Decisión 24750 de 2023 — SIC

(08 MAYO 2023) “Por la cual se impone una sanción y se imparte una orden” Radicación 21-141412 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales (5) y (9) del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que mediante escrito radicado con número 21-141412- -00, el señor XXXXXXXX presentó denuncia en contra de la sociedad AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA identificada con Nit. 900.660.335 – 8, por los siguientes hechos: 1.1 Asegura que: “la señora XXXXXXXXXXXXXXXXX “antigua administradora del conjunto ciudad milenio etapa 2”, en un acto de irresponsabilidad con respecto a la PROTECCIÓN DE LOS DATOS PERSONALES DE LOS COPROPIETARIOS, expuso el correo electrónico de todos los copropietarios de la agrupación, sin tener la autorización del titular, dicha ADMINISTRADORA no tomo las medidas de seguridad necesarias para que los correos electrónicos de los propietarios no fueran visibles entre todos, es decir no los envió con copia oculta, y más grave aún fue que la información que es confidencial y que solo debe ser de interés de los copropietarios fue también enviados a CORREOS ELECTRINONICOS QUE SON AJENOS a la copropiedad” 1.2 Manifiesta que: “La exposición de los correos electrónicos de todos los copropietarios por parte de la ADMINISTRADORA ANTERIOR, trajo como consecuencia a que fueran contestados dichos correos por varios copropietarios en los cuales daban su punto de vista frente a toda la problemática que se ha venido viviendo en nuestro conjunto” 1.3 Enfatiza en que: “la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA, a pesar de que incurrió en un gasto en los manuales para el cumplimiento de los requisitos de las exigencias legales “SGSST Y HABEAS DATA”, NO SE VE LA IMPLEMENTACION Y EL USO DE LOS MISMOS, es decir que no se está cumpliendo con los requisitos de ley con respecto a la protección de los datos personales de los copropietarios “ley 1581 de 2012” 1.4 Asevera que: “la actual ADMINISTRADORA de la agrupación manifiesta que la HERMANA de XXXXXXXXXXXXXXXXXXXXXXXXXXXX fue contratada por la anterior administradora con el fin de que recolectara los datos personales de todos los copropietarios, y que ella como actual ADMINISTRADORA desconoce el posible mal manejo que le estén dando a los datos personales de los copropietarios.”

SEGUNDO: Que en desarrollo de la etapa preliminar adelantada por el Grupo de Trabajo de Investigaciones Administrativas de la Dirección de Protección de Datos Personales, se solicitaron y recaudaron los siguientes documentos y elementos probatorios: 2.1 Oficio con radicado 21-141412- -5 del 18 de mayo de 2021 mediante el cual esta Dirección solicitó información a la copropiedad AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA. 2.2 Respuesta al requerimiento de información de la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA con radicado 21-141412- -06 del 28 de mayo de 2021. 2.3 Formato Autorización de datos personales persona natural de la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA.

HOJA N 2, “Por la cual se impone una sanción y se imparte una orden” 2.4 Formato Directorio de copropietarios y residentes AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA. 2.5 Formato Información de propietarios AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA diligenciado con los datos del señor XXXXXXXXXXX. 2.6 Aviso de privacidad de datos personales de la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA. 2.7 Política de protección de datos de la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA. 2.8 Fotografía del cartel publicado de Aviso de privacidad de datos personales de la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA. 2.8 Fotografía frontal de la portería con el cartel publicado del Aviso de privacidad de datos personales de la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA. 2.9 Fotografías laterales de la portería con el cartel publicado del Aviso de privacidad de datos personales de la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA. 2.10 Copia Derecho de petición del señor XXXXXXXXXX, fechado el 15 de marzo de 2021 dirigido a la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA. 2.11 Procedimiento peticiones, quejas, reclamos, solicitudes felicitaciones de la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA. 2.12 Certificación inscripción en el registro de propiedad horizontal del director de Justicia de Villavicencio del 10 de mayo de 2021. 2.13 Formato de PQRS de la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA. 2.14 Oficio con radicado 21-141412- -7 del 31 de agosto de 2021 mediante el cual esta Dirección solicitó mediante el cual esta Dirección solicitó información a la copropiedad AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA. 2.15 Respuesta al requerimiento de información de la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA con radicado 21-141412- -9 del 9 de septiembre de 2021. 2.16 Fotografía de la circular No. 26 de la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA, en la que se solicita información de los propietarios para complementar la base de datos de la administración y la que la persona encargada de la recolección de estos es la señora xxxx xxxxxxxxx. 2.17 Acta N° 01 del 29 de Julio de 2020 de la asamblea general ordinaria de copropietarios no presencial de manera virtual. 2.18 Acuerdo de confidencialidad de la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA diligenciado con los datos de la administradora XXXXXXXXXXXXXXXXXXX. 2.19 Acuerdo de confidencialidad de la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA diligenciado con los datos de la vicepresidente XXXXXXXXXXXXXXXXXXXXXXXXXX. 2.20 Acuerdo de confidencialidad de la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA diligenciado con los datos de la señora XXXXXXXXXXXX, con objeto de recolección y actualización de datos. 2.21 Certificación inscripción en el registro de propiedad horizontal del Director de Justicia de Villavicencio del 27 de agosto de 2021. 2.22 Cédula de ciudadanía de la señora XXXXXXXXXXXXXXXXX, administradora de la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA.

HOJA N 3, “Por la cual se impone una sanción y se imparte una orden” 2.23 Copia del contrato de prestación de servicios de administración de propiedad horizontal de la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA, suscrito por la señora XXXXXXXXXX XXXXXXX el 20 de febrero de 2020.

TERCERO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en el En el i) literal a) del artículo 17 de la ley 1581 de 2012, en concordancia con el numeral 4 del artículo 2.2.2.25.3.1 y el numeral 4 del artículo 2.2.2.25.3.3 del Decreto 1074 de 2015. ii) literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012, se inició la presente investigación administrativa, mediante la expedición de la 780841 del 30 de noviembre del 2021, por medio de la cual se formularon cargos a la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA, identificada con Nit. 900.660.335 – 8 CUARTO: Que la Resolución 78084 del 20 de noviembre del 2021, fue notificada por aviso 30628 del 13 de diciembre del 2021 AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA el día 24 de enero del 2022, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, radicada bajo el número 21-141412- -17 del 22 de diciembre del 2021.

QUINTO: Que por conducto de su representante legal la copropiedad encontrándose dentro del término establecido para el efecto, mediante escrito de fecha 4 de enero del 2022 radicado bajo el número 21-141412-19 y 21-141412-20, presentó los respectivos descargos, con las pruebas que pretende hacer valer en la presente actuación administrativa. manifestando lo siguiente: “(…) - Teniendo en cuenta los documentos aportados por la señora XXXXXXXXXXXXXX XXXXXXXXX en la acción de tutela No XXXXXXXXXXXXXXXXXXXXX, solicito a ustedes tener en cuenta las pretensiones que sujetas a los hechos que más adelante narrare dejan entre visto que, aunque fuese la AGRUPACION CIUDAD MILENIO ETAPA 2 la garante de la información de los copropietarios, seria XXXXXXXXXXXXXXXXXXXXXXXXX quien valiéndose de su calidad como consejera “PERSONA NATURAL” habría hecho uso indiscriminado de los datos personales de los copropietarios denunciantes en el asunto de la referencia. - Es de anotar y dejo total claridad que el día que ocurrieron los hechos no me encontraba laborando en la oficina de la administración, por tanto, desconozco al igual que la POLICIA NACIONAL de donde habría obtenido dichos datos personales la señora XXXXXXX XXXXXXXXXXXXXXXXXXX. - Sin embargo, es importante recalcar que XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX manifestó de manera tacita en la acción de tutela No XXXXXXXXXXXXXXXXXXXXXXX así como en los derechos de petición presentados ante ustedes que, ella habría sustraído dicha información de los formatos de autorización que firmaron los copropietarios XXXXXXX y XXXXXXXXX para fines únicos y exclusivos de la copropiedad. - Teniendo en cuenta lo anterior, solicito se tenga en consideración las evidencias que más adelante relacionare, así como la petición y/o pretensión que presentare ante ustedes. - Es importante mencionar que la señora XXXXXXXXXXXXXXXXXXXXXXXXXXXXX pertenecía al consejo de administración en el cargo de VICEPRESIDENTA para las fechas en que fueron notificados de dicha denuncia, es decir, habría tenido la oportunidad de manifestar cualquier situación que fuese de relevancia para afrontar dicho pliego de cargos, teniendo en cuenta que en la administración en la cual hizo parte XXXXXXXXXXXXXXXXX XXXXXXXXX como miembro del consejo de administración se dio respuesta a los interrogantes conformados de 20 preguntas generadas por ustedes contra el conjunto, sin que esta consejera haya realizado alguna intervención o aporte que lograra dilucidar los sucesos motivos de esta investigación. - Cabe recalcar que la señora XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX como miembro del consejo de administración tenía un acuerdo de confidencialidad con la AGRUPACION CIUDAD MILENIO ETAPA 2, acuerdo que entre otras cosas contiene unas CLAUSULAS las cuales debió cumplir a cabalidad con el fin dar cumplimento a la ley de protección de datos personales de los copropietarios de la agrupación, advirtiendo en dicho acuerdo que como Resolución 49523 del 24 de agosto de 2020 radicada bajo el número 19-139735-0007-0 del 28 de agosto de 2020.

HOJA N 4, “Por la cual se impone una sanción y se imparte una orden” miembro del consejo de administración estaría prohibido divulgar dicha información por cualquier medio o a terceros. - Frente a lo anterior y teniendo en cuenta las pruebas aportadas por la misma XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX en la acción de tutela No XXXXX XXXXXXXXXXXXXXXXX, ella misma manifiesta que sustrajo los datos personales de los denunciantes XXXXXXXXXXXXXXXXXXXX para utilizarlos en un ACTA DE NO CONCILIACION que solicito ante la POLICIA NACIONAL, así: Cabe recalcar que la misma POLICIA NACIONAL manifestó que los uniformados en ningún momento solicitaron datos personales ya que la señora XXXXXXXXXXXXXXX ya contaba con esos datos, así: SOLICITUD Por todo lo anterior expuesto SOLICITO a ustedes que si en esta investigación se llega a determinar alguna clase de sanción económica en contra de la AGRUPACION CIUDAD MILENIO ETAPA 2 por el presunto incumplimiento como responsables del tratamiento sobre la protección de los datos personales, dicha sanción no sea solo para la AGRUPACION CIUDAD MILENIO ETAPA 2 sino que también sea sancionada la señora XXXXXXX XXXXXXXXXXXXXXXXXXXXXX quien para la fecha de los hechos materia de esta investigación pertenecía al consejo de administración en el cargo de VICEPRESIDENTA. artículo 23.

Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional a favor de la Superintendencia de Industria y Comercio hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Lo anterior teniendo en cuenta que tanto la AGRUPACION CIUDAD MILENIO ETAPA 2 y la señora XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX como miembro del consejo de administración son ambos responsables del tratamiento de la protección de los datos personales de todos los copropietarios de la agrupación, además de tener en cuenta que XXXXXXXXXXXXXXXXXXXXXXXXXXXXX como miembro del consejo de administración firmo (sic) un acuerdo de confidencialidad con la AGRUPACION con respecto al uso y protección de los datos personales de todos los copropietarios, es decir también es responsable del tratamiento.”

SEXTO: Que mediante Resolución 88006 del 12 de diciembre del 2020, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 21-141412 En el mismo HOJA N 5, “Por la cual se impone una sanción y se imparte una orden” acto administrativo, se declaró agotada la etapa probatoria y se corrió traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

SÉPTIMO: Que la Resolución 88006 del 12 de diciembre del 2020, fue notificada a la copropiedad investigada el 13 de diciembre del 2022, según consta en la certificación expedida por la Secretaria General Ad-hoc de esta Superintendencia, radicada bajo el número 21-141412-27 del 27 de diciembre del 2022.

OCTAVO: Que mediante escrito radicado bajo número 21-141412-28, el representante legal de la copropiedad, presentó alegatos de conclusión, manifestando lo siguiente: “(…) que la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA SI cuenta con información clara sobre la persona y área responsable a la que los residentes y copropietarios pueden dirigir sus peticiones, quejas, reclamos, solicitudes felicitaciones, sin embargo, si se incurrió en el error de no actualizar el aviso colocado en la zona de la portería para informar a las personas sobre el cambio en el correo electrónico, no queriendo decir con esto que las personas quedaron sin medio electrónico para sus solicitudes y demás procedimientos, por el contrario, la Administración informó a todos los residentes sobre el nuevo correo electrónico, y constancia de ello es que se ha dado respuesta a solicitudes recibidas a través del correo mileniodos2020@gmail.com, desde la fecha 13 abril de 2020, según la constancia que se adjunta.

(…) en este caso la evidencia es clara, y fue un error de la persona que preparó la información y la envió a los destinatarios al no percatarse que la lista de los contactos quedó en el espacio incorrecto, ocasionando que los correos fueran visibles a los demás receptores, sin embargo, confirmo que fue una acción intencional, además, la empresa proveedora del servicio de correo electrónico tampoco tiene implementado un procedimiento que advierta cuando la vulneración de los datos puede estar comprometida.

Por las razones expuestas anteriormente, solicito a este despacho que se tenga en cuenta que la vulneración de datos que se pudo haber presentado no fue un hecho premeditado, sino por el contrario fue una acción involuntaria, también solicito a este despacho tener en cuenta que la Propiedad Horizontal AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA es una sociedad sin ánimo de lucro cuyo propósito es el mantenimiento y la conservación de las instalaciones, y que una sanción perjudicaría grandemente su estabilidad económica.

Por último, confirmo a este despacho que las acciones correctivas para la protección de los datos personales se han dado y se continuará en el marco de las leyes existentes.”

NOVENO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO: Análisis del caso 10.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20112, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que, pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). HOJA N 6, “Por la cual se impone una sanción y se imparte una orden” (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares.

El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012. (ii) De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración del i) literal a) del artículo 17 de la ley 1581 de 2012, en concordancia con el numeral 4 del artículo 2.2.2.25.3.1 y el numeral 4 del artículo 2.2.2.25.3.3 del Decreto 1074 de 2015. ii) literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 10.2 Valoración probatoria y conclusiones 10.2.1 Respecto del deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data El literal a) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data. (…)”. (…) Decreto 1074 de 2015 Artículo 2.2.2.25.3.1.

Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas. Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares.

Dichas políticas deberán incluir, por lo menos, la siguiente información: (…) 4. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. (…) Artículo 2.2.2.25.3.3. Contenido mínimo del Aviso de Privacidad.

El aviso de privacidad, como mínimo, deberá contener la siguiente información: (…) 4. Los mecanismos dispuestos por el responsable para que el titular conozca la política de Tratamiento de la información y los cambios sustanciales que se produzcan en ella o en el Aviso de Privacidad correspondiente. En todos los casos, debe informar al Titular cómo acceder o consultar la política de Tratamiento de información. (…)” En este sentido, esta Dirección encontró, en etapa preliminar, que la sociedad AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA remitió un correo electrónico a múltiples destinatarios, sin tomar las medidas de seguridad necesarias para que las direcciones de correo de los Titulares HOJA N 7, “Por la cual se impone una sanción y se imparte una orden” hacia quienes iba dirigida la información no estuvieran a la vista de cada una de las personas que recibieron el mensaje de datos en mención, es decir, abriendo la posibilidad para que los mismos fueran usados por parte de terceros no autorizados.

En cuanto al primer cargo, la investigada mediante escrito de descargos3 asegura que los hechos del caso tratan de la culpa exclusiva de un tercero, así: “Teniendo en cuenta los documentos aportados por la señora XXXXXXXXXXXXXXXXXXXXX XXXXXXXXX en la acción de tutela No XXXXXXXXXXXXXXXXXXXXXXX, solicito a ustedes tener en cuenta las pretensiones que sujetas a los hechos que más adelante narrare dejan entre visto que, aunque fuese la AGRUPACION CIUDAD MILENIO ETAPA 2 la garante de la información de los copropietarios, seria XXXXXXXXXXXXXXXXXXXXXXXXXX quien valiéndose de su calidad como consejera “PERSONA NATURAL” habría hecho uso indiscriminado de los datos personales de los copropietarios denunciantes en el asunto de la referencia4.

(…) Cabe recalcar que la señora XXXXXXXXXXXXXXXXXXXXXXXXXX como miembro del consejo de administración tenía un acuerdo de confidencialidad con la AGRUPACION CIUDAD MILENIO ETAPA 2, acuerdo que entre otras cosas contiene unas CLAUSULAS las cuales debió cumplir a cabalidad con el fin dar cumplimento a la ley de protección de datos personales de los copropietarios de la agrupación, advirtiendo en dicho acuerdo que como miembro del consejo de administración estaría prohibido divulgar dicha información por cualquier medio o a terceros”5 Por otro lado, mediante Alegatos de Conclusión6 acepta que no actualizo el cambio en el correo electrónico: “(…) que la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA SI cuenta con información clara sobre la persona y área responsable a la que los residentes y copropietarios pueden dirigir sus peticiones, quejas, reclamos, solicitudes felicitaciones, sin embargo, si se incurrió en el error de no actualizar el aviso colocado en la zona de la portería para informar a las personas sobre el cambio en el correo electrónico, no queriendo decir con esto que las personas quedaron sin medio electrónico para sus solicitudes y demás procedimientos, por el contrario, la Administración informó a todos los residentes sobre el nuevo correo electrónico, y constancia de ello es que se ha dado respuesta a solicitudes recibidas a través del correo mileniodos2020@gmail.com, desde la fecha 13 abril de 2020, según la constancia que se adjunta”7 Negrilla fuera del texto original.

Ahora bien, revisado el acervo probatorio que obra en el expediente se observa lo siguiente: El quejoso señaló en su denuncia que la investigada le envió un correo en el cual se pueden apreciar las direcciones de los destinatarios. Consecuencia de la referida denuncia, esta Dirección solicitó información preliminar a la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA mediante escrito radicado bajo el numero 21-141412-5 del 18 de mayo del 2021, con el propósito de que informara, entre otras cosas, lo siguiente: 14.

Sírvase indicar cuales son los canales dispuestos por la copropiedad AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA, para la atención de consultas y reclamos presentados por los Titulares de la información. En respuesta al citado requerimiento, la sociedad investigada, mediante escrito radicado bajo el número 21-141412-6 del 31 de mayo del 2019, informó lo siguiente: (…) Escrito de descargos bajo radicado No 21-141412-19 y 21-141412-20 Escrito de descargos bajo radicado No 21-141412-19 Página 1 Escrito de descargos bajo radicado No 21-141412-19 Página 2 Alegatos de conclusión bajo radicado No 21-141412-28 Alegatos de conclusión bajo radicado No 21-141412-28 Página 1 HOJA N 8, “Por la cual se impone una sanción y se imparte una orden” Respuesta.

Canales para atención de consultas y reclamos de los Titulares, dirección de la agrupación, XXXXXXXXXXXXXXXXXXXXXXXXXXXX, correo electrónico ciudadmilenio2@hotmail.com por situaciones de no entrega del puesto anterior administradora, (2019-2020) se habilito el siguiente correo electrónico (mileniodos2020@gmail.com)” Respecto lo anterior, la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA no cuenta con información clara sobre la persona o área responsable a la que las personas pueden dirigir sus peticiones, quejas, reclamos, solicitudes felicitaciones, que permitan garantizar el pleno y efectivo ejercicio del derecho de hábeas data, ya que, como se evidenció en el aviso de privacidad remitido por la agrupación, el correo dispuesto es ciudadmilenio2@gmail.com.

Ahora bien, en el documento de política de tratamiento, la agrupación señala los canales habilitados para el ejercicio de los derechos de habeas data, como los correos electrónicos mileniodos@gmail.com y ciudadmilenio2@gmail.com, sin que se haya corregido o actualizado la información para que los titulares puedan dirigir sus peticiones, consultas y reclamos.

En cuanto al primer cargo, la investigada mediante escrito de descargos8 asegura que los hechos del caso tratan de la culpa exclusiva de un tercero, así: “Teniendo en cuenta los documentos aportados por la señora XXXXXXXXXXXXXXXXXXX XXXXXXXXX en la acción de tutela No XXXXXXXXXXXXXXXXXXXXX, solicito a ustedes tener en cuenta las pretensiones que sujetas a los hechos que más adelante narrare dejan entre visto que, aunque fuese la AGRUPACION CIUDAD MILENIO ETAPA 2 la garante de la información de los copropietarios, seria XXXXXXXXXXXXXXXXXXXXXXXXX quien valiéndose de su calidad como consejera “PERSONA NATURAL” habría hecho uso indiscriminado de los datos personales de los copropietarios denunciantes en el asunto de la referencia9.

(…) Escrito de descargos bajo radicado No 21-141412-19 y 21-141412-20 Escrito de descargos bajo radicado No 21-141412-19 Página 1 HOJA N 9, “Por la cual se impone una sanción y se imparte una orden” Cabe recalcar que la señora XXXXXXXXXXXXXXXXXXXXXXXXXXX como miembro del consejo de administración tenía un acuerdo de confidencialidad con la AGRUPACION CIUDAD MILENIO ETAPA 2, acuerdo que entre otras cosas contiene unas CLAUSULAS las cuales debió cumplir a cabalidad con el fin dar cumplimento a la ley de protección de datos personales de los copropietarios de la agrupación, advirtiendo en dicho acuerdo que como miembro del consejo de administración estaría prohibido divulgar dicha información por cualquier medio o a terceros”10 Por otro lado, mediante Alegatos de Conclusión11 acepta que no actualizo el cambio en el correo electrónico: “(…) que la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA SI cuenta con información clara sobre la persona y área responsable a la que los residentes y copropietarios pueden dirigir sus peticiones, quejas, reclamos, solicitudes felicitaciones, sin embargo, si se incurrió en el error de no actualizar el aviso colocado en la zona de la portería para informar a las personas sobre el cambio en el correo electrónico, no queriendo decir con esto que las personas quedaron sin medio electrónico para sus solicitudes y demás procedimientos, por el contrario, la Administración informó a todos los residentes sobre el nuevo correo electrónico, y constancia de ello es que se ha dado respuesta a solicitudes recibidas a través del correo mileniodos2020@gmail.com, desde la fecha 13 abril de 2020, según la constancia que se adjunta”12 Negrilla fuera del texto original.

Respecto lo anterior se evidencia que, la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA señaló que desde el 13 de abril del 2020, el correo habilitado es mileniodos2020@gmail.com, así las cosas, los Titulares cuentan con un correo para presentar las peticiones, quejas, reclamos, solicitudes o felicitaciones. Adjuntando la siguiente constancia: En virtud de lo expuesto se evidencia, que la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA por un error involuntario había publicado un correo electrónico desactualizado, no obstante, una vez la copropiedad conoció dicho error procedió a corregir el mismo.

En consecuencia, no se encuentra mérito para imponer una sanción por el cargo primero, sin embargo, se encuentra procedente impartir una orden con el fin de que la copropiedad actualice el correo en la política de tratamiento de la información. Escrito de descargos bajo radicado No 21-141412-19 Página 2 Alegatos de conclusión bajo radicado No 21-141412-28 Alegatos de conclusión bajo radicado No 21-141412-28 Página 1 HOJA N 10, “Por la cual se impone una sanción y se imparte una orden” 10.2.2 Respecto del deber de conservar la información bajo condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento Ley 1581 de 2012 “Artículo 17.

Deberes de los Responsables del Tratamiento: Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…) Artículo 4. Principios: En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) f) principio de acceso y circulación restringida: El tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la constitución. En este sentido, el tratamiento solo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley, Los datos personales, salvo la información pública, no podrán estar disponibles en internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley;

(…) g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)”. Es preciso citar la sentencia C-748/11 que realizó el control de constitucionalidad de la Ley Estatutaria 1581 de 2012, que frente a la seguridad que deben ostentar los Responsables de la información del dato personal, argumentó que: “(…) Adoptar las medidas para garantizar la seguridad del dato, a efectos de que no se pierda, no se adultere, no se utilice o acceda por fuera de la autorización, lo cual es desarrollado en el literal d) en concordancia con el principio de seguridad en la transferencia del dato ( ) siendo estos deberes, sin lugar a dudas, también desarrollo del principio de seguridad jurídica.

(…)” Asimismo, en la misma sentencia, la Corte Constitucional indicó que frente al principio de acceso y circulación restringida: “(…) En razón de esta directriz, el Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, éste sólo podrá hacerse por personas autorizadas por el titular y/o por las personas previstas en la presente ley.

Además, se prohíbe que los datos personales, salvo información pública, se encuentren disponibles en Internet, a menos que se ofrezca un control técnico para asegurar el conocimiento restringido. (…) La norma debe entenderse que también se encuentra prohibida toda conducta tendiente al cruce de datos entre las diferentes bases de información, excepto cuando exista una autorización legal expresa, es decir, lo que la jurisprudencia ha denominado el principio de individualidad del dato.

Como consecuencia de lo anterior, queda prohibido generar efectos HOJA N 11, “Por la cual se impone una sanción y se imparte una orden” jurídicos adversos frente a los Titulares, con base, únicamente en la información contenida en una base de datos. (…) Debe reiterarse que el manejo de información no pública debe hacerse bajo todas las medidas de seguridad necesarias para garantizar que terceros no autorizados puedan acceder a ella.

De lo contrario, tanto el Responsable como el Encargado del Tratamiento serán los responsables de los perjuicios causados al Titular. (…) En aras del principio de acceso y circulación restringida, seguridad y confidencialidad, el Titular tiene derecho a exigir que su información sea tratada de conformidad con los límites impuestos por la Ley y la Constitución. (…)”.

En efecto, el Responsable tiene el deber de tratar la información que se encuentra almacenada en su base de datos bajo las medidas mínimas establecidas por el régimen de protección de datos personales. Retomando el caso objeto de estudio, se encuentra que, el señor XXXXXXXXXXXXXX puso en conocimiento de esta Superintendencia, a través de denuncia radicada bajo el número 21-1414120 del 5 de abril del 2021, que la copropiedad AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA. estaba incumpliendo presuntamente las normas sobre protección de datos personales, manifestando lo siguiente: “violación por parte de la COPROPIEDAD AGRUPACION CIUDAD MILENIO ETAPA 2, al violentar los datos personales y la información privada de los copropietarios, así como exponer los correos electrónicos de los mismos para fines que atentan contra la integridad de quienes estamos bajo su subordinación.” De acuerdo con los argumentos de la investigada, en el curso de las actuaciones preliminares adelantadas por esta Dirección, se encontró que la copropiedad AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA. no demostró conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Teniendo en cuenta que el quejoso señaló en su denuncia que la investigada le envió un correo en el cual se pueden apreciar las direcciones de los destinatarios; situación que es visible de acuerdo con el anexo de la queja que se copia como imagen, así: HOJA N 12, “Por la cual se impone una sanción y se imparte una orden” Frente al cargo, manifiesta la copropiedad investigada en su escrito de descargos radicado bajo el número 21-141412-19 y 21-141412-20, lo siguiente: “(…) Cabe recalcar que la señora XXXXXXXXXXXXXXXXXXXXXXXXXXXXX como miembro del consejo de administración tenía un acuerdo de confidencialidad con la AGRUPACION CIUDAD MILENIO ETAPA 2, acuerdo que entre otras cosas contiene unas CLAUSULAS las cuales debió cumplir a cabalidad con el fin dar cumplimento a la ley de protección de datos personales de los copropietarios de la agrupación, advirtiendo en dicho acuerdo que como miembro del consejo de administración estaría prohibido divulgar dicha información por cualquier medio o a terceros. - Frente a lo anterior y teniendo en cuenta las pruebas aportadas por la misma XXXXX XXXXXXXXXXXXXXXXXXXXX en la acción de tutela No XXXXXXXXXXXXXXXXXXXXXXX, ella misma manifiesta que sustrajo los datos personales de los denunciantes XXXXXXXX y XXXXXXXXX para utilizarlos en un ACTA DE NO CONCILIACION que solicito ante la POLICIA NACIONAL, así. ”13 Ahora bien, para claridad de la copropiedad investigada, las medidas técnicas se han entendido como aquellas que se adoptan para mitigar los riesgos técnicos de acceso no autorizado o fraudulento por parte de terceros que pueden hacer uso no autorizado de los datos personales de los Titulares.

Dichas medidas propenden, entonces, por mejorar los niveles de confianza de los Titulares a través de la identificación, valoración, tratamiento y mitigación de los riesgos de los sistemas de información de la compañía. Por su parte, las medidas administrativas se refieren a la estructura jerárquica de la entidad, en el sentido de que haya un líder que apruebe la adopción de dichas medidas de seguridad para el funcionamiento óptimo del organismo.

Por otra parte, las medidas humanas se refieren a los métodos de capacitación de personal para asegurar que éste realiza todas las medidas que sean pertinentes para evitar la puesta en riesgo de los datos personales. Ahora bien, una vez revisado el material probatorio obrante en el expediente se encuentra que la que la copropiedad AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA. no conservó la información personal del Denunciante bajo medidas de seguridad adecuadas para impedir su acceso por parte de los terceros que recibieron las referidas comunicaciones, así mismo, no dio cumplimiento al principio de circulación restringida al presuntamente divulgar los datos personales 13 Escrito de descargos bajo radicado No 21-141412-19 Página 2 y 3 HOJA N 13, “Por la cual se impone una sanción y se imparte una orden” del Denunciante a terceros no autorizados., tal como se evidenció en la prueba aportada por el denunciante.

Ahora bien, es importante precisar que, para cualquier tratamiento de datos personales, incluido el procesamiento de datos de carácter semiprivado, el Responsable está obligado a adoptar las medidas técnicas y organizativas que eviten, de manera efectiva, la adulteración, pérdida o, según la naturaleza del dato, la consulta, uso o acceso no autorizado.

Así, por ejemplo, entre ellas, establecer controles que impidan el uso de cuentas electrónicas que no hayan sido autorizadas directamente por sus titulares para recibir mensajes o que preserven la confidencialidad de los destinatarios de los mensajes. De igual forma, se evidencia que la copropiedad AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA., en calidad de Responsable del tratamiento, al momento en que ocurrieron los hechos investigados carecía de protocolos de seguridad necesarios para prever o minimizar el riesgo en el tratamiento de información personal. respecto del envío de datos semiprivados a través de comunicaciones electrónicas14.

Así las cosas, para este Despacho la conducta desplegada por la copropiedad AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA. al enviar un correo electrónico con los datos del denunciante a terceros no autorizados, exponiendo información sensible y semiprivada del titular claramente puso en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Pues vulneró el derecho fundamental a la protección de datos personales. En este punto, es importante señalar que el literal f) del artículo 4 de la Ley 1581 de 2012 establece lo siguiente: "los datos personales, salvo la información pública, no podrán estar disponible en Internet u otros medios de divulgación o comunicación masiva, salvo que acceso sea técnicamente controlable para un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley" (Principio de acceso y circulación restringida).

Por otro lado, el literal g) del citado artículo indica que "la información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento".

Con base en estos principios, la Corte Constitucional precisó que "el manejo de información no pública debe hacerse bajo todas las medidas de seguridad necesarias para garantizar que terceros no autorizados puedan acceder a ella"15 Por otro lado, mediante Alegatos de Conclusión16 Manifiesta que se tarto de un error involuntario de la persona encargada que envió el correo electrónico: “(…)en este caso la evidencia es clara, y fue un error de la persona que preparó la información y la envió a los destinatarios al no percatarse que la lista de los contactos quedó en el espacio incorrecto, ocasionando que los correos fueran visibles a los demás receptores, sin embargo, confirmo que fue una acción intencional, además, la empresa proveedora del servicio de correo electrónico tampoco tiene implementado un procedimiento que advierta cuando la vulneración de los datos puede estar comprometida” Por lo anterior, reitera esta Dirección como Autoridad de Protección de Datos que el deber que le asiste a la investigada como responsable del tratamiento, es el de garantizar la seguridad de la información, deber que se materializa a través de la implementación de procedimientos documentados, con medidas reales y efectivas, y en el caso sub examine es evidente que la copropiedad AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA. no contaba, para la fecha de la denuncia, con procedimientos efectivos ni medidas técnicas, humanas y administrativas, para salvaguardar la información que administra; así como para controlar cuál es la información que se encuentra asociada a cada uno de los titulares cuyos datos trata.

“Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su Titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley.” 14 Ley 1266 de 2008, articulo 3 Corte Constitucional, Sentencia C-748 de 2011.

M.P. Jorge Ignacio Pretelt Chaljub. Alegatos de conclusión bajo radicado No 21-141412-28 HOJA N 14, “Por la cual se impone una sanción y se imparte una orden” Una vez revisado el material probatorio y lo expuesto por la investigada, esta Dirección concluye que la copropiedad AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA. no conservó la información personal del Denunciante bajo medidas de seguridad adecuadas para impedir su acceso por parte de los terceros que recibieron las referidas comunicaciones así mismo, divulgó los datos personales del Denunciante a terceros no autorizados. al ser enviados sin la copia oculta de los correos electrónicos de los copropietarios, toda vez que los correos electrónicos tienen la connotación de dato personal, protegido y amparado por la ley 1581 de 2012.

Razón por la cual, se impondrá la respectiva sanción pecuniaria.

DÉCIMO PRIMERO: ÓRDENES ADMINISTRATIVAS En este orden de ideas, de acuerdo con los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones:  La AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA, deberá actualizar su Política de Tratamiento de la Información, respecto del correo habilitado para el ejercicio de Habeas Data de los Titulares de la información. La investigada deberá acreditar el cumplimiento de lo ordenado mediante certificación firmada por el representante legal y remitir la documentación pertinente dentro del término de UN (1) mes siguiente a la ejecutoria de la presente decisión DÉCIMO SEGUNDO: Imposición y graduación de la sanción 12.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23.

SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” HOJA N 15, “Por la cual se impone una sanción y se imparte una orden” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 17.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional18 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”19 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND.

Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. HOJA N 16, “Por la cual se impone una sanción y se imparte una orden” Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros20. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la copropiedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”21.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia22. Por otro lado, el artículo 24 de la Ley 1512 de 2012 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm HOJA N 17, “Por la cual se impone una sanción y se imparte una orden” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 12.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”23 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados24.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que la copropiedad AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA. en su calidad de responsable del tratamiento de manera negligente incumplió el precepto normativo dispuesto en:  El literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012 al no conservar la información personal bajo medidas de seguridad adecuadas para impedir su acceso por parte de los terceros que recibieron las referidas comunicaciones y tampoco dio cumplimiento al principio de circulación restringida al presuntamente divulgar los datos personales del Denunciante a terceros no autorizados.

Por tal razón se impondrá el monto de UN MILLÓN DIECISIETE MIL OCHOCIENTOS OCHENTA Y OCHO PESOS M/CTE ($1.017.888) equivalente a VEINTICUATRO (24) Unidades de Valor Tributario (UVT)25 vigentes. 12.1.2 Otros criterios de graduación Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp. Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra.

Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una v ez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presen te artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nació n para que adelante la investigación respectiva.” 25 La Dirección de Impuestos y Aduanas Nacionales –DIAN- mediante la Resolución 1264 del 18 de noviembre del 2022, fijó en $42.412 el valor de la unidad de valor tributario (UVT), que entra a regir a partir del 1º de enero del 2023 HOJA N 18, “Por la cual se impone una sanción y se imparte una orden” Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo citado no se aplica por cuanto, la copropiedad investigada no admitió la comisión de la infracción de los hechos materia de investigación.

DÉCIMO TERCERO: CONCLUSIÓN Se procederá a imponer una sanción por las siguientes razones:  Se encontró demostrado que la copropiedad AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA por un error involuntario había publicado un correo electrónico desactualizado, no obstante, una vez la copropiedad conoció dicho error procedió a corregir el mismo.

En consecuencia, no se encuentra mérito para imponer una sanción por el cargo primero, sin embargo, se encuentra procedente impartir una orden con el fin de que la copropiedad actualice el correo en la política de tratamiento de la información.  De igual modo, vulneró el derecho fundamental de habeas data del Titular, al no conservar la información personal bajo medidas de seguridad adecuadas para impedir su acceso por parte de los terceros que recibieron el correo electrónico, exponiendo datos de los titulares de la información, al ser enviados sin la copia oculta de los correos electrónicos de los copropietarios, toda vez que los correos electrónicos tienen la connotación de dato personal, protegido y amparado por la ley 1581 de 2012.

DÉCIMO CUARTO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA identificada con Nit. 900.660.335–8, con el correo electrónico de notificación mileniodos2020@gmail.com., quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 21-141412. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA identificada con Nit. 900.660.335 – 8, de UN MILLÓN DIECISIETE MIL OCHOCIENTOS OCHENTA Y OCHO PESOS M/CTE ($1.017.888) equivalente a VEINTICUATRO (24) Unidades de Valor Tributario (UVT) vigentes, por la violación a lo dispuesto en: i) El literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a HOJA N 19, “Por la cual se impone una sanción y se imparte una orden” nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2.

El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria. Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR a la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA identificada con Nit. 900.660.335 – 8, cumplir con las siguientes instrucciones, dentro del término de UN (1) mes siguiente a la ejecutoria de la presente decisión:  La AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA, deberá actualizar su Política de Tratamiento de la Información, respecto del correo habilitado para el ejercicio de Habeas Data de los Titulares de la información.

PARÁGRAFO PRIMERO: La AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA identificada con Nit. 900.660.335 – 8, deberá acreditar el cumplimiento de lo ordenado mediante certificación firmada por el representante legal y la documentación pertinente dentro del término de los cinco (5) días hábiles siguientes a la ejecutoria de la presente decisión.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA identificada con Nit. 900.660.335 – 8, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: Notificar personalmente el contenido de la presente resolución a la copropiedad AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA identificada con Nit. 900.660.335 – 8 a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO CUARTO: COMUNICAR el contenido de la presente decisión al señor XXXXXXXXXX, identificado con C.C. XXXXXXXX ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Alterna: Avenida Carrera 7 No. 31ª - 36 Pisos 3 y 3A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 08 MAYO 2023 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR MUNOZ SALAZAR Fecha: 2023.05.08 14:37:05 MUNOZ -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JMBG Revisó: AMVJ Aprobó: CESM “Por la cual se impone una sanción y se imparte una orden” NOTIFICACIÓN: Sociedad: AGRUPACION CIUDAD MILENIO SEGUNDA ETAPA Identificación: Nit.: 900.660.335 - 8 Representante Legal: NANCY SALAZAR MARTINEZ Identificación: C.C. No. 40.417.380 Dirección: Calle 50 SUR No.32 A 21 CIUDAD PORFIA Ciudad: Villavicencio Correo electrónico: mileniodos2020@gmail.com COMUNICACIÓN: Señor: XXXXXXXXX Identificación: C.C. No. XXXXXXXXX Dirección: XXXXXXXXXXXXXXX Ciudad: XXXXXXXXX Correo electrónico: XXXXXXXXXXXXXXX HOJA N 20,

Resolución sancionatoria N° 24750 de 2023

CONSIDERANDO

RESUELVE