Decisión 18046 de 2023 — SIC

REPÚBLICA DE COLOMBIA (12 ABRIL 2023) “Por la cual se impone una sanción y se imparten órdenes administrativas” VERSIÓN ÚNICA Radicación: 20-481484 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los literales a) y b) del artículo 21 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, esta Superintendencia inició actuación administrativa de oficio encaminada a verificar el cumplimiento de la Ley 1581 de 2012 y demás normas que comprenden el Régimen de protección de datos personales por parte de varias sociedades, entre ellas la sociedad YEKOCLUB S.A.S. identificada con NIT. 900.924.817-0.

SEGUNDO: Que en desarrollo de la etapa preliminar este Despacho, a través del Grupo de Trabajo de Investigaciones Administrativas de la Dirección de Investigación de Protección de Datos Personales procedió a requerir a la sociedad YEKOCLUB S.A.S. mediante requerimiento de información el 30 de abril de 2021 radicado bajo lo número 20-481484-6, para que informara lo siguiente: “1.

Informar el nombre de cada una de las bases de datos respecto de las que la sociedad YEKOCLUB S.A.S. actúa en calidad de Responsable y/o Encargado del Tratamiento. Describir la cantidad de Titulares y el tipo de datos que cada una contiene (v.g. dirección, teléfono, correo electrónico, etc.). 2. Indicar detalladamente acerca de la(s) forma(s) en la(s) que la sociedad YEKOCLUB S.A.S. realiza la recolección de los datos personales contenidos en sus bases de datos. 3.

Explicar detalladamente la forma en la cual la sociedad YEKOCLUB S.A.S. realiza el Tratamiento de los datos personales recolectados. 4. Explicar detalladamente acerca del producto Tarjeta V.I.P YEKO CLUB de servicios y beneficios’. ¿Qué medios de pago se tienen establecidos para la comercialización del producto? En caso de que la persona solicite pago en tarjeta de crédito, ¿cómo recopilan esos datos y garantizan su seguridad? 5.

Informar si a través de la página web https://www.yekoclub.com/2/all, se realiza la recolección de datos personales por parte de la sociedad YEKOCLUB S.A.S. En caso afirmativo explicar, ¿cómo se garantiza la seguridad de la información recolectada para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento? 6.

¿La sociedad YEKOCLUB S.A.S. cuenta con la autorización previa, expresa e informada de cada uno de los Titulares cuyos datos se encuentran almacenados en sus bases de datos? Acreditar su respuesta remitiendo para el efecto el formato, documento y/o comunicación utilizada para la obtención de la autorización en los términos del artículo 9 de la Ley 1581 de 2012. 7.

¿La sociedad YEKOCLUB S.A.S. ha recibido comunicaciones, derechos de petición, consultas y/o reclamos, verbales y/o escritos, por parte de los Titulares cuyos datos se encuentran contenidos en sus bases de datos? En caso afirmativo, informar sobre los mismos, VERSIÓN RESERVADA indicando nombre del Titular solicitante, número de identificación, fecha de la consulta y/o reclamo, resumen del motivo, fecha de respuesta, y resumen de la respuesta. 9.

Informar si: 9.1. ¿La sociedad YEKOCLUB S.A.S. ha recibido datos como consecuencia de acuerdos y/o contratos de transmisión o transferencia? En caso afirmativo, sírvase aportar copia de los documentos que soporten dicha(s) operación(es). 9.2. ¿La sociedad YEKOCLUB S.A.S. realiza Transmisión o Transferencia respecto de los datos personales recolectados a otras entidades, personas jurídicas y/o personas naturales, a nivel nacional y/o internacional? En caso de que la respuesta anterior sea afirmativa, remita copia de los contratos, acuerdos, convenciones y/o documentos relacionados que soporten la referida operación. 9.3.

¿La sociedad YEKOCLUB S.A.S. transmite datos personales o comparte cualquier tipo de información a la sociedad DINAMIC & SERVICE S.A.S.? En caso afirmativo, remita copia o prueba del (los) acuerdo(s) o convenio(s) mediante los cuales se soporte dicha transmisión. 10. Informar quién es la persona o área designada por la sociedad YEKOCLUB S.A.S. para dar trámite a las solicitudes presentadas por los Titulares en relación con sus datos personales.

Al punto, precisar sobre los canales habilitados al público dispuestos por la para la atención de consultas y reclamos presentados por los Titulares de información y datos personales, así como la función de protección del derecho de hábeas data, de conformidad con el artículo 2.2.2.25.4.4 del Decreto Único Reglamentario 1074 de 2015. 11. Remitir copia de la Política de Tratamiento de Datos Personales desarrollada e implementada por la sociedad YEKOCLUB S.A.S. de acuerdo con los requisitos mínimos establecidos en el Decreto 1074 de 2015, Artículo 2.2.2.25.3.1. 12.

Remitir copia del manual de Políticas de Seguridad de la Información de la sociedad YEKOCLUB S.A.S. 13. Remitir copia del manual interno o procedimiento implementado por la sociedad YEKOCLUB S.A.S. para la atención de peticiones, quejas y reclamos relacionados con el derecho a conocer, actualizar, rectificar, suprimir y revocar la autorización por parte de los Titulares de la información.”1 TERCERO: Que, la sociedad YEKOCLUB S.A.S., por intermedio de su representante legal, dio respuesta al requerimiento a través de comunicación del 13 de mayo de 2021 radicada bajo el No. 20-481484-10 informando lo siguiente: “[…] Consideraciones: Nosotros como empresa, manejamos una membresía que acredita a nuestros usuarios como miembros de nuestro club de descuentos y beneficios en establecimientos comerciales afiliados a nuestra plataforma.

Contamos con más de 500 marcas aliadas y con cerca de 2.000 puntos de redención a nivel nacional. Nuestra membresía se comercializa a través de nuestras redes sociales, página web y aplicación móvil y adicionalmente se comercializa a través de Distribuidores autorizados, como es el caso de Dinamic & Service S.A.S. Con todos los distribuidores autorizados que comercializan nuestra membresía, suscribimos un contrato comercial, en el cual adicional a muchos otros compromisos, cada distribuidor se compromete a realizar una gestión comercial apegada a todas las leyes y normativas vigentes en Colombia.

Dentro de la relación comercial con cada distribuidor, en ningún momento le proporcionamos ninguna base de datos, debido a que nosotros no manejamos otra diferente a la de nuestros usuarios y obviamente al ser nuestros usuarios, ya cuentan con nuestra membresía y no necesitarían adquirirla nuevamente. Al momento de recibir y leer el requerimiento por parte de ustedes, pudimos constatar que se trata de un error de redacción por parte de Dinamic & Service S.A.S., quienes expresaron que las bases de datos son propiedad de YekoClub, lo cual se presta a una mala interpretación. En efecto, después de que Dinamic & Service S.A.S. o cualquier otro distribuidor autorizado YekoClub, realiza la gestión comercial de alguna de nuestras membresías, el cliente final (usuario) al momento de activar nuestros servicios, para comenzar a disfrutar de descuentos y 1 Expediente digital.

Consecutivo número 6. Página 2. Folios 2 a 4. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA promociones en nuestras marcas y establecimientos afiliados, comparte sus datos directamente con YekoClub, con la finalidad en primer lugar de activar su membresía, pero también para recibir notificaciones a través de nuestra app móvil, correos electrónicos con nuevas alianzas o con VERSIÓN RESERVADA nuevas promociones de nuestros aliados, mensajes de texto con promociones y beneficios, etc.

En ese sentido, lo que expresó Dinamic & Service S.A.S. es correcto; sin embargo, la redacción de su respuesta, lo que da a entender es que nosotros proporcionamos un listado de personas a las cuales ellos u otros distribuidores tendrían que llamar para realizar la gestión comercial de nuestra membresía, lo cual NO es cierto. Los distribuidores (incluyendo a Dinamic & Service S.A.S.), son completamente autónomos e independientes en su gestión comercial y por parte de YekoClub SAS, tienen como condición (expresada así en el contrato), la de realizar la gestión comercial de nuestra membresía, siempre dentro del marco legal y de normativas vigentes en la legislación colombiana, además de cuidar en todo momento los procesos operativos y la ética profesional en sus empleados o colaboradores, con el fin de resguardar el buen nombre y la reputación de YekoClub como marca.

Habiendo hecho las consideraciones anteriormente expuestas, procedo a responder puntualmente cada uno de sus requerimientos al respecto: 1. […] YekoCub como empresa, no está encargada del tratamiento ni de la responsabilidad de ninguna base de datos externa o ajena a nuestra propia base de datos, conformada por nuestros usuarios/clientes, quienes voluntariamente adquieren nuestra membresía ya sea a través de nuestra página web y/o App Móvil o a través de alguno de nuestros distribuidores autorizados (por ej: Dinamic & Service SAS); en ambos casos, el usuario/cliente, al momento de activar su membresía, acepta los términos y condiciones y las políticas de manejo de datos de nuestra compañía. 2. […] Como explicamos en el punto anterior, no manejamos ningún tipo de base de datos distinta a la de nuestros propios usuarios, quienes proporcionan su información de manera voluntaria y únicamente al momento de activar nuestros servicios.

En dicho proceso de activación, cada usuario, de manera voluntaria, diligencia un formulario a través de nuestra app móvil, en el cual proporciona los siguientes datos: • Nombre • Apellido • Cédula • Género • Fecha de Nacimiento • Correo Electrónico • Número de Celular Estos datos los diligencian en el siguiente formulario (dentro de nuestra App Móvil): “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA Al mismo tiempo, durante este proceso de activación, el usuario/cliente, acepta los “Términos y Condiciones” y las “Políticas de Privacidad” de nuestra compañía, en los cuales, entre otras cosas, acepta el tratamiento de sus datos para fines publicitarios y para VERSIÓN RESERVADA la prestación del servicio adquirido con nosotros.

Para complementar este y otros puntos, adjuntamos anexos a este documento, tanto el archivo de “Términos y Condiciones” como las “Políticas de Privacidad”. 4. […] Nuestra membresía es una tarjeta para obtener descuentos y promociones en nuestras marcas aliadas, nuestra membresía no tiene un límite en la frecuencia de su uso, tampoco tiene límites en los montos, ni para el gasto, ni para el ahorro, su correcto funcionamiento, solo depende de ser mayor de edad y activar la membresía. Nuestra membresía no acumula puntos, no funciona como medio de pago, no es un instrumento de crédito ni financiero, únicamente funciona como instrumento para la obtención de descuentos, promociones y/o beneficios por parte de los Comercios afiliados a la Plataforma YekoClub anunciados tanto en nuestro catálogo virtual (página web), como en nuestra Aplicación Móvil.

Directamente YekoClub no vende ni comercializa la membresía por medios telefónicos o presenciales, únicamente se comercializan a través de las plataformas establecidas para tal fin, como son: Payu, Mercado Pago y Wompi, los cuales toman y cumplen con las medidas de seguridad correspondientes para garantizar el buen resguardo de la información de cada usuario/cliente.

La otra manera de adquirir nuestra membresía es a través de alguno de nuestros distribuidores autorizados, los cuales están obligados por contrato suscrito con nosotros, a cumplir con las leyes y normativas vigentes en el marco legal colombiano. En el caso de compra de nuestra membresía con tarjeta de crédito a través de algún distribuidor autorizado, el usuario/cliente es quien proporciona dichos datos al distribuidor correspondiente por vía telefónica o a través de IVR’s destinados para tal fin; sin embargo, esta información financiera NO es solicitada por YekoClub a sus distribuidores en NINGÚN MOMENTO, por lo que no tenemos acceso a la misma. 5. […] Actualmente el proceso de activación de nuestra membresía, solo está habilitado a través de nuestra app móvil, como se explica en el punto 2 de este documento, por lo que en la página web https://www.yekoclub.com/2/all, no se realiza ninguna recolección de datos personales. 6. […] Como se explica en el punto 2 y en el punto 3 de este documento, los usuarios realizan un proceso de activación a través de nuestra aplicación para dispositivos móviles.

Los datos del usuario/cliente son tratados y resguardados, como se expresa en nuestros “Términos y condiciones” y en nuestras “Políticas de privacidad”, ambos anexos en este documento. 7. […] Al momento del proceso de activación y antes de culminar este proceso, el usuario/cliente tiene acceso pleno a los “Términos y condiciones” y a nuestras “Políticas de privacidad”.

Así mismo en el script proporcionado por Dinamic & Service S.A.S., así como por el resto de distribuidores autorizados, se manifiesta al potencial usuario/cliente, acerca del tratamiento de sus datos, como se expresa en la respuesta proporcionada a ustedes por parte de Dinamic & Service S.A.S. en el punto 11 de la misma, la cual expresa lo siguiente: […] Para continuar, ¿por favor infórmenos si autoriza que sus datos personales sean tratados por _____________ (nombre del comercio) con el objetivo de poder seguir brindándole información? Recuerde que puede ejercer sus derechos de acceso, actualización, rectificación y supresión de datos de conformidad a la Ley 1581 de 2012 así como nuestra política de privacidad disponible en (yekoclub.com) y contactándonos al correo ________________ o a los siguientes números telefónicos _________________.

¿Correcto? Entregar datos correctos y en funcionamiento. 8. […] Al ser una empresa de servicios, recibimos peticiones, quejas, reclamos y sugerencias por parte de nuestros usuarios, referentes a nuestro servicio o a la gestión comercial “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA realizada por algún distribuidor, etc.

Todas estas pqr’s son tratadas de acuerdo a nuestras políticas de prestación de servicio y afortunadamente resueltas en su mayoría o en caso de tratarse específicamente de una solicitud de devolución total o parcial o de un derecho de VERSIÓN RESERVADA retracto, son canalizadas y remitidas al distribuidor correspondiente. Sin embargo, afortunadamente no hemos recibido ninguna solicitando el retiro de nuestra base de datos, de la información proporcionada previamente por cada usuario/cliente. 9.1. […] No recibimos datos externos de ninguna persona natural o jurídica.

Los únicos datos con los que contamos, son los de nuestros usuarios. 9.2. […] No recibimos datos externos de ninguna persona natural o jurídica. Los únicos datos con los que contamos, son los de nuestros usuarios. 9.3. […] Como expresamos en la sección de consideraciones de este documento, no compartimos ni proporcionamos datos ni a DINAMIC & SERVICE S.A.S ni a ningún otro distribuidor.

Cada uno de ellos, son autónomos e independientes en la gestión comercial que realizan de nuestra membresía. 10. […] Nathalia Cortés Urrea, encargada del área de atención al cliente a través del correo electrónico destinado para tal fin: atencionsocios@yekocashbox.com y a través de la línea de atención, ubicada en nuestra página web y en nuestra app móvil: (313) 461 6802. 11. […] Anexo a este documento.

(Política de Privacidad.pdf) 12. […] Anexo a este documento. (Política de Privacidad.pdf) 13. […] Anexo a este documento (Manual del Distribuidor.pdf)[…]”2. Para soportar su respuesta, la sociedad YEKOCLUB S.A.S. remitió los siguientes documentos como anexos:  Documento denominado ‘Política de Privacidad’3.  Documento denominado ‘Términos y condiciones generales’4.  Documento denominado ‘Manual de distribuidor’5.

CUARTO: Que el Grupo de Trabajo de Investigaciones Administrativas encargó al Grupo de Trabajo de Informática Forense y Seguridad Digital la revisión, preservación y análisis forense del sitio web de la sociedad YEKOCLUB S.A.S. disponible en el enlace https://www.yekoclub.com/2/all. Con base en lo anterior, el Grupo de Trabajo de Informática Forense y Seguridad Digital radicó un Acta de Preservación de Páginas Web el 20 de mayo de 2021 bajo el No. 20-481484-126, en la cual se consignó, entre otras cosas, las siguientes observaciones: […] A. Se realiza la apertura y comprobación del sitio web YekoClub https://www.yekoclub.com/2/all, se encuentra un buscador en la esquina superior izquierda, debajo de este se encuentran dos símbolos, también se encuentra un menú en la esquina lateral derecha y en el centro de la página se encuentra un buscador y un menú desplegable en el que el usuario puede seleccionar el departamento de su preferencia, como se puede ver en la Imagen 2, Página 5.

B. A lo largo de la página se encuentra información relacionada con los servicios que presta YekoClub, en el pie de página se encuentran cuatro (4) categorías así: 1. YekoClub, 2. Categorías principales, 3. Más información y 4. Quieres estar al tanto de las noticias de YekoClub, en la parte inferior se encuentran los enlaces para visitar sus redes sociales, como se puede ver en la Imagen 3, Página 6.

Dando respuesta a las solicitudes realizadas se concluye lo siguiente: C. “Políticas de privacidad, formulario de recolección de datos, Métodos de seguridad implementados en el sitio web, etc.” 2 Expediente digital. Consecutivo número 10. Página 2. Folios 1 a 7. 3 Expediente digital. Consecutivo número 10. Página 3. Folios 1 a 4. 4 Expediente digital.

Consecutivo número 10. Página 4. Folios 1 a 5. 5 Expediente digital. Consecutivo número 10. Página 5. Folios 1 a 3. 6 Expediente digital. consecutivo número 12. Página 2. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA a. Se encuentran en el pie de página los enlaces para consultar las Políticas de Privacidad y los Términos y condiciones, como se puede ver en las Imágenes 38 y 39, Página

24. VERSIÓN RESERVADA b. Durante la inspección realizada se encuentran seis (6) formularios, a continuación, su descripción: 1. Formulario Activar tarjeta En este formulario se recolectan los siguientes datos:            Nombre Apellido Cédula Seleccione un genero Fecha de nacimiento Correo electrónico Celular N° Tarjeta Yekoclub N° de activación Contraseña Validar contraseña En la parte inferior se encuentran casillas de verificación con los siguientes mensajes: “Acepto términos y condiciones” y “Acepto política de privacidad”, como se puede ver en las Imágenes 6 y 7, páginas 8 y 9.

Nota 1: En estos enlaces se puede realizar al (sic) consulta de los documentos mencionados. Nota 2: En esta sección no se encuentra ningún método para la aceptación de la política de privacidad, aviso de privacidad o tratamiento 2. Formulario Adquirir tarjeta En este formulario se recolectan los siguientes datos:     Correo electrónico Dirección de envío Departamento Cupón de descuento, como se puede en las Imágenes 11 y 12, página 11.

Nota: En esta sección no se encuentra ningún método para la aceptación de la política de privacidad, aviso de privacidad o tratamiento de datos, como se puede en las Imágenes 11 y 12, página 11. 3. Formulario Ventas corporativas En este formulario se recolectan los siguientes datos:      Nombre Nombre de la empresa Correo electrónico Teléfono de contacto Escribe aquí tus comentarios Como se puede ver en la Imagen 13, página 12.

Nota: En esta sección no se encuentra ningún método para la aceptación de la política de privacidad, aviso de privacidad o tratamiento de datos, como se puede ver en la Imagen 13, página 12. 4. Formulario Distribuidores Autorizados En este formulario se recolectan los siguientes datos:  Nombre  Nombre de la empresa  Correo electrónico “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA  teléfono de contacto  Escribe aquí tus comentarios, como se puede ver en la Imagen 19, página

15. VERSIÓN RESERVADA Nota: En esta sección no se encuentra ningún método para la aceptación de la política de privacidad, aviso de privacidad o tratamiento de datos, como se puede ver en la Imagen 19, página 15. 5. Formulario Trabaja con Nosotros En este formulario se recolectan los siguientes datos:  Nombre completo  Correo electrónico  Fecha de nacimiento En la parte inferior se encuentra la opción para carga un archivo, como se puede ver en la Imagen 20, página 16.

Nota: En esta sección no se encuentra ningún método para la aceptación de la política de privacidad, aviso de privacidad o tratamiento de datos, como se puede ver en la Imagen 20, página 16. 6. Formulario Afilia tu Negocio En este formulario se recolectan los siguientes datos:        Nombre marca Razón social Actividad Contacto persona Cargo Correo electrónico Teléfono Cómo se puede ver en la Imagen 26, página 19.

Nota: En esta sección no se encuentra ningún método para la aceptación de la política de privacidad, aviso de privacidad o tratamiento de datos, Cómo se puede ver en la Imagen 26, página 19. C. En ninguno de los seis (6) formularios encontrados (Tabla 2, Página 25) se encuentran casillas de verificación para la aceptación de las políticas de Privacidad, Términos y Condiciones o algún documento que contenga información relacionada con el tratamiento de los datos personales.

D. “Reputación del sitio web, Localización y propietario del dominio, Direcciones IP relacionadas al sitio web, etc.” a. Se realiza la revisión en el RUES (Registro Único Empresarial y Social) de YekoClub, se encuentra que el señor Manuel Alejandro Ortega Guardia es el representante legal de la sociedad que se ubica en la Cll 42 Sur #11C 65 Conjunto Santa Sofia III Bloque B casa 9, como se puede ver en las imágenes 41 y 42, Página 26. b. Según la revisión realizada para determinar la reputación del dominio correspondiente al sitio web YekoClub - https://www.yekoclub.com/2/all, se encuentra que este se encuentra alojado en un servidor cuya dirección IP es la 157.230.160.203, el ISP es de Océano Digital y se encuentra ubicado en Santa Clara, Estados Unidos, como se puede ver más detalladamente en las imágenes de la 48 a la 50 en las páginas 29 y 30. c. La configuración de los certificados de seguridad (SSL)8 del sitio web YekoClub https://www.yekoclub.com/2/all, tiene una calificación “B” (Imagen 54, Página 32) esta calificación se da por configuraciones obsoletas que tiene implementado el servidor, en este caso la compatibilidad con los protocolos TLS 1.0 y TLS 1.1., “ya que estos protocolos producen varias situaciones que ponen en riesgo la privacidad y seguridad de los usuarios, por ejemplo, un ciberdelincuente podría robar la información confidencial de los usuarios, ya que los protocolos utilizados cuentan con fallos de seguridad públicos.”, “Las versiones TLS 1.0 y 1.1 no son lo suficientemente robustas, por lo que se recomienda actualizar las versiones 1.2 y 1.3 de dicho protocolo.

El servidor web tampoco deberá contar con ninguna versión del protocolo SSL, ya que también está considerado obsoleto e inseguro. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA d. De acuerdo con las revisiones realizadas, se encuentra que el sitio web YekoClub https://www.yekoclub.com/2/all, se encuentra clasificado como Viajes, como se puede ver en VERSIÓN RESERVADA la imagen 47, página 29, también se realiza la revisión de virus del dominio inspeccionado encontrando que este se encuentra libre de los mismos, como se puede ver en la imagen 51, página 31.

E. Se anexan los documentos: Política de privacidad, Términos y Condiciones y Manual de Usuario al acta de preservación para la revisión jurídica y verificación del cumplimiento legal.[…]”7.

QUINTO: Que, con base en los hechos anotados y de acuerdo con las pruebas recolectadas en la etapa preliminar de esta investigación, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, el día 7 de diciembre de 2021 se inició la presente investigación administrativa mediante la expedición de la Resolución No. 80032, por medio de la cual se formularon cargos a la sociedad YEKOCLUB S.A.S. por el presunto incumplimiento de las siguientes normas: (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

(ii) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015. (iii) El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma Ley.

(iv) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 ejusdem, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.2, 2.2.2.25.3.3 y 2.2.2.25.3.4 del Decreto Único Reglamentario 1074 de 2015. (v) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el inciso 3 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.

(vi) El literal k) del artículo 17 de la Ley 1581 de 2012, y los numerales 4 y 5 del artículo 2.2.2.25.3.1 y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015. (vii) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1, el inciso 2 del artículo 2.2.2.25.2.8 y el inciso 2 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.

SEXTO: Que, la Resolución N°80032 del 7 de diciembre de 2021 le fue notificada a la investigada mediante notificación por aviso N° 31250 del 20 de diciembre de 2021 de conformidad con la certificación con número de radicado 20-481484- 22 de fecha de 13 de enero de 2022 expedida por la Secretaría General de esta Superintendencia, para que la sociedad se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendía hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

SÉPTIMO: Que la investigada mediante escrito radicado el 7 de enero de 2021 bajo número 20481484- 21 presentó los respectivos descargos y las pruebas que pretendía hacer valer en la presente actuación administrativa. Al respecto, mencionó: Frente al primer cargo, indica que: “1.1. Ausencia de recolección de datos a través de la página web.

A pesar de que el Despacho parte de que conforme a la inspección técnica realizada a la página web, parte de la presunción de que “YEKOCLUB S.A.S. realiza Tratamiento respecto de los datos personales de los Titulares que diligencian su información personal, tal como nombre, documento de identificación, género, fecha de nacimiento, correo electrónico, número de celular, tanto en la App Móvil como en la página web https://www.yekoclub.com/2/all, sin contar, presuntamente, con la autorización previa, expresa e informada en los términos del Artículo 9 de la Ley 1581 de 2012 para tal fin.” Esta apreciación difiere de la realidad fáctica, pues si bien, tal 7 Expediente digital.

Consecutivo número 12. Página 2. Folios 36 a 40. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA como se evidenció, están dispuestos por el administrador del sitio, seis (06) formularios como instrumentos que servirían para el recaudo de la información, debemos reiterar, tal y como se manifestó en su momento, que estos instrumentos no están siendo utilizados por nuestra parte, VERSIÓN RESERVADA pues el tráfico de la página web es menor, ésta tiene una función meramente informativa y por la facilidad que ello involucra, la recepción de datos se realiza a través de la aplicación móvil.

(…) la actividad operacional de nuestra empresa se encuentra enteramente condicionada a que los usuarios accedan y activen sus servicios por medio de la aplicación, que como bien se evidenció dentro del presente trámite en comunicación precedente, condiciona la recepción de los datos a la aceptación de los checkbox’s de políticas de privacidad y términos de condiciones (…).

Existencia de prueba de la autorización previa expresa e informada otorgada por cada uno de los titulares de la información Encuentra el Despacho que aparentemente no se tiene evidencia de la existencia de autorización previa, expresa e informada por parte de los titulares para el tratamiento de sus datos, de lo que se desprendería la contravención del deber de solicitar y conservar autorización previa, expresa e informada del Titular para el Tratamiento de sus datos personales, dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

Cuestión que es discutida de nuestra parte, teniendo en cuenta que si bien los titulares en general otorgan la autorización a través de los checkbox’s ubicados al lado del link al que acceden a las políticas de privacidad, también a su vez deben tenerse como prueba de esta autorización, tal como lo ha hecho la jurisprudencia de esta Superintendencia, las conductas inequívocas que configuran la propia entrega de los datos, según lo prescribe el precitado artículo 2.2.2.25.2.4 existen 3 formas de otorgar esta autorización: (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.

Ahora bien, en gracia de discusión se podrá afirmar por parte del fallador que haría falta la información previa acerca de los derechos y finalidades de la obtención que deben comunicarse al titular de los datos, antes de que este remita la información. Respecto a lo que se debe señalar con claridad, que estos derechos y finalidades, son comunicados a este a través de diferentes mecanismos previos como lo son el script del distribuidor y las publicaciones de la política de privacidad y tratamiento de datos contenidos en la página web y en la aplicación. En relación con la prueba de la autorización, debe tenerse en cuenta como se desprende de la redacción del literal (iii) de la norma precitada, que la misma manifestación inequívoca de la voluntad, debe ser tenida en cuenta como prueba de la autorización, pues en este punto lo que cuenta es que el registro de las conductas inequívocas se ve reflejado de manera indiscutible en la misma entrega de los datos.(…)”8 En cuanto al segundo cargo, expresa que se opone a la formulación del mismo en tanto: “2.

Cumplimiento del deber de informar debidamente al Titular sobre la finalidad de la recolección de sus datos y los derechos que le asisten por virtud de la autorización otorgada. 2.1. Instrumentos de comunicación oportuna de las finalidades del tratamiento y los derechos del titular (…) es de precisar que contrario a lo aducido como fundamento de este cargo, Yekoclub y sus distribuidores han informado de manera previa, oportuna y suficiente a sus usuarios, contratistas y aliados acerca de las finalidades del tratamiento de sus datos y de los derechos que les asisten.

Actividad que se realiza a través de diferentes medios según sea el caso, en principio y como se ha relatado a la largo del presente escrito, esto se realiza con los usuarios a través del script del 8 Expediente digital. Consecutivo número 21. Página 2. Folios 5 a 10. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA distribuidor, la política de privacidad que les es reportada a través de los medios digitales, sean estos la aplicación móvil o la página web, los contratos de distribución y las ofertas comerciales.

VERSIÓN RESERVADA En este sentido se encuentra que el aviso de privacidad establece con claridad la finalidad de la recolección de datos, y los derechos de los usuarios tal como lo requiere el artículo 8 de la Ley 1581 de 2012. La política de privacidad precitada y publicada en la página web, comunica con claridad la finalidad del uso de los datos recabados por YekoClub en el apartado número 5. titulado TRATAMIENTO Y USO QUE HACEMOS DE LA INFORMACIÓN. Política que como se ha dicho es conocida por todos los usuarios antes de poder registrarse en la aplicación y en la web, y se encuentra publicada para el acceso general en las dos plataformas (ver cláusulas 4, 5 y 6 de la política de privacidad). 2.2.

Comunicación a los titulares de la finalidad de la recolección de sus datos y los derechos que le asisten por virtud de la autorización otorgada a través de la página web. (…) Lo cierto es que Yekoclub en todo momento ha cumplido con el deber de informar, de manera previa a la autorización, a los titulares de la información acerca de las finalidades que va dar al tratamiento de los datos recolectados y de los derechos que les asisten de conformidad con la Ley 1581 de 2012, muestra de ello la constituyen tanto el script de venta aportado por DINAMIC SERVICE S.A.S., así como la Política de Privacidad que a través de la aplicación móvil en Android y IOS tienen que suscribir los usuarios para poder registrar sus datos, situaciones que han sido probadas a lo largo de este trámite, y que claramente deben ser tenidas en cuenta por el Despacho.

En el mismo sentido se debe tener en cuenta que la finalidad del uso de los datos, que como se ha dicho es la prestación del servicio es conocida por los usuarios de las plataformas de Yekoclub y es la motivación que los lleva a otorgar su autorización. Situación que se ve reforzada por las políticas de privacidad y tratamiento de datos que ha adoptado la Compañía a fin de garantizar el cumplimiento de la normatividad vigente., materialización de esta objetivo, puede verse manifestada en documentos como el Formulario de Alianzas y el Manual de Distribuidor, que exigen a los aliados comerciales de YekoClub, el cumplimiento de la normatividad de tratamiento de datos como condición negocial (anexos).”9 Sobre el tercer cargo, igualmente señala que se opone al mismo, ya que: “3.

Los protocolos de seguridad no implican una obligación de responsabilidad objetiva, no existe norma que obligue al uso de un protocolo específico. (…) No puede partir el Despacho de la concepción de que la existencia de las debilidades tecnológicas a las que se encuentra expuesta la página web, configura automáticamente un incumplimiento del deber de manejar los datos encomendados con las medidas de seguridad que son requeridas por la norma, pues es bien conocido que cualquier página web o aplicación móvil que se esté conectada a internet se encuentra en riesgo de ser atacada, sin que ello dependa del protocolo de seguridad que tenga incorporado.

En este sentido es claro que el Despacho está imponiendo con base en una recomendación técnica un deber de responsabilidad objetiva inalcanzable, pues si está demostrado que las plataformas tecnológicas de mayor alcance a nivel internacional se encuentran en permanente riesgo, e incluso han llegado a caer, y han sido objeto de sustracción de datos, no se entiende cómo es que se puede exigir, e incluso amenazar con una sanción a una microempresa como la representada por el suscrito, por no poder garantizar a un 100% la seguridad del sitio web.

Si bien es cierto, que de acuerdo con la revisión técnica del Grupo de Trabajo de Informática Forense y Seguridad Digital, hay falencias en los protocolos de seguridad del sitio, en ningún caso en la Ley se ha establecido el uso obligatorio de un determinado protocolo web. Atribución que tampoco entra dentro de los márgenes de acción que el Legislador le ha delegado a la no puede entrar a amenazar con una sanción a alguien que se encuentra usando otro tipo de protocolo web.

En este sentido es necesario tener en cuenta que aunque las recomendaciones hechas por el Grupo de Trabajo de Informática Forense y Seguridad Digital, serán adoptadas por nuestra parte, hasta este momento, nuestras plataformas no han sufrido ningún ataque, o quebrantamiento de la seguridad que haya tenido por efecto la sustracción de las bases de datos que nos han sido encomendadas, cuestión que no puede ser desconocida por el Despacho al momento de emitir fallo. 9 Expediente digital.

Consecutivo número 21. Página 2. Folios 10 a 12. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA No es de recibo tampoco, que el Despacho también ponga en duda la idoneidad de las medidas de seguridad de la aplicación móvil de YekoClub, pasando por alto el mandato del principio de buena fe y de presunción de inocencia con la finalidad de afianzar el cargo propuesto, pues VERSIÓN RESERVADA contrario a lo señalado por el, en este caso acusador, cuando pretende afirmar que no hay evidencia de que esta app móvil “cuente con medidas de seguridad idóneas para evitar que respecto de la información recolectada sea adulterada, objeto de pérdida, consulta, uso o acceso no autorizado o fraudulento”, el simple paso de los filtros de seguridad establecidos por Google Play y por Apple Store es prueba técnica especializada que debe ser tenida en cuenta.

Posición que se ve reforzada por los hechos fácticos cuando se pone de manifiesto que hasta este momento este software no ha sufrido fallo alguno que permita concluir la existencia de un riesgo mayor al que el resto de aplicaciones móviles está sometido en el mercado. Por tanto, se encuentra que este cargo no está llamado a prosperar, pues no se puede imponer a un particular garantizar un resultado, sin tener en cuenta la imposibilidad técnica de conseguirlo.

Tampoco le es dable a la administración imponer el uso de unos protocolos que no se encuentran establecidos por el Legislador en la norma que establece sus márgenes de acción en temas de vigilancia y control, pues ello constituiría una clara vulneración del principio de legalidad en materia sancionatoria, el de buena fe que debe revestir sus actuaciones y el de confianza legítima, todos de rango constitucional y reconocidos a nivel legal en la Ley 1437 de 2011”10.

En relación con el cuarto cargo establece que: “4. Inexistencia de desconocimiento alguno en relación con el deber de adoptar una Política de Tratamiento de Datos Personales Como bien fue reseñado por el mismo Grupo de Trabajo de Informática Forense y Seguridad Digital de la Superintendencia de Industria y Comercio, Yekoclub, estableciendo una posición abiertamente contraria a la tomada por el Despacho en esa sede de formulación de cargos, más exactamente en el cargo cuarto que es elevado en esta sede, sí tiene una Política de Tratamiento de Datos, la cual se encuentra consignada en las políticas de privacidad establecidas tanto en la página web en el link https://www.yekoclub.com/general/ptd, como en la aplicación móvil a través de la cual Yekoclub desarrolla sus operaciones.

No se entiende por tanto la posición del Despacho cuando alegando el incumplimiento del literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 ejusdem, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.2, 2.2.2.25.3.3 y 2.2.2.25.3.4 del Decreto Único Reglamentario 1074 de 2015 aduce sin una base fáctica alguna que tras “una revisión preliminar” de los documentos aportados al trámite encuentra que estos “no cumplen los requisitos mínimos establecidos en el Decreto Único Reglamentario 1074 de 2015”, sin proceder a precisar con la claridad requerida, y tal como es su deber en esta sede de acusación, cuál de estos requisitos mínimos es el que encuentra que ha sido desconocido por Yekoclub, aspecto que configura un claro desconocimiento del derecho fundamental al debido proceso de esta persona jurídica.

Se encuentra que en este caso el Despacho entra a elevar de manera injustificada un cargo que además de ser improcedente, pasa por alto la documentación que oportunamente se le allegó mediante la cual se acredita con claridad la existencia de la política de Tratamiento de Datos exigida por la normatividad, situación que deja entrever la existencia de un desconocimiento del principio de contradicción, de necesidad de la prueba y de tipicidad.11 Frente al quinto cargo, indica que: “5.

Adopción del manual de políticas de seguridad en la información Adjunto al presente escrito se remite el manual de políticas de seguridad en la información el cual contiene todos los estándares y protocolos a seguir para el manejo de la información con la seguridad requerida por la normatividad, de conformidad con la Ley 1581 de 2012, el Decreto 1074 de 2015 y la norma ISO27001 de 2013.”12 Respecto del sexto cargo, argumenta que: “6.

El manual de privacidad cumple con las condiciones requeridas para definir y comunicar de manera clara e inequívoca las políticas de atención de consultas y reclamos 10 Expediente digital. Consecutivo número 21. Página 2. Folios 12 a 14. 11 Expediente digital. Consecutivo número 21. Página 2. Folios 14 a 16. 12 Expediente digital. Consecutivo número 21.

Página 2. Folio 16. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA Siguiendo bajo el mismo derrotero del punto anterior, se debe indicar que la política de privacidad contenida en el sitio web y en la aplicación establece todos los mecanismos requeridos por la normatividad para orientar tanto a los titulares de la información como al área de servicio al cliente VERSIÓN RESERVADA de Yekoclub S.A.S. en la atención de peticiones, consultas o reclamos que realicen los titulares de los datos personales.

Adopción del manual de políticas de procedimientos para la recolección, almacenamiento, uso, circulación, y supresión de la información (ciclo de vida del dato) Adjunto al presente escrito se remite el manual de políticas de seguridad en la información, el cual contiene todos los estándares y protocolos a seguir para la recolección, almacenamiento, uso, circulación, y supresión de la información (ciclo de vida del dato), el cual en cumplimiento de la Ley 1581 de 2012 establece los tipos de datos que recolecta Yekoclub S.A.S., y los procesos de gestión donde se incluye el método para la recolección, mantenimiento, tratamiento y eliminación de los datos según cada base datos y su área responsable.

“Política de Privacidad y Tratamiento de Datos” antiguo. 2. “Política de Privacidad y Tratamiento de Datos” actualizado. 3. Manual de políticas de seguridad en la información. 4. Manual de políticas de procedimientos para la recolección, almacenamiento, uso, circulación, y supresión de la información (ciclo de vida del dato). 5. Manual de políticas de atención de consultas y reclamos. 6.

Certificado expedido por el administrador de la página. 7. Formulario de alianzas. 8. Contrato de distribuidor. 9. Manual de distribuidor. 10. Pantallazo que da cuenta de que actualmente la seguridad de la página se encuentra actualizada a la versión de TLS 1.2. 11. Estados Financieros de los últimos tres (03) años.

OCTAVO: Que, mediante Resolución N° 51697 de 4 de agosto de 2022, esta Dirección: (i) 8.1. 8.2. 8.3. Incorporó las siguientes pruebas del expediente radicado bajo el número 20-481484, con el valor legal correspondiente: Requerimiento de información a tercero a la sociedad DINAMIC & SERVICE S.A.S. de fecha 18 de febrero de 2021 bajo radicado número 20-481484-1.

Requerimiento de información a tercero a la sociedad LIVE TRAVELING S.A.S. de fecha 18 de febrero de 2021 bajo radicado número 20-481484-2. Requerimiento de información a tercero a la sociedad STARMEDIA GROUP S.A.S. de fecha 18 de febrero de 2021 bajo radicado número 20-481484-3. 13 Expediente digital. Consecutivo número 21. Página 2. Folios 16 a 17. 14 Expediente digital.

Consecutivo número 21. Página 2. Folio 17. 15 Expediente digital. Consecutivo número 21. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA 8.4. Requerimiento de información a tercero a la sociedad WORKING BUSINESS S.A.S. de fecha 18 de febrero de 2021 bajo radicado número 20-481484-4. 8.5. Respuesta con anexos por parte de la sociedad DINAMIC & SERVICE S.A.S., el día 26 VERSIÓN RESERVADA de febrero de 2021 radicado bajo el número 20-481484-5. 8.6.

Requerimiento de información a tercero a la sociedad YEKOCLUB S.A.S. de fecha 30 de abril de 2021 bajo radicado número 20-481484-6. 8.7. Requerimiento de información a tercero a la sociedad PAGO DIGITAL COLOMBIA S.A.S. de fecha 30 de abril de 2021 bajo radicado número 20-481484-7. 8.8. Solicitud de acceso a expediente de fecha 04 de mayo de 2021 del abogado de la firma Q & D Abogados bajo radicado número 20-481484-8. 8.9.

Respuesta junto con anexos a requerimiento de información por parte de la sociedad YEKOCLUB S.A.S., el día 12 de mayo de 2021 radicado bajo el número 20-481484-10. 8.10. Respuesta junto con anexos a requerimiento de información a tercero por parte de PAGO DIGITAL COLOMBIA S.A.S., el día 13 de mayo de 2021 radicado bajo el número 20481484- 11. 8.11.

Complemento de información de fecha 20 de mayo de 2021 bajo radicado N°. 2 48148412. 8.12. Memorando de la Coordinadora del Grupo de Investigaciones Administrativas a la Oficina de Tecnología e Informática con fecha 25 de junio de 2021 y radicado 20-481484-13. 8.13. Memorando del Jefe de la Oficina de Tecnología e Informática al Coordinador del Grupo de Trabajo de Servicios Tecnológicos con fecha 28 de junio de 2021 y radicado 20481484-14. 8.14.

Memorando del Coordinador del Grupo de Trabajo de Servicios Tecnológicos a la con fecha Coordinadora del Grupo de Investigaciones Administrativas de fecha 29 de junio de 2021 y radicado 20-481484-15 8.15. Escrito de descargos junto con sus anexos el día 07 enero de 2022 radicado bajo el número 20-481484-21. (ii) Así mismo, se cerró la etapa probatoria y se corrió traslado a la investigada para alegar de conclusión, en caso de que la misma lo considerara pertinente.

NOVENO: Que, la Resolución N° 51697 de 4 de agosto de 2022 le fue comunicada a la investigada el 4 de agosto de 2022, de conformidad con la certificación radicada bajo el número 20-481484- 27 de 23 de agosto de 2022 expedida por la Secretaría General de esta Superintendencia.

DÉCIMO: Que, mediante escrito presentado el 19 de agosto de 2022 bajo radicado número 20481484- 26 la investigada presentó los respectivos alegatos de conclusión reiterando lo mencionado en su escrito de descargos y aportó:  “Pantallazos que acreditan la introducción de los checkbox en conjunto con los links de acceso a las políticas de privacidad en los diferentes formularios contenidos en la página web”16.

DECIMO PRIMERO: Competencia de la Superintendencia de Industria y Comercio Que el artículo 19 de la Ley 1581 de 2012 ordena a la Superintendencia de Industria y Comercio (SIC), como autoridad de protección de datos personales, ejercer vigilancia “para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley”.

DECIMO SEGUNDO: Análisis del caso 12.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 201117, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que 16 Expediente digital.

Consecutivo número 26. Página 2. Folios 1 a 4. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”. VERSIÓN RESERVADA Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares.

El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012. (ii) De conformidad con los hechos alegados por la reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de las siguientes disposiciones:  El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.  El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.  El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma Ley.  El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 ejusdem, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.2, 2.2.2.25.3.3 y 2.2.2.25.3.4 del Decreto Único Reglamentario 1074 de 2015.  El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el inciso 3 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.  El literal k) del artículo 17 de la Ley 1581 de 2012, y los numerales 4 y 5 del artículo 2.2.2.25.3.1 y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.  El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1, el inciso 2 del artículo 2.2.2.25.2.8 y el inciso 2 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de unas órdenes para lo cual se deberán tener en cuenta los requerimientos realizados por este Despacho, el escrito de descargos allegado por la sociedad investigada, así como el conjunto de pruebas obrantes en el expediente. 12.2 Valoración probatoria 12.2.1 Respecto del deber de solicitar y conservar copia de la autorización previa, expresa e informada del Titular para el Tratamiento de sus datos personales La Ley 1581 de 2012 prevé en su artículo diecisiete los deberes a los cuales están obligados los Responsables del Tratamiento.

Particularmente, el literal b) establece que estos deben solicitar y conservar copia de la respectiva autorización otorgada por el Titular; precepto que debe ser analizado en concordancia con el literal c) del artículo 4, en cuanto al principio de libertad se refiere y al artículo 9 de dicho cuerpo normativo. De igual manera, el Decreto 1074 de 2015 menciona en su artículo 2.2.2.25.2.2 que el Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Definición del consentimiento “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA En la Ley 1581 de 2012 el consentimiento es tanto un principio rector (artículo 4 (literal c) como un elemento de legitimación constitucional de los procesos de administración de datos personales (artículos 9, 10, y artículo 26, literal a).

VERSIÓN El artículoRESERVADA 9 establece que en el tratamiento se requiere la autorización previa, expresa, e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior, mientras que el artículo 10 prevé las excepciones o los otros fundamentos de legitimación constitucional del tratamiento de datos personales, incluidos los casos de urgencia manifiesta, tratamiento de información autorizado por la ley para fines históricos, estadísticos o científico, etc.

Por su parte, el literal a) del artículo 3 de la Ley 1581 de 2012 establece que el consentimiento o autorización exigida para el tratamiento de datos personales es, además, calificado, por cuanto debe ser previo, expreso e informado. En este sentido, la Corte Constitucional interpretó esta definición en sentencia C-748 del 2011 de la siguiente manera: “En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato.

Así por ejemplo, en la Sentencia T-022 de 1993, se dijo que la veracidad del dato no implica que el Responsable del Tratamiento no tenga el deber de obtener una autorización anterior. En igual sentido, la Sentencia T-592 de 2003 dijo que el derecho al habeas data resulta afectado cuando los administradores de la información recogen y divulgan hábitos de pago sin el consentimiento de su titular.

La Corte expresó que el consentimiento previo del titular de la información sobre el registro de sus datos económicos “en los procesos informáticos, aunado a la necesidad de que aquel cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, resultan esenciales para salvaguardar su derecho a la autodeterminación informática.” En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito.

Lo anterior, por varias razones: En primer lugar, la jurisprudencia constitucional ha exigido tal condición y ha dicho que el consentimiento debe ser explícito y concreto a la finalidad específica de la base de datos. (…) En segundo lugar, de una interpretación armónica de todo el articulado se deduce que el legislador estatutario tuvo una intención inequívoca que el consentimiento siempre fuese expreso.

Así, desde el artículo 3 se dice que éste debe ser “previo, expreso e informado”. Esto mismo se repite en el artículo 4. Posteriormente, el artículo 8 ordinal b), garantiza al Titular el derecho de solicitar prueba de la autorización, y señala que ésta sólo puede considerarse exceptuada en los casos consagrados en el artículo 10. El artículo 9 ordena que la autorización sea “obtenida por cualquier medio que pueda ser objeto de consulta posterior Por otro lado, el artículo 10 señala, en forma taxativa, los casos en que no se requiere autorización, y no hace referencia alguna a la existencia de un consentimiento tácito, lo cual necesitaría expresa autorización legal.

(…) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. En este mismo sentido, en la Sentencia T-592 de 2003, la Corte señaló que la autorización debe ser cualificada y debía contener una explicación de los efectos de la misma.

Además, a pesar de que se presente la autorización, el Responsable y Encargado del Tratamiento debe actuar de buena fe. De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez.

( )”17 VERSIÓN RESERVADA No existe, por tanto, otra interpretación legal y constitucional diferente a aquella que el consentimiento debe cumplir con los requisitos de ser previo, expreso e informado para que el mismo pueda considerarse legal, pues, de lo contrario, se estaría afectando, como lo señaló la Corte en la sentencia arriba citada, el derecho a la autodeterminación informática entendido como el núcleo esencial del derecho al habeas data y, en la práctica, el Titular perdería el control de sus datos personales.

Las definiciones de expreso, previo e informado contienen elementos claves que se analizan a continuación, con el fin de que se asegure que sólo el consentimiento que se interprete conforme a la Ley 1581 de 2012 será considerado como tal. Elementos del consentimiento: 1. Expreso: el término expreso significa la manifestación de voluntad libre del Titular para permitir el tratamiento de sus datos personales por parte de un tercero. Así mismo, esa necesidad de manifestación por parte de la persona impide que la falta de actuación - o quizás mejor, el comportamiento pasivo – constituya un consentimiento válido bajo la Ley 1581 de 2012, pues, como lo señaló la Corte Constitucional en la Sentencia C-748 de 2011, “no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito”.

Así sucede, por ejemplo, con formularios de recolección de datos en línea que no cuentan con casillas de aceptación. Esta situación obliga a los Responsables del Tratamiento a crear procedimientos para garantizar que las personas otorguen su consentimiento y, a su vez, proporcionan pruebas al Responsable del Tratamiento de que se ha obtenido el consentimiento.

Los ejemplos más clásicos son la firma manuscrita en la parte inferior de un formulario de papel y la selección de una casilla en un sitio web en Internet. El requisito de expreso para los datos sensibles se sustituye por un “consentimiento explícito”, pues para este tipo de datos se considera adecuado que exista un elevado nivel de control sobre los datos personales por parte de su Titular. 2.

Informado: el término informado significa que la persona debe conocer las finalidades del tratamiento de sus datos, la persona natural o jurídica, pública o privada, que decidirá sobre el tratamiento de los datos concernidos, los derechos relativos al tratamiento de sus datos, así como del modo de hacer valer sus derechos en relación con el tratamiento y, en general, las condiciones en que se efectuarán las actividades de acopio, recopilación y circulación del mismo.

En ese sentido, el artículo 12 de la Ley 1581 de 2012 establece que cuando se va a solicitar la autorización al Titular de la Información, el Responsable del tratamiento deberá informarle de manera clara y expresa lo siguiente: a) el tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) los derechos que le asisten como titular; y, d) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento.

Si se trata de datos sensibles el Responsable del tratamiento también debe cumplir lo que ordena el artículo 2.2.2.25.2.3 del Decreto 1074 de 2015, a saber: “Artículo 2.2.2.25.2.3. De la autorización para el Tratamiento de datos personales sensibles. El Tratamiento de los datos sensibles a que se refiere el artículo 5 de la Ley 1581 de 2012 está prohibido, a excepción de los casos expresamente señalados en el artículo 6 de la citada ley.

En el Tratamiento de datos personales sensibles, cuando dicho Tratamiento sea posible conforme a lo establecido en el artículo 6 de la Ley 1581 de 2012, deberán cumplirse las siguientes obligaciones: 1. Informar al titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento. 17 Cfr. Corte Constitucional, sentencia C 748 del 2011.

“Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA 2. Informar al titular de forma explícita y previa, además de los requisitos generales de la autorización para la recolección de cualquier tipo de dato personal, cuáles de los datos que serán objeto de Tratamiento son sensibles y la finalidad del Tratamiento, así como obtener su VERSIÓN RESERVADA consentimiento expreso.

Ninguna actividad podrá condicionarse a que el Titular suministre datos personales sensibles”. 3. Previo: el término previo significa que la persona debe otorgar su consentimiento antes del comienzo del tratamiento de su información personal, debiendo cumplirse a más tardar en el momento en que el dato va a ser recogido, sin que sea admisible, en este punto, considerar su acatamiento con posterioridad a su recolección, pues sólo así quedaría garantizado el derecho de la persona a tener una apropiada información antes de otorgar su consentimiento.

En este sentido, el artículo 2.2.2.25.2.2., del Decreto 1074 de 2015 establece lo siguiente: “Artículo 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

(…)”. Visto lo anterior, el consentimiento, como uno de los fundamentos jurídicos del tratamiento de datos personales, para que sea válido bajo la Ley 1581 de 2012, debe cumplir los siguientes requerimientos legales: a) El consentimiento debe ser expreso. El Titular debe realizar alguna acción positiva que indique su consentimiento y debe tener la libertad de no consentir. b) El consentimiento debe estar informado.

El artículo 12 de la Ley 1581 de 2012 enumera la información que debe suministrársele al Titular; esa información debe ser claramente visible, destacada y completa. No basta con ponerla a disposición en algún sitio de la página web, sin que la persona no la conozca. c) El consentimiento debe ser previo. La obtención del consentimiento debe ser previa a la recolección de los datos.

Así, en los casos en que un Responsable del Tratamiento no puede acreditar que el consentimiento requerido del Titular es expreso, informado y previo, estaría incumpliendo el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 de la Ley en cita y el artículo 9 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

Retomado el caso particular, se encuentra que a través de la Resolución N°80032 del 7 de diciembre de 2021 este Despacho encontró que: “En el presente caso, se tiene que la sociedad YEKOCLUB S.A.S. realiza Tratamiento respecto de los datos personales de los Titulares que diligencian su información personal, tal como nombre, documento de identificación, género, fecha de nacimiento, correo electrónico, número de celular, tanto en la App Móvil como en la página web https://www.yekoclub.com/2/all, sin contar, presuntamente, con la autorización previa, expresa e informada en los términos del Artículo 9 de la Ley 1581 de 2012 para tal fin.

Sobre el particular, la sociedad investigada manifiesta que la “[…] durante este proceso de activación, el usuario/cliente, acepta los “Términos y Condiciones” y las “Políticas de Privacidad” de nuestra compañía, en los cuales, entre otras cosas, acepta el tratamiento de sus datos para fines publicitarios y para la prestación del servicio adquirido con nosotros.

Conforme a lo anterior y como fue manifestado expresamente por la sociedad YEKOCLUB S.A.S., esta declaró que la autorización previa, expresa e informada por parte de los Titulares para el Tratamiento de sus datos son obtenidos a partir de la aceptación de los checkbox que se encuentran con posterioridad al formulario en el que diligencian su información personal.

No “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA obstante lo anterior, preliminarmente, no hay evidencias que permitan concluir que la sociedad, al momento de recolectar la información personal de los Titulares le informen a estos acerca de las finalidades objeto del Tratamiento, así como los derechos que le asisten en virtud de la VERSIÓN RESERVADA autorización otorgada.

Por lo cual, no se tiene que la presunta autorización haya sido previa e informada. De igual manera, tampoco hay elementos que permitan evidenciar que la sociedad YEKOCLUB S.A.S. cuenta con la prueba de la autorización previa, expresa e informada otorgada por cada uno de los Titulares cuyos datos son recolectados, pues no acreditó contar con la misma, garantizando así que la autorización haya sido obtenida por un medio que permita que la misma pueda ser objeto de posterior consulta.

En razón a lo anterior, se encuentra que la sociedad YEKOCLUB S.A.S. habría contravenido el deber de solicitar y conservar autorización previa, expresa e informada del Titular para el Tratamiento de sus datos personales, dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.”18 En cuanto al acervo probatorio este Despacho observa lo siguiente: 1.

Mediante Oficio de radicado No. 20-481484-6 del 30 de abril de 2021, esta Dirección le solicitó a la sociedad YEKOCLUB S.A.S., lo siguiente: “[…]1. Informar el nombre de cada una de las bases de datos respecto de las que la sociedad YEKOCLUB S.A.S. actúa en calidad de Responsable y/o Encargado del Tratamiento. Describir la cantidad de Titulares y el tipo de datos que cada una contiene (v.g. dirección, teléfono, correo electrónico, etc.). 2.

Indicar detalladamente acerca de la(s) forma(s) en la(s) que la sociedad YEKOCLUB S.A.S. realiza la recolección de los datos personales contenidos en sus bases de datos. 3. Explicar detalladamente la forma en la cual la sociedad YEKOCLUB S.A.S. realiza el Tratamiento de los datos personales recolectados. […] 5. Informar si a través de la página web https://www.yekoclub.com/2/all, se realiza la recolección de datos personales por parte de la sociedad YEKOCLUB S.A.S. (…) 6.

El anterior requerimiento fue respondido por la sociedad YEKOCLUB S.A.S., por intermedio de su representante legal, a través de comunicación del 13 de mayo de 2021 radicada bajo el No. 20-481484-10 mediante la cual informó lo siguiente: “[…] 1. […] YekoCub como empresa, no está encargada del tratamiento ni de la responsabilidad de ninguna base de datos externa o ajena a nuestra propia base de datos, conformada por nuestros usuarios/clientes, quienes voluntariamente adquieren nuestra membresía ya sea a través de nuestra página web y/o App Móvil o a través de alguno de nuestros distribuidores autorizados (por ej: Dinamic & Service SAS); en ambos casos, el usuario/cliente, al momento de activar su membresía, acepta los términos y condiciones y las políticas de manejo de datos de nuestra compañía. 2. […] Como explicamos en el punto anterior, no manejamos ningún tipo de base de datos distinta a la de nuestros propios usuarios, quienes proporcionan su información de manera voluntaria y únicamente al momento de activar nuestros servicios.

En dicho proceso de activación, cada usuario, de manera voluntaria, diligencia un formulario a través de nuestra app móvil, en el cual proporciona los siguientes datos: • Nombre • Apellido • Cédula • Género • Fecha de Nacimiento • Correo Electrónico 18 Resolución N°80032 del 7 de diciembre de 2021. Folios 18 a 19. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA • Número de Celular Estos datos los diligencian en el siguiente formulario (dentro de nuestra App Móvil): VERSIÓN RESERVADA Al mismo tiempo, durante este proceso de activación, el usuario/cliente, acepta los “Términos y Condiciones” y las “Políticas de Privacidad” de nuestra compañía, en los cuales, entre otras cosas, acepta el tratamiento de sus datos para fines publicitarios y para la prestación del servicio adquirido con nosotros.

Ambos documentos pueden ser consultados por el usuario/cliente, antes de realizar el proceso de activación. 3. […] Como expresamos en las consideraciones previas a las respuestas a sus requerimientos, YekoClub utiliza los datos de cada usuario/cliente, con la autorización previa de cada uno de ellos, para enviar notificaciones a través de nuestra app móvil, correos electrónicos con información de nuevas alianzas o con nuevas promociones de nuestros aliados, mensajes de texto (SMS) con promociones y beneficios, y en general para la prestación de los servicios adquiridos en nuestra plataforma.[…] 5. […] Actualmente el proceso de activación de nuestra membresía, solo está habilitado a través de nuestra app móvil, como se explica en el punto 2 de este documento, por lo que en la página web https://www.yekoclub.com/2/all, no se realiza ninguna recolección de datos personales. 6. […] Como se explica en el punto 2 y en el punto 3 de este documento, los usuarios realizan un proceso de activación a través de nuestra aplicación para dispositivos móviles.

Los datos del usuario/cliente son tratados y resguardados, como se expresa en nuestros “Términos y condiciones” y en nuestras “Políticas de privacidad”, ambos anexos en este documento.”19 3. En el Acta de Preservación de la Página Web disponible en el enlace https://www.yekoclub.com/2/all. correspondiente al análisis forense realizado por el Grupo de Trabajo de Informática Forense y Seguridad Digital del sitio web de la sociedad YEKOCLUB S.A.S, radicado bajo No. 20-481484- 1220, se determinó que: “b. Durante la inspección realizada se encuentran seis (6) formularios, a continuación, su descripción: 1.

Formulario Activar tarjeta En este formulario se recolectan los siguientes datos: 19 Expediente digital. Consecutivo número 10, página 2. Folios 2 a 7. 20 Expediente digital. consecutivo número 12. Página 2. “Por la cual se impone una sanción y se imparten órdenes administrativas” • • • • • • • • • • • Nombre Apellido Cédula Seleccione un genero Fecha de nacimiento Correo electrónico Celular N° Tarjeta Yekoclub N° de activación Contraseña Validar contraseña HOJA VERSIÓN ÚNICA VERSIÓN RESERVADA En la parte inferior se encuentran casillas de verificación con los siguientes mensajes: “Acepto términos y condiciones” y “Acepto política de privacidad”, como se puede ver en las Imágenes 6 y 7, páginas 8 y 9.

Nota 1: En estos enlaces se puede realizar la consulta de los documentos mencionados. Nota 2: En esta sección no se encuentra ningún método para la aceptación de la política de privacidad, aviso de privacidad o tratamiento de datos, cómo se puede ver en las Imágenes 6 y 7, páginas 8 y 9 2. Formulario Adquirir tarjeta En este formulario se recolectan los siguientes datos: • Correo electrónico • Dirección de envío • Departamento • Cupón de descuento, como se puede en las Imágenes 11 y 12, página 11.

Nota: En esta sección no se encuentra ningún método para la aceptación de la política de privacidad, aviso de privacidad o tratamiento de datos, como se puede en las Imágenes 11 y 12, página 11. 3. Formulario Ventas corporativas En este formulario se recolectan los siguientes datos: • Nombre • Nombre de la empresa • Correo electrónico • Teléfono de contacto • Escribe aquí tus comentarios Como se puede ver en la Imagen 13, página 12.

Nota: En esta sección no se encuentra ningún método para la aceptación de la política de privacidad, aviso de privacidad o tratamiento de datos, como se puede ver en la Imagen 13, página 12. 4. Formulario Distribuidores Autorizados En este formulario se recolectan los siguientes datos: • Nombre • Nombre de la empresa • Correo electrónico • Teléfono de contacto • Escribe aquí tus comentarios, como se puede ver en la Imagen 19, página 15.

Nota: En esta sección no se encuentra ningún método para la aceptación de la política de privacidad, aviso de privacidad o tratamiento de datos, como se puede ver en la Imagen 19, página 15. 5. Formulario Trabaja con Nosotros En este formulario se recolectan los siguientes datos: “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA • Nombre completo • Correo electrónico • Fecha de nacimiento VERSIÓN RESERVADA • En la parte inferior se encuentra la opción para carga un archivo, como se puede ver en la Imagen 20, página 16.

Nota: En esta sección no se encuentra ningún método para la aceptación de la política de privacidad, aviso de privacidad o tratamiento de datos, como se puede ver en la Imagen 20, página 16. 6. Formulario Afilia tu Negocio En este formulario se recolectan los siguientes datos: • Nombre marca • Razón social • Actividad • Contacto persona • Cargo • Correo electrónico • Teléfono Cómo se puede ver en la Imagen 26, página 19.

Nota: En esta sección no se encuentra ningún método para la aceptación de la política de privacidad, aviso de privacidad o tratamiento de datos, Cómo se puede ver en la Imagen 26, página 19.” c. En ninguno de los seis (6) formularios encontrados (Tabla 2, Página 25) se encuentran casillas de verificación para la aceptación de las políticas de Privacidad, Términos y Condiciones o algún documento que contenga información relacionada con el tratamiento de los datos personales.”21 4.

Además, el 7 de enero de 2022 la sociedad en el escrito de descargos radicado bajo No. 481484- 21, mencionó: “1.1. Ausencia de recolección de datos a través de la página web. A pesar de que el Despacho parte de que conforme a la inspección técnica realizada a la página web, parte de la presunción de que “YEKOCLUB S.A.S. realiza Tratamiento respecto de los datos personales de los Titulares que diligencian su información personal, tal como nombre, documento de identificación, género, fecha de nacimiento, correo electrónico, número de celular, tanto en la App Móvil como en la página web https://www.yekoclub.com/2/all, sin contar, presuntamente, con la autorización previa, expresa e informada en los términos del Artículo 9 de la Ley 1581 de 2012 para tal fin.” Esta apreciación difiere de la realidad fáctica, pues si bien, tal como se evidenció, están dispuestos por el administrador del sitio, seis (06) formularios como instrumentos que servirían para el recaudo de la información, debemos reiterar, tal y como se manifestó en su momento, que estos instrumentos no están siendo utilizados por nuestra parte, pues el tráfico de la página web es menor, ésta tiene una función meramente informativa y por la facilidad que ello involucra, la recepción de datos se realiza a través de la aplicación móvil.

Situación que se ratifica con la certificación del administrador de la página web adjunta, donde se deja constancia que a través de la misma no se han recepcionado (sic) datos o información privada sujeta al régimen de protección de datos establecido en el artículo 17 de la Ley 1581 de 2012, ello por cuanto en primer lugar, la actividad operacional de nuestra empresa se encuentra enteramente condicionada a que los usuarios accedan y activen sus servicios por medio de la aplicación, que como bien se evidenció dentro del presente trámite en comunicación precedente, condiciona la recepción de los datos a la aceptación de los checkbox’s de políticas de privacidad y términos de condiciones en que se incluye de manera detallada el uso que se da la información, que como bien se ha dicho en su momento, se restringe a la prestación del servicio adquirido, información que también es brindada por el distribuidor, y que por tanto nos permite afirmar que sujeta nuestras actividades a la reglamentación establecida en el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

De lo que se desprende, la veracidad de las afirmaciones originales, que no pueden ser desconocidas por el Despacho de manera injustificada, sin entrar a vulnerar el derecho fundamental al debido proceso, la presunción de inocencia y los principios de buena fe y de 21 Expediente digital. Consecutivo número 12, Página 2. Folios 36 a 39. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA confianza legítima, como aquí se ha hecho, al presumir la existencia de una recolección de información, por el simple hecho de haber encontrado unos formularios en la página web, sin tener evidencia que a través de estos se haya recaudado información. VERSIÓN RESERVADA Es de señalar, que la administración no puede restar la credibilidad a la manifestación de un particular, sin una prueba idónea y suficiente, que le permita desvirtuar, el principio de presunción de buena fe, pues de esta presunción debe partir todo acto de la administración tal como presupone el artículo 83 de la Constitución Política y el artículo 3 de la Ley 1437 de 2011 cuando expresa que las actuaciones administrativas se desarrollaran con apego a este principio y enfatiza que “[e]n materia administrativa sancionatoria, se observarán adicionalmente los principios de legalidad de las faltas y de las sanciones, de presunción de inocencia, de no reformatio in pejus y non bis in idem.” 1.2.

Entonces se tiene que de acuerdo con la norma se debe tener en cuenta la propia recepción de los datos como el objeto que puede ser sujeto de posterior consulta, principio que es igualmente aplicable en los casos en el checkbox es requisito para el envío de la información. Razones que desvirtúan, lo manifestado por el Despacho cuando indica “preliminarmente, no hay evidencias que permitan concluir que la sociedad, al momento de recolectar la información personal de los Titulares le informen a estos acerca de las finalidades objeto del Tratamiento, así como los derechos que le asisten en virtud de la autorización otorgada.”.

Pues como se ha visto, y se encuentra probado al interior del proceso, el primer filtro de cumplimiento de este presupuesto se da en el script a través del cual el distribuidor da a conocer de manera previa la finalidad de la recolección de la información, los derechos que en virtud de la Ley de habeas data tiene el titular y solicita la autorización del uso de estos datos, estableciéndose un segundo filtro de seguridad que garantiza el conocimiento de estas prescripciones legales al momento de registro de los datos por parte del usuario en la aplicación. Situación que controvierte la apreciación mediante la cual se afirma en el pliego de cargos que no “hay elementos que permitan evidenciar que la sociedad YEKOCLUB S.A.S. cuenta con la prueba de la autorización previa, expresa e informada otorgada por cada uno de los Titulares cuyos datos son recolectados” pues como se encuentra acreditado, la prueba principal es la misma actuación inequívoca del titular de la información o en palabras más específicas la propia recepción de los datos, tal como se encuentra reconocido por la norma, la cual claramente puede ser objeto de consulta posterior y es complementada por los checkbox situados al lado de las políticas de privacidad que condicionan el envío de la información. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA Por lo anterior, no cabe razón al Despacho cuando, desconociendo el contexto del caso que se pone en su conocimiento, entra a hacer una formulación de cargos que desconoce la realidad de la situación, que se le ha comunicado oportunamente, y sobre la cual no cuenta con una prueba VERSIÓN RESERVADA que desvirtúe la posición de esta investigada, que lo único que ha hecho es operar en el marco de la legalidad, y que como cualquier empresa, tiene el listado y la información necesaria para prestarle el servicio que adquieren sus clientes, actividad autorizada por estos últimos, quienes son los principales beneficiados por ella.

Por estas razones se encuentra que el Cargo Primero elevado por el Despacho no tiene un asidero fáctico ni jurídico suficiente para mantenerse, pues constituye un claro desconocimiento de los presupuestos fácticos, jurídicos y probatorios sobre los cuales debe soportarse este tipo de acusaciones, pues se encuentra que en esta caso el Despacho parte de la inobservancia de la presunción de buena fe, cuando sin razón alguna aduce que Yekoclub faltó a la verdad cuando afirmó que a través la página web no se estaban recabando datos personales; y de la norma alegada, que en sí misma reconoce la posibilidad de que los particulares den una manifestación inequívoca, diferente a la escrita o verbal.

En este mismo sentido se debe indicar que en caso de que existiera la omisión por la que eleva acusación el Despacho.”22 5. Así mismo, en el escrito de alegatos de conclusión aportó “Pantallazos que acreditan la introducción de los checkbox en conjunto con los links de acceso a las políticas de privacidad en los diferentes formularios contenidos en la página web”23, que se muestran a continuación: 22 Expediente digital.

Consecutivo número 21. Página 2. Folios 5 a 12. 23 Expediente digital. Consecutivo número 26. Página 2. Folios 1 a 4. “Por la cual se impone una sanción y se imparten órdenes administrativas” VERSIÓN RESERVADA HOJA VERSIÓN ÚNICA “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA VERSIÓN RESERVADA De conformidad con lo anterior, esta Dirección concluye lo siguiente: 1.

La sociedad investigada posee una página web bajo el dominio “https://www.yekoclub.com/”. 2. De acuerdo al análisis forense realizado el 14 de mayo de 202124 por el Grupo de Trabajo de Informática Forense y Seguridad Digital de esta entidad25, la página web en mención, cuenta con 6 formularios donde los Titulares pueden brindar datos como nombre, documento de identificación, fecha de nacimiento, correo electrónico, número de celular, entre otros.

Consecutivo número 12. Página 2. Folio 40. 25 Expediente digital. Consecutivo número 12. Página 2. 26 Expediente digital. Consecutivo número 12, Página 2. Folio 39. 27 Expediente digital. Consecutivo número 26. Página 2. Folios 1 a 4. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA Con base en lo anterior, este Despacho evidencia la página web de la sociedad con anterioridad al 19 de agosto de 2022 no contaba con mecanismos idóneos para garantizar la obtención de la autorización previa expresa e informadaVERSIÓN de los Titulares para el tratamiento de sus datos personales RESERVADA por cuanto aunque contaba con 6 formularios ninguno de estos poseía casillas de verificación para la aceptación de las políticas de Privacidad, Términos y Condiciones o algún documento que contuviera información relacionada con el tratamiento de los datos personales.

Al respecto la sociedad investigada en el escrito de descargos afirmó que: “si bien, tal como se evidenció, están dispuestos por el administrador del sitio, seis (06) formularios como instrumentos que servirían para el recaudo de la información, debemos reiterar, tal y como se manifestó en su momento, que estos instrumentos no están siendo utilizados por nuestra parte, pues el tráfico de la página web es menor, ésta tiene una función meramente informativa y por la facilidad que ello involucra, la recepción de datos se realiza a través de la aplicación móvil”28 Frente a esto, este Despacho considera pertinente aclarar que sin importar que “el tráfico de la página es menor”, ya que en esta se encuentran formularios en los cuales se solicitan datos personales a los Titulares, y estos pueden ser diligenciados por cualquiera persona que visite la página, resulta necesario la sociedad implemente mecanismos que garanticen que con anterioridad a la recolección de los datos de los Titulares se les solicite la autorización para tratar sus datos.

Así, es importante que la sociedad entienda que no basta con que la recepción de datos se realice a través de la aplicación móvil, cualquier mecanismo disponible de recolección de datos que tenga la sociedad debe cumplir con los mínimos legales para garantizar la obtención una autorización previa, expresa e informada de los Titulares para el tratamiento de sus datos.

Por otro lado, la sociedad investigada también argumenta que: “también a su vez deben tenerse como prueba de esta autorización, tal como lo ha hecho la jurisprudencia de esta Superintendencia, las conductas inequívocas que configuran la propia entrega de los datos (…) la prueba principal es la misma actuación inequívoca del titular de la información o en palabras más específicas la propia recepción de los datos, tal como se encuentra reconocido por la norma, la cual claramente puede ser objeto de consulta posterior y es complementada por los checkbox situados al lado de las políticas de privacidad que condicionan el envío de la información.”29 Así, de acuerdo a lo indicado por la sociedad los Titulares de la información están otorgando la autorización a la sociedad investigada mediante conductas inequívocas al entregar sus datos a la sociedad.

Ahora bien, sobre lo anterior se encuentra pertinente aclarar a la investigada los elementos del consentimiento dispuestos en el régimen general de protección de datos; por cuanto este concepto es fundamental para el efectivo cumplimiento de la Ley en cuestión. Veamos: El artículo tercero de la Ley 1581 de 2012 establece que la autorización o consentimiento es válido cuando se presentan los siguientes tres elementos: (i) previo;

(ii) expreso e (iii) informado. Al considerar estos componentes, la Corte Constitucional en sentencia C 748 del 2011 definió los mismos así: “(…) El consentimiento del titular de la información es un presupuesto para la legitimidad constitucional de los procesos de administración de datos personales, tratándose de un consentimiento calificado: ya que debe ser previo, esto es, que la autorización debe ser suministrada en una etapa anterior a la incorporación del dato; expreso, en la medida que debe ser inequívoco; e informado, toda vez que el titular no sólo debe aceptar el tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. ( )” 28 Expediente digital.

Consecutivo número 21. Página 2. Folio 6. 29 Expediente digital. Consecutivo número 21. Página 2. Folios 8 a 9 “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA De esta forma, es claro que el consentimiento del que trata la Ley 1581 de 2012 es calificado ya que se deben reunir las características de ser previo, expreso e informado para que se pueda considerar que el Titular dio su autorización el tratamiento de sus datos y que dicho VERSIÓN para RESERVADA consentimiento es legítimo.

Así, se debe verificar si estos tres conceptos se materializan en las solicitudes de autorización para el Tratamiento de los Datos Personales que realicen los Responsables. En este punto, vale la pena mencionar que existen tres modos de obtener el consentimiento de los Titulares, el cual, de acuerdo con el contenido del artículo 2.2.2.25.2.4 del Decreto Único Reglamentario, puede ser obtenido (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. Dichos modos deben cumplir con el presupuesto de legitimidad constitucional mencionado; es decir, el consentimiento debe ser previo, expreso e informado.

Al respecto, este Alto Tribunal en sentencia C 748 del 2011 especificó que: “(…) El consentimiento del titular de la información es un presupuesto para la legitimidad constitucional de los procesos de administración de datos personales. En concordancia con los expuesto frente al “principio de libertad”, en el manejo de los datos no podrá existir una autorización tácita.

(…)” (Subrayado fuera del texto original) Así las cosas, aunque la sociedad argumenta que la autorización se da por conductas inequívocas de los Titulares de la información, resulta necesario indicar que se entiende que la autorización se ha dado por conducta inequívoca cuando el Titular lleva a cabo cualquier conducta que le permita al Responsable entender, de manera razonable, que el titular ha otorgado la autorización y que conocía los efectos de esa conducta.

Para ello, el responsable deberá poder probar que el Titular entregó su autorización por cualquier medio probatorio. Tomando en cuenta lo anterior, es necesario dos elementos para que se entienda que el titular ha dado su autorización mediante una conducta inequívoca: la conducta desplegada debe indicar que el titular (i) ha otorgado la autorización; y (ii) conocía los efectos de esa conducta.

En el presente caso, la sociedad afirma que la prueba principal de la autorización es “la misma actuación inequívoca del titular de la información” de entregar sus datos a la sociedad, y que esto se puede entender como una conducta inequívoca. Sin embargo, contrario a lo que sostiene la investigada no se puede afirmar que los Titulares al entregar sus datos a la investigada de modo alguno saben que va a hacer la sociedad con sus datos, los derechos que les asisten, si se van a compartir sus datos con un tercero, la temporalidad del almacenamientos de sus datos, entre otros aspectos.

Así pues, se aclara que de ninguna manera el simple hecho de que un titular otorgue sus datos personales a una sociedad, constituye una autorización para que esta realice tratamiento de acuerdo a lo establecido en la Ley 1581 de 2012, más aún cuando la sociedad debe acreditar que conservó copia de la autorización del Titular, y que le informó las finalidades especificas del tratamiento y los derechos que le asisten.

En consecuencia, para este Despacho resulta evidente que, la sola conducta del titular de entregar sus datos no corresponde a una conducta inequívoca en la que el titular autorice el tratamiento de sus datos personales, así mismo, tampoco acredita que el titular conoce las finalidades especificas del tratamiento, y los derechos que le asiste.

Por ende, todos los formularios en los cuales se soliciten datos personales de los Titulares deben contar con mecanismos para (i) solicitar la autorización previa, y expresa del titular; (ii) informar a los titulares de manera clara y concreta las finalidades del tratamiento y los derechos que les asisten en virtud de la autorización otorgada.

Por lo anterior, tomando en consideración que en el caso en concreto, la sociedad en su página web cuenta con formularios en donde se recolectan datos personales de Titulares, y solo hasta agosto de 202230 la sociedad implementó los “checkboxes” en conjunto con los links de acceso a las políticas de privacidad en los diferentes formularios, este Despacho evidencia que la sociedad 30 Expediente digital.

Consecutivo número 26. Página 2. Folios 1 a 4. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA hasta agosto de 2022 se encontraba incumpliendo su deber de solicitar y conservar autorización previa, expresa e informada de los Titulares para el Tratamiento de sus datos personales, en los términos señalados en el literal b) del artículo 17RESERVADA de la Ley 1581 de 2012, en concordancia con el VERSIÓN literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

Por lo anterior, este Despacho procederá a impartir la sanción correspondiente. Ahora bien, en aras de salvaguardar el derecho de habeas data de los Titulares, este Despacho considera pertinente analizar si los “checkboxes” implementados por la sociedad el 19 de agosto de 202231, cumplen con el propósito de garantizar que la autorización de los Titulares se da de forma previa, expresa e informada.

De acuerdo a las imágenes aportadas este despacho evidencia que: 1. En los formularios se encuentra una casilla o un ‘checkbox’, que le permiten al Titular manifestar su voluntad para consentir el tratamiento de su información personal por parte de la sociedad YEKOCLUB S.A.S. 2. El Titular puede conocer y aceptar las políticas de tratamiento de información personal (o políticas de privacidad y tratamiento de datos) implementadas por la sociedad investigada, por cuanto en los formularios se estableció un hipervínculo en el cual el Titular puede acceder para obtener la información contenida en las ‘políticas de privacidad’ de la sociedad investigada. 3.

En las ‘políticas de privacidad’ se les informa a los Titulares de la información las finalidades de la recolección de sus datos y los derechos que les asisten en virtud de la autorización otorgada. En ese orden de ideas, este Despacho evidencia que los “checkboxes” implementados por la sociedad en su página web en los formularios, cumplen con los requisitos legales y garantizan que la recolección de la autorización de los titulares se da de forma previa, expresa e informada.

Por ende, no se considera necesario impartir una orden administrativa al respecto. 12.2.2 Respecto del deber de informar debidamente al Titular sobre la finalidad de la recolección de sus datos y los derechos que le asisten por virtud de la autorización otorgada El literal c) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.

(…)”. Relacionado con dicho deber, se encuentra el principio de finalidad dispuesto en el literal b) del artículo 4 de la Ley 1581 de 2012, en los siguientes términos: “ARTÍCULO 4. Principios para el Tratamiento de Datos Personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular;

(…)”. 31 Expediente digital. Consecutivo número 26. Página 2. Folios 1 a 4. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA Además, el artículo 12 de la Ley 1581 de 2012 expresa que es deber del Responsable del Tratamiento de Datos Personales informarle a los Titulares, cuando se recolecte su autorización, lo siguiente VERSIÓN RESERVADA “(…) a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

PARÁGRAFO. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” El deber de informar la finalidad del tratamiento, de acuerdo con los pronunciamientos de la Corte Constitucional por medio de la sentencia C 748 del 2011, se ha entendido así: “(…) Específicamente se dispone que son deberes de esta parte de la relación: (…) (ii) Informar al titular la finalidad de esa autorización y actuar en consecuencia; por tanto, el responsable no puede conducirse por fuera de los lineamientos de la autorización, lo que significa que, por ejemplo, no puede suministrar al encargado del tratamiento más datos que los que fueron objeto de autorización, ni puede someterlos a un tratamiento con finalidades diferentes a las informadas.

En este orden de ideas, los deberes establecidos en los literales a), b) y h) son desarrollo del principio de finalidad. (…)”32. Adicionalmente, la Corte Constitucional en la misma sentencia ha explicado el alcance del artículo 12 de la Ley 1581 de 2012, es decir el deber de informar al Titular de la siguiente manera: “(…) El artículo 12 dispone las características de la información que deberá ser suministrada por el Responsable del Tratamiento.

La disposición es constitucional, pero el literal b) debe condicionarse por las siguientes razones. La norma señala a los Titulares deberá informárseles “el carácter facultativo a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes”. En una primera lectura podría entenderse que la norma está autorizando el Tratamiento de datos sensibles y de niñas, niños y adolescentes, a pesar de encontrarse prohibida.

Sin embargo, existe una forma de interpretar la disposición de una manera que se avenga a los postulados constitucionales. En primer lugar, el carácter facultativo, en razón del principio de libertad, es predicable de todas las preguntas. Sin embargo, cuando se trate de una de las situaciones en que excepcionalmente se permite el Tratamiento de un dato sensible o de una niña, niño o adolescente, el Responsable del Tratamiento deberá informar las limitaciones y derechos que le son predicables de este tipo de dato.

(…)”33 Igualmente, en la guía titulada “FORMATOS MODELO PARA EL CUMPLIMIENTO DE OBLIGACIONES ESTABLECIDAS EN LA LEY 1581 DE 2012 Y SUS DECRETOS REGLAMENTARIOS”34 expedida el 22 de noviembre de 2017 por esta autoridad, se explica con 32 Cfr. Corte Constitucional, sentencia C 748 del 2011 del seis (6) de octubre de dos mil once (2011). M.P.: Jorge Ignacio Pretelt Chaljub Considerando 2.17.3.

Constitucionalidad de los artículos 17 y 18. 33 Ibid. Considerando 2.14.3. 34 Disponible en: https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Publicaciones/Cartilla_formatos_datos_Personales_nov22.pdf “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA claridad tanto la finalidad de la recolección de los datos personales, como el deber de informar a los Titulares de acuerdo con lo consagrado en el artículo 12 de la Ley 1581 de 2012.

Veamos: “(…) VERSIÓN RESERVADA

2.5. FINALIDAD DE LA RECOLECCIÓN DE DATOS PERSONALES La recolección de datos personales debe tener una finalidad legítima y cierta, es decir, una razón de ser de esa recolección. Además, los datos recolectados deben ser pertinentes y adecuados para alcanzar dicho fin. (…)

2.6. DEBER DE INFORMAR AL TITULAR Además del deber de obtener el consentimiento de los titulares para el tratamiento de su información, quien recolecte datos personales debe informar de manera clara y expresa al titular lo siguiente: (i) El tratamiento al cual serán sometidos los datos personales recolectados y la finalidad de los mismos.

(ii) En caso de que la organización responsable recolecte datos personales sensibles (origen racial o étnico, orientación sexual, filiación política o religiosa, etc.) o de niños y adolescentes; debe explicarle el carácter sensible que posee este tipo de información y, además, debe darle la opción al titular de elegir si responde o no dichas preguntas.

(iii) Los derechos que tiene el titular de la información. (iv) La identificación, dirección física o electrónica y el teléfono de la organización o el responsable del tratamiento de los datos. (…)” En el caso particular, se encuentra que a través de la Resolución N°80032 del 7 de diciembre de 2021 este Despacho encontró de manera preliminar que: “En el presente caso, la sociedad YEKOCLUB S.A.S. ostenta la calidad de Responsable del Tratamiento respecto de los datos personales de los Titulares que diligencian su información personal, tal como nombre, documento de identificación, género, fecha de nacimiento, correo electrónico, número de celular, tanto en la App Móvil como en la página web https://www.yekoclub.com/2/all para para fines publicitarios y para la prestación del servicio adquirido con nosotros.

Ambos documentos pueden ser consultados por el usuario/cliente, antes de realizar el proceso de activación. 3. […] Como expresamos en las consideraciones previas a las respuestas a sus requerimientos, YekoClub utiliza los datos de cada usuario/cliente, con la autorización previa de cada uno de ellos, para enviar notificaciones a través de nuestra app móvil, correos electrónicos con información de nuevas alianzas o con nuevas promociones de nuestros aliados, mensajes de texto (SMS) con promociones y beneficios, y en general para la prestación de los servicios adquiridos en nuestra plataforma.[…]” y en consecuencia debía haber informado expresamente a cada uno de los Titulares cuyos datos ha recolectado al momento de obtener su autorización, independientemente del medio a través del cual se recolectara, pudiendo ser i) por escrito, ii) verbal o iii) mediante conductas inequívocas, los presupuestos mínimos establecidos en el artículo 12 de la Ley 1581 de 2012, puntualmente, para el presente cargo, lo relativo a las finalidades objeto del tratamiento, los derechos que le asisten conforme a la autorización otorgada, según disponen los literales a) y c) de la referida norma.

Habiendo estudiado la respuesta y los documentos remitidos por la sociedad YEKOCLUB S.A.S. en los cuales soportó su respuesta frente al requerimiento de información, no se encuentra prueba mediante la cual se acredite, como se indicó previamente, la obtención de la autorización previa, expresa e informada por parte del Titular de la información, en los términos del artículo 9 de la Ley 1581 de 2012, así como tampoco que ésta le haya informado de manera previa y expresa a cada uno de los Titulares acerca de las finalidades del Tratamiento para las cuáles serían sometidos sus datos personales, así como los derechos que les asisten a los Titulares de conformidad con la autorización que sería otorgada.

Por lo que, preliminarmente, se encuentra que, la sociedad YEKOCLUB S.A.S., realizó una aparente contravención de lo dispuesto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.” 35 35 Resolución N°80032 del 7 de diciembre de 2021.

Folios 21 a 22. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA En cuanto al acervo probatorio este Despacho observa lo siguiente: VERSIÓN RESERVADA 1. Mediante Oficio de radicado No. 20-481484-6 del 30 de abril de 2021, esta Dirección le solicitó a la sociedad YEKOCLUB S.A.S., lo siguiente: “[…] 7.

¿La sociedad YEKOCLUB S.A.S. informa a cada uno de los Titulares cuyos datos se encuentran contenidos en sus bases de datos, acerca de las finalidades de la recolección de sus datos y los derechos que le asisten en virtud de la autorización otorgada? En caso afirmativo, allegar prueba de su respuesta.” 2. El anterior requerimiento fue respondido por la sociedad YEKOCLUB S.A.S., por intermedio de su representante legal, a través de comunicación del 13 de mayo de 2021 radicada bajo el No. 20-481484-10 mediante la cual informó lo siguiente: “[…] 7. […]Al momento del proceso de activación y antes de culminar este proceso, el usuario/cliente tiene acceso pleno a los “Términos y condiciones” y a nuestras “Políticas de privacidad”.

Asi mismo en el script proporcionado por Dinamic & Service S.A.S., así como por el resto de distribuidores autorizados, se manifiesta al potencial usuario/cliente, acerca del tratamiento de sus datos, como se expresa en la respuesta proporcionada a ustedes por parte de Dinamic & Service S.A.S. en el punto 11 de la misma, la cual expresa lo siguiente: […] Para continuar, ¿por favor infórmenos si autoriza que sus datos personales sean tratados por _____________ (nombre del comercio) con el objetivo de poder seguir brindándole información? Recuerde que puede ejercer sus derechos de acceso, actualización, rectificación y supresión de datos de conformidad a la Ley 1581 de 2012 así como nuestra política de privacidad disponible en (yekoclub.com) y contactándonos al correo ________________ o a los siguientes números telefónicos _________________.

¿Correcto?”36 3. En el Acta de Preservación de la Página Web disponible en el enlace https://www.yekoclub.com/2/all. correspondiente al análisis forense realizado por el Grupo de Trabajo de Informática Forense y Seguridad Digital del sitio web de la sociedad YEKOCLUB S.A.S, radicado bajo No. 20-481484- 1237, se determinó que: “b. Durante la inspección realizada se encuentran seis (6) formularios, a continuación, su descripción: 1.

Formulario Activar tarjeta En este formulario se recolectan los siguientes datos: • • • • • • • • • • • Nombre Apellido Cédula Seleccione un genero Fecha de nacimiento Correo electrónico Celular N° Tarjeta Yekoclub N° de activación Contraseña Validar contraseña En la parte inferior se encuentran casillas de verificación con los siguientes mensajes: “Acepto términos y condiciones” y “Acepto política de privacidad”, como se puede ver en las Imágenes 6 y 7, páginas 8 y 9.

Consecutivo número 10, página 2. Folios 2 a 7. 37 Expediente digital. consecutivo número 12. Página 2. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA En este formulario se recolectan los siguientes datos: VERSIÓN RESERVADA • Correo electrónico • Dirección de envío • Departamento • Cupón de descuento, como se puede en las Imágenes 11 y 12, página 11.

Nota: En esta sección no se encuentra ningún método para la aceptación de la política de privacidad, aviso de privacidad o tratamiento de datos, como se puede en las Imágenes 11 y 12, página 11. 3. Formulario Ventas corporativas En este formulario se recolectan los siguientes datos: • Nombre • Nombre de la empresa • Correo electrónico • Teléfono de contacto • Escribe aquí tus comentarios Como se puede ver en la Imagen 13, página 12.

Nota: En esta sección no se encuentra ningún método para la aceptación de la política de privacidad, aviso de privacidad o tratamiento de datos, como se puede ver en la Imagen 13, página 12. 4. Formulario Distribuidores Autorizados En este formulario se recolectan los siguientes datos: • Nombre • Nombre de la empresa • Correo electrónico • Teléfono de contacto • Escribe aquí tus comentarios, como se puede ver en la Imagen 19, página 15.

Nota: En esta sección no se encuentra ningún método para la aceptación de la política de privacidad, aviso de privacidad o tratamiento de datos, como se puede ver en la Imagen 19, página 15. 5. Formulario Trabaja con Nosotros En este formulario se recolectan los siguientes datos: • Nombre completo • Correo electrónico • Fecha de nacimiento • En la parte inferior se encuentra la opción para carga un archivo, como se puede ver en la Imagen 20, página 16.

Nota: En esta sección no se encuentra ningún método para la aceptación de la política de privacidad, aviso de privacidad o tratamiento de datos, como se puede ver en la Imagen 20, página 16. 6. Formulario Afilia tu Negocio En este formulario se recolectan los siguientes datos: • Nombre marca • Razón social • Actividad • Contacto persona • Cargo • Correo electrónico • Teléfono Cómo se puede ver en la Imagen 26, página 19.

“Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA Nota: En esta sección no se encuentra ningún método para la aceptación de la política de privacidad, aviso de privacidad o tratamiento de datos, Cómo se puede ver en la Imagen 26, VERSIÓN RESERVADA página 19.” c. En ninguno de los seis (6) formularios encontrados (Tabla 2, Página 25) se encuentran casillas de verificación para la aceptación de las políticas de Privacidad, Términos y Condiciones o algún documento que contenga información relacionada con el tratamiento de los datos personales.”38 4.

Además, el 7 de enero de 2022 la sociedad en el escrito de descargos radicado bajo No. 481484- 21, mencionó: 2. Cumplimiento del deber de informar debidamente al Titular sobre la finalidad de la recolección de sus datos y los derechos que le asisten por virtud de la autorización otorgada. 2.1. Instrumentos de comunicación oportuna de las finalidades del tratamiento y los derechos del titular (…) Yekoclub y sus distribuidores han informado de manera previa, oportuna y suficiente a sus usuarios, contratistas y aliados acerca de las finalidades del tratamiento de sus datos y de los derechos que les asisten.

Actividad que se realiza a través de diferentes medios según sea el caso, en principio y como se ha relatado a la largo del presente escrito, esto se realiza con los usuarios a través del script del distribuidor, la política de privacidad que les es reportada a través de los medios digitales, sean estos la aplicación móvil o la página web, los contratos de distribución y las ofertas comerciales.

En este sentido se encuentra que el aviso de privacidad establece con claridad la finalidad de la recolección de datos, y los derechos de los usuarios tal como lo requiere el artículo 8 de la Ley 1581 de 2012. La política de privacidad precitada y publicada en la página web, comunica con claridad la finalidad del uso de los datos recabados por YekoClub en el apartado número 5. titulado TRATAMIENTO Y USO QUE HACEMOS DE LA INFORMACIÓN. Política que como se ha dicho es conocida por todos los usuarios antes de poder registrarse en la aplicación y en la web, y se encuentra publicada para el acceso general en las dos plataformas (ver cláusulas 4, 5 y 6 de la política de privacidad). 2.2.

Comunicación a los titulares de la finalidad de la recolección de sus datos y los derechos que le asisten por virtud de la autorización otorgada a través de la página web. Contrario a lo afirmado por el Despacho cuando indica que, no se encuentra prueba mediante la cual se acredite la obtención de la autorización previa, expresa e informada por parte del Titular de la información, en los términos del artículo 9 de la Ley 1581 de 2012, ni que se le haya informado de manera previa y expresa a cada uno de los Titulares acerca de las finalidades del Tratamiento para las cuáles serían sometidos sus datos personales, así como los derechos que les asisten a los Titulares de conformidad con la autorización que sería otorgada.

Lo cierto es que Yekoclub en todo momento ha cumplido con el deber de informar, de manera previa a la autorización, a los titulares de la información acerca de las finalidades que va dar al tratamiento de los datos recolectados y de los derechos que les asisten de conformidad con la Ley 1581 de 2012, muestra de ello la constituyen tanto el script de venta aportado por DINAMIC SERVICE S.A.S., así como la Política de Privacidad que a través de la aplicación móvil en Android y IOS tienen que suscribir los usuarios para poder registrar sus datos, situaciones que han sido probadas a lo largo de este trámite, y que claramente deben ser tenidas en cuenta por el Despacho.

Consecutivo número 12, Página 2. Folios 36 a 39. 39 Expediente digital. Consecutivo número 21. Página 2. Folios 5 a 12. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA 5. Así mismo, en el escrito de alegatos de conclusión aportó “Pantallazos que acreditan la introducción de los checkbox en conjunto con los links de acceso a las políticas de privacidad en los diferentes formularios contenidos en la página web”40, que se muestran a continuación: VERSIÓN RESERVADA 40 Expediente digital.

Consecutivo número 26. Página 2. Folios 1 a 4. “Por la cual se impone una sanción y se imparten órdenes administrativas” VERSIÓN RESERVADA HOJA VERSIÓN ÚNICA “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA VERSIÓN RESERVADA De conformidad con lo anterior, esta Dirección concluye lo siguiente: 1.

La sociedad investigada posee una página web bajo el dominio “https://www.yekoclub.com/”. 2. De acuerdo al análisis forense realizado el 14 de mayo de 202141 por el Grupo de Trabajo de Informática Forense y Seguridad Digital de esta entidad42, la página web en mención, cuenta con 6 formularios donde los Titulares pueden brindar datos como nombre, documento de identificación, fecha de nacimiento, correo electrónico, número de celular, entre otros.

Sin embargo, se evidenció que ninguno contaba con casillas de verificación para la aceptación de las políticas de Privacidad, Términos y Condiciones o algún documento que contuviera información relacionada con el tratamiento de los datos personales.”43 3. El 19 de agosto de 2022 conforme a lo informado por la sociedad en el escrito de alegatos, la sociedad realizó “la introducción de los checkbox en conjunto con los links de acceso a las políticas de privacidad en los diferentes formularios contenidos en la página web” 44 Con base en lo anterior, este Despacho evidencia la página web de la sociedad con anterioridad al 19 de agosto de 2022 no tenía mecanismos idóneos para informarle a los Titulares la finalidad del tratamiento de sus datos ni los derechos que les asistían, por cuanto aunque contaba con 6 formularios ninguno de estos poseía casillas de verificación para la aceptación de las políticas de Privacidad, Términos y Condiciones o algún documento que contuviera información relacionada con el tratamiento de los datos personales.

Así, como ya fue analizado en el cargo anterior, cualquier mecanismo disponible de recolección de datos que tenga la sociedad debe cumplir con los mínimos legales y en este caso deben garantizar que los Titulares están siendo informados respecto de las finalidades del tratamiento de sus datos y lo derechos que les asisten. Por su parte, la sociedad investigada argumenta que los instrumentos que utiliza para comunicar oportunamente las finalidades del tratamiento y los derechos a los titulares de los datos son: 41 Expediente digital.

Consecutivo número 12. Página 2. Folio 40. 42 Expediente digital. Consecutivo número 12. Página 2. 43 Expediente digital. Consecutivo número 12, Página 2. Folio 39. 44 Expediente digital. Consecutivo número 26. Página 2. Folios 1 a 4. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA “se realiza con los usuarios a través del script del distribuidor, la política de privacidad que les es reportada a través de los medios digitales, sean estos la aplicación móvil o la página web, los contratos de distribución y las ofertas comerciales.

Titulado TRATAMIENTO Y USO QUE HACEMOS DE LA INFORMACIÓN. Política que como se ha dicho es conocida por todos los usuarios antes de poder registrarse en la aplicación y en la web, y se encuentra publicada para el acceso general en las dos plataformas (ver cláusulas 4, 5 y 6 de la política de privacidad). (…) Lo cierto es que Yekoclub en todo momento ha cumplido con el deber de informar, de manera previa a la autorización, a los titulares de la información acerca de las finalidades que va dar al tratamiento de los datos recolectados y de los derechos que les asisten de conformidad con la Ley 1581 de 2012, muestra de ello la constituyen tanto el script de venta aportado por DINAMIC SERVICE S.A.S., así como la Política de Privacidad que a través de la aplicación móvil en Android y IOS tienen que suscribir los usuarios para poder registrar sus datos, situaciones que han sido probadas a lo largo de este trámite, y que claramente deben ser tenidas en cuenta por el Despacho.”45 Entonces, de acuerdo a lo anterior se tiene que la sociedad afirma que finalidades del tratamiento son informadas “a través del script del distribuidor, la política de privacidad que les es reportada a través de los medios digitales, sean estos la aplicación móvil o la página web, los contratos de distribución y las ofertas comerciales”46.

Así, este Despacho procederá a analizar los documentos aportados por la investigada para determinar si dentro de los mismos se encuentran el “script del distribuidor”, “la política de privacidad” y “los contratos de distribución y las ofertas comerciales”, y si estos documentos en efecto informan de forma clara las finalidades a los Titulares y los derechos que les asisten en virtud de la autorización otorgada.

Primero, respecto del “script del distribuidor” y “los contratos de distribución y las ofertas comerciales” este Despacho evidencia que la sociedad aportó el documento denominado “Contrato de Distribución exclusiva entre YEKOCLUB SAS y [NOMBRE SOCIEDAD DISTRIBUIDORA” en donde se indica: “DÉCIMA.- PROTECCIÓN DE DATOS PERSONALES: Con la suscripción del presente contrato, EL DISTRIBUIDOR declara de manera expresa y voluntaria, que toda la información relativa a datos personales regulados por la normatividad aplicable, que suministre o se genere en desarrollo del objeto del presente contrato, ha sido y será tratada, recolectada, almacenada, reportada, consultada y en general usada, siempre de conformidad con los principios, derechos y deberes consagrados en la Ley 1581 de 2012, el Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) y demás normas que las modifiquen y/o complementen.

Así mismo se compromete a dar estricto cumplimiento a todas las leyes, regulaciones, códigos de práctica y/o conducta y/o lineamientos relativos a la privacidad de los datos aplicables, así como las políticas internas y externas de privacidad y tratamiento de datos personales adoptadas por YEKOCLUB S.A.S., las cuales incluyen, pero no se restringen al manual de políticas de seguridad en la información adoptado por YEKOCLUB S.A.S.” Al respecto, este Despacho evidencia que el mismo no informa al distribuidor las finalidades del tratamiento de los datos recolectados ni los derechos de los Titulares, pues la cláusula de datos personales pactada resulta ser muy general.

Segundo, la política de privacidad” que se encontraba vigente al momento del inicio de la presente actuación administrativa, el documento denominado “Políticas de Privacidad”47 establecía: “4. DERECHOS QUE LE ASISTEN COMO TITULAR DE LA INFORMACIÓN 45 Expediente digital. Consecutivo número 21. Página 2. Folios 11 a 12 46 Expediente digital.

Consecutivo número 21. Página 2. Folios 11. 47 Expediente digital. Consecutivo número 10. Página 3. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA Conforme a lo establecido en el artículo 8 de la Ley 1581 de 2012, a usted como titular de todos los datos personales suministrados le asisten los siguientes derechos: VERSIÓN RESERVADA a) Conocer, actualizar y rectificar todos sus datos personales que obren en la base de datos de YekoClub.com. b) Solicitar prueba de la autorización otorgada a YekoClub.com. c) Ser informado por YekoClub.com, previa solicitud escrita, respecto del uso que le ha dado a sus datos personales. d) Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la Ley 1581 de 2012, el Decreto 1377 de 2013 y demás normas que las modifiquen y/o complementen. e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.

(…) los Datos Personales que recabamos tienen las siguientes finalidades: • Suministrar a los comercios y establecimientos afiliados, la información que sea necesaria para poder concretar la relación de consumo que se haya adquirido. • Ponernos en contacto directo con Usted cada vez que YekoClub.com lo considere conveniente con el fin de ofrecerle por distintos medios y vías (incluyendo mail, SMS, etc.) ofertas de distintos otros productos y/o servicios. • Desarrollar estudios internos sobre los intereses, el comportamiento y la demografía de los Usuarios con el objetivo de comprender mejor sus necesidades e intereses y darle un mejor servicio o proveerles información relacionada. • Mejorar nuestras iniciativas comerciales y promocionales para analizar las páginas más visitadas por los Usuarios, las búsquedas realizadas, perfeccionar nuestra oferta de contenidos, personalizar dichos contenidos, presentación y servicios. • Enviar información o mensajes sobre nuevos productos y/o servicios, mostrar publicidad o promociones, banners, de interés para nuestros Usuarios, noticias sobre YekoClub.com, además de toda otra información que creamos conveniente.

Si el Usuario lo prefiere, puede solicitar que lo excluyan de las listas para el envío de información promocional o publicitaria. • Compartir los Datos Personales con empresas de servicios o empresas de "outsourcing" que contribuyan a mejorar o a facilitar las operaciones a través de YekoClub.com, como (sin limitarse a) medios de pago, seguros o intermediarios en la gestión de pagos, outsourcing de call center para efectos de atención al usuario, entre otros.

Estas compañías o sitios de Internet generalmente tienen políticas sobre confidencialidad de la información similar a las nuestras. Sin embargo, YekoClub.com velará porque se cumplan los mismos estándares, mediante la firma de acuerdos o convenios cuyo objeto sea la privacidad de los Datos Personales de nuestros Usuarios. No obstante, YekoClub.com no se hace responsable por el uso indebido de los Datos Personales del Usuario que hagan estas compañías o sitios de Internet.

En algunos casos, estos proveedores de servicios serán quienes recojan información directamente del Usuario (por ejemplo, si les solicitamos que realicen encuestas o estudios). En tales casos, recibirá una notificación acerca de la participación de un proveedor de servicios en tales actividades, y quedará a discreción del Usuario toda la información que quiera brindarle y los usos adicionales que los proveedores decidan hacer.

En caso de que Usted facilite de manera voluntaria información adicional a dichos prestadores de servicios directamente, tales prestadores usarán esa información conforme a sus propias políticas de privacidad. • Suministrar los Datos Personales de los Usuarios a las entidades que intervengan en la resolución de disputas entre los mismos, tales como: Compañías de Seguros o tribunales competentes para solucionar tales disputas.

Frente a esto, este Despacho evidencia que en el documento apartado como política de tratamiento de datos si se le informaba a los Titulares las finalidades del tratamiento y los derechos que les asisten a los Titulares en virtud de la autorización otorgada. No obstante, resulta pertinente tomar en consideración lo analizado en el inciso 12.2.1 de la presente resolución, en donde se estableció que la página web de la sociedad con anterioridad al 19 de agosto de 2022 contaba con 6 formularios pero ninguno de estos poseía casillas de verificación para la aceptación de las políticas de Privacidad, Términos y Condiciones o algún documento que contuviera información relacionada con el tratamiento de los datos personales.

Por lo tanto, este Despacho encuentra que aunque la política de tratamiento de datos informaba lo pertinente, la misma no está siendo comunicada a los titulares al momento de la recolección de sus datos personales a través de la página web y en ese sentido no se le estaban informado las finalidades del tratamiento a los Titulares ni los derechos que les asistían.

“Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA Como ya fue indicado todos los formularios en los cuales se soliciten datos personales de los Titulares deben contar con mecanismos para (i) solicitar la autorización previa, y expresa del titular; e (ii) informar a los titulares de manera clara y concreta las finalidades del tratamiento y los derechos VERSIÓN RESERVADA que les asisten en virtud de la autorización otorgada.

Por lo anterior, esta Despacho evidencia que la sociedad tenía falencias para informar a los Titulares las finalidades del tratamiento y los derechos que les asisten en virtud de la autorización otorgada. En efecto, por una parte el contrato aportado por la sociedad no hace referencia ni a las finalidades del tratamiento ni a los derechos de los Titulares.

Y por otra, aunque en la política de tratamiento de datos si se le informaba a los Titulares las finalidades del tratamiento y los derechos que les asistían, este documento no estaba dándose a conocer a los titulares al momento de la recolección sus los datos a través de la Pagina web. En conclusión, este Despacho evidencia que la sociedad hasta agosto de 2022 se encontraba incumpliendo el deber de informar debidamente al Titular sobre la finalidad de la recolección de sus datos y los derechos que le asisten por virtud de la autorización otorgada, en los términos señalados en El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

Por lo anterior, este Despacho procederá a impartir la sanción correspondiente. Ahora bien, en aras de garantizar el derecho de habeas data de los Titulares, este Despacho considera pertinente ordenar a la sociedad implementar en sus formatos de vinculación de clientes, empelados, y terceros clausulas donde se les informe las finalidades del tratamiento de sus datos personales y los derechos que les asisten en virtud de las autorización otorgada. 12.2.3 Respecto del deber de conservar la información personal recolectada bajo condiciones de seguridad adecuadas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento Al respecto, la normativa de Protección de Datos Personales establece lo siguiente: Ley 1581 de 2012 “Artículo 17.

Deberes de los Responsables del Tratamiento: Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)” Artículo 4. Principios: “En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

Sea lo primero indicar que la regulación colombiana exige a los Responsables del Tratamiento “ser capaces de demostrar (…) que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”48 y en sus normas reglamentarias. Por su parte, en cabeza de los Responsables de Tratamiento de datos personales se encuentra la de cumplir con los principios señalados en la ley tales como el de circulación restringida y de seguridad, de tal manera que se debe tener presente que los responsables del tratamiento deben 48 Cfr. Artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA garantizar, entre otras cosas, que la información personal no sea objeto de divulgación, pérdida, consulta, uso o acceso no autorizado.

Ahora bien, aun existiendo el consentimiento de éste, la divulgación, circulación y acceso de los datos tiene que estar controlada y restringida frente a VERSIÓN RESERVADA terceros no autorizados, razón por la cual la ley ha impuesto a los responsables del tratamiento una serie de deberes encaminados a dicho fin, como lo es el de “conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración pérdida consulta, uso o acceso no autorizado o fraudulento”.

Así pues, el Responsable deberá tener en cuenta diferentes variables para realizar un análisis de riesgo, como por ejemplo el volumen de la base de datos a la que realiza Tratamiento, así como la naturaleza de los datos, sitio y medio en el que se almacena la información, personas que tienen acceso a la misma, entre otras, a fin de establecer las vulnerabilidades en cada etapa del ciclo de vida del dato, con el fin de implementar las medidas o controles de seguridad que sean directamente proporcionales a los riesgos de los datos tratados.

De esta manera el legislador dispuso, entre otros, como principios rectores del Tratamiento y la administración de los datos personales, el principio de circulación restringida, el principio de seguridad y de confidencialidad que a la luz del artículo 4 de la Ley 1581 de 2012 disponen lo siguiente: “(…) f) Principio de confidencialidad: Todas las personas que intervengan en el tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma. g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma (…)”.

Al respecto la Corte Constitucional ha relacionado este deber con el principio de seguridad, manifestando que la “(…) información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”49.

Por su parte, frente al principio de confidencialidad señaló que “los datos se definen como públicos, privados o confidenciales en razón a su naturaleza no en razón de su grado de divulgación, aunque sea el mismo titular quien opte por revelarlos. En este orden de ideas, se estaría admitiendo el tratamiento sin consentimiento del titular y para una finalidad no autorizada por él, por parte de personas, autoridades o entes que pueden no contar con habilitación legal para ello”50.

Como se advierte, tanto el principio de acceso y circulación restringida como el de seguridad deben ser cumplidos por los Responsables y Encargados de información para garantizar el derecho de habeas data de los titulares, pues de la adopción de medidas de conservación de la información y de los controles de seguridad implementados depende de que se minimicen los riesgos de exposición de los datos personales.

Al respecto este Despacho considera de gran importancia señalar que, si bien la Superintendencia no ha emitido un listado taxativo de las medidas de seguridad que deben implementar los Responsables y Encargados del Tratamiento de datos personales, el artículo 26 y 27 del Decreto 1377 de 2013 vigentes para la época de los hechos y recopilados por el Decreto Único 49 Ver en: Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP.

Jorge Ignacio Pretelt Chaljub. 50 Ver en: Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP. Jorge Ignacio Pretelt Chaljub. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA Reglamentario 1074 de 2015, ha establecido los parámetros con base en los cuales los Responsables deben implementar las medidas apropiadas y efectivas en cumplimiento de lo dispuesto por la Ley 1581 de 2012.

En efecto, lasRESERVADA normas en cuestión señalan: VERSIÓN “Artículo 26. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”. Por su parte, el artículo 27 estableció: “Artículo 27. Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio.

Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.

La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”.

De conformidad con lo anterior, es claro entonces que el Responsable de Tratamiento de Datos personales cuenta con unos lineamientos mínimos para implementar las medidas de seguridad que considerara aptas y suficientes con el fin de garantizar la protección de los datos personales de los Titulares registrados en sus bases de datos. En el caso concreto este Despacho encontró mediante Resolución N°80032 del 7 de diciembre de 2021 que: “(…) Sin perjuicio de lo anterior, de acuerdo con el Acta de Preservación de Páginas Web el 20 de mayo de 2021 bajo el No. 20-481484-1221 expedida por el Grupo de Trabajo de Informática Forense y Seguridad Digital, se tiene que la sociedad YEKOCLUB S.A.S. recolecta datos personales a través de la página web https://www.yekoclub.com/2/all, por lo cual, en primera medida, se tiene que la referida sociedad presuntamente está faltando a la verdad en relación con lo indicado en su respuesta al requerimiento de información en cuanto al punto sobre las “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA medidas de seguridad de para que respecto de la información recolectada se evite su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

VERSIÓN RESERVADA Adicionalmente, se tiene que en el Acta de Preservación de Páginas Web el 20 de mayo de 2021 bajo el No. 20-481484-1222 expedida por el Grupo de Trabajo de Informática Forense y Seguridad Digital se manifestó expresamente lo siguiente: “[…]c. La configuración de los certificados de seguridad (SSL)8 del sitio web YekoClub https://www.yekoclub.com/2/all, tiene una calificación “B” (Imagen 54, Página 32) esta calificación se da por configuraciones obsoletas que tiene implementado el servidor, en este caso la compatibilidad con los protocolos TLS 1.0 y TLS 1.1., “ya que estos protocolos producen varias situaciones que ponen en riesgo la privacidad y seguridad de los usuarios, por ejemplo, un ciberdelincuente podría robar la información confidencial de los usuarios, ya que los protocolos utilizados cuentan con fallos de seguridad públicos.”, “Las versiones TLS 1.0 y 1.1 no son lo suficientemente robustas, por lo que se recomienda actualizar las versiones 1.2 y 1.3 de dicho protocolo.

El servidor web tampoco deberá contar con ninguna versión del protocolo SSL, ya que también está considerado obsoleto e inseguro. […] De otra parte, no hay evidencia que permita acreditar que la App móvil que la sociedad YEKOCLUB S.A.S. aduce utilizar para recolectar información personal, cuente con medidas de seguridad idóneas para evitar que respecto de la información recolectada sea adulterada, objeto de pérdida, consulta, uso o acceso no autorizado o fraudulento.

En razón a lo anterior, se encuentra que la sociedad YEKOCLUB S.A.S. habría vulnerado el deber de conservar la información personal recolectada bajo condiciones de seguridad adecuadas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma Ley.” 51 En cuanto al acervo probatorio este Despacho observa lo siguiente: 1.

Mediante Oficio de radicado No. 20-481484-6 del 30 de abril de 2021, esta Dirección le solicitó a la sociedad YEKOCLUB S.A.S., lo siguiente: “[…] 5. Informar si a través de la página web https://www.yekoclub.com/2/all, se realiza la recolección de datos personales por parte de la sociedad YEKOCLUB S.A.S. En caso afirmativo explicar, ¿cómo se garantiza la seguridad de la información recolectada para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento? […]” 2.

El anterior requerimiento fue respondido por la sociedad YEKOCLUB S.A.S., por intermedio de su representante legal, a través de comunicación del 13 de mayo de 2021 radicada bajo el No. 20-481484-10 mediante la cual informó lo siguiente: “[…] 5. […] Actualmente el proceso de activación de nuestra membresía, solo está habilitado a través de nuestra app móvil, como se explica en el punto 2 de este documento, por lo que en la página web https://www.yekoclub.com/2/all, no se realiza ninguna recolección de datos personales.[…]”.”52 3.

En el Acta de Preservación de la Página Web disponible en el enlace https://www.yekoclub.com/2/all. correspondiente al análisis forense realizado por el Grupo de Trabajo de Informática Forense y Seguridad Digital del sitio web de la sociedad YEKOCLUB S.A.S, radicado bajo No. 20-481484- 1253, se determinó que: “[…]c. La configuración de los certificados de seguridad (SSL)8 del sitio web YekoClub https://www.yekoclub.com/2/all, tiene una calificación “B” (Imagen 54, Página 32) esta calificación se da por configuraciones obsoletas que tiene implementado el servidor, en este caso la compatibilidad con los protocolos TLS 1.0 y TLS 1.1., “ya que estos protocolos producen varias situaciones que ponen en riesgo la privacidad y seguridad de los usuarios, por ejemplo, un ciberdelincuente podría robar la información confidencial de los usuarios, ya que los protocolos utilizados cuentan con fallos de seguridad públicos.”, “Las versiones TLS 1.0 y 1.1 no son lo suficientemente robustas, por lo que se recomienda actualizar las 51 Resolución N°80032 del 7 de diciembre de 2021.

Folios 22 a 23. 52 Expediente digital. Consecutivo número 10, página 2. Folios 2 a 7. 53 Expediente digital. Consecutivo número 12. Página 2. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA versiones 1.2 y 1.3 de dicho protocolo. El servidor web tampoco deberá contar con ninguna versión del protocolo SSL, ya que también está considerado obsoleto e inseguro. […]”54 VERSIÓN RESERVADA 4.

Además, el 7 de enero de 2022 la sociedad en el escrito de descargos radicado bajo No. 481484- 21, mencionó: “3. Los protocolos de seguridad no implican una obligación de responsabilidad objetiva, no existe norma que obligue al uso de un protocolo específico. En el mismo sentido se debe indicar que en ningún momento se ha comprometido información de usuarios o aliados, y en todo momento se le ha garantizado a estos el conocimiento de la finalidad para la que esta es utilizada, que en todos los casos es para las actividades connaturales a la prestación de este tipo de servicios y el deber de conservar la información personal recolectada bajo condiciones de seguridad adecuadas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma Ley.

No puede partir el Despacho de la concepción de que la existencia de las debilidades tecnológicas a las que se encuentra expuesta la página web, configura automáticamente un incumplimiento del deber de manejar los datos encomendados con las medidas de seguridad que son requeridas por la norma, pues es bien conocido que cualquier página web o aplicación móvil que se esté conectada a internet se encuentra en riesgo de ser atacada, sin que ello dependa del protocolo de seguridad que tenga incorporado.

Si bien es cierto, que de acuerdo con la revisión técnica del Grupo de Trabajo de Informática Forense y Seguridad Digital, hay falencias en los protocolos de seguridad del sitio, en ningún caso en la Ley se ha establecido el uso obligatorio de un determinado protocolo web. Atribución que tampoco entra dentro de los márgenes de acción que el Legislador le ha delegado a la Superintendencia de Industria y Comercio, que si bien puede recomendar mejorar este protocolo, no puede entrar a amenazar con una sanción a alguien que se encuentra usando otro tipo de protocolo web.

No es de recibo tampoco, que el Despacho también ponga en duda la idoneidad de las medidas de seguridad de la aplicación móvil de YekoClub, pasando por alto el mandato del principio de buena fe y de presunción de inocencia con la finalidad de afianzar el cargo propuesto, pues contrario a lo señalado por el, en este caso acusador, cuando pretende afirmar que no hay evidencia de que esta app móvil “cuente con medidas de seguridad idóneas para evitar que respecto de la información recolectada sea adulterada, objeto de pérdida, consulta, uso o acceso no autorizado o fraudulento”, el simple paso de los filtros de seguridad establecidos por Google Play y por Apple Store es prueba técnica especializada que debe ser tenida en cuenta.

Consecutivo número 12. Página 2. Folios 39 a 40. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA revestir sus actuaciones y el de confianza legítima, todos de rango constitucional y reconocidos a nivel legal en la Ley 1437 de 2011”55. VERSIÓN RESERVADA 5. Así mismo, en el escrito de alegatos de conclusión indicó: “en todo cado Yekoclub S.A.S., actuando en consecuencia de las recomendaciones expresadas por el Grupo de Trabajo de Informática Forense y Seguridad Digital, ha procedido a adoptar las mejoras técnicas, incrementando los estándares de seguridad de la página según lo dispuesto en el protocolo TLS 1.2 (anexo prueba)” 56 Con base en lo anterior, este Despacho evidencia que la página web de la sociedad posee unas falencias respecto de las medidas de seguridad implementadas.

Al respecto la sociedad argumenta que: “Si bien es cierto, que de acuerdo con la revisión técnica del Grupo de Trabajo de Informática Forense y Seguridad Digital, hay falencias en los protocolos de seguridad del sitio, en ningún caso en la Ley se ha establecido el uso obligatorio de un determinado protocolo web. Atribución que tampoco entra dentro de los márgenes de acción que el Legislador le ha delegado a la Frente a esto, aunque la Ley no establece un listado de las medidas de seguridad que cada sociedad debe implementar, determina varios principios que deben regir las actuaciones de los Responsables del tratamiento, dentro de los cuales se encuentra el principio de seguridad, el cual establece que “Principio de seguridad: la información sujeta a tratamiento por el responsable del tratamiento o encargado del tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.” Para claridad de la investigada, las medidas técnicas, humanas y administrativas se refieren a lo siguiente:  Las medidas técnicas se han entendido como aquellas que se adoptan para mitigar los riesgos de acceso no autorizado o fraudulento por parte de terceros, que pueden hacer uso no autorizado de los datos personales de los Titulares, los relativos a la falta de disponibilidad de la información y los que afecten la integridad de los datos personales.

Dichas medidas propenden, entonces, por mejorar los niveles de confianza de los Titulares a través de la identificación, valoración, tratamiento y mitigación de los riesgos de los sistemas de información de la entidad.  Las medidas administrativas se refieren a la estructura jerárquica de la entidad, en el sentido de que haya un líder que apruebe la adopción de dichas medidas de seguridad para el funcionamiento óptimo del organismo.  Las medidas humanas se refieren a los métodos de capacitación de personal para asegurar que éste realiza todas las medidas que sean pertinentes para evitar la puesta en riesgo de los datos personales.

Por lo anterior, este Despacho espera que la sociedad obre con máxima diligencia y ante posibles falencias en las medidas de seguridad en su página web se tomen las acciones correspondientes prevenir los riesgos de accesos no autorizados o fraudulentos por parte de terceros a la información de los titulares de la información. Al respecto, si bien la sociedad indicó en el escrito de alegatos de conclusión “en todo cado Yekoclub S.A.S., actuando en consecuencia de las recomendaciones expresadas por el Grupo de Trabajo de Informática Forense y Seguridad Digital, ha procedido a adoptar las mejoras técnicas, incrementando los estándares de seguridad de la página según lo dispuesto en el protocolo TLS 1.2 (anexo prueba)” 58, este despacho no evidencia dentro de los documentos aportados ninguna 55 Expediente digital.

Consecutivo número 21. Página 2. Folios 12 a 14. 56 Expediente digital. Consecutivo número 26. Página 2. Folios 1 a 4. 57 Expediente digital. Consecutivo número 21. Página 3. Folio 13. 58 Expediente digital. Consecutivo número 26. Página 3. Folios 1 a 4. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA prueba de las mejoras técnicas en mención. Por lo tanto, este Despacho no tiene certeza de que la sociedad cuente con la efectiva implementación y puesta en marcha de estas.

VERSIÓN RESERVADA Por ello, este Despacho considera pertinente imponer una sanción a la investigada e impartir una orden a la misma para que documente y acredite las medidas técnicas implementadas en su página web para otorgar seguridad a los datos personales de forma tal que se evite su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. 12.2.4 Respecto del deber de adoptar una Política de Tratamiento de Datos Personales El principio de transparencia definido en el literal e) del artículo 4 de la Ley 1581 de 2012 establece que los Responsables del Tratamiento están obligados a garantizarle al Titular, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.

El anterior principio se materializa, entre otros mecanismos jurídicos, a través de la Política de Tratamiento de Información Personal. Igualmente, dicho deber se enmarca dentro del literal k) del artículo, disposición que señala lo siguiente: “k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;” Además, el inciso tercero del artículo 25 de la Ley 1581 de 2012 establece lo siguiente: Artículo 25.

Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. (…) Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes.

Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. Al respecto, el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015 señala que los Responsables del Tratamiento deberán (i) escribir sus políticas para el tratamiento de los datos personales; (ii) implementarlas en medio físico o electrónico, en un lenguaje claro y sencillo; y (iii) ser puestas en conocimiento de los Titulares.

El artículo también especifica la información que debe incluir en la política, que en ningún caso debe ser inferior a lo establecido en dicha norma, de conformidad con el artículo 25 de la Ley 1581 de 2012. Cita la norma: “(…) Artículo 2.2.2.25.3.1. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas.

Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares. Dichas políticas deberán incluir, por lo menos, la siguiente información: 1. 2. 3. 4. 5. 6. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable.

Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. Derechos que le asisten como Titular. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos.

Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente Decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas. (…)”. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA En torno a este asunto, es importante señalar que: VERSIÓN RESERVADA (1) la política de tratamiento es una herramienta que permite a los Titulares de la Información pedir, en cualquier tiempo, cuentas a los Responsables del Tratamiento, controlar el uso de sus datos personales y ejercer sus derechos de acceso, actualización, supresión y rectificación de sus datos personales y de revocatoria de la autorización. (2) Este documento debe ser transparente y de fácil acceso para los Titulares de la Información, ya sea por medio escrito59, formatos electrónicos60, medios verbales o cualquier otra tecnología disponible, siempre y cuando garantice y cumpla con el deber de informar al Titular de la Información, y estar redactados un lenguaje sencillo y claro.

El requisito de que el lenguaje sea claro y sencillo significa que, por ejemplo, la política sea comprensible para el tipo de personas a la que se dirige; esto reviste una importancia especial cuando se trata de niños, niñas o adolescentes, o personas con alguna discapacidad, o personas de la tercera edad, o personas que no hablen el idioma castellano, etc., razón por la cual, en una política de tratamiento se debe evitar, entre otras cosas, a: (i) contener un lenguaje o terminología de naturaleza excesivamente legal, técnica o especializada; e (ii) incluir ambigüedades, oraciones y estructuras lingüísticas complejas.

(3) Los Responsables del Tratamiento deberán poner en conocimiento al Titular de la Información, a más tardar al momento de la recolección de los datos personales, la política de tratamiento de información personal. La reunión de estos elementos permiten garantizar “el ámbito de protección del derecho de habeas data”61, pues resultan oponibles al sujeto obligado en los procesos de recolección, tratamiento, circulación y disposición final de datos, así como también permite garantizar a los Titulares el pleno y efectivo ejercicio del derecho de habeas data a través de la implementación y puesta en marcha, a su vez, de los principios que rigen el tratamiento de los datos personales mediante herramientas claramente definidas y los procedimientos para su implementación. En el caso concreto este Despacho encontró mediante Resolución N°80032 del 7 de diciembre de 2021 que: “De conformidad con lo anterior y teniendo presente la respuesta remitida por la sociedad YEKOCLUB S.A.S., así como los documentos aportados, de una revisión preliminar de los mismos, se tiene que estos no cumplen los requisitos mínimos establecidos en el Decreto Único Reglamentario 1074 de 2015.

Por lo tanto, se concluye que, las conductas de la sociedad YEKOCLUB S.A.S. constituyen una presunta infracción al deber de adoptar una Política de Tratamiento de Datos Personales establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 ejusdem, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.2, 2.2.2.25.3.3 y 2.2.2.25.3.4 del Decreto Único Reglamentario 1074 de 2015.”62 En cuanto al acervo probatorio este Despacho observa lo siguiente: 1.

Mediante Oficio de radicado No. 20-481484-6 del 30 de abril de 2021, esta Dirección le solicitó a la sociedad YEKOCLUB S.A.S., lo siguiente: “[…]11. Remitir copia de la Política de Tratamiento de Datos Personales desarrollada e implementada por la sociedad YEKOCLUB S.A.S. de acuerdo con los requisitos mínimos establecidos en el Decreto 1074 de 2015, Artículo 2.2.2.25.3.1.[…]”63 2.

Consecutivo número 6. Página 2. Folio 4. 64 Expediente virtual. Consecutivo número 10. Página2. Folio 7. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA Además, la sociedad aportó el documento de “Políticas de Privacidad”65 3. En el Acta de PreservaciónVERSIÓN de laRESERVADA Página Web disponible en el enlace “https://www.yekoclub.com/” correspondiente al análisis forense realizado por el Grupo de Trabajo de Informática Forense y Seguridad Digital del sitio web de la sociedad YEKOCLUB S.A.S, radicado bajo No. 20-481484- 1266, se determinó que en la página web cuenta con un documento denominado “Política de Privacidad”67 4.

Además, el 7 de enero de 2022 la sociedad en el escrito de descargos radicado bajo No. 481484- 21, mencionó: “4. Inexistencia de desconocimiento alguno en relación con el deber de adoptar una Política de Tratamiento de Datos Personales Como bien fue reseñado por el mismo Grupo de Trabajo de Informática Forense y Seguridad Digital de la Superintendencia de Industria y Comercio, Yekoclub, estableciendo una posición abiertamente contraria a la tomada por el Despacho en esa sede de formulación de cargos, más exactamente en el cargo cuarto que es elevado en esta sede, sí tiene una Política de Tratamiento de Datos, la cual se encuentra consignada en las políticas de privacidad establecidas tanto en la página web en el link https://www.yekoclub.com/general/ptd, como en la aplicación móvil a través de la cual Yekoclub desarrolla sus operaciones.

Es de señalar que la Corte Constitucional previniendo este tipo de comportamientos ha delimitado el alcance del principio de tipicidad señalando: El principio de tipicidad como desarrollo del de legalidad hace referencia a la obligación que tiene el legislador de definir con claridad y especificidad el acto, hecho u omisión constitutivo de la conducta reprochada por el ordenamiento, de manera que le permita a las personas a quienes van dirigidas las normas conocer con anterioridad a la comisión de la misma las implicaciones que acarrea su transgresión. Mandato que como se ha dicho, y se evidencia en el presente caso ha sido desconocido en toda su extensión por la administración, que infringiendo su deber de hacer un análisis completo, no “una revisión preliminar” o a priori, entra a elevar un cargo abiertamente improcedente, cuando se encuentran los elementos sustanciales que dan cuenta del cumplimiento de la normatividad.68 Además, aportó un nuevo documento denominado “POLÍTICA DE PRIVACIDAD Y TRATAMIENTO DE DATOS PERSONALES” 69; siendo este la Política de tratamiento de la información actualizada, como se evidencia a continuación: 65 Expediente digital.

Consecutivo número 10. Página 3. 66 Expediente digital. Consecutivo número 12. Página 3. 67 Expediente digital. Consecutivo número 12. Página 2. Folios 47 a 48. 68 Expediente digital. Consecutivo número 21. Página 2. Folios 14 a 16. 69 Expediente digital. Consecutivo número 21. Página 15. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA VERSIÓN RESERVADA 5.

Así mismo, en el escrito de alegatos de conclusión indicó: “sí tiene una Política de Tratamiento de Datos, la cual se encuentra consignada en las políticas de privacidad establecidas tanto en la página web en el link https://www.yekoclub.com/general/ptd, como en la aplicación móvil a través de la cual Yekoclub desarrolla sus operaciones.” 70 Por lo anterior, este Despacho evidencia que de acuerdo a lo informado por la sociedad investigada, el del 13 de mayo de 2021 bajo radicado No. 20-481484-10, en la respuesta dada al requerimiento de información realizado por este Despacho, el documento que la sociedad tenia implementado desde el 16 de enero de 2016 hasta el 1 de enero de 2022 como Política de Tratamiento de Datos Personales se denominaba “Políticas de Privacidad”71, razón por la cual no hay lugar a imponer una sanción. Ahora bien, en el presente caso, este Despacho encuentra que la sociedad investigada aportó un nuevo documento para acreditar que contaba con una política de tratamiento de información personal, denominada “POLÍTICA DE PRIVACIDAD Y TRATAMIENTO DE DATOS PERSONALES” 72.

Por lo anterior, y en aras de salvaguardar el derecho de los Titulares de la información, este Despacho considera pertinente también entrar a analizar el documento aportado por la sociedad y así determinar si el mismo cumple con los parámetros establecidos en la norma. A continuación, se detalla el documento evaluado y los resultados o comentarios sobre cada ítem establecido en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015:

1. REQUISITO LEGAL ¿La PTI consta en medio físico o electrónico? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). SI COMENTARIO La PTI consta en medio electrónico 2. ¿La PTI fue redactada con un lenguaje claro y sencillo? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).

SÍ Sí incorpora un lenguaje claro y sencillo respecto del tratamiento de los datos 3. ¿La PTI ha sido puesta en conocimiento de los Titulares? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). SI El hecho de haber publicado la PTI en la página web de la sociedad ya le otorga a la Política su carácter de ser pública para todos los Titulares 4.

¿la PTI contiene el nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable? (Numeral 1 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo NO La PTI no contiene el teléfono del Responsable. Al respecto menciona “la sociedad Yekoclub S.A.S., sociedad identificada con NIT·900.924817-0 y con Domicilio principal en la dirección: física Cll 42 Sur #11c 65 Conjunto Santa Sofía III Bloque B Casa 9 de la ciudad 70 Expediente digital.

Consecutivo número 26. Página 3. Folio 17. 71 Expediente digital. Consecutivo número 10. Página 3. 72 Expediente digital. Consecutivo número 21. Página 15. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA 2.2.2.25.3.1 del Decreto 1074 de 2015). 5. de Bogotá D.C., Colombia. Cuyo e-mail de contacto es atencionsocios@Yekoclub.com” VERSIÓN RESERVADA ¿La PTI señala el tipo de NO La PTI no señala el tipo de Tratamiento Tratamiento –manual o –manual o automatizado- al cual serán automatizado- al cual serán sometidos los Datos. sometidos los Datos? (Numeral 2 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). 6.

¿La PTI informa la finalidad del Tratamiento de los Datos? (Numeral 2 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). SI La PTI señala de manera clara y definida las finalidades del Tratamiento al cual serán sometidos los datos de los Titulares, en el apartado “5. TRATAMIENTO Y USO QUE HACEMOS DE LA INFORMACIÓN” 7.

¿La PTI Menciona de manera completa los derechos del Titular del Dato? (Numeral 1 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y artículo 8 de la Ley 1581 de 2012). SI La PTI si menciona de manera completa los derechos del Titular del dato. 8. ¿En la PTI se informa al Titular del dato que tiene derecho “conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento.

Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado”? (Literal a) del artículo 8 de la L. 1581 de 2012) SI En la PTI se le informa al titular que tiene derecho a “Conocer, actualizar y rectificar su información frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo tratamiento esté prohibido o no haya sido autorizado” 9.

¿En la PTI se informa al Titular del dato que tiene derecho a “solicitar prueba de la autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10” de la Ley 1581 de 2012? (Literal –b- del artículo 8 de la L 1581 de 2012) SI En la PTI se le informa al titular que tiene derecho a “Solicitar prueba de la autorización otorgada a Yekoclub S.A.S.” 10.

En la PTI se informa al Titular que tiene derecho a “ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus datos personales”? (Literal -cdel artículo 8 de la L 1581 de 2012) SI En la PTI se le informa al titular que tiene derecho a “Ser informado por Yekoclub S.A.S., previa solicitud escrita, respecto del uso que le ha dado a sus datos personales” “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA 11.

¿En la PTI se informa al Titular SI En la PTI se le informa al titular que del dato que tiene derecho a tiene derecho a “Presentar ante la “presentar ante la VERSIÓN RESERVADA Comercio quejas por infracciones a lo Comercio quejas por infracciones dispuesto en la Ley 1581 de 2012, el a lo dispuesto en la presente ley y Decreto 1074 de 2015 y demás normas las demás normas que la que las modifiquen, complementen o modifiquen, adicionen o sustituyan” complementen? (Literal -d- del artículo 8 de la L 1581 de 2012) 12.

¿En la PTI se informa al Titular del dato que tiene derecho a revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales? (Literal -e- del artículo 8 de la L 1581 de 2012) SI En la PTI se le informa al titular que tiene derecho a “Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales, siempre que no exista un deber legal o contractual que impida eliminarlos.” 13.

¿En la PTI se informa al Titular del dato que tiene derecho a “acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento”? (Literal f- del artículo 8 de la L 1581 de 2012) SI En la PTI no se informa al Titular del dato que tiene derecho de “Acceder de forma gratuita a los datos proporcionados que hayan sido objeto de tratamiento” 14.

¿En la PTI se señala quién es la persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el Dato y revocar la Autorización? (Numeral 4 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y artículo 23 del Decreto 1377 de 2013).

SI En la PTI se señala cual es el área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el Dato y revocar la Autorización, el área de departamento de Servicio al Cliente. 15. ¿En la PTI se describe el procedimiento para que los Titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la Autorización? (Numeral 5 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, artículo 18 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.6. del Decreto 1074 de 2015 y numeral 3 del artículo 27 del Decreto 1377 de 2013).

NO En la PTI se describe el procedimiento para que los Titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la Autorización, por cuanto menciona. No obstante, el mismo no resulta clara por cuanto establece dos términos para dar respuesta a la reclamación interpuesta por el Titular. 16.

¿La PTI indica la fecha de SI entrada en vigencia de la política de Tratamiento de la información? (Núm. 6, art 13 del Decreto 1377 de 2013 incorporado en el Artículo 2.2.2.25.3.1 Decreto 1074 de 2015). En la PTI si se hace referencia a la fecha de entrada en vigencia de la Política de Tratamiento de la Información. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA 17.

¿La PTI informa el período de SI En la PTI si se hace referencia al vigencia de la Base de Datos? periodo de vigencia de la base de datos VERSIÓN RESERVADA (Numeral 6 del artículo 13 del Decreto 1377 de 2013 incorporado en el Artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). De acuerdo con la tabla anterior, el Despacho evidencia que la política no cumple en su totalidad con lo establecido en la Ley 1581 de 2012 ni en el Decreto 1074 de 2015, por lo que, se contempla la necesidad de impartir una orden administrativa tendiente a que la sociedad adecue su Política de tratamiento de Datos de acuerdo con las disposiciones de los artículos 8 y 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015 en el siguiente sentido: (i) Indicar un teléfono del Responsable del Tratamiento.

(ii) Establecer el tratamiento 73 –manual o automatizado- al cual serán sometidos los Datos. (iii) Indicar de forma clara el procedimiento establecido al interior de la organización para que los Titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la Autorización, de acuerdo a lo establecido en los artículos 14 y 15 de la Ley 1581 de 2012. 12.2.5 Respecto del deber de adoptar un Manual de Políticas de seguridad Al respecto, la normativa de Protección de Datos Personales establece lo siguiente: Ley 1581 de 2012 “Artículo 17.

Deberes de los Responsables del Tratamiento: Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos (…)” Artículo 4.

Principios: “En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

Sea lo primero indicar que la regulación colombiana exige a los Responsables del Tratamiento “ser capaces de demostrar (…) que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”74 y en sus normas reglamentarias. Por su parte, en cabeza de los Responsables de Tratamiento de datos personales se encuentra la de cumplir con los principios señalados en la ley tales como el de circulación restringida y de seguridad, de tal manera que se debe tener presente que los responsables del tratamiento deben garantizar, entre otras cosas, que la información personal no sea objeto de divulgación, pérdida, consulta, uso o acceso no autorizado.

Así pues, el Responsable deberá tener en cuenta diferentes variables para realizar un análisis de 73 Ley 1581 de 2012. “Artículo 3. Definiciones. Para los efectos de la presente ley, se entiende por: (…) g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión. 74 Cfr. Artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA riesgo, como por ejemplo el volumen de la base de datos a la que realiza Tratamiento, así como la naturaleza de los datos, sitio y medio en el que se almacena la información, personas que tienen acceso a la misma, entre otras, a fin deVERSIÓN establecer las vulnerabilidades en cada etapa del ciclo de RESERVADA vida del dato, con el fin de implementar las medidas o controles de seguridad que sean directamente proporcionales a los riesgos de los datos tratados y plasmarlas en un manual de seguridad de la información. Al respecto este Despacho considera de gran importancia señalar que, si bien la Superintendencia no ha emitido un listado taxativo de las medidas de seguridad que deben implementar los Responsables y Encargados del Tratamiento de datos personales, el artículo 27 del Decreto 1377 de 2013 vigente para la época de los hechos y recopilados por el Decreto Único Reglamentario 1074 de 2015, ha establecido lo siguiente “Artículo 27.

Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1.

La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.

En el caso concreto este Despacho encontró mediante Resolución N°80032 del 7 de diciembre de 2021 que: “Sobre lo cual se tiene que la sociedad no aportó Manual de Políticas de Seguridad de la Información, aduciendo que el mismo se encontraba dentro del documento ‘Política de Privacidad’, no obstante, este no detalla los procedimientos implementados por la sociedad YEKOCLUB S.A.S. sobre Seguridad de la Información que ha implementado al interior de organización para efecto de garantizar a los Titulares que sus datos estarán protegidos por las medidas técnicas, administrativas y humanas pertinentes y necesarias para salvaguardar la integridad de los datos para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;” 75 En cuanto al acervo probatorio este Despacho observa lo siguiente: 1.

Mediante Oficio de radicado No. 20-481484-6 del 30 de abril de 2021, esta Dirección le solicitó a la sociedad YEKOCLUB S.A.S., lo siguiente: “12. Remitir copia del manual de Políticas de Seguridad de la Información de la sociedad YEKOCLUB S.A.S.” 2. El anterior requerimiento fue respondido por la sociedad YEKOCLUB S.A.S., por intermedio de su representante legal, a través de comunicación del 13 de mayo de 2021 radicada bajo el No. 20-481484-10 mediante la cual informó lo siguiente: “Anexo a este documento.

(Política de Privacidad.pdf)”76 75 Resolución N°80032 del 7 de diciembre de 2021. Folio 28. 76 Expediente digital. Consecutivo número 10, página 2. Folio 7. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA Además, la sociedad aportó el documento de “Políticas de Privacidad”77 en el cual se estable lo siguiente: VERSIÓN RESERVADA “10.

SEGURIDAD Empleamos diversas técnicas de seguridad para proteger tales datos de accesos no autorizados por visitantes del Portal de dentro o fuera de nuestra compañía. Sin embargo, es necesario tener en cuenta que la seguridad perfecta no existe en Internet. Por ello, YekoClub.com no se hace responsable por interceptaciones ilegales o violación de sus sistemas o bases de datos por parte de personas no autorizadas.

YekoClub.com, tampoco se hace responsable por la indebida utilización de la información obtenida por esos medios.”78 3. Además, el 7 de enero de 2022 la sociedad en el escrito de descargos radicado bajo No. 481484- 21, mencionó: “5. Adopción del manual de políticas de seguridad en la información Adjunto al presente escrito se remite el manual de políticas de seguridad en la información el cual contiene todos los estándares y protocolos a seguir para el manejo de la información con la seguridad requerida por la normatividad, de conformidad con la Ley 1581 de 2012, el Decreto 1074 de 2015 y la norma ISO27001 de 2013.”79 Así mismo, la sociedad aportó el documento denominado “MANUAL DE POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN”80 cuya fecha de emisión es del 1 de enero de 2022, como se evidencia a continuación: Con base en lo anterior, este Despacho evidencia que el documento aportado tiene como fecha de emisión el 1 de enero de 2022.

Esto implica que con anterioridad al 1 de enero de 2022 la sociedad no contaba con un manual de Políticas de seguridad. Por lo anterior, este Despacho infiere que la sociedad investigada adoptó el manual en mención con posterioridad al inicio de la presenten actuación administrativa, y después de habérsele notificado la Resolución No. 80032 de 7 de diciembre de 2021, “Por medio de la cual se inicia una investigación administrativa y se formulan cargos”.

Así, se puede concluir que la sociedad se encontraba infringiendo el deber de adoptar un manual de Políticas de seguridad, consagrado en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el inciso 3 del artículo 2.2.2.25.6.1 del 77 Expediente digital. Consecutivo número 10. Página 3. 78 Expediente digital.

Consecutivo número 10. Página 3. Folio 3. 79 Expediente digital. Consecutivo número 21. Página 2. Folio 16. 80 Expediente digital. Consecutivo número 21. Página 16. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA Decreto Único Reglamentario 1074 de 2015. Por lo anterior, este Despacho procederá a imponer la sanción correspondiente.

VERSIÓN RESERVADA No obstante, en aras de velar por el derecho de habeas data de los Titulares, este Despacho considera pertinente analizar el documento aportado por la sociedad denominado “MANUAL DE POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN”81 y determinar si el mismo desarrolla las medidas técnicas, administrativas y humanas, implementadas por la sociedad para salvaguardar la seguridad de la información. Al respecto, para claridad de la sociedad investigada, las medidas técnicas se han entendido como aquellas que se adoptan para mitigar los riesgos técnicos de acceso no autorizado o fraudulento por parte de terceros que pueden hacer uso no autorizado de los datos personales de los Titulares.

Dichas medidas propenden, entonces, por mejorar los niveles de confianza de los Titulares a través de la identificación, valoración, tratamiento y mitigación de los riesgos de los sistemas de información de la compañía. Por su parte, las medidas administrativas se refieren a la estructura jerárquica de la entidad, en el sentido de que haya un líder que apruebe la adopción de dichas medidas de seguridad para el funcionamiento óptimo del organismo.

Por otra parte, las medidas humanas se refieren a los métodos de capacitación de personal para asegurar que éste realiza todas las medidas que sean pertinentes para evitar la puesta en riesgo de los datos personales. En el presente caso, este Despacho al analizar el documento denominado “MANUAL DE POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN”82 encuentra lo siguiente:  Dentro de las medidas técnicas el documento establece: - Un control de acceso a los sistemas de información, en el que se destacan: (i) Códigos de Usuario únicos (PI);

(ii) un uso personalizado de la identificación de Usuario (PI); (iii) el establecimiento de un proceso de autenticación del usuario (PI) para el acceso a cualquier de los recursos de tecnología informática de la sociedad; (iv) la creación, vigencia, confidencialidad, asignación, cifrado y bloqueo de las contraseñas; (v) Definición de perfiles de Usuarios;

(vi) la creación de perfiles de auditoria y administradores; (vii) el establecimiento del bloqueo automático en las estaciones de trabajo; entre otros. - Un plan de recuperación de los servicios de tecnología informática (PI), en el cual se indica que: (i) se debe realizar un respaldo de la información crítica y del software; (ii) se debe brindar custodia a los medios de respaldo de la información crítica;

(iii) cada cuatro (4) meses se deberán realizar pruebas de restauración de la información crítica. - Unos parámetros para la seguridad física de la información, en los cuales se encuentran: (i) parámetros para el borrado seguro de información; (ii) parámetros para conservar la seguridad física de los equipos Portátiles. - Medidas de seguridad en el personal en donde se establecen mecanismos para asegurar que los colaboradores cumplan sus responsabilidades en seguridad de la información. Al respecto se destacan los siguientes mecanismos: (i) Acuerdos de Confidencialidad;

(ii) la inclusión de cláusulas de seguridad y de “derecho a auditar” en los contratos con entidades externas (iii) Reportes de incidentes de seguridad; (iv) la devolución de activos de información a la terminación del contrato; (v) la revisión de equipos; entre otros. - Normas respecto a la conexión a redes. En estas se indica: (i) el uso de los Firewalls de la entidad como únicos puntos de acceso a redes externas (PI);

(ii) el uso de controles de enrutamiento (PI); (iii) los parámetros del acceso a redes inalámbricas de la entidad (PI); entre otros. - El uso y cuidado de los recursos de Tecnología de la Información (PI), por ejemplo, el uso del correo electrónico Corporativo (PI) 81 Expediente digital. Consecutivo número 21. Página 16. 82 Expediente digital.

Consecutivo número 21. Página 16. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA - Normas de seguridad respecto a código malicioso y el uso de Software Antivirus. - Otras. VERSIÓN RESERVADA  Dentro de las medas administrativas se destacan: - La constitución de un Comité de Seguridad de la Información. Al respecto se indica: “Yekoclub S.A.S. constituye el Comité de Seguridad de la información, con el objeto de: a) Apoyar y aprobar la definición de lineamientos de seguridad de la información definiendo estrategias claras que permitan su implementación b) Evaluar el plan de contingencia y redefinir su alcance en función del riesgo presentando propuestas integrales a la alta gerencia que permitan una mitigación en función de los recursos en el corto, mediano y largo plazo c) Apoyar y liderar los proyectos de seguridad de la información

4.20.2. FUNCIONES COMITÉ DE SEGURIDAD DE LA INFORMACIÓN • Definir y monitorear la estrategia de seguridad de la información • Definir los lineamientos en materia de seguridad de la información • Apoyar y acompañar los proyectos orientados al fortalecimiento de la seguridad de la información • Proponer las normas y procedimientos de seguridad de la información • Evaluar las solicitudes de excepciones a las normas y procedimientos de seguridad de la información • Evaluar y promover las inversiones en seguridad de la información • Servir de escenario para la discusión y el consenso con respecto a los lineamientos de seguridad de la información • Contribuir al cumplimiento de los lineamientos y demás normas que regulen el tratamiento de los datos personales • Apoyar el cumplimiento de las recomendaciones relacionas con la seguridad de la información • Velar por la difusión y conocimiento de los lineamientos, normas y procedimientos relacionados con la seguridad de la información dentro de la entidad • Monitorear el plan de mitigación de riesgos de seguridad de la información • Las demás que sean acordes con el objeto del comité El comité de seguridad de la información se reunirá ordinariamente por los menos tres (3) veces al año y extraordinariamente cuando se requiera.” - La designación de un Coordinador de Gestión de Riegos.

Al respecto se indica: “Yekoclub S.A.S. designará un Coordinador de Gestión de Riegos para gestionar de forma integral los riesgos de la Entidad. No obstante de manera provisional esta función será delegada al Representante legal, quien en el momento que lo considere podrá designar un sustituto.” - La designación de un Oficial de Seguridad de la Información Al respecto se indica: “Yekoclub S.A.S. designara un Oficial de Seguridad de la Información para implementar, controlar y mantener las políticas, normas, estándares, procedimientos, necesarios para preservar y proteger la confidencialidad, disponibilidad e integridad de la información. Este rol podrá ser desempeñado por una firma especializada en modalidad de outsourcing.

No obstante de manera provisional esta función será delegada a la encargada del Area de servicio al cliente. El representante legal, en cualquier momento podrá designar un sustituto para esta función  Dentro de las medidas humanas el documento desarrolla las siguientes: “4.7. CAPACITACIÓN Y CREACIÓN DE CULTURA 4.7.1. LINEAMIENTOS “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA Yekoclub S.A.S. desarrollará periódicamente programas de capacitación y concientización para fortalecer la cultura de seguridad de la información en la entidad.

4.7.2. NORMAS DE SEGURIDAD DE LA INFORMACIÓN VERSIÓN RESERVADA 4.7.2.1. Programa de concientización (NI) Se desarrollarán programas de concientización que enfaticen en la importancia del cumplimiento de los lineamientos de seguridad de la información y su contribución al logro de los objetivos del negocio 4.7.2.2. Divulgación de los lineamientos y normas de seguridad de la información y sus modificaciones (NI) Los lineamientos y normas de seguridad de la información se divulgarán cada cuatro (4) meses con el fin de reforzar en los colaboradores su conocimiento y cumplimiento. 4.7.2.3.

Certificación de los Usuarios (NI) Los colaboradores de Yekoclub S.A.S., usuarios de los recursos de Tecnología de la Información, deberán someter a examen periódicamente su conocimiento con respecto a la seguridad de la información como parte del programa de concientización. 4.7.2.4. Medición de la efectividad del Programa de Concientización (NI) Se deberán realizar evaluaciones anuales de los resultados del programa de toma de conciencia a fin de establecer su efectividad y obtener información que permita establecer ajustes y correctivos en su diseño y ejecución.” Por lo tanto, se evidencia que el documento aportado desarrollan las medidas técnicas, administrativas y humanas, implementadas por la sociedad para salvaguardar la seguridad de la información, y por ende, no se encuentra procedente emitir una orden al respecto. 12.2.6 Respecto del deber de adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley 1581 de 2012 y, en especial, para la atención de consultas y reclamos El literal k) del artículo 17 de la Ley 1581 de 2012 prevé un deber fundamental para los Responsables de la Información, el cual establece: “Artículo 17.

(…)” (Resaltado fuera del texto). Dicho deber está relacionado con los artículos 14 y 15 de la Ley 1581 de 2012, los cuales disponen que: “Artículo 14. Consultas. Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en cualquier base de datos, sea esta del sector público o privado. El Responsable del Tratamiento o Encargado del Tratamiento deberán suministrar a estos toda la información contenida en el registro individual o que esté vinculada con la identificación del Titular.

La consulta se formulará por el medio habilitado por el Responsable del Tratamiento o Encargado del Tratamiento, siempre y cuando se pueda mantener prueba de esta. La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término. Parágrafo.

Las disposiciones contenidas en leyes especiales o los reglamentos expedidos por el Gobierno Nacional podrán establecer términos inferiores, atendiendo a la naturaleza del dato personal. Artículo 15. Reclamos. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: VERSIÓN RESERVADA 1.

El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.

Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.

Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga "reclamo en trámite" y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.

Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término ( )” Respecto de este deber, la Corte Constitucional en sentencia C 748 del 2011 dispuso que: “En el título VI, “DE LOS DEBERES DE LOS RESPONSABLES Y ENCARGADOS DEL TRATAMIENTO DEL DATO”, el legislador enlistó en preceptos separados los deberes de los responsables y de los encargados del tratamiento.

Los deberes enumerados, en términos generales, buscan garantizar el pleno ejercicio del derecho al habeas data por parte de los titulares, como los principios de la administración de datos personales analizados en otro capítulo de esta providencia. Estos deberes hacen referencia, según el sujeto concernido, a lo siguiente: En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación: (…) (vi) Tramitar las consultas y reclamos, hecho que lo obliga a dar a conocer al encargado esas eventualidades para que éste incluya la información correspondiente en la base de datos, con anotaciones que permitan identificar fácilmente el estado de la información, es decir, para que siempre se encuentre actualizada -literales j) y l), e igualmente adoptar reglamentos claros para que el titular del dato pueda hacer exigible sus derechos a consultar y reclamar literal k).” (Negrilla fuera del texto original) En el caso concreto este Despacho encontró mediante Resolución N°80032 del 7 de diciembre de 2021 que: “En el caso bajo examen, esta Dirección, a través del Grupo de Trabajo de Investigaciones Administrativas requirió a la sociedad YEKOCLUB S.A.S. mediante requerimiento de información del 30 de abril de 2021 radicado bajo el No. 20-481484-6 solicitándole que informara, entre otros, lo siguiente: “[…]13.

Remitir copia del manual interno o procedimiento implementado por la sociedad YEKOCLUB S.A.S. para la atención de peticiones, quejas y reclamos relacionados con el derecho a conocer, actualizar, rectificar, suprimir y revocar la autorización por parte de los Titulares de la información. […]” Respecto a lo anterior, a través de comunicación del 13 de mayo de 2021 radicada bajo el No. 20-481484-10, la sociedad YEKOCLUB S.A.S., por intermedio de su representante legal, dio respuesta al requerimiento de información del 30 de abril de 2021 en los siguientes términos: “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA “13. […] Anexo a este documento (Manual del Distribuidor.pdf)[…]” VERSIÓN RESERVADA Dicho documento, fue remitido por la sociedad YEKOCLUB S.A.S. como anexo ‘Manual de distribuidor’.

No obstante, pese a que YEKOCLUB S.A.S. haya aportado el referido documento, el mismo no contiene el Manual de Atención a Consultas y Reclamos, el cual debería desarrollar los mecanismos dispuestos al interior de la empresa para que los Titulares de la información, puedan interponer las peticiones que sean necesarias y pertinentes en relación con sus efectivos derechos a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellos en bases de datos o archivos.

Por lo tanto, se concluye que, la conducta de la sociedad YEKOCLUB S.A.S. se encuadra típicamente en una presunta infracción del deber de adoptar un Manual para la atención de consultas y reclamos establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los numerales 4 y 5 del artículo 2.2.2.25.3.1 y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.” 83 En cuanto al acervo probatorio este Despacho observa lo siguiente: 1.

Mediante Oficio de radicado No. 20-481484-6 del 30 de abril de 2021, esta Dirección le solicitó a la sociedad YEKOCLUB S.A.S., lo siguiente: “13. Remitir copia del manual interno o procedimiento implementado por la sociedad YEKOCLUB S.A.S. para la atención de peticiones, quejas y reclamos relacionados con el derecho a conocer, actualizar, rectificar, suprimir y revocar la autorización por parte de los Titulares de la información.” 2.

El anterior requerimiento fue respondido por la sociedad YEKOCLUB S.A.S., por intermedio de su representante legal, a través de comunicación del 13 de mayo de 2021 radicada bajo el No. 20-481484-10 mediante la cual informó lo siguiente: “Anexo a este documento (Manual del Distribuidor.pdf)”84 Además, la sociedad aportó el documento de “Manual del Distribuidor”85 en el cual se estable lo siguiente: “PQR’S, RECLAMACIONES Y REVERSOS: • • • • • Nuevamente instamos a nuestros distribuidores a cuidar y mantener la imagen de nuestra marca comercial y básicamente a apegarse al script previamente autorizado por ambas partes desde el inicio de la operación. En caso de recibir reiteradamente PQR’S, ya sean a través de su propio call center, a través de los canales de contacto con los que cuenta Yekoclub, a través de solicitudes de soportes y/o audios por parte del banco emisor de la tarjeta del titular, por el banco adquiriente de Yekoclub o por las plataformas de autorización destinadas para tal efecto (Redeban y Credibanco) o por cualquier otro medio; el Distribuidor se obliga INMEDIATAMENTE a notificar a Yekoclub y a tomar las medidas correctivas y/o disciplinarias contra el(los) asesor(es) o vendedor(es) involucrado(s) directa o indirectamente en dicha venta, así como también con el supervisor y/o coordinador correspondientes, según sea el caso.

Yekoclub emitirá comunicado al distribuidor para cada uno de los casos y hará seguimiento hasta la resolución de los mismos. Conocemos absolutamente la complejidad de una gestión comercial telefónica y también estamos al tanto de que muchos clientes pueden llegar a mentir simplemente por arrepentimiento de una compra ya realizada, a veces por ignorancia o simplemente por inseguridades o desconfianzas que se generan antes, durante y después de ese proceso comercial; por eso siempre velaremos por cuidar los intereses de nuestros distribuidores y sus colaboradores, pero nunca pasando por encima de nuestros valores empresariales y nuestras políticas de calidad y satisfacción del cliente final.

En caso de marcadas reincidencias, Yekoclub se reserva el derecho de suspender temporalmente o dar por terminado definitivamente el contrato y la relación comercial con dicho distribuidor.”86 83 Resolución N°80032 del 7 de diciembre de 2021. Folios 29 a 30. 84 Expediente digital. Consecutivo número 10, página 2. Folio 7. 85 Expediente digital.

Consecutivo número 10. Página 5. 86 Expediente digital. Consecutivo número 10. Página 5. Folio 3. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA 3. Además, el 7 de enero de 2022 la sociedad en el escrito de descargos radicado bajo No. 481484- 21, mencionó: VERSIÓN RESERVADA “6. El manual de privacidad cumple con las condiciones requeridas para definir y comunicar de manera clara e inequívoca las políticas de atención de consultas y reclamos Siguiendo bajo el mismo derrotero del punto anterior, se debe indicar que la política de privacidad contenida en el sitio web y en la aplicación establece todos los mecanismos requeridos por la normatividad para orientar tanto a los titulares de la información como al área de servicio al cliente de Yekoclub S.A.S. en la atención de peticiones, consultas o reclamos que realicen los titulares de los datos personales.

No obstante, se tiene que, atendiendo a los requerimientos del Despacho, adjuntamos “Manual para la Atención de Peticiones, Consultas o Reclamos de Datos Personales”, el cual cumple con los diferentes requisitos establecidos en la Ley 1581 de 2021 y el Decreto 1074 de 2015. En este sentido, y en cualquier caso la presentación de este documento debe ser tenida en cuenta por el Despacho a la hora de fallar, bajo el entendido de que hasta este momento no se ha causado daño alguno comprobado que configure lesión alguna para los titulares de la información, teniendo en cuenta que en todo momento se les ha garantizado el ejercicio de sus derechos sobre la misma.”87 Así mismo, la sociedad aportó el documento denominado “MANUAL PARA ATENCIÓN DE PETICIONES, CONSULTAS O RECLAMOS DE DATOS PERSONALES”88 cuya fecha de emisión es del 20 de diciembre de 2021, como se evidencia a continuación: Con base en lo anterior, este Despacho evidencia que el documento aportado es la “Versión 1.0”. y que su fecha de emisión fue el 20 de diciembre de 2021.

Esto implica que con anterioridad al 20 de diciembre de 2021 la sociedad no contaba con un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley 1581 de 2012 y, en especial, para la atención de consultas y reclamos. Por lo anterior, este Despacho infiere que la sociedad investigada adoptó el manual en mención con posterioridad al inicio de la presenten actuación administrativa, y después de habérsele notificado la Resolución No. 80032 de 7 de diciembre de 2021, “Por medio de la cual se inicia una investigación administrativa y se formulan cargos”.

Así, se puede concluir que la 87 Expediente digital. Consecutivo número 21. Página 2. Folios 16 a 17. 88 Expediente digital. Consecutivo número 21. Página 14. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA sociedad se encontraba infringiendo el deber de adoptar un Manual para la atención de las consultas y reclamos, consagrado en el literal k) del artículo 17 de la Ley 1581 de 2012, y los numerales 4 y 5 del artículo 2.2.2.25.3.1VERSIÓN y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único RESERVADA Reglamentario 1074 de 2015.

Por lo anterior, este Despacho procederá a imponer la sanción correspondiente. No obstante, en aras de velar por el derecho de habeas data de los Titulares, este Despacho considera pertinente analizar el documento aportado por la sociedad denominado “MANUAL PARA ATENCIÓN DE PETICIONES, CONSULTAS O RECLAMOS DE DATOS PERSONALES”89. Al respecto, este Despacho evidencia que el Manual desarrolla a cabalidad los preceptos dispuestos en los artículos 14 y 15 de la Ley Estatutaria 1581 de 2012, de cara a velar por la garantía efectiva del derecho de habeas data de los Titulares de la Información. Por lo tanto, no se encuentra procedente emitir una orden al respecto. 12.2.7 Respecto del deber de adoptar un Manual de los procedimientos para la recolección, almacenamiento, uso, circulación, y supresión de la información (Ciclo de vida del dato) El literal k) del artículo 17 de la Ley 1581 de 2012 prevé un deber fundamental para los Responsables de la Información, el cual establece: “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos” Dicho deber está relacionado con los artículos 2.2.2.25.2.1, 2.2.2.25.2.8 y 2.2.2.25.6.1 del Decreto 1074 de 2015, que establecen: Decreto 1074 de 2015 “Artículo 2.2.2.25.2.1.

Recolección de datos personales. En desarrollo de los principios de finalidad y libertad, la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos conforme a la normatividad vigente. Salvo en los casos expresamente previstos en la ley, no se podrán recolectar datos personales sin autorización del Titular.

A solicitud de la Superintendencia de Industria y Comercio, los Responsables deberán proveer una descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso.

(…) Artículo 2.2.2.25.2.8. Limitaciones Temporales Al Tratamiento De Los Datos Personales. (…) Los responsables y encargados del tratamiento deberán documentar los procedimientos para el Tratamiento, conservación y supresión de los datos personales de conformidad con las disposiciones aplicables a la materia de que se trate, así como las instrucciones que al respecto imparta la Superintendencia de Industria y Comercio.

(…) Artículo 2.2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 89 Expediente digital.

Consecutivo número 21. Página 14. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA (…) VERSIÓN RESERVADA Como se evidencia, los Responsables deben proveer una descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información. Por ende, el Manual de procedimientos para la recolección, almacenamiento, uso, circulación y, eventual, supresión de los Datos Personales de los Titulares de Información (Ciclo de vida del dato) se define como el documento mediante el cual el Responsable del Tratamiento establece el procedimiento que lleva a cabo para tratar los datos personales de los Titulares desde la fase de recolección hasta la fase de supresión o eliminación total de los datos personales de sus bases de datos; en desarrollo de lo establecido en la Ley 1581 de 2012.

En el caso concreto este Despacho encontró mediante Resolución N°80032 del 7 de diciembre de 2021 que: “Del análisis de los documentos remitidos por la sociedad YEKOCLUB S.A.S., se observa que ninguno contiene el Manual de procedimientos para la recolección, almacenamiento, uso, circulación y, eventual, supresión de los Datos Personales de los Titulares de Información (Ciclo de vida del dato), el cual debería definir la forma como YEKOCLUB S.A.S. en calidad de Responsable del Tratamiento garantiza a los Titulares el procedimiento que lleva a cabo para tratar sus datos personales desde la fase de recolección hasta la fase de supresión o eliminación total de los datos personales de sus bases de datos.

Por lo tanto, se concluye que, la conducta de la sociedad YEKOCLUB S.A.S. constituye una presunta infracción al deber de adoptar un Manual de los procedimientos utilizados para la recolección, almacenamiento, uso, circulación, y supresión de la información (Ciclo de vida del dato), establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1, el inciso 2 del artículo 2.2.2.25.2.8 y el inciso 2 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.” 90 En cuanto al acervo probatorio este Despacho observa lo siguiente: 1.

Mediante Oficio de radicado No. 20-481484-6 del 30 de abril de 2021, esta Dirección le solicitó a la sociedad YEKOCLUB S.A.S., lo siguiente: “[…] 11. Remitir copia de la Política de Tratamiento de Datos Personales desarrollada e implementada por la sociedad YEKOCLUB S.A.S. de acuerdo con los requisitos mínimos establecidos en el Decreto 1074 de 2015, Artículo 2.2.2.25.3.1. 12.

Además, el 7 de enero de 2022 la sociedad en el escrito de descargos radicado bajo No. 481484- 21, mencionó: “7. Adopción del manual de políticas de procedimientos para la recolección, almacenamiento, uso, circulación, y supresión de la información (ciclo de vida del dato) Adjunto al presente escrito se remite el manual de políticas de seguridad en la información, el cual contiene todos los estándares y protocolos a seguir para la recolección, 90 Resolución N°80032 del 7 de diciembre de 2021.

Folios 31 a 32. 91 Expediente digital. Consecutivo número 10, página 2. Folio 7. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA almacenamiento, uso, circulación, y supresión de la información (ciclo de vida del dato), el cual en cumplimiento de la Ley 1581 de 2012 establece los tipos de datos que recolecta Yekoclub S.A.S., y los procesos de gestión donde se incluye el método para la recolección, VERSIÓN RESERVADA mantenimiento, tratamiento y eliminación de los datos según cada base datos y su área responsable.

Ello en cumplimiento deriva del literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1, el inciso 2 del artículo 2.2.2.25.2.8 y el inciso 2 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.”92 Así mismo, la sociedad aportó el documento denominado “MANUAL DE PROCEDIMIENTOS PARA LA RECOLECCIÓN, ALMACENAMIENTO, USO, CIRCULACIÓN, Y SUPRESIÓN DE LA INFORMACIÓN (CICLO DE VIDA DEL DATO)”93 cuya fecha de emisión es del 1 de enero de 2022 como se evidencia a continuación: Con base en lo anterior, este Despacho evidencia que el documento aportado tiene como fecha de emisión el 1 de enero de 2022.

Esto implica que con anterioridad al 1 de enero de 2022 la sociedad no contaba con un manual de procedimientos para la recolección, almacenamiento, uso, circulación, y supresión de la información (Ciclo de vida del dato). Por lo anterior, este Despacho infiere que la sociedad investigada adoptó el manual en mención con posterioridad al inicio de la presenten actuación administrativa, y después de habérsele notificado la Resolución No. 80032 de 7 de diciembre de 2021, “Por medio de la cual se inicia una investigación administrativa y se formulan cargos”.

Así, se puede concluir que la sociedad se encontraba infringiendo el deber de adoptar un manual de procedimientos para la recolección, almacenamiento, uso, circulación, y supresión de la información (Ciclo de vida del dato), consagrado en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1, el inciso 2 del artículo 2.2.2.25.2.8 y el inciso 2 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.

Por lo anterior, este Despacho procederá a imponer la sanción correspondiente. No obstante, en aras de velar por el derecho de habeas data de los Titulares, este Despacho considera pertinente analizar el documento aportado por la sociedad como Manual de procedimientos para la recolección, almacenamiento, uso, circulación, y supresión de la información (Ciclo de vida del dato) y determinar si el mismo cumple a cabalidad su función. 92 Expediente digital.

Consecutivo número 21. Página 2. Folio 17. 93 Expediente digital. Consecutivo número 21. Página 13. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA Así, al realizar un análisis del documento, este Despacho encuentra que en mismo se detalla la siguiente información: VERSIÓN RESERVADA - Los métodos de recolección de la información; - La forma de almacenamiento de la información; - Los múltiples usos que puede tener la información dependiendo de los procedimientos adelantados en la empresa; - La forma en que la información circula al interior de la empresa; y - El proceso de supresión de los datos;

Por lo tanto, este Despacho evidencia que el documento aportado documenta los procedimientos para la recolección, almacenamiento, uso, circulación, y supresión de la información, y no resulta necesario impartir una orden al respecto.

DÉCIMO TERCERO: Conclusiones Respecto al primer y segundo cargo, el Despacho evidenció que la sociedad para el momento del inició de la presente actuación administrativa no tenía implementadas medidas suficientes para garantizar la recolección de la autorización de los Titulares para el tratamiento de sus datos de una forma previa, expresa e informada, y para comunicarles a los Titulares sobre las finalidades de la recolección de sus datos y los derechos que les asisten en virtud de la autorización otorgada.

En relación con el tercer cargo, el Despacho denotó que la sociedad no acredito ante este Despacho las medidas técnicas, administrativas y humanas implementadas para otorgar seguridad a los datos personales que se recolectan a través de su página web de forma tal que se evite su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

En el caso del cuarto cargo, el Despacho observó que la Política de tratamiento de la información que la sociedad tenia implementada al inicio de la presente actuación administrativa no cumplía con todos los requisitos establecidos en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015. Frente al quinto, sexto y séptimo cargo, el Despacho encontró que la sociedad, no acredito que con anterioridad al inicio de la presente actuación administrativa ni a la notificación de la Resolución No. 80032 de 7 de diciembre de 2021, “Por medio de la cual se inicia una investigación administrativa y se formulan cargos”, contaba con los manuales requeridos, a saber: (i) un manual de Políticas de Seguridad de la Información;

(ii) un manual para la atención de consultas y reclamos; (iii) un manual de procedimientos utilizados para la recolección, almacenamiento, uso, circulación, y supresión de la información (Ciclo de vida del dato) De manera que, se procederá a impartir la sanción correspondiente y las órdenes a las que haya lugar según lo analizado en la Resolución.

DÉCIMO CUARTO: Órdenes administrativas En este orden de ideas y una vez efectuado el análisis del escrito de descargos allegado por la sociedad investigada, así como el conjunto de pruebas obrantes en el expediente esta Dirección considera necesario impartir, las siguientes instrucciones: 14.1 La sociedad YEKOCLUB S.A.S. deberá implementar en sus formatos de vinculación de clientes, empelados, y terceros clausulas donde se les informe las finalidades del tratamiento de sus datos personales y los derechos que les asisten en virtud de las autorización otorgada. 14.2 La sociedad YEKOCLUB S.A.S. deberá documentar las medidas técnicas implementadas para otorgar seguridad a los datos personales de forma tal que se evite su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. 14.3 La sociedad YEKOCLUB S.A.S. deberá poner a disposición de los titulares y ajustar la Política de tratamiento de Datos, con el fin de que la misma incluya: (i) el teléfono del Responsable del Tratamiento;

(ii) el tratamiento –manual o automatizado- al cual serán sometidos los Datos; y (iii) el procedimiento establecido al interior de la organización para que los Titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la Autorización, de acuerdo a lo establecido en los artículos 14 y 15 de la Ley 1581 de 2012.

“Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA De lo anteriormente ordenado la Responsable de Tratamiento de Datos personales deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término y el modo señalado en la parte resolutiva del presente acto administrativo. VERSIÓN RESERVADA 14.4 Respecto de la Responsabilidad de los Administradores en materia de Datos Personales El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”.

Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico.

Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”. Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.

Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa. En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.

Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”. En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales.

El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas. Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley.

Ahora bien, según el artículo 22 de la ley 222 de 1995 94 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma.

Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”95 (Subrayado fuera del texto original) Nótese que el artículo 2496 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que 94 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” 95 Crf. Numeral 2 del artículo 23 de la ley 222 de 1995 96 El texto completo del artículo 24 de la 222 de 1995 dice lo siguiente: “Artículo

24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así:

ARTICULO 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten. En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador.

De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia. En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar.

Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades ante dichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.

“Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo VERSIÓN RESERVADA o culpa ocasionen a la sociedad, a los socios o a terceros”97.

En este sentido, es de suma importancia resaltar la responsabilidad jurídica y económica, que radica no sólo en las personas jurídicas, sino también en cabeza de sus administradores, de suerte que este Despacho es enfático en aclarar que los mismos deben obrar con profesionalismo y diligencia en su gestión para tratamiento de datos personales.

En virtud de todo lo anterior, EXHORTAMOS al representante legal de la sociedad YEKOCLUB S.A.S. para que adopte medidas pertinentes, útiles, efectivas y verificables con miras a: 1. Aplicar el principio de responsabilidad demostrada, con miras a garantizar frente a los titulares el derecho a conocer, actualizar y rectificar los datos que de ellos se esté realizando Tratamiento se encuentren debidamente documentadas observando las orientaciones de la principio de responsabilidad demostrada (accountability)”98. 2.

Respetar y garantizar los derechos de los titulares de los datos. 3. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4. Demostrar, en los casos que se requiera, que los procedimientos adecuados al interior de la entidad se apliquen en debida forma. 5. Hacer efectivo el pleno respeto del derecho fundamental a la protección de datos de las personas.

DÉCIMO QUINTO: Imposición y graduación de la sanción 15.1. Faculad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, la Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición 97 Crf.

Parte inicial del artículo 24 de la ley 222 de 1995 98 El texto puede consultarse en: http://www.sic.gov.co/noticias/guia-para-la-implementacion-del-principio-de-responsabilidad-demostrada “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” VERSIÓN RESERVADA El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2023 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 Por una otra, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional99 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que 99 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA ella no resulta excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad100 VERSIÓN RESERVADA Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 23 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad101”. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”.

No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia 102. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 23103 de la misma ley. Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 15.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de esta Dirección, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

La norma, pues, hace una distinción entre el daño concretado y el peligro o riesgo a los intereses jurídicos tutelados por 100 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 101 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. 102 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 103 Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.

“Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA la Ley 1581 de 2012, entre otros, la protección del derecho fundamental a la protección de datos personales. VERSIÓN RESERVADA Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad104” De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados105.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que la investigada puso en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012 por cuanto al momento del inicio de la presente actuación administrativa: 1.

Se encontró demostrado que la sociedad de manera negligente no tenía implementadas medidas suficientes que garantizaran la recolección de la autorización de los Titulares para el tratamiento de sus datos de una forma previa, expresa e informada, lo que llevó a la vulneración del derecho fundamental de habeas data de los titulares cuyos datos personales obran bajo su custodia.

Así las cosas, como sanción frente al primer cargo esta Dirección impondrá, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de UN MILLÓN DIECISIETE MIL OCHOCIENTOS OCHENTA Y OCHO PESOS M/CTE ($1.017.888) equivalente a VEINTICUATRO (24) Unidades de Valor Tributario (UVT), por la vulneración del deber establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015. 2.

Se encontró demostrado que la sociedad de manera negligente no tenía implementadas medidas suficientes que garantizaran que a los Titulares del tratamiento previo a la obtención de la autorización para el tratamiento de sus datos personales se les informaba sobre las finalidades de la recolección de sus datos y los derechos que les asisten en virtud de la autorización otorgada, lo que llevó a la vulneración del derecho fundamental de habeas data de los titulares cuyos datos personales obran bajo su custodia. 104 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 105 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA Así las cosas, como sanción frente al segundo cargo esta Dirección impondrá, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de UN MILLÓN DIECISIETE MIL RESERVADA OCHOCIENTOS OCHENTA Y OCHO PESOS VERSIÓN M/CTE ($1.017.888) equivalente a VEINTICUATRO (24) Unidades de Valor Tributario (UVT), por la vulneración del deber establecido en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015. 3.

Se encontró demostrado que la sociedad de manera negligente no tenía implementadas medidas técnicas, administrativas y humanas implementadas para otorgar seguridad a los datos personales que se recolectan a través de su página web de forma tal que se evite su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, lo que llevó a la vulneración del derecho fundamental de habeas data de los titulares cuyos datos personales obran bajo su custodia.

Así las cosas, como sanción frente al tercer cargo esta Dirección impondrá, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de UN MILLÓN DIECISIETE MIL OCHOCIENTOS OCHENTA Y OCHO PESOS M/CTE ($1.017.888) equivalente a VEINTICUATRO (24) Unidades de Valor Tributario (UVT), por la vulneración del deber establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma Ley. 4.

La sociedad de manera negligente realizaba tratamiento de datos personales sin contar con un manual de Políticas de Seguridad de la Información. Así las cosas, como sanción frente al quinto cargo esta Dirección impondrá, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de UN MILLÓN DIECISIETE MIL OCHOCIENTOS OCHENTA Y OCHO PESOS M/CTE ($1.017.888) equivalente a VEINTICUATRO (24) Unidades de Valor Tributario (UVT), por la vulneración del deber establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el inciso 3 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. 5.

La sociedad de manera negligente realizaba tratamiento de datos personales sin contar con un manual para la atención de consultas y reclamos. Así las cosas, como sanción frente al sexto cargo esta Dirección impondrá, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de UN MILLÓN DIECISIETE MIL OCHOCIENTOS OCHENTA Y OCHO PESOS M/CTE ($1.017.888) equivalente a VEINTICUATRO (24) Unidades de Valor Tributario (UVT), por la vulneración del deber establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, y los numerales 4 y 5 del artículo 2.2.2.25.3.1 y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015. 6.

La sociedad de manera negligente realizaba tratamiento de datos personales sin contar con un manual de procedimientos utilizados para la recolección, almacenamiento, uso, circulación, y supresión de la información (Ciclo de vida del dato). Así las cosas, como sanción frente al séptimo cargo relacionado esta Dirección impondrá, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de UN MILLÓN DIECISIETE MIL OCHOCIENTOS OCHENTA Y OCHO PESOS M/CTE ($1.017.888) equivalente a VEINTICUATRO (24) Unidades de Valor Tributario (UVT), por la vulneración del deber establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1, el inciso 2 del artículo 2.2.2.25.2.8 y el inciso 2 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 15.1.2 Otros criterios de graduación Por último, se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), e) y f) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, VERSIÓN RESERVADA (iv) no hubo renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; y (v) no hubo reconocimiento o aceptación de la infracción.

DÉCIMO SEXTO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad YEKOCLUB S.A.S. identificada con Nit. 900.924.817-0, con el correo electrónico de notificación judicial manuelortega@yekocashbox.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 20-481484. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad YEKOCLUB S.A.S., identificada con NIT 900.924.817-0 de SEIS MILLONES CIENTO SIETE MIL TRESCIENTOS VEINTIOCHO PESOS M/CTE ($6.107.328) correspondientes a CIENTO CUARENTA Y CUATRO (144) Unidades de Valor Tributario (UVT), por el incumplimiento a lo dispuesto en:  El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.  El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.  El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma Ley.  El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4° ejusdem y el inciso 3 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.  El literal k) del artículo 17 de la Ley 1581 de 2012, y los numerales 4 y 5 del artículo 2.2.2.25.3.1 y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.  El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1, el inciso 2 del artículo 2.2.2.25.2.8 y el inciso 2 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2.

El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria. Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

“Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA VERSIÓN ÚNICA ARTÍCULO SEGUNDO: ORDENAR a la sociedad YEKOCLUB S.A.S., identificada con NIT 900.924.817-0, para que, en su calidad de responsable del Tratamiento, cumpla con las siguientes órdenes: VERSIÓN RESERVADA  La sociedad YEKOCLUB S.A.S. deberá implementar en sus formatos de vinculación de clientes, empelados, y terceros clausulas donde se les informe las finalidades del tratamiento de sus datos personales y los derechos que les asisten en virtud de las autorización otorgada  La sociedad YEKOCLUB S.A.S. deberá documentar las medidas técnicas implementadas para otorgar seguridad a los datos personales de forma tal que se evite su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.  La sociedad YEKOCLUB S.A.S. deberá implementar y poner a disposición de los titulares una Política de tratamiento de Datos, en donde se determine (i) el teléfono del Responsable del Tratamiento;

ARTÍCULO TERCERO: La sociedad YEKOCLUB S.A.S., identificada con el NIT 900.924.817-0 deberá́ cumplir lo ordenado en esta resolución dentro de los 40 días hábiles siguientes a la ejecutoria del presente acto administrativo. PARÁGRAFO PRIMERO: Para demostrar el cumplimiento, la sociedad deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.

Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad; sin perjuicio de que las misma puedan ser verificadas con posterioridad por parte de la Superintendencia de Industria y Comercio.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad YEKOCLUB S.A.S., identificada con NIT 900.924.817-0, acreedora de las sanciones previstas en la ley.

ARTÍCULO CUARTO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad YEKOCLUB S.A.S., identificada con NIT 900.924.817-0, a través de su representante legal y apoderados especiales, entregándoles copia de esta Resolución e informándoles que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Alterna: Avenida Carrera 7 # 31A-36 pisos 3 y 3 A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 12 ABRIL 2023 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR SALAZAR MUNOZ MUNOZ Fecha: 2023.04.12 14:51:17 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LCAF Revisó: AMVJ Aprobó: CESM “Por la cual se impone una sanción y se imparten órdenes administrativas” NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: YEKOCLUB VERSIÓN S.A.S. RESERVADA 900.924.817-0 MANUEL ALEJANDRO ORTEGA GUARDIA C.E. 397.107 manuelortega@yekocashbox.com Carrera 15 No. 88 - 21 Oficina 702 Edificio Unika Bogotá D.C. HOJA VERSIÓN ÚNICA

Resolución sancionatoria N° 18046 de 2023

CONSIDERANDO

RESUELVE