual se impone una sanción y se imparten órdenes” HOJA N 5 VERSIÓN 4.2.

Oficio con número 20-462732-2 del RESERVADA 29 de diciembre de 2020, mediante el cual el Grupo de Trabajo de Informática Forense y Seguridad Digital (en adelante GTIFSD) de la la Página Web “http://www.plagiosos.org/”, en el cual se indicó: “(…) • Revisión de Aplicaciones y/o Bases de Datos Embebidas De acuerdo con el requerimiento, se realiza una revisión del sitio web www.termaleselotono.com donde se encuentra el siguiente formulario: a. RESERVAR https://www.termaleselotono.com/contact-us Imagen 1 Formulario Reservar - página web www.termaleselotono.com, obtenida con impresión por pantalla la Aplicación de Microsoft Windows Recortes El formulario solicita la siguiente información: ❖ Nombre Completo ❖ Número de celular ❖ Email ❖ Mensaje • Búsqueda de información referente al tratamiento de datos personales.

Lo primero en observarse es que al acceder a la URL www.termaleselotono.com, no se encuentra ningún enlace que haga referencia a políticas de protección de datos personales, términos y condiciones o avisos de privacidad y en la navegación del sitio web tampoco se observó referencia al tema.

5. INFORMACIÓN TÉCNICA DEL SITIO WEB • Búsqueda de información referente a la existencia y representación legal (RUES) Revisada la información del sitio web www.termaleselotono.com en el RUES, se encontró la siguiente información: “Por la cual se impone una sanción y se imparten órdenes” HOJA N 6 VERSIÓN RESERVADA Imagen 2 RUES sitio web www.termaleselotono.com obtenida con impresión por pantalla la Aplicación de Microsoft Windows Recortes. • Revisión de dominio, Según la consulta realizada por WHOIS del sitio web se identifica el propietario y/o responsables del sitio inspeccionado así: Imagen 3 Revisión del dominio relacionado con el sitio web www.termaleselotono.com obtenida con impresión por pantalla la Aplicación de Microsoft Windows Recortes.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 7 VERSIÓN RESERVADA Imagen 4 Revisión del dominio relacionado con el sitio web www.termaleselotono.com obtenida con impresión por pantalla la Aplicación de Microsoft Windows Recortes. […]4 9. OBSERVACIONES Se realizan las observaciones enumeradas a continuación. A. En la navegación del sitio web www.termaleselotono.com se pudo observar que no se encuentra ningún enlace que haga referencia a políticas de protección de datos personales, términos y condiciones o avisos de privacidad ni se hace referencia al tema en ninguna de las opciones del menú revisadas.

Como se observa en la imagen 17, existe una opción denominada ‘Nuestras Políticas’, pero estas corresponden a las políticas que Termales El Otoño tiene para: o cancelación y/o modificación de reservas, o protección al menor, o de reservación o y por último de pago Ver imágenes 19 al 22. B. Se encontró un formulario al cual se accede a través de la opción ‘Reservar’, imagen 23, el cual no tiene nombre o título, que solicita información a las personas que desean hacer una reservación en Termales El Otoño, y como se ve en la imagen citada solicitan: (i) nombre, (ii) dirección de correo electrónico y (iii) número celular.

En este formulario no se encuentra referencia alguna a aviso de privacidad ni existe una autorización para el tratamiento de datos personales. C. Al seleccionar la opción - llamar, del menú vertical ubicado en la parte derecha de la pantalla, nos lleva a la pantalla que se muestra en la imagen 14 y en la parte inferior se hace referencia a una política de privacidad, sin embargo, el texto que muestra no tiene relación con el tema de protección de datos personales (https://fontumi.co/aviatur/010termales.html#): Imagen 5, Mensaje resultado de la 'Política de Privacidad', obtenida con impresión por pantalla la Aplicación de Microsoft Windows Recortes.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 8 D. Revisado el sitio web www.termaleselotono.com no se encuentra publicación de VERSIÓN RESERVADA ningún documento que trate sobre protección de datos específicamente o se refiera a una Política de Tratamiento de la Información.”

QUINTO: Que, con base en los hechos anotados, mediante la Resolución número 21081 del 16 de abril de 2021, se inició una investigación y en consecuencia se formuló pliego de cargos en contra de la sociedad HOTEL TERMALES EL OTOÑO S.C.A., por la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: • Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; • Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015; • Literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la misma Ley, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.2, 2.2.2.25.3.3 y 2.2.2.25.3.4 del Decreto Único Reglamentario 1074 de 2015; • Literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la precitada Ley, y el inciso 3 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; • Literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1, el inciso 2 del artículo 2.2.2.25.2.8 y el inciso 2 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; • Literal k) del artículo 17 de la citada Ley, y los numerales 4 y 5 del artículo 2.2.2.25.3.1 y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015; • Literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 19 de la misma Ley y el literal f) del artículo 21 de la citada Ley, de conformidad con lo establecido en la parte motiva de la presente resolución. La mencionada resolución le fue notificada mediante aviso número 7654 del 04 de mayo de 2021 a la investigada, de acuerdo con la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia bajo radicado número 20-462732-10 del 10 de mayo de 2021, para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

SEXTO: Que, mediante la comunicación con radicado número 20-462732-11 del 21 de mayo de 2021, la sociedad HOTEL TERMALES EL OTOÑO S.C.A. presentó las pruebas que pretende hacer valer y escrito de descargos indicando: “Por la cual se impone una sanción y se imparten órdenes” HOJA N 9 VERSIÓN RESERVADA SÉPTIMO: Que mediante Resolución número 15048 del 25 de marzo de 2022, esta Dirección incorporó las pruebas obrantes en los radicados 20-462732-0 al 20-462732-11 del expediente radicado bajo el número 20-462732, con el valor legal que les correspondiera, y se corrió traslado a la sociedad HOTEL TERMALES EL OTOÑO S.C.A., para que alegara de conclusión.

OCTAVO: Que, la Resolución número 15048 del 25 de marzo de 2022, le fue comunicada la sociedad HOTEL TERMALES EL OTOÑO S.C.A., el día 25 de marzo de 2022 como se evidencia en la certificación expedida por la Secretaria General de esta Superintendencia, radicada bajo el número 20-462732-15 del 07 de abril de 2022.

NOVENO: Que la sociedad HOTEL TERMALES EL OTOÑO S.C.A., presentó alegatos de conclusión a través de la comunicación con radicado 20-462732-16 del 08 de abril de 2022, en la cual reitero los argumentos y documentos allegados en el escrito de descargos.

DÉCIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO PRIMERO: Análisis del caso 11.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20112, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el 2 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 10 incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación VERSIÓN RESERVADA que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”. Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares.

El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012. (ii) De conformidad con los hechos alegados por el reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo dispuesto en: • Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; • Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015; • Literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la misma Ley, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.2, 2.2.2.25.3.3 y 2.2.2.25.3.4 del Decreto Único Reglamentario 1074 de 2015; • Literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la precitada Ley, y el inciso 3 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; • Literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1, el inciso 2 del artículo 2.2.2.25.2.8 y el inciso 2 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; • Literal k) del artículo 17 de la citada Ley, y los numerales 4 y 5 del artículo 2.2.2.25.3.1 y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015; • Literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 19 de la misma Ley y el literal f) del artículo 21 de la citada Ley, de conformidad con lo establecido en la parte motiva de la presente resolución. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta las razones de hecho y de derecho aducidas por la investigada en los alegatos de conclusión, así como el conjunto de pruebas que obran en el expediente. 11.2 Valoración probatoria y conclusiones 11.2.1 Respecto al deber de solicitar y conservar la autorización del Titular para el tratamiento de sus datos personales Frente al cargo primero, esta dirección consideró que la investigada presuntamente había incumplido el deber de solicitar y conservar la autorización del Titular para el tratamiento de sus datos personales, de acuerdo con lo previsto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, los cuales disponen lo siguiente: “Por la cual se impone una sanción y se imparten órdenes” HOJA N 11 Ley 1581 de 2012 VERSIÓN RESERVADA “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular.

(…)

ARTÍCULO

9. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. (…)

ARTÍCULO

4. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento;” Decreto Único Reglamentario 1074 de 2015 “Artículo 2.2.2.25.2.2 Autorización: El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

(…) Artículo 2.2.2.25.2.5 Prueba de la autorización: Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos.” Preliminarmente se encontró que la sociedad HOTEL TERMALES EL OTOÑO S.C.A., fue requerida por este Despacho, mediante oficio con radicado número 20-462732-2 del 9 de diciembre de 2020, enviado a la dirección física que aparece registrada en el Certificado de existencia y Representación Legal “KM 5 ANTIGUA VIA AL NEVADO VEREDA GALLINAZO VILLAMARÍA, CALDAS, COLOMBIA, tal como consta en la guía de envío RA293899690CO expedida por la sociedad SERVICIOS POSTALES NACIONALES S.A (4- 72); para que, entre otras cosas, “Informe si cuenta con la autorización del señor XXXXX XXXXX XXXXXXXX identificado con cédula de ciudadanía número XXXXXXX para el tratamiento de sus datos personales y en caso de que su respuesta sea afirmativa, remita copia de dicha autorización.”, pese a ello la sociedad no atendió dicho requerimiento.

Por lo anterior, se le solicitó al GTIFSD que realizara una preservación de la página web “www.termaleselotono.com”, y a través del radicado número 20-462732-3 informó lo siguiente: “Por la cual se impone una sanción y se imparten órdenes” HOJA N 12 “B. Se encontró un formulario al cual se accede a través de la opción “Reservar”, imagen VERSIÓN RESERVADA 23, el cual no tiene nombre o título, que solicita información a las personas que desean hacer una reservación en Termales El Otoño, y como se ve en la imagen citada solicitan: (i) nombre, (ii) dirección de correo electrónico y (iii) número celular.

En este formulario no se encuentra referencia alguna a aviso de privacidad ni existe una autorización para el tratamiento de datos personales.” Por lo anterior, esta Dirección preliminarmente encontró que la sociedad HOTEL TERMALES EL OTOÑO S.C.A., presuntamente habría vulnerado las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

Resolución le fue notificada mediante el aviso 7654 del 04 de mayo de 2021 a la sociedad HOTEL TERMALES EL OTOÑO S.C.A., según consta en la certificación expedida por la Secretaría General Ad- Hoc de esta Superintendencia, radicada bajo el número 20-462732-10 del 10 de mayo de 2021, y dentro del término de quince (15) días hábiles, concedido para que rindiera los respectivos descargos y aportara las pruebas que pretendiera hacer valer en la presente investigación, esta aportó un modelo de autorización denominado “AUTORIZACIÓN PARA EL MANEJO DE DATOS”, sin embargo, no aportó documento alguno que permitiera evidenciar el mencionado modelo estaba siendo utilizado para solicitar y conservar la autorización previa, y expresa de los titulares respecto a la información recaudada a través su página web “www.termaleselotono.com”, en el apartado “RESERVAS” Posterior a ello la sociedad investigada, presentó alegatos de conclusión a través de la comunicación con radicado número 20-462732-16 del 08 de abril de 2022, reiterando los descargos, en donde, como ya se ha dicho anteriormente, no aportó prueba de la autorización otorgada por los Titular para el tratamiento de sus datos personales, respecto de los datos recolectados a través de su página web.

Una vez analizados los argumentos y pruebas obrantes en el expediente, esta Dirección encuentra probado el actuar negligente de la investigada, al no demostrar que solicitaba y conservaba copia de la autorización de los Titulares, respecto a la información recaudada a través de su página web “www.termaleselotono.com”, en el apartado “RESERVAS”, en la medida en que, para la fecha de la preservación solicitaban los siguientes datos: (i) nombre, (ii) dirección de correo electrónico y (iii) número celular, y en este formulario no se solicitaba ni recolectaba la autorización para el tratamiento de datos personales.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 13 Al respecto, se encuentra que la sociedad HOTEL TERMALES EL OTOÑO S.C.A. infringió su VERSIÓN RESERVADA deber como Responsable del Tratamiento de solicitar y conservar la autorización del Titular para el tratamiento de sus datos personales, consagrado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, razón por la cual se impondrá la sanción correspondiente, así como una orden administrativa. 11.2.2 Respecto al deber de informar debidamente al Titular sobre la finalidad de la recolección de sus datos Frente al cargo segundo, esta dirección consideró que la investigada presuntamente había incumplido el deber de solicitar y conservar la autorización del Titular para el tratamiento de sus datos personales, de acuerdo con lo previsto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, que establecen lo siguiente: Ley 1581 de 2012 “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;

ARTÍCULO

12. DEBER DE INFORMAR AL TITULAR. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

PARÁGRAFO. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta. (…)

ARTÍCULO

4. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular;” Decreto Único Reglamentario 1074 de 2015 “Artículo 2.2.2.25.2.2 Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades especificas del Tratamiento para las cuales se obtiene el consentimiento.” (subrayado fuera del texto original) “Por la cual se impone una sanción y se imparten órdenes” HOJA N 14 Ahora bien, respecto al caso objeto de estudio esta Dirección solicitó la revisión y preservación del VERSIÓN RESERVADA sitio web “www.termaleselotono.com” realizada por el GTIFSD, a través del radicado número 20462732-3 se informó que: A. En la navegación del sitio web www.termaleselotono.com se pudo observar que no se encuentra ningún enlace que haga referencia a políticas de protección de datos personales, términos y condiciones o avisos de privacidad ni se hace referencia al tema en ninguna de las opciones del menú revisadas.

Como se observa en la imagen 17, existe una opción denominada “Nuestras Políticas”, pero estas corresponden a las políticas que Termales El Otoño tiene para: o cancelación y/o modificación de reservas, o protección al menor, o de reservación o y por último de pago (…) B. Se encontró un formulario al cual se accede a través de la opción “Reservar”, imagen 23, el cual no tiene nombre o título, que solicita información a las personas que desean hacer una reservación en Termales El Otoño, y como se ve en la imagen citada solicitan: (i) nombre, (ii) dirección de correo electrónico y (iii) número celular.

En este formulario no se encuentra referencia alguna a aviso de privacidad ni existe una autorización para el tratamiento de datos personales. Preliminarmente se encontró que la sociedad HOTEL TERMALES EL OTOÑO S.C.A., presuntamente habría vulnerado las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en:  El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015 La Resolución fue notificada mediante el aviso 7654 del 04 de mayo de 2021 a la sociedad HOTEL TERMALES EL OTOÑO S.C.A., según consta en la certificación expedida por la Secretaría General Ad- Hoc de esta Superintendencia, radicada bajo el número 20-462732-10 del 10 de mayo de 2021, dentro del término de quince (15) días hábiles, concedido para que rindiera los respectivos descargos y aportara las pruebas que pretendiera hacer valer en la presente investigación, esta aportó el documento denominado “AVISO DE PRIVACIDAD”, en donde se evidencia que la sociedad cuenta con un modelo de aviso de privacidad, sin embargo, no aportó prueba alguna que acredite que el mismo se encontraba implementado en la página web y permitía a los titulares conocer las finalidades del tratamiento y sus derechos como titulares.

El aviso aportado es el siguiente: “Por la cual se impone una sanción y se imparten órdenes” HOJA N 15 VERSIÓN RESERVADA Posterior a ello la sociedad investigada, presentó alegatos de conclusión a través de la comunicación con radicado número 20-462732-16 del 08 de abril de 2022, reiterando los descargos. Una vez analizadas los argumentos y pruebas obrantes en el expediente, esta Dirección encuentra que pese a haber aportado un documento titulado aviso de privacidad, no acreditó que el mismo se encontraba implementado y puesto a disposición de los titulares, respecto de los datos recolectados a través de su página web, para la fecha de la preservación, razón por la cual, previo a la recolección de los datos a través de la opción “Reservar”, no se acreditó informar las finalidades establecidas en el artículo 12 de la Ley 1581 de 2012, y en consecuencia se evidencia negligencia en el cumplimiento del deber establecido en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, por lo que se impondrá la correspondiente sanción y se impartirá una orden. 11.2.3 Respecto al deber de adoptar una Política de Tratamiento de Datos Personales Frente al cargo segundo, esta Dirección consideró que la investigada presuntamente había incumplido el deber de adoptar una Política de Tratamiento de Datos Personales de acuerdo con lo previsto en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015; normas que establecen lo siguiente: Ley 1581 de 2012 “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos”.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 16 (…) VERSIÓN RESERVADA Artículo 25. Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes.

Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. (Subraya adicionada) Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en este los Responsables del Tratamiento”.

(Subrayado y negrita adicionados) Decreto Único Reglamentario 1074 de 2015 “Artículo 2.2.2.25.3.1. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas. Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares.

Dichas políticas deberán incluir, por lo menos, la siguiente información: 1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. 2. Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. 3. Derechos que le asisten como Titular. 4.

Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. 5. Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. 6.

Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente Decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas”.

(Subrayado y negrita adicionados) Preliminarmente se encontró que la sociedad HOTEL TERMALES EL OTOÑO S.C.A., fue requerida por este Despacho, mediante oficio con radicado número 20-462732-2 del 9 de diciembre de 2020, enviado a la dirección física que aparece registrada en el Certificado de existencia y Representación Legal “KM 5 ANTIGUA VIA AL NEVADO VEREDA GALLINAZO VILLAMARÍA, CALDAS, COLOMBIA, tal como consta en la guía de envío RA293899690CO expedida por la sociedad SERVICIOS POSTALES NACIONALES S.A (4- 72); para que, entre otras cosas, “Remita copia de la Política de Protección de Datos Personales (o privacidad) implementada por la sociedad.”, pese a ello la sociedad no atendió dicho requerimiento.

Adicionalmente, esta Dirección solicitó la revisión y preservación del sitio web “www.termaleselotono.com” realizada por el GTIFSD, a través del radicado número 20-462732-3 se informó que: “A. En la navegación del sitio web www.termaleselotono.com se pudo observar que no se encuentra ningún enlace que haga referencia a políticas de protección de datos “Por la cual se impone una sanción y se imparten órdenes” HOJA N 17 personales, términos y condiciones o avisos de privacidad ni se hace referencia al tema VERSIÓN RESERVADA en ninguna de las opciones del menú revisadas.

Como se observa en la imagen 17, existe una opción denominada “Nuestras Políticas”, pero estas corresponden a las políticas que Termales El Otoño tiene para: o cancelación y/o modificación de reservas, o protección al menor, o de reservación o y por último de pago” Por lo anterior, preliminarmente esta Dirección encontró que la sociedad HOTEL TERMALES EL OTOÑO S.C.A., presuntamente habría vulnerado las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en:  El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015.

La Resolución fue notificada mediante el aviso 7654 del 04 de mayo de 2021 a la sociedad HOTEL TERMALES EL OTOÑO S.C.A., según consta en la certificación expedida por la Secretaría General Ad- Hoc de esta Superintendencia, radicada bajo el número 20-462732-10 del 10 de mayo de 2021, y dentro del término de quince (15) días hábiles, concedido para que rindiera los respectivos descargos y aportara las pruebas que pretendiera hacer valer en la presente investigación, esta aportó el documento denominado “POLÍTICA DE TRATAMIENTO DE DATOS”, en donde se evidencia como fecha de creación y/o implementación el 1 de octubre de 2019, razón por la cual, en virtud de la prueba aportada y el principio de buena fe, esta Dirección encuentra que la sociedad cumplió con su deber de adoptar una Política de Tratamiento de Datos Personales.

Posterior a ello la sociedad investigada, presentó alegatos de conclusión a través de la comunicación con radicado número 20-462732-16 del 08 de abril de 2022, reiterando los documentos allegados en descargos. Una vez analizadas los argumentos y pruebas obrantes en el expediente, esta Dirección encuentra que la sociedad certifica tener implementada la Política de Tratamiento de Datos Personales desde el 01 de octubre de 2019, como se evidencia a continuación: “Por la cual se impone una sanción y se imparten órdenes” HOJA N 18 En consecuencia, no se encuentra mérito para imponer una sanción; no obstante lo anterior, esta Dirección encuentra procedenteVERSIÓN analizar RESERVADA el contenido de las mismas con el fin de verificar si la misma se adecua al contenido mínimo establecido en la ley, no sin antes señalar que: (1) la política de tratamiento es una herramienta que permite a los Titulares de la Información pedir, en cualquier tiempo, cuentas a los Responsables del Tratamiento, controlar el uso de sus datos personales y ejercer sus derechos de acceso, actualización, supresión y rectificación de sus datos personales y de revocatoria de la autorización. (2) Este documento debe ser transparente y de fácil acceso para los Titulares de la Información, ya sea por medio escrito, formatos electrónicos, medios verbales o cualquier otra tecnología disponible, siempre y cuando garantice y cumpla con el deber de informar al Titular de la Información, y estar redactados un lenguaje sencillo y claro.

El requisito de que el lenguaje sea claro y sencillo significa que, por ejemplo, la política sea comprensible para el tipo de personas a la que se dirige; esto reviste una importancia especial cuando se trata de niños, niñas o adolescentes, o personas con alguna discapacidad, o personas de la tercera edad, o personas que no hablen el idioma castellano, etc., razón por la cual, en una política de tratamiento se debe evitar, entre otras cosas, a: (i) contener un lenguaje o terminología de naturaleza excesivamente legal, técnica o especializada; y (ii) incluir ambigüedades, oraciones y estructuras lingüísticas complejas.

(3) Los Responsables del Tratamiento deberán poner en conocimiento al Titular de la Información, a más tardar al momento de la recolección de los datos personales, la política de tratamiento de información personal. La reunión de estos elementos permiten garantizar “el ámbito de protección del derecho de habeas data”, pues resultan oponibles al sujeto obligado en los procesos de recolección, tratamiento, circulación y disposición final de datos, así como también permite garantizar a los Titulares el pleno y efectivo ejercicio del derecho de habeas data a través de la implementación y puesta en marcha, a su vez, de los principios que rigen el tratamiento de los datos personales mediante herramientas claramente definidas y los procedimientos para su implementación. En el presente caso, este Despacho pudo determinar que actualmente la sociedad investigada cuenta con una política de tratamiento de información personal, y a continuación, se detalla lo evaluado y los resultados o comentarios sobre cada ítem: REQUISITO LEGAL 1.

¿La PTI consta en medio físico o electrónico? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). SÍ COMENTARIO La PTI cumple con el requisito señalado al constar en medio físico y electrónico. 2. ¿La PTI fue redactada con un lenguaje claro y sencillo? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).

SÍ Se evidencia que la investigada lo cumple. 3. ¿la PTI contiene el nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable? (Numeral 1 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). SÍ Se evidencia que la PTI cumple con este requisito. “Por la cual se impone una sanción y se imparten órdenes” HOJA N 19 SI El Responsable señaló en el RNBD que el 5.

¿La PTI informa la finalidad del Tratamiento de los Datos? (Numeral 2 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). SÍ La PTI cumple con este requisito. 6. ¿La PTI Menciona de manera completa los derechos del Titular del Dato? (Numeral 1 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y artículo 8 de la Ley 1581 de 2012).

SÍ La PTI cumple con este requisito. 7. ¿En la PTI se informa al Titular del dato que tiene derecho “conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado”? (Literal a) del artículo 8 de la L. 1581 de 2012).

SÍ Se evidencia que la PTI cumple con este requisito. 8. ¿En la PTI se informa al Titular del dato que tiene derecho a “solicitar prueba de la autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10” de la Ley 1581 de 2012? (Literal –b- del artículo 8 de la L 1581 de 2012).

SÍ Se evidencia que la PTI cumple con este requisito. 9. ¿En la PTI se informa al Titular que tiene derecho a “ser informado por el Responsable SÍ Se evidencia que la PTI cumple con este requisito. 4. ¿La PTI señala el VERSIÓN tipo de RESERVADA tipo de Tratamiento al cual son sometidos Tratamiento –manual o los Datos es automatizado. automatizado- al cual serán sometidos los Datos? (Numeral 2 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 20 del Tratamiento o el Encargado del Tratamiento, VERSIÓN previa RESERVADA solicitud, respecto del uso que le ha dado a sus datos personales”? (Literal -c- del artículo 8 de la L 1581 de 2012). 10. ¿En la PTI se informa al Titular del dato que tiene derecho a “presentar ante la y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen? (Literal -d- del artículo 8 de la L 1581 de 2012).

SÍ Se evidencia que la PTI cumple con este requisito. 11. ¿En la PTI se informa al Titular del dato que tiene derecho a revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales? (Literal -e- del artículo 8 de la L 1581 de 2012). SÍ Se evidencia que la PTI cumple con este requisito. 12.

¿En la PTI se informa al Titular del dato que tiene derecho a “acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento”? (Literal -f- del artículo 8 de la L 1581 de 2012). SÍ Se evidencia que la PTI cumple con este requisito. 13. ¿En la PTI se señala quién es la persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el Dato y revocar la Autorización? (Numeral 4 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y artículo 23 del Decreto 1377 de 2013).

SÍ Se evidencia que la PTI cumple con este requisito. 14. ¿En la PTI se describe el procedimiento para que los Titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar, suprimir información y revocar la Autorización? (Numeral 5 SÍ Se evidencia que la PTI se describe el procedimiento consagrado en la Ley.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 21 del artículo 13 del Decreto VERSIÓN 1377 de 2013 incorporado en RESERVADA el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, artículo 18 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.6. del Decreto 1074 de 2015 y numeral 3 del artículo 27 del Decreto 1377 de 2013). 15.

¿La PTI indica la fecha de entrada en vigencia de la política de Tratamiento de la información? (Núm. 6, art 13 del Decreto 1377 de 2013 incorporado en el Artículo 2.2.2.25.3.1 Decreto 1074 de 2015). SÍ Se evidencia que la PTI cumple con este requisito. 16. ¿La PTI informa el período de vigencia de la Base de Datos? (Numeral 6 del artículo 13 del Decreto 1377 de 2013 incorporado en el Artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).

SÍ Se evidencia que la PTI cumple con este requisito. En virtud de lo expuesto, se concluye que la sociedad HOTEL TERMALES EL OTOÑO S.C.A., ha desarrollado e implementado de forma adecuada una Política de Tratamiento de Datos Personales, la cual cumple con los lineamientos establecidos en el Régimen General de Protección de Datos Personales, Ley 1581 de 2012 y en el Decreto Único Reglamentario 1074 de 2015; de igual forma es pertinente señalar que la sociedad HOTEL TERMALES EL OTOÑO S.C.A., el día 29 de noviembre de 2018 hasta el 03 de diciembre de 2019, ha venido realizando el registro y cargue de la mencionada Política así como de sus bases de datos en el RNBD.

No obstante, lo anterior de los resultados obtenidos de la preservación a la página web “www.termaleselotono.com” de la sociedad HOTEL TERMALES EL OTOÑO S.C.A., se evidencia que la Política de Protección de Datos Personales no ha sido cargada en su portal web, en tal medida se impartirá una orden. 11.2.4 Respecto al deber de adoptar un Manual de Políticas de Seguridad Frente al cargo cuarto, esta Dirección consideró que la investigada presuntamente había incumplido el deber de adoptar una Política de Tratamiento de Datos Personales de acuerdo con lo previsto en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la precitada ley, y el inciso 3 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; normas que establecen lo siguiente: Ley 1581 de 2012 “Artículo 4°.

Principios para el tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) g) Principios de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 22 (…) VERSIÓN RESERVADA Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos”.

Decreto 1074 de 2015 “Artículo 2.2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: (…) En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”.

(Subrayado y negrita adicionados). Preliminarmente se encontró que la sociedad HOTEL TERMALES EL OTOÑO S.C.A., fue requerida por este Despacho, mediante oficio con radicado número 20-462732-2 del 9 de diciembre de 2020, enviado a la dirección física que aparece registrada en el Certificado de existencia y Representación Legal “KM 5 ANTIGUA VIA AL NEVADO VEREDA GALLINAZO VILLAMARÍA, CALDAS, COLOMBIA, tal como consta en la guía de envío RA293899690CO expedida por la sociedad SERVICIOS POSTALES NACIONALES S.A (4- 72); para que, entre otras cosas, “.

Remita copia de la Política de Seguridad de la Información implementada por la sociedad.”, pese a ello la sociedad no atendió dicho requerimiento. Debido a la renuencia a atender el requerimiento en mención, esta Dirección preliminarmente encontró que la sociedad HOTEL TERMALES EL OTOÑO S.C.A., presuntamente habría vulnerado las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en:  El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la precitada ley, y el inciso 3 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.

La Resolución fue notificada mediante el aviso 7654 del 04 de mayo de 2021 a la sociedad HOTEL TERMALES EL OTOÑO S.C.A., según consta en la certificación expedida por la Secretaría General Ad- Hoc de esta Superintendencia, radicada bajo el número 20-462732-10 del 10 de mayo de 2021, y dentro del término de quince (15) días hábiles, concedido para que rindiera los respectivos descargos y aportara las pruebas que pretendiera hacer valer en la presente investigación, esta aportó un documento denominado “PROTOCOLO Y PROCEDIMIENTO DE RESPUESTA DE VIOLACIÓN Y MANEJO DE INCIDENTES EN MATERIA DE DATOS PERSONALES”, sin embargo, el mencionado documento se limita a implementar medidas y procedimientos encaminados únicamente en el manejo de incidentes, en consecuencia no permite evidenciar que tiene implementado un Manual de Políticas de Seguridad, pues el manual de políticas y procedimientos de seguridad debe contener las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Posterior a ello la sociedad investigada, presentó alegatos de conclusión a través de la comunicación con radicado número 20-462732-16 del 08 de abril de 2022, reiterando los descargos, en donde como ya se ha dicho anteriormente, no aportó prueba de la existencia de un Manual de Políticas de Seguridad. “Por la cual se impone una sanción y se imparten órdenes” HOJA N 23 Una vez analizadas los argumentos y pruebas obrantes en el expediente, esta Dirección encuentra VERSIÓN RESERVADA probado el actuar negligente de la investigada frente a su deber como Responsable del Tratamiento de adoptar un Manual de Políticas de Seguridad, consagrado en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la precitada ley, y el inciso 3 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, razón por la cual se impondrá la sanción correspondiente, de igual forma se impartirá una orden para que elaboren, implementen y pongan en conocimiento de sus trabajadores el manual de políticas y procedimientos de seguridad. 11.2.5 Respecto al deber de adoptar un Manual de los procedimientos para la recolección, almacenamiento, uso, circulación y supresión de la información Frente al cargo quinto, esta Dirección consideró que la investigada presuntamente había incumplido el deber de adoptar una Política de Tratamiento de Datos Personales de acuerdo con lo previsto en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1, el inciso 2 del artículo 2.2.2.25.2.8 y el inciso 2 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; normas que establecen lo siguiente: Ley 1581 de 2012 “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos”.

Decreto 1074 de 2015 “Artículo 2.2.2.25.2.1. Recolección de datos personales. En desarrollo de los principios de finalidad y libertad, la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos conforme a la normatividad vigente. Salvo en los casos expresamente previstos en la ley, no se podrán recolectar datos personales sin autorización del Titular.

A solicitud de la Superintendencia de Industria y Comercio, los Responsables deberán proveer una descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso.

No se podrán utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales. ¨(…) Artículo 2.2.2.25.2.8. Limitaciones Temporales Al Tratamiento De Los Datos Personales. (…) Los responsables y encargados del tratamiento deberán documentar los procedimientos para el Tratamiento, conservación y supresión de los datos personales de conformidad con las disposiciones aplicables a la materia de que se trate, así como las instrucciones que al respecto imparta la Superintendencia de Industria y Comercio.

(…) Artículo 2.2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: “Por la cual se impone una sanción y se imparten órdenes” HOJA N 24 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, VERSIÓN RESERVADA teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso”.

(Subrayado y negrita fuera de texto original) Preliminarmente, esta Dirección tras realizar la revisión a la preservación del sitio web de la investigada consignada en el ACTA DE PRESERVACIÓN DE PÁGINAS WEB - PRE INVESTIGACIÓN - N° 160-20, en la cual se señaló lo siguiente: “9. OBSERVACIONES Se realizan las observaciones enumeradas a continuación. A. En la navegación del sitio web www.termaleselotono.com se pudo observar que no se encuentra ningún enlace que haga referencia a políticas de protección de datos personales, términos y condiciones o avisos de privacidad ni se hace referencia al tema en ninguna de las opciones del menú revisadas.

Como se observa en la imagen 17, existe una opción denominada 'Nuestras Políticas', pero estas corresponden a las políticas que Termales El Otoño tiene para: o cancelación y/o modificación de reservas, o protección al menor, o de reservación o y por último de pago Ver imágenes 19 al 22. B. Se encontró un formulario al cual se accede a través de la opción 'Reservar', imagen 23, el cual no tiene nombre o título, que solicita información a las personas que desean hacer una reservación en Termales El Otoño, y como se ve en la imagen citada solicitan: (i) nombre, (ii) dirección de correo electrónico y (iii) número celular.

En este formulario no se encuentra referencia alguna a aviso de privacidad ni existe una autorización para el tratamiento de datos personales. C. Al seleccionar la opción - llamar, del menú vertical ubicado en la parte derecha de la pantalla, nos lleva a la pantalla que se muestra en la imagen 14 y en la parte inferior se hace referencia a una política de privacidad, sin embargo, el texto que muestra no tiene relación con el tema de protección de datos personales (https://fontumi.co/aviatur/010termales.html#): “Por la cual se impone una sanción y se imparten órdenes” HOJA N 25 VERSIÓN RESERVADA Imagen 38, Mensaje resultado de la 'Política de Privacidad', obtenida con impresión por pantalla la Aplicación de Microsoft Windows Recortes.

D. Revisado el sitio web www.termaleselotono.com no se encuentra publicación de ningún documento que trate sobre protección de datos específicamente o se refiera a una Política de Tratamiento de la Información.” (Subrayado fuera del texto original) Del informe anteriormente trascrito, se encontró que la sociedad HOTEL TERMALES EL OTOÑO S.C.A., no tenía implementado un Manual de procedimientos para la recolección, tratamiento, circulación, y supresión de la información, presuntamente habría vulnerado las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en:  El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1, el inciso 2 del artículo 2.2.2.25.2.8 y el inciso 2 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.

Una vez analizadas los argumentos y pruebas obrantes en el expediente, esta Dirección encuentra que dentro de la presente actuación, no se realizó requerimiento alguno a la sociedad HOTEL TERMALES EL OTOÑO S.C.A., en el cual se le solicitara aportar copia del Manual de procedimientos para la recolección, tratamiento, circulación, y supresión de la información, por lo que con el fin de garantizar los derechos de defensa y debido proceso de la investigada, se encuentra procedente desestimar el presente cargo; no obstante lo anterior se considera procedente emitir una orden tendiente a que la sociedad investigada, documente e implemente un Manual de procedimientos para la recolección, tratamiento, circulación, y supresión de la información, de conformidad con lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 2.2.2.25.2.1., el inciso 2 del artículo 2.2.2.25.6.1 del precitado decreto y el artículo 2.2.2.25.2.8 del Decreto Único Reglamentario 1074 de 2015.

El mencionado documento debe ser puesto en conocimiento de sus trabajadores, especialmente los que realicen o intervengan en el tratamiento de datos personales. 11.2.6 Respecto al deber de adoptar un Manual para la atención de consultas y reclamos Frente al cargo sexto, esta Dirección consideró que la investigada presuntamente había incumplido el deber de adoptar una Política de Tratamiento de Datos Personales de acuerdo con lo previsto “Por la cual se impone una sanción y se imparten órdenes” HOJA N 26 en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal k) del artículo VERSIÓN 17 de la citada Ley, y los numerales 4 yRESERVADA 5 del artículo 2.2.2.25.3.1 y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015; normas que establecen lo siguiente: Ley 1581 de 2012 Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos”.

Decreto 1074 de 2015 “Artículo 2.2.2.25.3.1. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas. Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares.

Dichas políticas deberán incluir, por lo menos, la siguiente información: (…) 4. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. 5. Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. (…) Artículo 2.2.2.25.6.2.

Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2.25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: (…) 3.

La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento”. (Subrayado y negrita adicionados). Preliminarmente se encontró que la sociedad HOTEL TERMALES EL OTOÑO S.C.A., fue requerida por este Despacho, mediante oficio con radicado número 20-462732-2 del 9 de diciembre de 2020, enviado a la dirección física que aparece registrada en el Certificado de existencia y Representación Legal “KM 5 ANTIGUA VIA AL NEVADO VEREDA GALLINAZO VILLAMARÍA, CALDAS, COLOMBIA, tal como consta en la guía de envío RA293899690CO expedida por la sociedad SERVICIOS POSTALES NACIONALES S.A (4- 72); para que, entre otras cosas, “Informe los mecanismos con que cuentan los titulares para interponer quejas o reclamos relacionados con sus datos personales tratados por la sociedad y el proceso o procedimiento implementado para tal fin.”, pese a ello la sociedad no atendió dicho requerimiento.

Debido a la renuencia a atender el requerimiento en mención, esta Dirección preliminarmente encontró que la sociedad HOTEL TERMALES EL OTOÑO S.C.A., presuntamente habría vulnerado las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: “Por la cual se impone una sanción y se imparten órdenes”  HOJA N 27 El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal k) del artículo VERSIÓN RESERVADA 17 de la citada Ley, y los numerales 4 y 5 del artículo 2.2.2.25.3.1 y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.

El mencionado documento indica a grandes rasgos las políticas y procedimientos establecidos por la sociedad para la atención de quejas y reclamos presentadas en ejercicio del derecho de habeas data. Posterior a ello la sociedad investigada, presentó alegatos de conclusión a través de la comunicación con radicado número 20-462732-16 del 08 de abril de 2022, reiterando los descargos.

Una vez analizadas los argumentos y pruebas obrantes en el expediente, esta Dirección encuentra que la investigada acreditó contar con un Manual para la atención de consultas y reclamos, consagrado en el literal k) del artículo 17 de la citada Ley, y los numerales 4 y 5 del artículo 2.2.2.25.3.1 y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015, razón por la cual se desestimará este cargo. 11.2.7 Cargo Séptimo: Respecto al deber de atender los requerimientos de la autoridad de protección de datos personales Frente al cargo séptimo, esta Dirección consideró que la investigada presuntamente había incumplido el deber de adoptar una Política de Tratamiento de Datos Personales de acuerdo con lo previsto en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 19 de la misma Ley y el literal f) del artículo 21 de la citada Ley; normas que establecen lo siguiente: Ley 1581 de 2012 “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio. (…) Artículo 19.

Autoridad de Protección de Datos. La Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley. (…) Artículo 21. Funciones.

La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: (…) f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.” Preliminarmente se encontró que la sociedad HOTEL TERMALES EL OTOÑO S.C.A., fue requerida por este Despacho, mediante oficio con radicado número 20-462732-2 del 9 de diciembre de 2020, enviado a la dirección física que aparece registrada en el Certificado de existencia y “Por la cual se impone una sanción y se imparten órdenes” HOJA N 28 Representación Legal “KM 5 ANTIGUA VIA AL NEVADO VEREDA GALLINAZO VILLAMARÍA, RESERVADA CALDAS, COLOMBIA, tal comoVERSIÓN consta en la guía de envío RA293899690CO expedida por la sociedad SERVICIOS POSTALES NACIONALES S.A (4- 72); para que, entre otras cosas: 1.

Informe que datos personales trata del señor XXXXX XXXXXX XXXXXX XXX identificado con cédula de ciudadanía número XXXXXXXX (tales como, nombre, número de identificación, dirección, correo electrónico, números telefónicos, imágenes, etc.). 6. Informe si cuenta con la autorización del señor XXXXX XXXXXX XXXXXX XXX identificado con cédula de ciudadanía número XXXXXXX para el tratamiento de sus datos personales y en caso de que su respuesta sea afirmativa, remita copia de dicha autorización. 7.

Informe si ha recibido peticiones, quejas, reclamos o algún tipo de comunicación por parte señor XXXX XXXXXX XXXXXX XXXX identificado con cédula de ciudadanía número XXXXXXXX, en caso de ser afirmativa su respuesta, sírvase aportar copia de la(s) misma(s) con su respectiva respuesta. 8. Informe los mecanismos con que cuentan los titulares para interponer quejas o reclamos relacionados con sus datos personales tratados por la sociedad y el proceso o procedimiento implementado para tal fin.” Dicho requerimiento no fue atentado por la sociedad HOTEL TERMALES EL OTOÑO S.C.A., por lo que esta Dirección, encontró que presuntamente la investigada habría vulnerado las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en:  El literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 19 de la misma Ley y el literal f) del artículo 21 de la citada Ley.

La Resolución fue notificada mediante el aviso 7654 del 04 de mayo de 2021 a la sociedad HOTEL TERMALES EL OTOÑO S.C.A., según consta en la certificación expedida por la Secretaría General Ad- Hoc de esta Superintendencia, radicada bajo el número 20-462732-10 del 10 de mayo de 2021, y dentro del término de quince (15) días hábiles, concedido para que rindiera los respectivos descargos y aportara las pruebas que pretendiera hacer valer en la presente investigación, al respecto la sociedad contestó: “Por la cual se impone una sanción y se imparten órdenes” HOJA N 29 VERSIÓN RESERVADA Posterior a ello la sociedad investigada, presentó alegatos de conclusión a través de la comunicación con radicado número 20-462732-16 del 08 de abril de 2022, reiterando los descargos.

Una vez analizadas los argumentos y pruebas obrantes en el expediente, esta Dirección encuentra que no obra prueba alguna que acredite el desconocimiento de los requerimientos por parte de la investigada, es decir, que acredite o que no los recibió o que fueron enviados a una dirección diferente a la de la investigada. En virtud de lo expuesto se encuentra demostrado la falta de diligencia por parte de la investigada respecto de la atención de los requerimientos efectuado por esta Dirección, incumpliendo así su deber como responsable establecido en el o) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 25 ejúsdem, el literal a) del artículo 2.2.2.26.1.2., el inciso 2 del artículo 2.2.2.25.6.1., y el literal b) del artículo 2.2.2.26.3.1 del Decreto Único Reglamentario 1074 de 2015, hecho que obstaculizó las facultades de vigilancia y control de la autoridad en protección de datos personales, razón por la cual se impondrá la correspondiente sanción.

DÉCIMO SEGUNDO: ÓRDENES ADMINISTRATIVAS En este orden de ideas, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, a esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones:  Ordenar a la sociedad HOTEL TERMALES EL OTOÑO S.C.A, que implemente mecanismos necesarios para solicitar previo al tratamiento de los datos personales, la autorización previa, expresa e informada respecto de los datos personales recolectados a través de su página web http://www.termaleselotono.com/, de conformidad con lo establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo “Por la cual se impone una sanción y se imparten órdenes” HOJA N 30 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo VERSIÓN RESERVADA 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.  Ordenar a la sociedad HOTEL TERMALES EL OTOÑO S.C.A, que implemente los mecanismos que considere necesarios con el fin de informar a los titulares, respecto de los datos recolectados a través de su página web http://www.termaleselotono.com/, sobre la finalidad de la recolección de sus datos y los derechos que les asisten, de conformidad con el Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015  Ordenar a la sociedad HOTEL TERMALES EL OTOÑO S.C.A, que implemente los mecanismos necesarios con el fin de poner a disposición de sus titulares siempre y en todo momento su Política de Tratamiento de Datos Personales, para que los Titulares tengan conocimiento de la misma, especialmente, respecto de los datos recolectados a través de su página web, conforme al literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015;  Ordenar a la sociedad HOTEL TERMALES EL OTOÑO S.C.A, que documente e implemente un manual interno de políticas de seguridad, de conformidad con lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4º de la misma norma y el artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015.

El mencionado documento debe ser de conocimiento de sus trabajadores, especialmente los que realicen o intervengan en el tratamiento de datos personales.  Ordenar a la sociedad HOTEL TERMALES EL OTOÑO S.C.A., que documente e implemente un manual de procedimientos para la recolección, tratamiento, circulación, y supresión de la información, de conformidad con lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 2.2.2.25.2.1., el inciso 2 del artículo 2.2.2.25.6.1 del precitado decreto y el artículo 2.2.2.25.2.8 del Decreto Único Reglamentario 1074 de 2015.

El mencionado documento debe ser puesto en conocimiento de sus trabajadores, especialmente los que realicen o intervengan en el tratamiento de datos personales. La investigada deberá acreditar el cumplimiento de lo ordenado mediante certificación firmada por el representante legal y remitir la documentación pertinente dentro del término de dos (2) meses siguientes a la ejecutoria de la presente decisión.

DÉCIMO TERCERO: Imposición y graduación de la sanción 13.1. Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

(…)”. “Por la cual se impone una sanción y se imparten órdenes” HOJA N 31 Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley RESERVADA aprobatoria del Plan Nacional deVERSIÓN Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “El Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional3.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la Ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝐿𝑉 UVT vigente 2022 = Multa en UVT 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional4 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la 3 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. 4 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) “Por la cual se impone una sanción y se imparten órdenes” HOJA N 32 norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y VERSIÓN la sanción aplicada.

Sobre la aplicación deRESERVADA este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”5 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros6. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”7.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia8. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 239 de la misma ley.

Asimismo, el artículo 24 de la 5 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 6 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 7 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 9Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; “Por la cual se impone una sanción y se imparten órdenes” HOJA N 33 norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes VERSIÓN RESERVADA términos: “Artículo 24. Criterios Para Graduar Las Sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 13.1.1.

La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”10 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados11. c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” 10 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 11 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la “Por la cual se impone una sanción y se imparten órdenes” HOJA N 34 VERSIÓN RESERVADA También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que la investigada actuó negligentemente frente al tratamiento de los datos, al no haber cumplido con los siguientes deberes que le asisten en su calidad de Responsable del tratamiento de datos:  El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; al no haber solicitado y conservado la autorización de los Titulares para el Tratamiento de sus datos personales, recolectados a través de formulario titulado “RESERVAR” ubicado en https://www.termaleselotono.com/contact-us, para la fecha de la preservación. En consecuencia, se impondrá una sanción pecuniaria de SIETE MILLONES SEISCIENTOS MIL OCHOCIENTOS PESOS M/CTE ($7.600.800) equivalentes a equivalente a 200 Unidades de Valor Tributario vigentes12.  El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, puesto que a pesar a haber aportado un documento titulado aviso de privacidad, no acreditó que el mismo se encontraba implementado y puesto a disposición de los titulares, respecto de los datos recolectados a través de su página web, para la fecha de la preservación, razón por la cual, previo a la recolección de los datos a través de la opción “Reservar”, no se acreditó informar las finalidades establecidas en el artículo 12 de la Ley 1581 de 2012, para la fecha de la preservación. En consecuencia, se impondrá una sanción pecuniaria de SIETE MILLONES SEISCIENTOS MIL OCHOCIENTOS PESOS M/CTE ($7.600.800) equivalente a 200 Unidades de Valor Tributario vigentes.  El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la precitada ley, y el inciso 3 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; al no haber desarrollado e implementado Manual de Políticas de seguridad.

En consecuencia, se impondrá una sanción pecuniaria de SIETE MILLONES SEISCIENTOS MIL OCHOCIENTOS PESOS M/CTE ($7.600.800) equivalente 200 Unidades de Valor Tributario vigentes.  El literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 19 de la misma Ley y el literal f) del artículo 21 de la citada Ley, al no haber atendido los requerimientos de la autoridad de protección de datos personales, a través del radicado 20262732-2 del 09 de diciembre de 2020.

En consecuencia, se impondrá una sanción pecuniaria de SIETE MILLONES SEISCIENTOS MIL OCHOCIENTOS PESOS M/CTE ($7.600.800) equivalente a 200 Unidades de Valor Tributario vigentes. 13.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” 12 Mediante Resolución 140 del 25 de noviembre de 2021 se fijó en $38.004 pesos el valor de la Unidad de Valor Tributario - UVT, que regirá durante el año 2022.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 35 infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, VERSIÓN RESERVADA (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho. El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones.

DÉCIMO CATORCE: CONCLUSIONES Se procederá a imponer una sanción pecuniaria y una orden administrativa, por cuanto: (i) Se encontró demostrado que la sociedad HOTEL TERMALES EL OTOÑO S.C.A., no acreditó haber solicitado y conservado la autorización de los Titulares en su formulario de “RESERVAS”, ubicado en la plataforma web https://www.termaleselotono.com/contact-us, para la fecha de la preservación. (ii) Se encontró demostrado que la sociedad HOTEL TERMALES EL OTOÑO S.C.A., tenía creado un aviso de privacidad, sin embargo, no acreditó tenerlo en su plataforma web www.termaleselotono.com para la fecha de la preservación, así como tampoco acreditó haber informado a los titulares sobre las finalidades del tratamiento y sus derechos, respecto de los datos recolectados por el formulario “RESERVAS”.

(iii) Se encontró demostrado que la sociedad HOTEL TERMALES EL OTOÑO S.C.A., tenía implementada una política de tratamiento de datos personales desde octubre de 2019. (iv) Se encontró probada la negligencia frente al cumplimiento de los deberes que ostenta la investigada en su calidad de responsable del tratamiento de adoptar un manual interno de políticas y procedimientos de seguridad.

(v) La política de tratamiento de datos personales es un documento puesto a disposición de los titulares y con el contenido mínimo establecido en el Régimen General de Protección de Datos Personales, Ley 1581 de 2012 y en el Decreto Único Reglamentario 1074 de 2015 y la cual es diferente de los manuales internos de políticas y procedimientos de (i) seguridad, (ii) ciclo del dato y (iii) atención de consultas y reclamos (vi) Se encontró demostrado que la sociedad HOTEL TERMALES EL OTOÑO S.C.A., tenía implementado un Manual para la atención de consultas, quejas y reclamos, bajo en nombre de “Lineamientos Corporativos del Manejo de Datos Personales”.

(vii) La sociedad no atendió el requerimiento con radicado número 20-462732-2 del 09 de diciembre de 2020, efectuado por esta Dirección obstaculizando así las facultades de vigilancia y control de la autoridad de protección de datos personales.

DÉCIMO QUINTO: Que el parágrafo del artículo 2 de la Ley 1581 de 2012 señala que los principios sobre protección de datos serán aplicables a todas las bases de datos incluidas las exceptuadas en el mismo artículo, de ahí que es procedente solicitar a la investigada que garantice el cumplimiento del principio de responsabilidad demostrada desarrollado en el artículo 2.2.2.25.6.1 y subsiguiente del Decreto Único Reglamentario 1074 de 2015.

Al respecto, es oportuno resaltar lo conceptuado en la Resolución número 83882 del 15 de noviembre de 2018, emanada del Despacho del Superintendente Delegado Para la Protección de Datos Personales, respecto de la responsabilidad de los administradores, acto administrativo en el que se señaló lo siguiente: “(…) 6.1. Responsabilidad de los administradores en materia de tratamiento de datos personales.

El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.

La efectividad de los derechos humanos es un asunta de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en “Por la cual se impone una sanción y se imparten órdenes” HOJA N 36 su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el VERSIÓN RESERVADA cumplimiento de los deberes sociales del Estado y de los particulares”.

Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.

En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.

En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas.

Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la ley 222 de 1995 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias” (subrayamos) (…) Nótese que el artículo 24 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”.

En virtud de lo anterior, EXHORTAMOS al Representante Legal de la sociedad, señora MARIA ANTONIA CETINA TORRES, iidentificada con la cédula de ciudadanía número 24.076.808 para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de:  Evitar que se repitan hechos como los que dieron origen a la presente investigación.  Respetar y garantizar los derechos de los Titulares de los datos.  Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales.  Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales, especialmente los de acceso y circulación restringida, confidencialidad y seguridad.  Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 37 DÉCIMO SEXTO: Que con el fin de garantizar los derechos fundamentales de contradicción de la RESERVADA sociedad HOTEL TERMALES VERSIÓN EL OTOÑO S.C.A., con Número de Identificación Tributaria 810.006.693-1, esta Dirección concedió el acceso al presente Expediente digital a esta, por intermedio de su Representante legal vinculado al correo electrónico de notificación judicial de la sociedad contador@termaleselotono.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando el número de radicado del expediente, los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad HOTEL TERMALES EL OTOÑO S.C.A., identificada con el NIT. 810.006.693-1, de TREINTA MILLONES CUATROCIENTOS TRES MIL DOSCIENTOS PESOS M/CTE ($30’403.200) equivalentes a OCHOCIENTAS (800) Unidades de Valor Tributario vigentes13, por la violación a lo dispuesto en:  El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.  El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015  El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la precitada ley, y el inciso 3 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.  El literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 19 de la misma Ley y el literal f) del artículo 21 de la citada Ley.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR a la sociedad HOTEL TERMALES EL OTOÑO S.C.A, identificada con el NIT. 810.006.693-1, cumplir con las instrucciones impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva, dentro del término de DOS (2) meses siguientes a la ejecutoria de la presente decisión. Las instrucciones son las siguientes:  Ordenar a la sociedad HOTEL TERMALES EL OTOÑO S.C.A, que implemente mecanismos necesarios para solicitar previo al tratamiento de los datos personales, la autorización previa, expresa e informada respecto de los datos personales recolectados a través de su página web http://www.termaleselotono.com/, de conformidad con lo establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 13 Mediante Resolución 140 del 25 de noviembre de 2021 se fijó en $38.004 pesos el valor de la Unidad de Valor Tributario - UVT, que regirá durante el año 2022.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 38 9 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. y el artículo VERSIÓN RESERVADA 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.  Ordenar a la sociedad HOTEL TERMALES EL OTOÑO S.C.A, que implemente los mecanismos que considere necesarios con el fin de informar a los titulares, respecto de los datos recolectados a través de su página web http://www.termaleselotono.com/, sobre la finalidad de la recolección de sus datos y los derechos que les asisten, de conformidad con el Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015  Ordenar a la sociedad HOTEL TERMALES EL OTOÑO S.C.A, que cargue implemente los mecanismos necesarios con el fin de poner a disposición de sus titulares siempre y en todo momento su Política de Tratamiento de Datos Personales, para que los Titulares tengan conocimiento de la misma, especialmente, respecto de los datos recolectados a través de su página web, conforme al literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015;  Ordenar a la sociedad HOTEL TERMALES EL OTOÑO S.C.A, que documente e implemente un manual interno de políticas de seguridad, de conformidad con lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4º de la misma norma y el artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015.

El mencionado documento debe ser puesto en conocimiento de sus trabajadores, especialmente los que realicen o intervengan en el tratamiento de datos personales.

PARÁGRAFO PRIMERO: La sociedad HOTEL TERMALES EL OTOÑO S.C.A., identificada con el NIT. 810.006.693-1, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de la orden impartida por mandato de este acto administrativo.

Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de la orden, y suscrita por el representante legal de la sociedad.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad HOTEL TERMALES EL OTOÑO S.C.A., identificada con el NIT. 810.006.6931, acreedora de las sanciones previstas en la Ley.

ARTÍCULO TERCERO: EXHORTAR a la señora MARIA ANTONIA CETINA TORRES, identificada con la cédula de ciudadanía número 24.076.808, en calidad de representante legal de la sociedad HOTEL TERMALES EL OTOÑO S.C.A., identificada con el NIT. 810.006.693-1, para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

HOJA N 39 “Por la cual se impone una sanción y se imparten órdenes”

ARTÍCULO CUARTO: NOTIFICAR personalmente el contenido de la presente resolución a la VERSIÓN sociedad HOTEL TERMALES EL OTOÑORESERVADA S.C.A, identificada con el NIT. 810.006.693-1, a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO QUINTO: COMUNICAR al señor XXXXX XXXXXXXX XXXXX XXXX, identificado con cédula de ciudadanía número XXXXXXX, el contenido de la presente decisión.

ARTÍCULO SEXTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Principal: Avenida Carrera 7 # 31ª -36 pisos 3 y 3ª, en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 21 OCTUBRE 2022 El Director de Investigación de Protección de Datos Personales, Firmado digitalmente por ENRIQUE SALAZAR CARLOS ENRIQUE CARLOS MUNOZ SALAZAR MUNOZ Fecha: 2022.10.21 13:40:12 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Elaboró: DFCR Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Sociedad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: HOTEL TERMALES EL OTOÑO S.C.A Nit. 810.006.693-1 MARÍA ANTONIA CETINA TORRES C.C. No. 24.076.808 KM 5 ANTIGUA VIA AL NEVADO, VEREDA GALLINAZO VILLAMARIA, CALDAS, COLOMBIA CONTADOR@TERMALESELOTONO.COM COMUNICACIÓN: Nombre: Identificación: Dirección: Municipio: Correo electrónico: XXXXXX XXXXX XXXXX XXXX C.C. No. XXXXXXXX XXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXX

Resolución sancionatoria N° 73813 de 2022

CONSIDERANDO

ARTÍCULO

ARTÍCULO

ARTÍCULO

ARTÍCULO

RESUELVE