Resolución sancionatoria N° 80305 de 2021

(09 DICIEMBRE 2021) VERSIÓN PÚBLICA “Por la cual se impone una sanción administrativa” Radicación: 20-78074 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1581 de 2012, los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011, y

CONSIDERANDO

PRIMERO: Que, la señora XXXXXX XXXXXXXX XXXXXXXX XXXXXXX identificada con cédula de ciudadanía x.xxx.xxx.xxx, presentó denuncia ante esta Superintendencia mediante escrito con radicado 20-078074 del 03 de abril de 2020. Esta reclamación se dirige en contra de la sociedad CONSULTING GROUP MARADO S.A.S. identificada con Nit. 900.446.658 – 5 por las presuntas infracciones al Régimen General de Protección de Datos Personales que se causaron en virtud de los hechos narrados por la Titular: 1.1 Manifestó que, “EL DÍA 03 DE ABRIL EL SEÑOR XXXXXXXX XXXXXXX XXXXXXX EJECUTIVO DE CUENTA DE LA SOCIEDAD SE COMUNICÓ CON EL DOCTOR XXXXXX XXXXX MEDIANTE CORREO ELECTRÓNICO, CON EL FIN DE OFRECER SUS SERVICIOS PARA REALIZAR EL REGISTRO MARCARIO DE LA MARCA ORANGE GREEN, NO OBSTANTE EL JAMÁS HA SUMINISTRADO DATOS DE INFORMACIÓN A DICHA SOCIEDAD, POR LO QUE, MANIFESTÓ DICHA SOCIEDAD QUE ESA INFORMACIÓN LA SACABAN DE LA PÁGINA DE LA SIC, NO OBSTANTE POR HABEAS DATA LES ESTÁ PROHIBIDO USAR ESA INFORMACIÓN PARA FINES COMERCIALES”. 1.2.

Explica que, “DE LA ANTERIOR SITUACIÓN SE GENERA UN CONFLICTO ENTRE ESTAS SOCIEDADES QUE SE APROVECHAN DE LAS BASES DE DATOS PUBLICAS SO PRETEXTO, SE QUE LAS PUEDE MANIPULAR CUALQUIER PERSONA, SITUACIÓN QUE DESCONOCE TOTALMENTE EL MARCO NORMATIVO COLOMBIANO Y GENERA CONFUSIONES A LAS PERSONAS QUE DESEAN REALIZAR REGISTROS DE MARCA” 1.3. Por lo que solicitó lo siguiente: “HACER UN REQUERIMIENTO FORMAL A DICHA SOCIEDAD PARA QUE DEJEN DE EMPLEAR ESA MALA PRAXIS Y POR LO TANTO APLIQUE LAS SANCIONES PERTINENTES.

DE ESTA MANERA QUIERE RECALCARQUE EN MESES ANTERIORES INTERPUSO UNA DENUNCIA POR UNA SITUACIÓN SIMILAR PERO HASTA LA FECHA NO HA RECIBIDO RESPUESTA POR PARTE DE LA SIC. SIENDO IMPERANTE EL DEBER DE ESTA DE INTERVENIR. EN CASO DE QUE DESEEN CONOCER EL CONTENIDO DE LA COMUNICACIÓN DE LAS SOCIEDADES PONGO A DISPOSICIÓN MÍ NUMERO TELEFÓNICO PARA ENVIARLA.

NO OBSTANTE LO ANTERIOR, SI LA SIC DECIDE QUE ES PROCEDENTE LA MANIPULACIÓN DE TERCEROS DE INFORMACIÓN DE BASES PÚBLICAS, AGRADEZCO REMITIR LOS RESPECTIVOS SOPORTES JURÍDICOS EN LOS QUE LA SIC ACEPTE ESA PRACTICA, PUES CON ELLO, SE PODRIA EVIDENCI AR QUE ESTA SITUACIÓN ES NORMAL Y NO ATIPICA COMO SE TIENE CERTEZA ( )”

SEGUNDO: Que, con el propósito de precisar las circunstancias de tiempo, modo y lugar, las personas naturales o jurídicas involucradas, las normas presuntamente trasgredidas y las medidas o sanciones que serían procedentes, esta Dirección, a través del Grupo de Trabajo Investigaciones de Administrativas, adelantó las siguientes averiguaciones preliminares: 2.1.

Mediante oficio con radicado No. 20-78074-9 del 5 de mayo de 2020 se requirió a la reclamante XXXXXX XXXXXXXX XXXXXXXX XXXXXXX con el fin de que informara lo siguiente: “Por la cual se impone una sanción administrativa” HOJA N, “( ) 1. Indique el correo electrónico desde el cual se comunicó el señor XXXXXXXX XXXXXXX XXXXXXX, conforme a lo indiciado por usted. De ser posible, acredite su respuesta adjuntando el pantallazo del mail enviado.” 2.2.

Mediante oficio con radicado No. 20-78074-11 del 8 de septiembre de 2020 se requirió a CONSULTING GROUP MARADO S.A.S. con el fin de que informara lo siguiente: “ ( ) 1. Respecto a la comunicación enviada por ustedes, el día 3 de abril de 2020 al correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx.xxx en el que se ofrecen servicios jurídicos para el registro de marca, informe lo siguiente: 1.1.

¿Cómo recolectó la información correspondiente al correo electrónico del señor XXXXXX XXXXXXX XXXXX XXXXXX? 1.2 ¿Cuenta con la autorización del señor XXXXXX XXXXXXX XXXXX XXXXXX? para el Tratamiento de sus datos personales? Acredite su respuesta 1.3. Aporte prueba mediante la cual se informe la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. 1.4.

¿Cuál fue el mecanismo implementado por esa sociedad para la recolección de los datos personales en comento? 2. Indique si el señor XXXXXX XXXXXXX XXXXX XXXXXX ha presentado alguna reclamación frente a esta sociedad. Adjunte dichas reclamaciones, la respuesta dada y la guía de envía correspondiente. 3. Informar las políticas internas de seguridad bajo las cuales conservan la información de los Titulares para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. 4.

¿Cuáles son las Políticas de Tratamiento de la Información implementadas por ustedes para el manejo de datos personales? Remita copia de las mismas. 5. Allegue copia del Manual de Seguridad implementado por la sociedad e indique cuáles son las medidas de seguridad implementadas para salvaguardar la información que poseen o almacenan en sus bases de datos o archivos, según lo dispuesto por la Ley 1581 de 2012. 6.

Manifieste si ha tenido algún tipo de incidente de seguridad en los que se haya accedido sin su autorización a los datos tratados por la sociedad. En caso afirmativo, indique y acredite si lo ha puesto en conocimiento de esta Superintendencia (…)”

TERCERO: Que, como resultado de las averiguaciones preliminares realizadas por esta Dirección, las entidades y personas naturales requeridas informaron lo siguiente: 3.1. Mediante comunicación con radicado 20-78074-10 del 28 de mayo de 2020 la reclamante XXXXXX XXXXXXXX XXXXXXXX XXXXXXX informó lo siguiente: “Buenas tardes estimados, En virtud a su comunicación de fecha 20 20 de mayo en la que me solicita indicar el correo electrónico desde el cual se comunicó el señor XXXXXXXX XXXXXXX XXXXXXX, conforme a lo indiciado por usted. De ser posible, acredite su respuesta adjuntando el pantallazo del mail enviado.

Me permito allegar la cadena de correos, en donde se evidencia la comunicación remitida al representante legal de la sociedad, y donde le comunico el trámite llevado a cabo. Por otro lado, esta el número de contacto en donde ustedes se pueden comunicar y constatar la respuesta de ellos que consiste en que ellos pueden usar la información de la superintendencia para fines comerciales y personales.

Quedo atenta a sus valiosos comentarios. ( )” A la anterior comunicación se anexo (i) mail enviado desde el correo electrónico atencion@marado.com.co a xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx.xxx y (ii) carta adjunta a la cadena de correos dirigida al señor XXXXXXXX XXXXXXX XXXXXXX y firmada por el ‘departamento comercial’ de la sociedad CONSULTING GROUP MARADO S.A.S. 3.2.

Mediante comunicación con radicado 20-78074-12 del 22 de septiembre de 2020 la sociedad CONSULTING GROUP MARADO S.A.S. respondió lo siguiente: “Por la cual se impone una sanción administrativa” HOJA N, (…) 1. Respecto a la comunicación enviada por ustedes, el día 3 de abril de 2020 al correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx.xxx en el que se ofrecen servicios jurídicos para el registro de marca, informe lo siguiente: 1.1.

¿Cómo recolectó la información correspondiente al correo electrónico del señor XXXXXX XXXXXXX XXXXX XXXXXX? El correo electrónico fue tomado con base a la información publicada en la GACETA DE PROPIEDAD INDUSTRIAL No. 884. A través de la oficina virtual de Propiedad Industrial, se recolectaron los datos públicos allí registrados por el solicitante mediante el link: https://sipi.sic.gov.co/sipi/Extra/Default.aspx?sid=637352373853946339. 1.2.

¿Cuenta con la autorización del señor XXXXXX XXXXXXX XXXXX XXXXXX para el Tratamiento de sus datos personales? Acredite su respuesta. De acuerdo al Artículo 10 de la Ley 1581 de 2012, en su literal b) que reza: “ARTÍCULO

10. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓN. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.” (el subrayado es nuestro) El correo enviado al señor XXXXXX XXXXXXX XXXXX XXXXXX, fue de CARÁCTER INFORMATIVO; cómo se puede evidenciar en el mensaje enviado por nuestra parte de fecha 3 de abril de 2020 (Anexo No. 1), en el cual no solo se ofrece un servicio relacionado con registros de marcas, sino que adicionalmente se informa el medio por el cual se obtuvieron sus datos y se solicita a través del mismo nos indique su autorización, así: “si su deseo es desistir o continuar recibiendo información comercial, seguimiento y promoción de nuestros servicios nos los puede manifestar AQUÍ.” Dado lo anterior y a pesar que no es necesaria la autorización en los datos de naturaleza pública, se cumple con solicitar la misma al señor XXXXXX XXXXXXX XXXXX XXXXXX.

Ahora bien, a pesar que a la fecha no hemos recibido respuesta NI POSITIVA – NI NEGATIVA de parte del señor XXXXXX XXXXXXX XXXXX XXXXXX. Confirmamos a su Despacho que departe de nuestra empresa desde el 3 de abril de 2020, NO SE HA ENVIADO NINGUN OTRO TIPO DE COMUNICACIÓN ADICIONAL OFRECIENDO NUESTROS SERVICIOS, tal y como se ilustra a continuación: 1.3.

Aporte prueba mediante la cual se informe la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. Los derechos que le asisten al señor XXXXXX XXXXXXX XXXXX XXXXXX, y a cualquier persona que desee tener vínculos comerciales con nuestra compañía, se encuentran estipulados en nuestra política de tratamiento de datos, debidamente registrada ante su entidad.

REGISTRO DE LA BASE DE DATOS radicado No. 16-208834 de fecha 12 de agosto de 2016 (Anexo No.2) – La cual se puede observar a través del formulario de Autorización Manejo de Datos Ley 1581 de 2012 y Decreto 1377 de 2013, que hemos destinado para dicho fin. Y que se ilustra así: “Por la cual se impone una sanción administrativa” HOJA N, La finalidad y los derechos reposan en nuestra política de tratamiento de datos rezan así: “ 3.

FINALIDAD Y TRATAMIENTO DE LA INFORMACIÓN: 3.1. ¿Qué información recolecta MARADO? La información tratada por MARADO corresponde a datos personales de sus proveedores, empleados y clientes; Datos públicos contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales, sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva. 3.2.

¿Con qué fin se utiliza la información? MARADO utiliza la información para: ✓ Informar por primera vez el estado actual de un trámite ante alguna entidad básicamente ✓ Enviar información comercial -Seguimiento y promoción de productos y servicios. ✓ Dar cumplimiento a los contratos suscritos entre MARADO sus clientes, proveedores y empleados. ✓ Realizar pedidos y pagos a sus proveedores y reportar información tributaria referente a las compras a sus proveedores. ✓ Generar pagos laborales, seguridad social, aportes parafiscales, reportar información tributaria y cualquier otro que se derive de su relación contractual con MARADO ✓ Mantener en sus bases de datos información referente a contacto para casos de emergencia, formación académica y trayectoria. ✓ Enviar comunicados a sus empleados referente a temas de actualidad jurídica, convocatorias, actividades internas, estadísticas y reformas de MARADO frente a sus empleados. ✓ Realizar convocatorias laborales y adelantar procesos de selección. ✓ Promover la actualización, inclusión o supresión de la información consignada en las bases de datos de MARADO. ✓ Hacer contacto en caso de quejas, reclamos sugerencias sobre el servicio de MARADO.

4. DERECHOS DE LOS TITULARES DE LOS DATOS PERSONALES: Los Titulares de los Datos Personales tendrán los derechos detallados a continuación, en concordancia con todo lo dispuesto en el presente documento: 4.1. Conocer, actualizar y rectificar sus datos personales frente a MARADO o los encargados del tratamiento de los mismos. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo tratamiento esté expresamente prohibido o no haya sido autorizado. 4.2.

Solicitar prueba de la autorización otorgada a MARADO, salvo que la Ley indique que la misma no es necesaria. 4.3. Presentar solicitudes ante MARADO o el encargado del tratamiento respecto del uso que le ha dado a sus datos personales, y a que éstas le entreguen tal información. “Por la cual se impone una sanción administrativa” HOJA N, 4.4.

Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a la Ley. 4.5. Revocar su autorización y/o solicitar la supresión de sus datos personales de las bases de datos de MARADO, cuando la Superintendencia de Industria y Comercio haya determinado mediante acto administrativo definitivo que en el tratamiento MARADO o el encargado del tratamiento ha incurrido en conductas contrarias a la Ley o cuando no hay una obligación legal o contractual de mantener el Dato personal en la base de datos del responsable. 4.6.

Solicitar acceso y acceder en forma gratuita a sus Datos Personales que hayan sido objeto de Tratamiento de acuerdo con el artículo 21 del Decreto 1377 del 2013. 4.7. Conocer las modificaciones a los términos de esta política de manera previa y eficiente a la implementación de las nuevas modificaciones o, en su defecto, de la nueva política de tratamiento de la información. 4.8.

Tener fácil acceso al texto de esta política y sus modificaciones. 4.9. Acceder de manera fácil y sencilla a los datos personales que se encuentran bajo el control de MARADO para ejercer efectivamente los derechos que la Ley les otorga a los titulares. 4.10. Conocer a la dependencia o persona facultada por MARADO frente a quien podrá presentar quejas, consultas, reclamos y cualquier otra solicitud sobre sus datos personales. 4.11.

Los Titulares podrán ejercer sus derechos de Ley y realizar los procedimientos establecidos en esta Política, mediante la presentación de su cédula de ciudadanía o documento de identificación original. Los menores de edad podrán ejercer sus derechos personalmente, o a través de sus padres o los adultos que detenten la patria potestad, quienes deberán demostrarlo mediante la documentación pertinente.

Así mismo podrán ejercer los derechos del Titular los causahabientes que acrediten dicha calidad, el representante y/o apoderado del titular con la acreditación correspondiente y aquellos que han hecho una estipulación a favor de otro o para otro.” 1.4. ¿Cuál fue el mecanismo implementado por esa sociedad para la recolección de los datos personales en comento? Cuando la entidad genero la GACETA DE PROPIEDAD INDUSTRIAL No. 884.

En el ejercicio de nuestra actividad comercial legalmente constituida ante la Cámara de Comercio de Bogotá con matrícula mercantil No 02114585; se realiza una revisión detallada de las solicitudes allí publicadas, para determinar si afectan los derechos de clientes actuales de nuestra firma y de paso las solicitudes hechas a título personal por terceros sin apoderado para hacer un primer acercamiento por si es del interés del solicitante se brinde nuestro acompañamiento profesional.

Al acceder a los datos del titular de la marca a través de la oficina virtual de Propiedad Industrial (Anexo No.3), de allí se tomó el correo para enviar nuestro CORREO INFORMATIVO. 2. Indique si el señor XXXXXX XXXXXXX XXXXX XXXXXX ha presentado alguna reclamación frente a esta sociedad. Adjunte dichas reclamaciones, la respuesta dada y la guía de envía correspondiente.

A la fecha no hemos recibido comunicación por parte del señor XXXXXX XXXXXXX XXXXX XXXXXX, por ninguno de los medios designados por nuestra compañía, para este tipo de solicitudes. Sin embargo y de acuerdo a la notificación realizada por su Despacho el día 9 de septiembre de 2020 se procedió inmediatamente a restringir la información de su propiedad de nuestra base de datos.

“Por la cual se impone una sanción administrativa” HOJA N, 3. Informar las políticas internas de seguridad bajo las cuales conservan la información de los Titulares para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Dentro del manual de seguridad de la información de la compañía Consulting Group MARADO S.A.S. en 21 folios (Anexo No. 4) se detallan las políticas internas de seguridad implementadas y que se relacionan a continuación: 3.

“POLITICA INTEGRAL DE SEGURIDAD DE LA INFORMACION Para MARADO, los activos de información que generan, procesan o resguardan los datos de los procesos de negocio, las bases de datos son de vital importancia y como tal propenderá por su protección. Es política de MARADO trabajar continuamente en proteger los activos de información contra todo tipo de amenazas tanto internas como externas, deliberadas o accidentales y procurará que se cumplan con los siguientes requisitos Proteger la información de los empleados, clientes, proveedores, prospectos. • Mantener la integridad de la información creada, procesada o resguardada por los procesos. • Posibilitar la confidencialidad de la información. • Cumplir las disposiciones legales, regulatorias y contractuales relacionadas con la seguridad de la información. 4.

LINEAMIENTOS Y NORMAS DE SEGURIDAD DE LA INFORMACION 4.1.CUMPLIMIENTO Y SANCIONES 4.1.1. LINEAMIENTO Todos los colaboradores de MARADO deben cumplir y acatar el manual de políticas en materia de protección y seguridad de la información. Corresponde velar por su estricto cumplimiento al Gerente de Tecnología.

4.1.2. NORMAS DE SEGURIDAD DE LA INFORMACION Todo incumplimiento de algún lineamiento de seguridad de la información por un colaborador, es causal para iniciar acciones disciplinarias o contractuales, las cuales de acuerdo a su gravedad pueden derivar la terminación de la vinculación laboral del empleado con MARADO. 4.2.CONTROL DE ACCESO A LOS SISTEMAS DE INFORMACIÓN 4.2.1.

LINEAMIENTO Todos los colaboradores de MARADO que accedan a las bases deben disponer de un equipo de cómputo y su acceso debe estar controlado a través de un usuario y contraseña.

4.2.2. NORMAS DE SEGURIDAD DE LA INFORMACION 4.2.2.1. Usuario y contraseña únicos. Cada usuario tendrá asignado un equipo propiedad de MARADO y las contraseñas de acceso a sitios web estarán protegidas a través del gestor de contraseñas LASTPASS para tener acceso a la plataforma. 4.2.2.2. Identificación y autenticación de usuarios Para el acceso a cualquier de los recursos de tecnología informática de MARADO mediante la red pública o privada se requerirá de un proceso de autenticación del usuario. 4.2.2.3.

Creación, eliminación e inhabilitación de usuarios El Gerente de Tecnología será el responsable de crear, eliminar o inhabilitar los usuarios. 4.2.2.4. Creación de las contraseñas Todas las contraseñas deberán ser creadas de acuerdo con un estándar definido por MARADO. Deberá considerarse el uso de herramientas automáticas que aseguren el cumplimiento de este estándar de contraseñas. 4.2.2.5.

Vigencia de las contraseñas Las contraseñas usadas deberán ser cambiadas cada 30 días. 4.2.2.6. Confidencialidad de las contraseñas Las contraseñas o cualquier otro medio de autenticación son totalmente confidenciales y restringidos para el uso del usuario no se debe almacenar en los exploradores como Chrome, Mozilla u otros y será protegida a través del gestor de contraseña LASTPASS, donde la misma estará oculta para el usuario. 4.2.2.7.

Cifrado de las contraseñas Las contraseñan deberán ser almacenadas utilizando un algoritmo de cifrado, no se podrán almacenar en texto claro. 4.2.2.8. Usuarios por defecto y/o privilegiados Se creará en cada pc un usuario por defecto y un usuario con privilegios de administrador con los sistemas operativos, bases de datos, productos y programas relacionados con las diferentes plataformas instaladas en MARADO para restringir su uso por usuarios primarios. 4.2.2.9.

Usuario Administrador El usuario con privilegios como Administrador del Sistema o de las Bases de Datos de la compañía, será el gerente de Tecnología. 4.2.2.10. Acceso a bases de datos de producción. El aplicativo desarrollado para este fin deberá ser el único medio para acceder a los datos. 4.2.2.11. Bloqueo de las estaciones de trabajo.

Todas las estaciones de trabajo de los usuarios deberán tener activado el bloqueo automático de estación, el cual deberá activarse luego de un período de ausencia o inactividad de 3 minutos. Por otra parte, el escritorio del equipo de trabajo deberá estar despejado y ordenado, de tal forma que la información que se encuentre en el “Por la cual se impone una sanción administrativa” HOJA N, puesto de trabajo o en la pantalla (escritorio) del equipo sea la suficiente y necesaria para la labor que se desempeña.” 4.

¿Cuáles son las Políticas de Tratamiento de la Información implementadas por ustedes para el manejo de datos personales? Remita copia de las mismas. Comparto las políticas de tratamiento de la información y protección de datos personales implementadas por Consulting Group MARADO SAS las cuales se encuentran adjuntas (Anexo No. 5). Las mismas también pueden ser consultadas en el link: https://www.marado.com.co/files/Tratamiento_Datos_MARADO.pdf 5.

Allegue copia del Manual de Seguridad implementado por la sociedad e indique cuáles son las medidas de seguridad implementadas para salvaguardar la información que poseen o almacenan en sus bases de datos o archivos, según lo dispuesto por la Ley 1581 de 2012. Adjunto manual de seguridad de la información de la compañía Consulting Group MARADO S.A.S. en 21 folios (Anexo No. 4).

Las medidas de seguridad implementadas se describen a continuación: 3. “POLITICA INTEGRAL DE SEGURIDAD DE LA INFORMACION Para MARADO, los activos de información que generan, procesan o resguardan los datos de los procesos de negocio, las bases de datos son de vital importancia y como tal propenderá por su protección. Es política de MARADO trabajar continuamente en proteger los activos de información contra todo tipo de amenazas tanto internas como externas, deliberadas o accidentales y procurará que se cumplan con los siguientes requisitos: • Proteger la información de los empleados, clientes, proveedores, prospectos. • Mantener la integridad de la información creada, procesada o resguardada por los procesos. • Posibilitar la confidencialidad de la información. • Cumplir las disposiciones legales, regulatorias y contractuales relacionadas con la seguridad de la información. 4.LINEAMIENTOS Y NORMAS DE SEGURIDAD DE LA INFORMACION 4.3.CUMPLIMIENTO Y SANCIONES 4.3.1.

LINEAMIENTO Todos los colaboradores de MARADO deben cumplir y acatar el manual de políticas en materia de protección y seguridad de la información. Corresponde velar por su estricto cumplimiento al Gerente de Tecnología.

4.3.2. NORMAS DE SEGURIDAD DE LA INFORMACION Todo incumplimiento de algún lineamiento de seguridad de la información por un colaborador, es causal para iniciar acciones disciplinarias o contractuales, las cuales de acuerdo a su gravedad pueden derivar la terminación de la vinculación laboral del empleado con MARADO. 4.4.CONTROL DE ACCESO A LOS SISTEMAS DE INFORMACIÓN 4.4.1.

LINEAMIENTO Todos los colaboradores de MARADO que accedan a las bases deben disponer de un equipo de cómputo y su acceso debe estar controlado a través de un usuario y contraseña.

4.4.2. NORMAS DE SEGURIDAD DE LA INFORMACION 4.4.2.1. Usuario y contraseña únicos. Cada usuario tendrá asignado un equipo propiedad de MARADO y las contraseñas de acceso a sitios web estarán protegidas a través del gestor de contraseñas LASTPASS para tener acceso a la plataforma. 4.4.2.2. Identificación y autenticación de usuarios Para el acceso a cualquier de los recursos de tecnología informática de MARADO mediante la red pública o privada se requerirá de un proceso de autenticación del usuario. 4.4.2.3.

Creación, eliminación e inhabilitación de usuarios El Gerente de Tecnología será el responsable de crear, eliminar o inhabilitar los usuarios. 4.4.2.4. Creación de las contraseñas Todas las contraseñas deberán ser creadas de acuerdo con un estándar definido por MARADO. Deberá considerarse el uso de herramientas automáticas que aseguren el cumplimiento de este estándar de contraseñas. 4.4.2.5.

Vigencia de las contraseñas Las contraseñas usadas deberán ser cambiadas cada 30 días. 4.4.2.6. Confidencialidad de las contraseñas Las contraseñas o cualquier otro medio de autenticación son totalmente confidenciales y restringidos para el uso del usuario no se debe almacenar en los exploradores como Chrome, Mozilla u otros y será protegida a través del gestor de contraseña LASTPASS, donde la misma estará oculta para el usuario. 4.4.2.7.

Cifrado de las contraseñas Las contraseñan deberán ser almacenadas utilizando un algoritmo de cifrado, no se podrán almacenar en texto claro. “Por la cual se impone una sanción administrativa” HOJA N, 4.4.2.8. Usuarios por defecto y/o privilegiados Se creará en cada pc un usuario por defecto y un usuario con privilegios de administrador con los sistemas operativos, bases de datos, productos y programas relacionados con las diferentes plataformas instaladas en MARADO para restringir su uso por usuarios primarios. 4.4.2.9.

Usuario Administrador El usuario con privilegios como Administrador del Sistema o de las Bases de Datos de la compañía, será el gerente de Tecnología. 4.4.2.10. Acceso a bases de datos de producción. El aplicativo desarrollado para este fin deberá ser el único medio para acceder a los datos. 4.4.2.11. Bloqueo de las estaciones de trabajo Todas las estaciones de trabajo de los usuarios deberán tener activado el bloqueo automático de estación, el cual deberá activarse luego de u período de ausencia o inactividad de 3 minutos.

Por otra parte, el escritorio del equipo de trabajo deberá estar despejado y ordenado, de tal forma que la información que se encuentre en el puesto de trabajo o en la pantalla (escritorio) del equipo sea la suficiente y necesaria para la labor que se desempeña.” 6. Manifieste si ha tenido algún tipo de incidente de seguridad en los que se haya accedido sin su autorización a los datos tratados por la sociedad.

En caso afirmativo, indique y acredite si ha puesto en conocimiento de esta Superintendencia. Manifiesto a su Despacho que a la fecha no hemos tenido ningún incidente de seguridad con ninguna persona natural o empresa, ni reclamación realizada ante esta Superintendencia como entidad competente para dirimir esta clase de situaciones.

CUARTO: Que, con base en los hechos anotados, el 26 de febrero de 2021 se inició la presente investigación administrativa mediante la expedición de la Resolución N°. 9384 del 2021, por medio de la cual se formuló cargo único a la sociedad CONSULTING GROUP MARADO S.A.S., por el presunto incumplimiento a las disposiciones contenidas en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

QUINTO: Que la Resolución N°. 9384 del 26 de febrero de 2021 le fue notificada a la investigada de forma electrónica el 4 de marzo de 2021 de conformidad con la certificación con número de radicado 20-78074- -24 de fecha del 17 de marzo de 2021 expedida por la Secretaría General de esta Superintendencia, para que ésta se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

SEXTO: Que el 26 de marzo de 2021, estando dentro del término establecido por la Resolución N°. 9384 del 26 de febrero de 2021, la investigada CONSULTING GROUP MARADO S.A.S presentó escrito de descargos, bajo el número de radicado 20-78074-26 en los siguientes términos: “1. De acuerdo a la filosofía y el actuar de nuestra compañía somos respetuosos de las diferentes normas y prácticas para el respeto de los derechos de cualquier persona de naturaleza jurídica o natural que entable alguna relación comercial, laboral o contractual con nosotros evitando transgredir las normas o los derechos de las personas. 2.

En concordancia con lo anteriormente expuesto y nuestro compromiso en cumplir con todo lo relacionado a la protección de datos personales consagrados en la Ley 1581 de 2012, normas concordantes y lo que la misma Superintendencia de Industria y Comercio ha informado para tal fin; motivo por el cual hemos estado atentos a charlas, conferencias, webinar, documentación expedida por la entidad, e incluso elevamos una consulta puntual a la misma SIC sobre este mismo respecto (uso de los datos que reposan en la entidad sobre registros marcarios) todo desde la promulgación de la mencionada Ley y en virtud de su implementación a cabalidad, dado que en ocasiones se torna ambigua y no concreta para casos específicos como el que nos compete. 3.

Informamos a su Despacho que antes de proceder a registrar nuestra base de datos ante la SIC y ajustar nuestra política de tratamiento de datos en fecha 16 de diciembre de 2015 solicitamos a la Superintendencia de Industria y Comercio, concepto con radicado No. 15296620-0 (anexo) preguntando lo siguiente: “si los datos suministrados por los solicitantes de registros de marcas ante su entidad, los cuales son de libre consulta a través del sitio web de la SIC, tiene ese carácter público y no requiere autorización. “Por la cual se impone una sanción administrativa” HOJA N, Ya que de estos datos suministrados hacemos un primer contacto con los solicitantes donde solicitamos autorización para continuar recibiendo información de nuestra compañía bajo nuestra política de hábeas data.” 4.

Ante la anterior solicitud recibimos respuesta del jefe oficina asesora jurídica, Dr. William Antonio Burgos Durango, con fecha febrero 1 de 2016 (anexo) – Bajo el radicado No. 15296620-1 el cual indica de manera importante los siguientes puntos a resaltar: Dado lo anterior, y como primera situación a tener en cuenta es que los datos que reposan en la base de datos de la SIC relativos a asuntos marcarios son públicos, y no se encuentran sometidos a reserva alguna. b) Ahora bien, con respecto al ítem anterior el concepto es claro cuando indica en el artículo 243 del Código General del Proceso (Ley 1564 de 2012) donde reza los siguiente: “Así mismo, es público el documento otorgado por un particular en ejercicio de funciones públicas o con su intervención”.

De esta manera se confirma que los datos suministrados para el registro de una marca ante la entidad tienen este carácter de público dado a que el titular debe otorgar dicha información para que se cumpla el ejercicio de las funciones públicas. Seguidamente se afirma que de acuerdo al artículo 10 de la ley 1581 de 2012 La autorización del titular no será necesaria cuando se “Por la cual se impone una sanción administrativa” HOJA N, trate de: “b) Datos de naturaleza pública.” Lo cual queda demostrado con lo mencionado anteriormente. c.) Nuevamente se indica que no será necesaria la autorización del titular; pero es clara sobre los principios rectores para el tratamiento de los datos personales de conformidad con el artículo 4 de la Ley 1581 de 2012, la cual se acopla correctamente a nuestra política de tratamiento de datos (anexo) que reza entre otros, así: “ 3.

FINALIDAD Y TRATAMIENTO DE LA INFORMACIÓN: 3.1. ¿Qué información recolecta MARADO? La información tratada por MARADO corresponde a datos personales de sus proveedores, empleados y clientes; Datos públicos contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales, sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva. 3.2.

¿Con qué fin se utiliza la información? MARADO utiliza la información para: ✓ Informar por primera vez el estado actual de un trámite ante alguna entidad básicamente ✓ Enviar información comercial -Seguimiento y promoción de productos y servicios. (…) ✓ Promover la actualización, inclusión o supresión de la información consignada en las bases de datos de MARADO.

De esta manera, nuestro primer y único acercamiento con el titular de los datos obtenidos como dato público de esta Superintendencia, cumple el fin de informar por primera vez el estado “Por la cual se impone una sanción administrativa” HOJA N, actual de un trámite que esta llevando acabo ante la entidad e indica al final de nuestros correos lo siguiente: “Este correo es de carácter informativo; si su deseo es desistir o continuar recibiendo información comercial, seguimiento y promoción de nuestros servicios nos los puede manifestar AQUÍ. Link que no fue utilizado por parte del titular de los datos.

Donde se encuentra la solicitud de Autorización Manejo de Datos Ley 1581 de 2012 (Anexo) y Decreto 1377 de 2013 y nuestra política de tratamiento de datos. Ahora bien, esto quiere decir que no fue nuestra empresa CONSULTING GROUP MARADO S.A.S. quienes hayamos incumplido la norma, por el solo hecho de que el titular de los datos no haya leído en conjunto la información suministrada por nuestra parte la cual se ajusta correctamente a lo que la norma estipula.

Adicionalmente, aclaramos a su Despacho que los datos públicos obtenidos de la base de la SIC NO están siendo utilizados para ofrecer servicios ajenos o diferentes a los que allí posiblemente pueda requerir el titular de una marca. De esta manera, somo coherentes con la finalidad de nuestra política de tratamiento de datos. d) Ahora bien, el concepto es claro indicando que los datos personales no podrán estar disponibles en internet u otros medios de divulgación, salvo los que son de naturaleza pública.

Esto quiere decir, que si son datos públicos se pueden consultar en internet como es el caso de los datos suministrados por los solicitantes de registros marcarios, los cuales se pueden consultar libremente y sin reserva en la base de datos SIPI de la SIC. e) Finalmente el concepto de la entidad finaliza con las siguientes conclusiones: “Por la cual se impone una sanción administrativa” HOJA N, De las conclusiones dadas por la entidad, podemos interpretar lo que exponemos a continuación y en lo que se ha basado nuestro actuar con la implementación a la ley 1581 de 2012 y normas complementarias.

En su punto 4.1, ese indica que efectivamente toda información suministrada por el titular de registro por sus características son “DATOS PERSONALES”, Ahora bien, en el artículo 243 del Código General del Proceso (Ley 1564 de 2012) donde reza los siguiente: “Así mismo, es público el documento otorgado por un particular en ejercicio de funciones públicas o con su intervención”.

De esta manera se confirma que los datos suministrados para el registro de una marca ante la entidad toman el carácter de “DATOS PERSONALES DE NATURALEZA PUBLICA”, dado a que el titular debe otorgar dicha información para que se cumpla el ejercicio de las funciones públicas. En su punto 4.2- Indica: “A los datos públicos se puede acceder sin autorización del titular, salvo se encuentren sometidos a reserva legal y pueden estar en registros públicos, documentos públicos, gacetas, boletines oficiales, sentencias judiciales, entre otros” Como hemos reiterado a través de este escrito, LOS DATOS CONSULTADOS NO TIENEN RESERVA ALGUNA, y se pueden consultar a través de la base de datos que tiene la entidad luego que recopilan los datos personales en su formulario de creación de personas.

Y que posteriormente se puede consultar libremente. En su punto 4.3- Indica: “No será necesaria la autorización del titular cuando se pretenda el acceso de datos personales de naturaleza pública; sin embargo, a pesar de no ser necesaria la autorización del titular para su uso por parte del responsable y/o encargado deberán en todo caso cumplir con las disposiciones de la Ley 1581 de 2012” Disposiciones que están manifiestas a cabalidad en nuestra política de tratamiento de datos.

En su punto 4.4- Indica: “El titular de la información tiene derecho a consultar la información personal que sobre el repose en cualquier base de datos y a solicitar supresión de los mismos en cualquier momento, a través de la presentación de un reclamo cuando en el tratamiento de los datos exista un incumplimiento a los principios, derechos y garantías constitucionales y legales por parte de los responsables y/o encargados del tratamiento” Derecho consagrado en el artículo 15 de la Ley 1581 de 2012, el cual no fue utilizado por el quejoso “posiblemente por no ser el titular de los datos” y en consecuencia no le afecta de manera directa.

En cuanto a esta situación se viola el requisito de procedibilidad, consagrado en la misma ley. “ARTICULO 16. Requisito de procedibilidad. El Titular o causahabiente sólo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante el Responsable del Tratamiento o Encargado del Tratamiento. 5.

En fecha 26 de febrero de 2016 se publicó en nuestra página web www.marado.com.co CIRCULAR EXTERNA No. 001 (anexo) donde se informa al público en general que se creó una herramienta para la recolección de autorización de tratamiento de datos (a través de Google “Por la cual se impone una sanción administrativa” HOJA N, drive) en cumplimiento de la Ley 1581 de 2012 y reglamentada parcialmente por el Decreto Nacional 1377 de 2013 y del Decreto Único Reglamentario 1074 de 2015 en su Artículo 2.2.2.25.2.2.

Autorización. Sobre la protección de datos personales donde realizamos una depuración de nuestra base de datos, con el fin de registrar la misma en el Registro Nacional de Bases de Datos ante la SIC como entidad encargada del tema y se adopta procedimiento para solicitar la autorización del titular para el tratamiento de datos. 6. Como prueba de lo anteriormente enunciado, y en virtud del Decreto Único Reglamentario 1074 de 2015 en su Artículo 2.2.2.25.2.5.

Prueba de la autorización. Manifestamos a su despacho que se tiene evidencia del registro de 197 personas naturales y/o jurídicas desde el 2/03/2016 16:03:50 hasta el día 17/03/2021 13:42:17 que mediante esta herramienta han autorizado o no el tratamiento de sus datos, en las siguientes proporciones: Adicional a la anterior información manifestamos a su Despacho que si no tuviéramos la sana practica de solicitar autorización para el manejo de datos no contaríamos con las más de 500 autorizaciones expresas de tratamiento de datos otorgadas por diferentes personas naturales y/o jurídicas (muchos de ellos otorgados después de un primer acercamiento como sucedió con el caso que inicio la presente controversia) y a los cuales se les ha realizado acompañamiento jurídico ante la entidad. 7.

Una vez revisada, analizada y ajustada la respuesta brindada por su entidad con fecha febrero 1 de 2016, desde el área jurídica de nuestra compañía CONSULTING GROUP MARADO S.A.S. trabajó en la elaboración de la Política de tratamiento de datos cumpliendo a cabalidad lo allí estipulado y aclarado con respecto a la Ley 1581 de 2012. Posteriormente en fecha 12 de agosto de 2016 bajo el radicado 16-208834 (anexo) quedo registrada nuestra base de datos y nuestra política de tratamiento de datos, la cual reposa en los archivos de su Despacho. 8.

Como se manifestó en la respuesta de requerimiento realizada por ese Despacho reiteramos que anteriormente nunca se había surtido reclamación alguna por parte de ningún titular de datos. Motivo por el cual en nuestra condición de Responsable de tratamiento de datos personales, nos acogemos a lo que indica la Ley 1581 de 2012 en su artículo 15, donde estipula el procedimiento para realizar el correspondiente reclamo y que reza así: “ARTICULO 15.

Reclamos. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1.

El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.

Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.

Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga "reclamo en trámite" y el motivo del mismo, en un término no mayor a dos (2) días “Por la cual se impone una sanción administrativa” HOJA N, hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.

Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término. Es de aclarar cómo se manifestó en el escrito de respuesta de averiguaciones preliminares que No recibimos por parte del señor XXXXXX XXXXXXX XXXXX XXXXXX como titular de los datos o de la señora XXXXXXXXXXXXXXXXXXXXXXXXX (quien para efectos de este reclamo debería tener poder debidamente otorgado de la persona titular para actuar como lo indica la ley) reclamo alguno hacia nosotros CONSULTING GROUP MARADO S.A.S. como Responsable del Tratamiento o al Encargado del Tratamiento para dar trámite al mismo en los términos que indica el articulo 15 indicado anteriormente y que también se encuentra en nuestra política de tratamiento de la información y protección de datos personales en su artículo 5.

Ahora bien, siguiendo la procedibilidad que nos plantea la Ley 1581 de 2012, en el artículo 16 donde indica: “ARTICULO 16. Requisito de procedibilidad. El Titular o causahabiente sólo podrá elevar queja ante la Superintendencia d e Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante el Responsable del Tratamiento o Encargado del Tratamiento.” (el resaltado es nuestro) Dicho artículo, reitera que se debe actuar ante la Superintendencia de industria y comercio una vez agotado el trámite de consulta o reclamo ante el Responsable del Tratamiento o Encargado del Tratamiento.

Situación que a todas luces no se realizó por parte del titular de los datos o su apoderado. Como prueba de ello se puede visualizar que nuestro primer y único correo fue enviado el día 3 de abril de 2020 a las 11:35 de la mañana y la denuncia ante la entidad fue radicada el mismo día 3 de abril a la 1:57 de la tarde; es decir; 2 horas y 22 minutos después de ser enviado el correo tal y como se ilustra a continuación: Teniendo en cuenta lo anterior, para nosotros es de alta importancia que este Despacho atienda que según lo establecido en nuestras políticas de tratamiento de datos y lo dispuesto por la Ley 1581 de 2012, que el titular de los datos nunca realizó una solicitud expresa con el fin de solicitar el retiro de sus datos de nuestra base de datos, por lo tanto, no tuvimos la oportunidad de llevar a cabo el conducto regular que estipula la norma y que para nuestra compañía es fundamental en nuestra condición de Responsable del tratamiento de los datos personales.

De esta manera se nos vulnero el derecho de llevar a cabo el debido proceso que se debe surtir para dirimir esta clase de situaciones para de esta manera y si no había conformidad por parte de titular de los datos llegar a instancias superiores como lo indica la Ley 1581 de 2012 en sus artículos 15 y 16 respectivamente. 9. Confirmo a su Despacho que de acuerdo con el requerimiento realizado el día 9 de septiembre de 2020, nuestro encargado de tratamiento de datos Señor XXXXXXXXXXXXX XXXXXXXXX procedió inmediatamente a restringir la información de propiedad del titular de los datos, como se puede observar a continuación: “Por la cual se impone una sanción administrativa” HOJA N, 10.

Con respecto a la denuncia y el escrito interpuesto por la señora XXXXXXXXXXXXX XXXXXXXXXXXXXXX identificada con cédula de ciudadanía x.xxx.xxx.xxx, manifestamos a su Despacho lo siguiente: a. La persona en mención no es la titular de los datos ni ha ostentado dentro del proceso su representación por medio de poder debidamente otorgado, razón por la cual no es la persona presuntamente y directamente afectada. b. En el escrito manifiesta que: “LA SOCIEDAD SE COMUNICÓ CON EL DOCTOR XXXXXX XXXXX MEDIANTE CORREO ELECTRÓNICO, CON EL FIN DE OFRECER SUS SERVICIOS PARA REALIZAR EL REGISTRO MARCARIO DE LA MARCA ORANGE GREEN” a lo cual confirmamos que NO ES CIERTO puesto que la solicitud del registro de la marca ya se había iniciado por el solicitante ante la entidad y lo que en realidad se Informó por primera y única vez es que la solicitud de la marca luego de publicación en gaceta NO tuvo oposición por terceros, correo que contenía nuestra solicitud de autorización de datos. c. La reclamante indicó: “NO OBSTANTE POR HABEAS DATA LES ESTÁ PROHIBIDO USAR ESA INFORMACIÓN PARA FINES COMERCIALES, DE LA ANTERIOR SITUACIÓN SE GENERA UN CONFLICTO ENTRE ESTAS SOCIEDADES QUE SE APROVECHAN DE LAS BASES DE DATOS PUBLICAS SO PRETEXTO, SE QUE LAS PUEDE MANIPULAR CUALQUIER PERSONA”.

Ante esta situación, reiteramos como se ha relatado a lo largo del presente escrito y como lo ha manifestado esta misma entidad por medio de concepto jurídico que los datos que reposan en la base de datos de la SIC relativos a asuntos marcarios son públicos, y no se encuentran sometidos a reserva alguna, incluso la misma denunciante reconoce el carácter público de dicha base.

Ahora bien, el Articulo 10 de la Ley 1581 de 2012 señala expresamente que los datos de naturaleza publica la autorización del titular no será necesaria. d. En el aporte de pruebas realizado en fecha 28 de mayo de 2020 con el radicado 20-7807410 por parte de la denunciante indica que: “Me permito allegar la cadena de correos, en donde se evidencia la comunicación remitida al representante legal de la sociedad, y donde le comunico el trámite llevado a cabo.

Por otro lado, está el número de contacto en donde ustedes se pueden comunicar y constatar la respuesta de ellos que consiste en que ellos pueden usar la información de la superintendencia para fines comerciales y personales”. A lo cual manifestamos lo siguiente: NO ES CIERTO que exista una CADENA DE CORREOS enviada de nuestra parte hacia el titular de los datos, ya que existe UN SOLO Y ÚNICO CORREO enviado.

Aunado a lo anterior, nuestra comunicación es informativa y no está siendo usada para fines PERSONALES como allí lo indica.

SÉPTIMO: Que mediante Resolución N° 48919 del 3 de agosto de 2021, se incorporaron las pruebas allegadas a la presente actuación administrativa, se declaró agotada la etapa probatoria y se corrió traslado a la investigada para que rindiera los alegatos de conclusión.

OCTAVO: Que la Resolución N°. 48919 del 3 de agosto de 2021 le fue comunicada a la investigada el 4 de agosto de 2021, de conformidad con la certificación radicada bajo el número 20-78074- -30 del 17 de agosto de 2021 expedida por la Secretaría General Ad- Hoc de esta Superintendencia. “Por la cual se impone una sanción administrativa” HOJA N, NOVENO: Que, durante el término establecido por esta Dirección para que la investigada rindiera alegatos de conclusión, la investigada CONSULTING GROUP MARADO S.A.S guardó silencio.

DÉCIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto se refiere a la actividad de administración de datos personales que se regula en la mencionada Ley.

DÉCIMO PRIMERO: Análisis del caso 11.1 Adecuación típica La Corte Constitucional en Sentencia C-748 de 20111 estableció lo siguiente respecto del principio de tipicidad en materia de derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración al literal b) del artículo del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015 En la presente investigación, le corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos, las razones de hecho y de derecho aducidas por la investigada en su escrito de descargos, así como el conjunto de pruebas allegadas al expediente. 11.2 Valoración probatoria y conclusiones 11.2.1 Respecto del deber de solicitar y conservar copia de la autorización previa, expresa e informada Esta Dirección considera oportuno traer a colación el derecho contenido en el artículo 15 de la Constitución Política, el cual establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base datos.

Conforme con el principio de libertad consagrado en el literal c) del artículo 4 de la Ley 1581 de 2012, según el cual “[e]I Tratamiento solo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que regule el consentimiento ( )”, es claro que la 1 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

“Por la cual se impone una sanción administrativa” HOJA N, información personal del Titular no es susceptible de Tratamiento si no media autorización previa, expresa e informada para la finalidad específica consentida. Sobre este principio, la Corte Constitucional en sentencia C-748 del 6 de octubre de 2011, por medio de la cual realizó el estudio de constitucionalidad del proyecto de Ley estatutaria que posteriormente se convirtió en la Ley 1581 de 2012, señaló lo siguiente: “Principio de libertad.

El tratamiento sólo puede ejercerse con e/ consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos.

También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente. El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo da la personalidad.

En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene e/ derecho a determinar lo que podría denominarse su ’imagen informática”’. Por lo anterior, se concluye que, sin la autorización previa e informada del Titular, los datos personales no podrán ser registrados, divulgados, ni sometidos a Tratamiento.

Sin embargo, tal prohibición no es absoluta pues la Ley 1581 de 2012 en su artículo 10 establece los casos en los que no es necesario contar con la autorización por parte del Titular, entre los cuales se encuentran los datos de naturaleza pública2. Por su parte, el literal e) del artículo 3 de la Ley 1581 de 2012 definió al Responsable del Tratamiento de los datos personales en los siguientes términos: (…) e) Responsable del Tratamiento.

Persona natural o jurídica, pública o privada, que por sí misma o en asocia con otros, decida sobre la base de datos y/o el Tratamiento de los datos. ( )” AI respecto, la Corte Constitucional mediante la sentencia C-748 de 2011, por medio de la cual realizó el estudio de constitucionalidad del proyecto de Iey estatutaria que posteriormente se convirtió en la Ley 1581 de 2012, expresó lo siguiente: “En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos —intimidad y habeas data- del titular del dalo personal.

Específicamente se dispone que son deberes de esta parte de la relación. (i) Solicitar y conservar la autorización para e/ tratamiento del dato —en los términos descritos previamente, lo que se ajusta plenamente al principio de libertad y consentimiento expreso del titular del dato. ( )”. 2 Artículo 10. Casos en que no se necesita la autorización. La autorización del Titular no será necesaria cuando se frase de. a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitária, d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos, e) Datos relacionados con el Registro Civil de las Personas.

Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley. “Por la cual se impone una sanción administrativa” HOJA N, Este deber es ratificado en el literal b) del artículo 17 de la misma ley, que incluye expresamente la obligación de “solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”.

En este orden, se tiene que el Responsable requiere de la autorización previa e informada del Titular para el Tratamiento' 6 de su información personal, como lo establece el artículo 9 de la Ley 1581 de 2012 en los siguientes términos: “Artículo 9. Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior”.

Además de lo anterior, en el Decreto Único Reglamentario 1074 de 2015 se dispone lo siguiente: “Artículo 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle /os datos personales serán recolectados así como todas las finalidades especificas del Tratamiento para cuales se obtiene consentimiento”.

Preliminarmente este Despacho encontró que la investigada no acreditó que contaba con la autorización del Titular de los datos para efectuar el Tratamiento de sus datos personales y durante toda la actuación administrativa la sociedad CONSULTING GROUP MARADO S.A.S. no aportó prueba alguna de tener administración para el uso de los datos personales del titular y además admitió haber tomado el correo electrónico del señor XXXXXX XXXXXXX XXXXX XXXXXX de la información publicada en la GACETA DE PROPIEDAD INDUSTRIAL No. 884.

A través de la oficina virtual de Propiedad Industrial de esta Entidad. Igualmente, en su escrito de descargos la sociedad CONSULTING GROUP MARADO S.A.S manifestó lo siguiente: “…nuestro primer y único acercamiento con el titular de los datos obtenidos como dato público de esta Superintendencia, cumple el fin de informar por primera vez el estado actual de un trámite que esta llevando a cabo ante la entidad e indica al final de nuestros correos lo siguiente: “Este correo es de carácter informativo; si su deseo es desistir o continuar recibiendo información comercial, seguimiento y promoción de nuestros servicios nos los puede manifestar AQUÍ.” Link que no fue utilizado por parte del titular de los datos.

Donde se encuentra la solicitud de Autorización Manejo de Datos Ley 1581 de 2012 (Anexo) y Decreto 1377 de 013 y nuestra política de tratamiento de datos.” En línea con los argumentos expuestos considera este Despacho pertinente pronunciarse respecto a si la investigada obtuvo la autorización previa, expresa e informada del Titular para el Tratamiento de su información en los siguientes términos: En primer lugar debe tenerse en cuenta que, la sociedad investigada expresa que el correo electrónico del señor XXXXXX XXXXXXX XXXXX XXXXXX es de carácter público al encontrarse en la GACETA DE PROPIEDAD INDUSTRIAL No. 884 de la Superintendencia de Industria y Comercio, la cual se puede consultar por medio de internet.

Al respecto, es importante referirse a la clasificación de los datos personales dispuesta en el artículo 3 de la Ley 1266 de 2008, así: “( ) e) Dato personal. Es cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica. Los datos impersonales no se sujetan al régimen de protección de datos de la presente Ley.

Cuando en la presente Ley se haga referencia a un dato, se presume que se trata de uso personal. Los datos personales pueden ser públicos, semiprivados o privados; f) Dato público. Es el dato calificado como tal según los mandatos de la Ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente “Por la cual se impone una sanción administrativa” HOJA N, Ley.

Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas, g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley. h) Dato privado.

Es el dato que por ser naturaleza íntima o reservada sólo es relevante para el titular; ( )”. Por su parte, en la Sentencia C-1011 de 2008, la Corte Constitucional declaró la norma exequible en el siguiente entendido: “El dato público, en los términos de la norma estatutaria, corresponde a aquellos que sean calificados de esa manera por la Constitución y la Ley, al igual que todos los que no estén incluidos en las categorías de datos semiprivados y privados.

El legislador prevé dentro de la categoría en comento a los documentos públicos, las sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva y los relativos al estado civil de las personas. Los datos semiprivados corresponden a aquellos que no tienen naturaleza íntima, reservada, ni pública y que, por ende, su conocimiento puede interesar no solo a su titular sino a cierto sector o grupo de personas o a la sociedad en general.

Ejemplo de esta categoría es el dato financiero y crediticio de actividad comercial o de servicios, e/ que, como se ha indicado insistentemente en esta decisión, es el objeto de regulación del Proyecto de Ley. Por último, el dalo privado es aquel que por su naturaleza íntima o reservada sólo es relevante para el titular”. La anterior clasificación fue retomada de manera íntegra por el Alto Tribunal en la sentencia C-748 de 2011, al efectuar el estudio de constitucionalidad de la actual Ley 1581 de 2012.

En la referida sentencia dijo esa Corporación lo siguiente: “( ) la clasificación de los datos personales no es un elemento indispensable de la regulación y, dicho vacío en todo caso puede ser remediado acudiendo a la jurisprudencia constitucional y a otras definiciones legales, especialmente al artículo 3 de la Ley 1266, en virtud del principio de conservación del derecho, el literal c) será declarado exequible en este respecto”.

Finalmente es importante referirse a la definición de dato público establecida en el numeral 2 del artículo 2.2.2.25.1.3. del Decreto Único Reglamentario (antes artículo 3 Decreto 1377 de 2013): “ARTÍCULO 2.2.2.25.1.3. Definiciones. Además de las definiciones establecidas en el artículo 3 de la Ley 1581 de 2012, para los efectos del presente capítulo se entenderá por: (…) 2.

Dato público. Es el dato que no sea semiprivado, privado o sensible. Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva.” Para determinar el alcance del concepto de “dato personal”, se hace necesario traer a colación la definición del literal c) del artículo 3 de la Ley 1581 de 2012, conforme con el cual, el dato personal es “(c)ualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables”.

Para la Corte Constitucional, el dato personal goza de las siguientes características en contraposición al dato impersonal: “i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación” HOJA N, “Por la cual se impone una sanción administrativa” Como se observa, el dato personal conlleva un componente (en mayor o menor medida) que contribuye a la identificación de una persona y está circunscrito a aspectos propios de su titular, lo cual, además, le brinda un grado tal de individualización que lo hace excluyente respecto de la información recogida de personas distintas.

En otras palabras, el dato personal determina o permite determinar al titular del mismo a partir de su individualización. En concreto, el correo electrónico, como servicio de red que permite recibir y enviar mensajes a través de sistemas de comunicación electrónica, requiere, para su funcionamiento, que el mismo se dirija a un destinatario para cumplir con su finalidad comunicativa, esto es, debe remitirse a una persona o institución específica.

Este destinatario es entonces el dueño o administrador de la cuenta de correo, pues es él quien tiene acceso a la misma y puede verificar el contenido del mensaje de datos. Ahora, la dirección de correo puede componerse de signos, números o palabras elegidas por el dueño de la cuenta, la cual, en muchas ocasiones puede referirse al nombre o apellidos del titular, por lo cual es claro que con la sola dirección electrónica puede identificarse a una persona natural.

Piénsese por ejemplo en una cuenta de correo que se denomine “pedroperez@gobierno.com.co”, es claro que si se fracciona dicha dirección entre el dominio de primer nivel y el de segundo podría llegar a concluirse que el dueño de la cuenta responde al nombre de “Pedro Pérez”, y que trabaja en el gobierno colombiano. Bajo esta hipótesis es evidente que el correo electrónico debe considerarse un dato personal.

Sin embargo, también puede darse un supuesto en que el nombre de usuario sea creado de tal forma que resulte siendo una frase sin un significado fácilmente atribuible o que no identifique al titular de la cuenta. En todo caso, en esta hipótesis también estamos en presencia de un dato personal, pues la dirección de correo electrónico debe aparecer asociada a un dominio específico, como por ejemplo el caso de los correos institucionales como “@sic.gov.co”, evento en el cual reiteramos solamente se requerirá acceder al servidor que gestione dicho dominio (en el ejemplo sería el de la Superintendencia de Industria y Comercio) para establecer la titularidad de la cuenta.

Por lo mencionado, es claro que los correos electrónicos tienen la connotación de dato personal al poder asociarse a una persona natural, por lo que su tratamiento es regulado por la Ley 1581 de 2012 y la vigilancia y control del mismo es competencia de este Despacho. En el caso bajo estudio se encuentra que el xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx.xxx, tal como se visualiza: correo electrónico tratado es En consecuencia se encuentra que el correo es gestionado por el proveedor de servicios “Gmail” y se refiere a nombres y apellidos del titular, razón por la cual es claro que en el caso en particular, la investigada realizó tratamiento de un dato semiprivado.

De otro lado, se encuentra que la sociedad no solo realizó el tratamiento del correo electrónico del titular, sino que también tenía el nombre completo (nombres y apellidos), tal como se visualiza a continuación: “Por la cual se impone una sanción administrativa” HOJA N, Es muy importante resaltar lo establecido en el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015 (antes Decreto 1377 de 2013, artículo 5), que señala: “ARTÍCULO 2.2.2.25.2.2.

Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. (…).” Por lo anterior, es claro que el hecho que los datos personales de los titulares se encuentren publicados en medios masivos como internet o periódicos, en NINGÚN momento quiere decir que los datos sean públicos y que se pueda hacer uso de los mismos sin cumplir con las disposiciones establecidas en la Ley, puesto que esto vulnera el derecho fundamental de habeas data del titular.

De otro lado es importante aclarar que la información publicada en la GACETA DE PROPIEDAD INDUSTRIAL a través de la oficina virtual de Propiedad Industrial de esta Entidad tiene un propósito específico y es el de dar publicidad a los actos administrativo, al respecto, la Constitución Política de Colombia en su artículo 209 establece que “La función administrativa está al servicio de los intereses generales y se desarrolla con fundamento en los principios de igualdad, moralidad, eficacia, economía, celeridad, imparcialidad y publicidad, mediante la descentralización, la delegación y la desconcentración de funciones.” Así mismo, el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo señala la publicidad 3 como un principio para desarrollar las actuaciones administrativas, las cuales se darán a conocer mediante comunicaciones, notificaciones o publicaciones que ordenen la ley. 3 “ARTÍCULO 3º.

Principios. Todas las autoridades deberán interpretar y aplicar las disposiciones que regulan las actuaciones y procedimientos administrativos a la luz de los principios consagrados en la Constitución Política, en la Parte Primera de este Código y en las leyes especiales. Las actuaciones administrativas se desarrollarán, especialmente, con arreglo a los principios del debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad.

(…) 9. En virtud del principio de publicidad, las autoridades darán a conocer al público y a los interesados, en forma sistemática y permanente, sin que medie petición alguna, sus actos, contratos y resoluciones, mediante las comunicaciones, notificaciones y publicaciones que ordene la ley, incluyendo el empleo de tecnologías que permitan difundir de manera masiva tal información de conformidad con lo dispuesto en este Código.

Cuando el interesado deba asumir el costo de la publicación, esta no podrá exceder en ningún caso el valor de la misma.” “Por la cual se impone una sanción administrativa” HOJA N, Por lo anterior, es claro que la información tomada por la investigada de la Gaceta de Propiedad Industrial a través de la oficina de propiedad industrial fue publicada única y exclusivamente para efectos de publicidad, con el fin de que los intervinientes dentro del proceso o los terceros afectados conozcan de las decisiones, con el fin de garantizar el debido proceso y los principios de la función pública, y en consecuencia de modo alguno se pueden tomar estos datos personales privados y semiprivados para tratarlos con fines comerciales.

De otro lado, respecto a la afirmación de la investigada según la cual el día 9 de septiembre de 2020 se procedió inmediatamente a eliminar la información del señor XXXXXX XXXXXXX XXXXX XXXXXX es pertinente hacer las siguientes precisiones sobre la figura del hecho superado: La figura del hecho superado se puede configurar ante el amparo del derecho fundamental de habeas data y que como consecuencia no haya lugar a impartir una orden administrativa.

Lo anterior pues se habla de hecho superado cuando: “(…) entre el momento de la interposición de la acción de tutela y el momento del fallo se satisface por completo la pretensión contenida en la demanda de amparo, razón por la cual cualquier orden judicial en tal sentido se torna innecesaria. En otras palabras, aquello que se pretendía lograr mediante la orden del juez de tutela ha acaecido antes de que el mismo diera orden alguna.” Vale la pena aclarar que en la Delegatura para la Protección de Datos Personales existen dos Grupos, el Grupo de Trabajo de Habeas Data encargado de proteger de manera inmediata el derecho fundamental de Habeas Data y el Grupo de Trabajo de Investigaciones Administrativas encargado de verificar el cumplimiento de la Ley 1266 de 2008 y Ley 1581 de 2012.

De manera que, en el transcurso del amparo del derecho fundamental por parte del Grupo de Trabajo de Habeas Data, podría configurarse esta figura (hecho superado) si los actos que vulneran el derecho fundamental desaparecen y como consecuencia la orden encaminada a proteger de amparar de manera inmediata el derecho fundamental pierde su razón de ser.

No obstante, el Grupo de Trabajo de Investigaciones Administrativas encargado de verificar el cumplimiento de la Ley 1266 de 2008 y Ley 1581 de 2012 a través de una investigación de carácter sancionatorio analiza si se cumplió con los deberes establecidos en la Ley, razón por la cual, la recurrente no puede pretender solicitar el archivo de la investigación argumentando que después de vulnerar el derecho procedió a corregir sus acciones, es decir, eliminando posteriormente a la vulneración, el reporte negativo efectuado ilegalmente.

En consecuencia, la figura del “hecho superado” no significa que desaparezcan las eventuales irregularidades en que pudo haber incurrido una organización frente al tratamiento de datos personales. El hecho de que una empresa corrija sus posibles errores no lo exime de las consecuencias legales de sus acciones u omisiones frente al tratamiento de datos personales.

En concordancia con lo anterior se concluye que se encontró demostrado el actuar negligente de la investigada en el cumplimiento del deber objeto de estudio al demostrarse que realizó tratamiento de datos personales semiprivados sin acreditar contar con la autorización previa, expresa e informada del titular, contrariando lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

DÉCIMO SEGUNDO: Imposición y graduación de la sanción 12.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 23 4. Esta potestad sancionatoria, que es una 4Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; “Por la cual se impone una sanción administrativa” HOJA N, manifestación del poder punitivo del Estado, derivado de los artículos 25, 46 y 67 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo8.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”9 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 10.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En efecto, el artículo 26 de la Ley 152 de 1994 dispone: “Con base en el Plan Nacional de Desarrollo aprobado, cada uno de los organismos públicos de todo orden a los que se aplica esta Ley preparará su correspondiente plan de acción. En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV.” c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” 5 Artículo 2.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) 6 Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.

(negrita añadida) 7 Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones. (negrita añadida) 8 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000);

Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). 9 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000).

Considerando 5.5.2. 10 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. HOJA N, “Por la cual se impone una sanción administrativa” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Tributario (UVT).

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2021 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional11 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”12 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 23 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros13. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano 11 Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 12 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 13 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. HOJA N, “Por la cual se impone una sanción administrativa” (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991. Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad.

Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”14.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia15. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2316 de la misma.

Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Ley 1581 de 2012, artículo 24: “Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012.

Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “El artículo 23 del proyecto establece las sanciones que puede aplicar la Superintendencia de Industria y Comercio a los responsables del tratamiento y encargados del tratamiento, dentro de las cuales contempla las multas, la suspensión de las actividades relacionadas con el tratamiento, el cierre temporal de las operaciones relacionadas con el tratamiento y finalmente el cierre inmediato y definitivo de la operación: Esta norma constituye una disposición de carácter sancionatorio y por ello debe cumplir con todos los principios propios del debido proceso sancionador contemplados en la Constitución Política y reconocidos por la jurisprudencia de esta Corporación: 14 Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos 15 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 16 Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción administrativa” HOJA N, En primer lugar, el principio de legalidad, de acuerdo con el cual: “las conductas sancionables no sólo deben estar descritas en norma previa sino que, además, deben tener un fundamento legal, por lo cual su definición no puede ser delegada en la autoridad administrativa”.

Este axioma tiene una interpretación menos rigurosa en el Derecho administrativo sancionador que en el Derecho penal, pues es posible una flexibilización razonable de la descripción típica: “Ha reiterado la Corte, que en el derecho administrativo sancionador "aunque la tipicidad hace parte del derecho al debido proceso en toda actuación administrativa, no es demandable en este campo el mismo grado de rigurosidad que se exige en materia penal”, por cuanto la naturaleza de las conductas reprimidas, los bienes jurídicos involucrados y la teleología de las facultades sancionadoras en estos casos, hacen posible también una flexibilización razonable de la descripción típica, en todo caso, siempre erradicando e impidiendo la arbitrariedad y el autoritarismo, que se haga prevalecer los principios de legalidad y de justicia social, así como los demás principios y fines del Estado, y que se asegure los derechos constitucionales, los intereses legítimos y los derechos de origen legal o convencional de todas las personas”.

Esta norma cumple con el principio de tipicidad, para lo cual debe interpretarse conjuntamente con el artículo 22 de la futura ley estatutaria, que establece la posibilidad de imponer sanciones cuando se hayan incumplido las disposiciones de esta ley. En este sentido, el supuesto de hecho que completa la norma jurídica sancionatoria está constituido por la infracción de las disposiciones de la futura ley estatutaria por la cual se dictan disposiciones generales para la protección de datos personales.

(…)17 Conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y adecuada, de modo que logre la equidad entre el hecho constitutivo de la infracción, en este caso la renuencia o desacato al cumplimiento de una orden administrativa y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “(…) En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad. (…)” 18 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la comisión de la acción de renuencia o desacato que desencadene en incumplimiento de lo ordenado por la autoridad administrativa, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine, está probado el actuar negligente por parte de sociedad respecto del deber de solicitar y conservar copia de la autorización previa, expresa e informada del Titular de los datos personales, establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015 y por esta razón, se impondrá sanción por parte de esta Dirección, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, de una multa de SEIS MILLONES TRESCIENTOS NOVENTA MIL DOSCIENTOS OCHO PESOS M/CTE ($6.390.208) correspondiente a 176 Unidades de Valor Tributario Vigentes. 127.2.1.

Respecto de los otros criterios de graduación 17Corte Constitucional, Sentencia C-748 de 2011, M.P: Jorge Ignacio Pretelt Chaljub. FJ: 2.22.3. 18 Corte Constitucional. Sentencia C-125 de 2003. M.P: Marco Gerardo Monroy Cabra. FJ: 5. “Por la cual se impone una sanción administrativa” HOJA N, Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones.

DÉCIMO TERCERO: CONCLUSIÓN Se procederá a imponer una sanción por las siguientes razones:  Se encontró demostrado que la sociedad incumplió negligentemente el deber contenido en el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con al literal c) del artículo 4 de la misma ley, y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.  Con dicha conducta la Fuente de información vulneró el derecho de habeas data del señor XXXXXX XXXXXXX XXXXX XXXXXX  La sociedad investigada en calidad de Responsable de los datos personales hizo uso de los datos personales del señor XXXXXX XXXXXXX XXXXX XXXXXX sin contar con autorización para ello, contrariando las disposiciones establecidas en la Ley  El hecho que los datos personales de los titulares se encuentren publicados en medios masivos como internet o periódicos, en NINGÚN momento quiere decir que los datos sean públicos y que se pueda hacer uso de los mismos sin cumplir con las disposiciones establecidas en la Ley, puesto que esto vulnera el derecho fundamental de habeas data del titular.  La información publicada en la Gaceta de Propiedad Industrial a través de la oficina de propiedad industrial fue única y exclusivamente divulgada para efectos de publicidad, con el fin de que los intervinientes dentro del proceso o los terceros afectados conozcan de las decisiones, con el fin de garantizar el debido proceso y los principios de la función pública, y en consecuencia de modo alguno se pueden tomar estos datos personales privados y semiprivados para tratarlos con fines comerciales.

La investigada infringió la norma contenida en el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con al literal c) del artículo 4 de la misma ley, y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, debido a que no cuenta con autorización para el tratamiento de datos personales del señor XXXXXX XXXXXXX XXXXX XXXXXX DÉCIMO CUARTO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad CONSULTING GROUP MARADO S.A.S con Número de Identificación Tributaria 900.446.658-5, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial de la sociedad gerencia@marado.com.co quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los HOJA N, “Por la cual se impone una sanción administrativa” correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

En mérito de lo expuesto este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad CONSULTING GROUP MARADO S.A.S., identificada con NIT 900.446.658-5, de SEIS MILLONES TRESCIENTOS NOVENTA MIL DOSCIENTOS OCHO PESOS M/CTE ($6.390.208), equivalentes a CIENTO SETENTA Y SEIS (176) Unidades de Valor Tributario Vigentes por violación a lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: NOTIFICAR personalmente el contenido de la presente resolución la sociedad CONSULTING GROUP MARADO S.A.S., identificada con NIT 900.446.658-5, a través de su representante legal, entregándoles copia de esta e informándoles que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO TERCERO: COMUNICAR a la señora XXXXXX XXXXXXXX XXXXXXXX XXXXXXX, identificado con Cédula de Ciudadanía No. x.xxx.xxx.xxx, el contenido de la presente decisión.

ARTÍCULO CUARTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE,

COMUNIQUESE Y CÚMPLASE Dada en Bogotá, D.C., 09 DICIEMBRE 2021 El Director de Investigación de Protección de Datos Personales, Firmado digitalmente por ENRIQUE SALAZAR CARLOS ENRIQUE CARLOS MUÑOZ SALAZAR MUÑOZ Fecha: 2021.12.09 15:52:26 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JIHM Revisó: AMVJ Aprobó: CESM “Por la cual se impone una sanción administrativa” NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Correo electrónico: Ciudad: CONSULTING GROUP MARADO S.A.S. Nit. 900.446.658-5 JOHN JAMER RAMÍREZ ROMERO C.C. No. 79.707.733 Calle 48A Sur No. 88C-80 Int 195 gerencia@marado.com.co Bogotá D.C. COMUNICACIÓN: Señora: Identificación: Ciudad: Correo electrónico: XXXXXX XXXXXXXX XXXXXXXX XXXXXXX C.C.x.xxx.xxx.xxx Bogotá D.C. xxxxxxxxxxxxxxxxxxxxxxxx HOJA N,