Resolución sancionatoria N° 62974 de 2021

REPÚBLICA DE COLOMBIA (septiembre 29 de 2021) Radicado: 18-140081 El Superintendente Delegado para la Protección de Datos Personales En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 7 del artículo 16 del Decreto 4886 de 2011, y

CONSIDERANDO

PRIMERO. Que mediante Resolución Nº 5845 del 14 de marzo de 2019 la Dirección de Investigación de Protección de Datos personales resolvió abrir investigación y formular pliego de cargos contra la sociedad GRUPO INNOVA INTERNATIONAL S.A.S (en adelante la recurrente) identificada con el Nit. 900.885.724-6 en los siguientes términos: “ARTÍCULO PRIMERO: ABRIR INVESTIGACIÓN y FORMULAR PLIEGO DE CARGOS en contra de la sociedad GRUPO INNOVA INTERNATIONAL S.A.S., identificada con el NIT. 900.885.724-6, por la presunta contravención de lo dispuesto en (i) literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 de la misma ley, el artículo 9 ejúsdem y con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, (i) literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal k) del mismo artículo, el literal g) del artículo 4 ejúsdem y el artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015”.

SEGUNDO. Que, una vez agotada la etapa probatoria, y efectuado el análisis de los elementos probatorios que reposan en el expediente, así como del escrito de descargos allegado por GRUPO INNOVA INTERNATIONAL S.A.S la Dirección de Investigación de Protección de Datos Personales resolvió lo siguiente mediante la Resolución No. 64258 de 14 de octubre de 2020: “ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a la sociedad GRUPO INNOVA INTERNATIONAL S.A.S identificada con el Nit. 900.885.724-6 de DIEZ MILLONES CUARENTA Y UN MIL CIENTO SETENTA Y CUATRO PESOS M/CTE ($10.041.174), equivalente a doscientos ochenta y dos (282) UVT, por la violación a lo dispuesto en: (i) literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 de la misma ley, el artículo 9 ejúsdem y con el artículo 2.2.2.25.2.2, del Decreto Único Reglamentario 1074 de 2015, (ii) literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal k) del mismo artículo, el literal RESOLUCIÓN NÚMERO 62974 DE 2021 g) del artículo 4 ejúsdem y el artículo 2.2.2.25.6.1, del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: IMPARTIR las siguientes órdenes administrativas a la sociedad GRUPO INNOVA INTERNATIONAL S.A.S, identificada con el Nit. 900.885.724-6 así: • Deberá proceder con la supresión de todos los datos personales, de los titulares que se hayan obtenido sin autorización previa expresa e informada, conforme lo dispuesto por el literal b) del artículo 17 de la ley 1581 de 2012. • Deberá documentar e implementar un manual de políticas y procedimientos de seguridad apropiadas para la correcta protección de los datos personales de los titulares.

PARÁGRAFO PRIMERO: La sociedad GRUPO INNOVA INTERNATIONAL S.A.S, identificada con el Nit. 900.885.724-6 deberá dar cumplimiento de lo ordenado dentro de los noventa (90) días siguientes a la ejecutoria del presente acto administrativo. Para ello deberá aportar una certificación de cumplimiento expedida por un auditor externo cualificado”.

TERCERO. Que, dentro del término concedido para el efecto, mediante escrito radicado por medio de correo electrónico el día fecha 9 de noviembre de 2020, bajo el número 18-14008156-1 del 10 de noviembre de 2020, la sociedad GRUPO INNOVA INTERNATIONAL S.A.S., a través de su representante legal, interpuso recurso de reposición y en subsidio apelación contra la Resolución 64258 del 14 de octubre de 2020, el cual fundamentó en los siguientes motivos de inconformidad: 1.

Sobre el primer cargo La recurrente afirma que: “En este punto resulta de vital importancia indicar que, del material probatorio anteriormente descrito no se evidencia prueba ni tan siquiera sumaria que el correo solucionesalconsumidor@hotmail.com, se un correo de la empresa GRUPO INNOVA INTERNATIONAL SAS, quien es la sancionada en el presente proceso, tal y como se indicó, no se tiene en la base de la compañía ningún dato del señor denunciante ni tampoco se ha hecho ningún tratamiento del mismo, toda vez que, el correo aludido por el demandante no es un correo de la empresa, los correos de la empresa tienen RESOLUCIÓN NÚMERO 62974 DE 2021 la extensión sireclamo.com, y los correos que tenemos de momento es claudio@sireclamo.com, que de hecho es el correo registrado en la entidad para las notificaciones personales de los actos administrativos, contacto@sireclamo.com y reclamaciones@sireclamo.com.

Por ende dentro del giro ordinario de los negocios no se tiene y por ende no se usa una la dirección de correo solucionesalconsumidor@hotmail.com, y el sancionador no demostró que el mismo estuviera en cabeza de Grupo Innova International SAS. Y desde el número no se realizó ningún tipo de manipulación del dato objeto de denuncia. Por lo tanto, existe Falta de legitimación por pasiva.

Toda vez que, No existe prueba dentro del expediente que a través de las canales de comunicación de Grupo Innova International se hubiera tratado un dato del denunciante, y por ende devasta la tesis que no se tenía la autorización. “En la siguiente imagen se puede observar los correos que tiene la compañía y que el prestador de ese servicio a Amazon Work Mail: “Dato publicado por la entidad.

“Sin perjuicio de lo anterior y para que quede claro, a pesar que el dato no fue tratado por parte de GRUPO INNOVA INTERNATIONAL SAS, y para un correcto entendimiento de la situación, es preciso indicar que el correo electrónico del señor XXXXXXX, no ostenta la calidad de dato personal, primero porque es un correo institucional, y segundo porque de acuerdo a las políticas de la entidad el mismo se encuentra público en el sistema de trámites de la Superintendencia de Industria y Comercio.

Recordando que el señor Xxxxxxx es usuario ferviente de los servicios, prueba de lo anterior son las 12 demandas de protección al consumidor interpuestas, (17-270748, 17-415509,17-424871,18-33552, 18-133555,18- 133556,18-137744,18139033,18-174979, 18-297784,18-297787y 18-302261). Así como las siete denuncias interpuestas (17-259285, 17-387268,17-388632,17- 410719, 18-120054, 18-120061 y 18-120301) y un derecho de petición identificado con el radicado 17260122.

El sancionador tampoco analizó si el dato producto de la sanción ya fuese un dato publico, porque la norma indica que los datos que estén en sentencias serán datos públicos. Recordando que el señor XXXXXXX, y los datos de él no se encuentran en ninguna base de datos de la Compañía, y por ende tampoco se ha hecho su tratamiento, RESOLUCIÓN NÚMERO 62974 DE 2021 debido a que no ostenta ni la calidad de prospecto ni tampoco la de Cliente, razón suficiente para concluir que no ha se ha violado la disposición endilgada por parte de la entidad.

Aceptación dada por parte de XXXXXX XXXXX XXXXXXX a la política de privacidad de la Superintendencia de Industria y Comercio. “Podemos colegir que el señor XXXXXX XXXXX XXXXXXX, al aceptar la POLÍTICAS DE TRATAMIENTO DE LA INFORMACIÓN PERSONAL EN LA SUPERITENDENCIA DE INDUSTRIA Y COMERCIO, entiende que los datos que el suministra adquieren el carácter de públicos una vez ingresan al sistema de trámites, por consiguiente la denuncia del señor XXXXXXX, al final lo que denota es una falla en el deber de informarse, pues si no está de acuerdo en que esos datos obtenga el carácter de públicos no debió haber aceptado las POLÍTICAS DE TRATAMIENTO DE LA INFORMACIÓN PERSONAL EN LA SUPERITENDENCIA DE INDUSTRIA Y COMERCIO, y pretende ahora que se le vulneraron unos derechos cuando en realidad no atendido a los deberes que como consumidor le asistían.

Y acá nuevamente se hace necesario llamar la atención del sancionador toda vez que, abusa de su posición dominante e infligió el derecho a la defensa, porque la entidad esta realizando un incorrecto tratamiento de lo datos de los ciudadanos y no está teniendo en cuenta la política de tratamiento de datos de la entidad, yendo en contravía de lo expresado en la misma, y nuevamente como el fallador no le parece importante el testimonio del denunciante, le impide de entender la verdad del asunto, porque era deber del señor conocer primero la norma y quedaría mas que demostrado que no elevó queja ante GRUPO INNOVA INTERNATIONAL y así mismo tampoco conocía de la política de la entidad y la forma en que están siendo tratados sus datos.

Dejando constancia que, el correo electrónico del señor denunciante no ostenta el carácter de dato personal, si tenemos en cuenta que, el mismo pertenece a la institución universitaria Universidad del Norte, y no es el correo personal que pude adquirir a través de internet de forma gratuita, y sobretodo como ya tiene tantos tramites y sentencias debidamente ejecutoriadas también ostenta el carácter de público acá sería importante que el sancionador explicara que datos del señor ya se consideran públicos por las sentencias que están ya ejecutoriadas.” 2.

Sobre el segundo cargo La recurrente afirma que: “La imputación realizada, dentro del expediente no obra prueba tan siquiera sumaria que indique que se ha adulterado, perdido, consultado o tenido acceso a la información, por parte de terceros no autorizados, y de esta forma demostrar que las medidas técnicas aportadas no fueran suficientes.

Por lo tanto, no ha existido un hecho que demuestre que la información ha sido objeto de la violación al principio de seguridad, y esto hace que se tenga como motivo suficiente para asegurar que se cuentan con las medidas técnicas humanas, y administrativas que garantizan el mismo. Y no exista una infracción a evaluar, por lo tanto, el cargo imputado carece de objeto, y nuevamente impide, el correcto ejercicio de derecho a la defensa.

No obstante, lo anterior, me permito aportar nuevamente el manual de seguridad, para que se tenga en cuenta el mismo. Y, sobre todo, que se aplique proporcionalmente el RESOLUCIÓN NÚMERO 62974 DE 2021 tamaño de la empresa, naturaleza de los datos, el tipo de tratamiento al que está sujeto, riesgos que podría causar. Y que la sociedad no cuenta con sanciones previas, ni investigaciones, ni denuncias por este particular.

Aunado a lo anterior y teniendo claro que la empresa tiene toda la información en servidores de Amazon me permito adjuntar la siguiente documentación que denota el extenso cumplimiento de la misma en términos de seguridad de los datos personales, y lo pantallazos donde se observa que la plataforma si reclamo junto con la base de datos reposa en un servidor Amazon: (…) Además, me permito anexar certificado en donde se puede observar que no se tienen quejas relacionadas con datos personales.

Y en este punto se hace importante indicar que no se entiende la forma en que se analiza la seguridad de la información, si no se tienen muestras de fallas o vulneraciones de los sistemas de información, y se cuenta con las medidas técnicas necesarias para garantizar el correcto cumplimiento del mismo. Y en cambio la entidad y especialmente en el sistema de trámites que es donde reposa toda la información de las personas, indica que la página no es segura, y nuevamente llamo la atención bajo que parámetros se revisan los protocolos de seguridad, para un correcto entendimiento me permito aportar las siguientes imágenes que son extraídas directamente de la página de la entidad.

(…) no se entiende porque se indica que la base de datos no es segura cuando el mismo google lo certifica, y no obstante lo anterior también se indica que nuestra información está alojada en servidores Amazon que son los más seguros del mundo y cumplen con todos y cada uno de los estándares nacionales e internacionales en cuanto a seguridad se refiere, por ende, carece de sustento la sanción impuesta si tenemos en cuenta este contexto.” 3.

Proporcionalidad de la sanción La recurrente afirma que: “En el análisis de imputación realizado en el cargo segundo del despacho, en donde resulta tan impreciso que termina dificultando la defensa, debido a que no se indica la proporcionalidad de estas medidas con la información que indica el artículo, estamos hablando de una micro empresa, no son datos sensibles, el tratamiento es para hacer tramite de los documentos, y no existen riesgos demostrados de los datos manejados.

Así mismo, se aportó el manual de las medidas adoptadas. En este punto se indica que, no se esta teniendo la sanción mínima a pesar que debería hacerlo y tampoco indica el porque llega a la cuestión de la imposición de no poner el mínimo y es preciso indicar lo aportado por parte de la entidad.” 4. Debido proceso RESOLUCIÓN NÚMERO 62974 DE 2021 La recurrente afirma que: “El pliego de cargos realizado por parte de la entidad no goza de la exactitud, precisión y determinación, que permitan apreciar que los hechos frente a las disposiciones presuntamente infringidas estén debidamente individualizados, vale la pena decir haciendo precisión acerca de la conducta con que resulta infringida cada norma imputada.

Si tenemos en cuenta que se debe dar una descripción de la conducta, que permita identificar el modo, tiempo y lugar, la modalidad específica de la misma, si se da a título de dolo o culpa, las pruebas que fundamentan cada uno de los cargos. Lo que nos lleva a la irrefutable conclusión que los cargos son excesivamente abiertos, indeterminados y no cuenta con lineamentos claros que permita el ejercicio al derecho a la defensa de manera libre, e impidan la justificación de la conducta, y específicamente la correcta adecuación del derecho a la defensa, debido a que me pone en la situación de probar que con el comportamiento no se ha violado ninguna de las disposiciones del ordenamiento jurídico, o gran parte de ellas, lo que desde cualquier punto de vista, resulta imposible.

Lo incomprensible de los anteriores cargos hacen imposible el ejercicio pleno del derecho de defensa, su no claridad, su condición de ininteligible, los hace contrarios a la exigencia legal de claridad y precisión, que frente a las imputaciones exige la norma procesal, el único remedio en franca ayuda a la Superintendencia, sería entrar a realizar un esfuerzo interpretativo encaminado a afirmar que allí no dice lo que literalmente afirma, esfuerzo cuyo resultado dependerá de quien lo haga, dado que es más de uno los ejercicios interpretativos que pueden realizarle a propósito de cualquiera de los apartes de los cargos.

En razón a lo anterior, y debido a la carencia de estos requisitos de obligatorio cumplimiento por parte de la entidad, se solicita se revise la legalidad del acto administrativo número 5845 del 14 de marzo de 2019. Porque el mismo viola el derecho al debido proceso al no configurarse de manera clara, determinada, específica, y precisa los cargos imputados, lo que conlleva necesariamente a la imposibilidad de una correcta defensa, y además puede violar el artículo 33 de la Constitución Política de Colombia, razón suficiente para que la anterior solicitud prospere, y se ordene de inmediato la terminación de la presente investigación.” En virtud de lo expuesto, GRUPO INNOVA INTERNATIONAL SAS, solicita que sea revocado en su integridad el acto administrativo Nº 64258 de 14 de octubre de 2020 y en subsidio que se reduzca el monto de la sanción impuesta al mínimo posible.

CUARTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la recurrente en el escrito del recurso de apelación contra la Resolución Nº 64258 de 14 de octubre de 2020, se procede a resolver el recurso interpuesto, de acuerdo con las siguientes: RESOLUCIÓN NÚMERO 62974 DE 2021 CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. El artículo 16 del Decreto 4886 de 26 de diciembre de 20111 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destacan las siguientes: “(…) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.

(…)”.

2. DE LA COHERENCIA ENTRE LOS CARGOS FORMULADOS Y LOS REQUISITOS LEGALES ESTABLECIDOS EN EL ARTÍCULO 47 DE LA LEY 1437 DE 2011 Del artículo 47 de la Ley 1437 de 20112 se concluye que el pliego de cargos es la imputación que hace una entidad pública a un persona natural o jurídica cuando, como resultado de averiguaciones preliminares, establece que existen méritos para adelantar un procedimiento sancionatorio.

La finalidad de dicho pliego es informar al investigado de los hechos y normas presuntamente infringidas para que presente los descargos y solicite o aporte las pruebas que pretendan hacer valer. Con miras a garantizar el derecho de defensa, la formulación de cargos debe ser precisa de manera que el investigado conozca claramente de qué se le acusa y pueda presentar sus argumentos.

En ese sentido, el citado artículo 47 ordena lo siguiente:

ARTÍCULO

47. PROCEDIMIENTO ADMINISTRATIVO SANCIONATORIO. (…) Las actuaciones administrativas de naturaleza sancionatoria podrán iniciarse de oficio o por solicitud de cualquier persona. Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado.

Concluidas las averiguaciones preliminares, si fuere del caso, formulará cargos mediante acto administrativo en el que señalará, con precisión y claridad, los hechos que lo originan, las personas naturales o jurídicas objeto de la investigación, las disposiciones presuntamente vulneradas y las sanciones o medidas que serian procedentes. (…)”.

(Destacamos). Sobre este punto, el Consejo de Estado ha precisado que “la pieza procesal esencial sobre la que se edifica un proceso sancionatorio es el pliego de cargos el que debe tener absoluta coherencia con la decisión que pone fin a la actuación, debiendo cumplir estrictos requisitos Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.

Por la cual se expide el Código de Procedimiento Administrativo y de lo Contencioso Administrativo. RESOLUCIÓN NÚMERO 62974 DE 2021 formales y sustanciales, dentro de los cuales tiene especial trascendencia la precisión y claridad de los hechos que son motivo de investigación y por los cuales se formula la imputación, de la misma manera que la modalidad en que ocurrieron, y las circunstancias de agravación de la sanción que hayan sido deducidas, así como la calificación jurídica de tales situaciones”3.

La formulación de cargos debe ser clara y precisa para que el investigado se defienda sobre lo que concretamente se le acusa. En caso de que se adopte una sanción, la misma debe ser respecto de lo que se acusó al investigado. En otras palabras, debe existir coherencia entre los cargos y la sanción. No se puede sancionar por un hecho o conducta sobre la cual no se le imputó cargos al investigado.

Lo anterior tiene que ser así para garantizar el debido proceso que comprende, entre otras, el derecho de contradicción y defensa. En suma, debe existir congruencia entre el cargo formulado y la sanción impuesta de manera que no se sancione por una conducta no señalada en el pliego de cargos. En línea con lo anterior, el Consejo de Estado han señalado que “es importante resaltar que para adoptar la decisión definitiva la administración deberá mantener las mismas garantías formales establecidas para el pliego de cargos acto con el cual deberá guardar coherencia como una manifestación del acatamiento de la administración al principio de congruencia y del respeto del debido proceso”4.

(Destacamos). Puntualmente, dicha Corporación ha precisado que “la Sala ha sostenido que las sanciones deben imponerse por los mismos hechos planteados en el pliego de cargos, puesto que si se sanciona por hechos distintos se desconoce el debido proceso, dado que el administrado no tiene la oportunidad de ejercer su derecho de defensa”5. (Destacamos).

En el presente caso, la recurrente afirma lo siguiente: “El pliego de cargos realizado por parte de la entidad no goza de la exactitud, precisión y determinación, que permitan apreciar que los hechos frente a las disposiciones presuntamente infringidas estén debidamente individualizados, vale la pena decir haciendo precisión acerca de la conducta con que resulta infringida cada norma imputada.

Si tenemos en cuenta que se debe dar una descripción de la conducta, que permita identificar el modo, tiempo y lugar, la modalidad específica de la misma, si se da a título de dolo o culpa, las pruebas que fundamentan cada uno de los cargos. (…) “ Por su parte, en la Resolución 5845 del 14 de marzo de 2019 se formularon los siguientes cargos: Cfr. Consejo de Estado, Sección Quinta.

Consejera ponente: Rocío Araújo Oñate Bogotá D.C., veintidós (22) de febrero de dos mil dieciocho (2018). Radicación Número: 25000232400020100034801 Cfr. Consejo de Estado. Sala de Consulta y Servicio Civil. Consejero Ponente: Álvaro Namén Vargas. Bogotá D.C., treinta (30) de octubre de dos mil trece (2013).-Rad. No. 11001-03-06-000-2013-00392-00 Cfr. Consejo de Estado Sala de lo Contencioso Administrativo Sección Cuarta:Consejero Ponente: Martha Teresa Briceño De Valencia. Bogotá D.C., Treinta (30) de agosto de dos mil dieciséis (2016).

Radicación número: 20001-23-33-000-2012-00204-01(20771). En la sentencia citan estas decisiones del Consejo de Estado: Sentencias de 6 de agosto de 1998, C.P. doctor Delio Gómez Leyva, Exp. 9886; de 14 de abril de 2000, C.P. doctor Germán Ayala Mantilla, 2 de noviembre de 2001, C.P. doctora Ligia López, Exp. 12283 y de 10 de julio de 2014, C.P. Martha Teresa Briceño de Valencia, exp. 19212.

RESOLUCIÓN NÚMERO 62974 DE 2021 Dado lo anterior, a continuación se verificará lo siguiente: ¿En la resolución 5845 del 14 de marzo de 2019 se señalaron con precisión y claridad los siguientes aspectos? Los hechos que lo originan Si Las personas naturales o jurídicas objeto de la investigación Las disposiciones presuntamente vulneradas Las sanciones o medidas que serian procedentes.

Si Si Si Así las cosas, no son de recibo los argumentos de la recurrente porque no se ajustan a la realidad ya que el pliego de cargos cumplió los requisitos legales establecidos en el artículo 47 de la Ley 1437 de 2011.

3. DEL REQUISITO DE PROCEDIBILIDAD ESTABLECIDO EN EL ARTÍCULO 16 DE LA LEY 1581 DE 2012. El artículo 16 de la Ley 1581 de 2012 establece que: “REQUISITO DE PROCEDIBILIDAD. El Titular o causahabiente sólo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante el Responsable del Tratamiento o Encargado del Tratamiento”.

Por su parte, la recurrente afirma lo siguiente: Página 3. Recurso de Apelación. RESOLUCIÓN NÚMERO 62974 DE 2021 Este argumento no es de recibo por este Despacho teniendo en cuenta que, el requisito de procedibilidad al que hace mención el artículo 16 de la Ley 1581 de 2012 está relacionado con el ejercicio del derecho de habeas data por parte de un Titular.

A saber, aquel derecho que tienen los titulares para conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas6. Contrario sensu, la presente actuación está asociada a la potestad sancionatoria de la que goza la Superintendencia de Industria y Comercio que la faculta de manera oficiosa para adelantar las investigaciones correspondientes para verificar el cumplimiento de la Ley Estatutaria 1581 de 2012 por parte de los sujetos obligados.

En efecto, tanto el literal b) del artículo 21 de dicha ley como el artículo 47 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (Ley 1437 de 2011) ordenan lo siguiente: “ARTÍCULO 21. FUNCIONES. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: (…) “b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.

Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; (…)” (Énfasis añadido)

ARTÍCULO

47. PROCEDIMIENTO ADMINISTRATIVO SANCIONATORIO. (…). Las actuaciones administrativas de naturaleza sancionatoria podrán iniciarse de oficio o por solicitud de cualquier persona. Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado.

(…)”. (Énfasis añadido) Adicionalmente, el artículo 22 dispone lo que sigue a continuación: “ARTÍCULO 22. TRÁMITE. La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes.” (Énfasis añadido) En línea con lo anterior, como lo indicó la Dirección, respecto del requisito de procedibilidad, esta entidad se pronunció en los siguientes términos en la Resolución 41510 de 2014: Constitución Política de Colombia de 1991.

Artículo

15. RESOLUCIÓN NÚMERO 62974 DE 2021 Así las cosas, lo señalado en el artículo 16 de la Ley Estatutaria 1581 de 2012 no es un requisito de procedibilidad para que esta entidad inicie un proceso administrativo sancionatorio. Por ende, no se ajustan a derecho los argumentos de la recurrente.

4. DE LAS DIRECCIONES DE CORREO ELECTRÓNICO COMO DATOS PERSONALES Y DE LA CLASIFICACIÓN JURÍDICA DE ESTA CLASE DE INFORMACIÓN. UN CORREO ELECTRÓNICO CON DOMINIO DE UNA INSTITUCIÓN EDUCATIVA, PER SE, NO ES UN DATO PERSONAL DE NATURALEZA PÚBLICA. Para efectos de este caso resulta necesario recordar que no toda información es un dato personal, ni que todo dato personal requiere de la autorización para ser tratado.

Una dirección de correo electrónico no es, per se, un dato personal y algunas direcciones de correo electrónico son datos personales de naturaleza pública. Basta recordar las siguientes definiciones de la Ley 1581 de 2012: “ARTÍCULO 3o. DEFINICIONES. Para los efectos de la presente ley, se entiende por: a) Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales; b) Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento; c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables; d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento;

RESOLUCIÓN NÚMERO 62974 DE 2021 e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos; f) Titular: Persona natural cuyos datos personales sean objeto de Tratamiento; g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.” El numeral 2 del artículo 2.2.2.25.1.3. del Decreto 1074 de 2015, por su parte, define el Dato público en los siguientes términos: “Es el dato que no sea semiprivado, privado o sensible.

Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no sometidas a reserva”.

(Destacamos). Sobre la profesión y oficio, el artículo 26 de la Constitución Política de Colombia establece que: “Toda persona es libre de escoger profesión u oficio. La ley podrá exigir títulos de idoneidad. Las autoridades competentes inspeccionarán y vigilarán el ejercicio de las profesiones. Las ocupaciones, artes y oficios que no exijan formación académica son de libre ejercicio, salvo aquellas que impliquen un riesgo social.

Las profesiones legalmente reconocidas pueden organizarse en colegios. La estructura interna y el funcionamiento de éstos deberán ser democráticos. La ley podrá asignarles funciones públicas y establecer los debidos controles”. Para la Corte Constitucional, la profesión u oficio se refieren a las actividades laborales que una persona realiza.

En este sentido, señalo lo siguiente en la sentencia C-568 de 2010: “el constituyente supone que (i) las profesiones comportan una necesaria formación académica como garantía de aptitud para la realización de la actividad profesional, reduciéndose de esta manera el riesgo social que puede implicar su ejercicio, y que (ii) las ocupaciones, artes y oficios que no impliquen un riesgo social, no requieren por lo general una especial formación académica, aun cuando también es posible imponer reglamentación, inspección, vigilancia y cierta escolaridad.

Así las cosas, observa esta Corte que el ejercicio de una profesión u oficio se funda en el respeto a la libertad individual de escogencia de una actividad laboral y en la protección de los riesgos sociales (…)” 7(Énfasis añadido) De otra parte, la Corte Constitucional en Sentencia C-606 de 1992 afirmó lo siguiente: Cfr. Corte Constitucional, sentencia C-568 del 14 de julio de 2010.

M.P. Dr. Nilson Pinilla. En: https://www.corteconstitucional.gov.co/RELATORIA/2010/C-568-10.htm RESOLUCIÓN NÚMERO 62974 DE 2021 “El derecho a escoger profesión u oficio es una derivación directa del derecho al trabajo. Por ende, el razonamiento expuesto se aplica también al derecho consagrado en el artículo 26 de la Carta (…) (…) el derecho a ejercer la profesión u oficio se adquiere en general con el lleno de los requisitos legales necesarios para obtener el título de idoneidad de que habla el artículo 26 de la Carta, cuando el legislador así lo haya previsto.

Pero las ocupaciones, artes u oficios que no exijan formación académica y que no entrañen un riesgo social, son de libre ejercicio en el territorio nacional..”8. (Énfasis añadido) Para obtener un título de idoneidad se requiere estudiar. Por eso, la “actividad de estudiar” o ser “estudiante” no es una profesión u oficio sino un requisito para obtener cierta formación académica.

Así las cosas, el correo electrónico de un estudiante no puede considerarse un dato de naturaleza pública en concordancia con numeral 2 del artículo 2.2.2.25.1.3. del Decreto 1074 de 2015. Caso concreto En el caso concreto, la recurrente afirma lo siguiente en el recurso de apelación: Página 8. Página 9. Teniendo en cuenta lo anterior, se establece lo siguiente: • La dirección de correo electrónico xxxxxxxxx@xxxxxxxx.xxx.xx es un dato personal porque se refiere a una “información vinculada o que pueda asociarse a una o varias Cfr. Corte Constitucional, sentencia C-606 del 14 de diciembre de 1992.

M.P. Dr. Ciro Angarita Barón. En: https://www.corteconstitucional.gov.co/relatoria/1992/C-606-92.htm RESOLUCIÓN NÚMERO 62974 DE 2021 • • • • • personas naturales determinadas o determinables”. En este caso, al Titular Xxxxxx Xxxxx Xxxxxxx. Un correo electrónico vinculado a una persona no deja de ser un dato personal por estar en una fuente de acceso público.

La naturaleza de los datos personales no se define por el lugar donde se encuentra la información, pero sí por el cumplimiento de unos parámetros definidos en la regulación nacional. La dirección de correo electrónico xxxxxxxxx@xxxxxxxx.xxx.xx no permite deducir que éste se encuentra relacionado con la profesión u oficio del Titular. Un correo electrónico vinculado a una persona que pertenezca a una institución educativa, per se, no es un dato personal de naturaleza pública.

Precisamente, el estudio no se considera bajo nuestra legislación nacional como una profesión u oficio. Así, el correo electrónico de un estudiante no puede entenderse como un dato personal de naturaleza pública. El correo electrónico de un docente o personal administrativo de una institución educativa sí es un dato de naturaleza pública porque está relacionado con su profesión u oficio.

El mero hecho de que un dato personal sea de acceso público, NO significa que, por esa sola razón, sea un dato de naturaleza pública. Por eso, el inciso 2 del decreto 1377 de 2013 (incorporado en el decreto 1074 de 2015) es claro en señalar que “Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos.” (Énfasis añadido).

En suma, no todo dato de acceso público es, per se, de naturaleza pública. La naturaleza jurídica de un dato público no depende únicamente de que su acceso sea libre. De ser así, equivocadamente se concluiría que todos los datos personales que reposan en internet -fotos, videos, direcciones de correo electrónico, historias clínicas- son de naturaleza pública y por ende cualquier persona puede tratarlos sin autorización previa, expresa e informada del Titular del Dato.

Visto lo anterior, no son de recibo los argumentos del recurrente porque las direcciones correo electrónico si son, según el caso, datos personales y no toda dirección de correo electrónico de acceso público es de naturaleza pública.

5. DE LA RECOLECCIÓN DE DATOS PERSONALES EN FUENTES DE ACCESO PÚBLICO La recurrente afirma que el correo electrónico del Titular tiene naturaleza pública por estar en una fuente de acceso público. Lo anterior, en los siguientes términos: Página 9. Recurso de apelación. RESOLUCIÓN NÚMERO 62974 DE 2021 Es de anotar que la Superintendencia de Industria y Comercio recibe periódicamente quejas sobre prácticas comerciales consistentes en la extracción de datos personales de páginas web con el fin de enviar comunicaciones de marketing directo.

Entre los Datos personales recopilados se encuentran números de teléfono y correos electrónicos. Con esta información, los responsables del Tratamiento envían comunicaciones a los titulares de la información. La información publicada por esta Superintendencia con respecto a los correos electrónicos de las partes, cumple una finalidad específica que es la de dar publicidad a los actos administrativos y cumplir la norma procesal por lo que el uso de esa misma información para la oferta de productos y servicios por parte de la sociedad GRUPO INNOVA INTERNATIONAL S.A.S exige que se obtenga la Autorización previa, expresa e informada del titular, como lo establece la Ley Estatutaria 1581 del 2012.

Los datos personales que suministran los ciudadanos a la SIC son para ser utilizados en el contexto de una actuación administrativa entre el mismo y dicha entidad. Los ciudadanos no entregan su información para que terceros la recolecten y usen para fines de marketing o publicidad. El hecho que estén disponibles en internet no significa que cualquier persona puede tratarlos sin autorización previa, expresa e informada del Titular del Dato.

Recolectar datos personales privados, semiprivados o sensibles en internet no legitima al recolector para apropiarse de dicha información y hacer lo que quiera con la misma. Cuando un Responsable reutiliza los datos personales públicamente disponibles en línea (fuentes de acceso público) para enviar comunicaciones de marketing directo sobre sus productos y servicios por correo electrónico o mediante sistemas de llamadas automatizadas, la empresa debe obtener la Autorización de los Titulares antes de enviar dichas comunicaciones.

Precisamente, el Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) afirma que: “Artículo 4°. Recolección de los datos personales. En desarrollo de los principios de finalidad y libertad, la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos conforme a la normatividad vigente.

Salvo en los casos expresamente previstos en la ley, no se podrán recolectar datos personales sin autorización del Titular. A solicitud de la Superintendencia de Industria y Comercio, los Responsables deberán proveer una descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso.

No se podrán utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales. (…) Artículo 5°. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los RESOLUCIÓN NÚMERO 62974 DE 2021 datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos”. En suma, no se ajustan a derecho los argumentos de la recurrente porque el Responsable del Tratamiento que recolecte Datos personales (ej.

Correos electrónicos) en fuentes de acceso público – por medios automáticos o mecánicos – para enviar comunicaciones de marketing directo sobre sus productos, requerirá la Autorización del Titular salvo que esa información sea jurídicamente de naturaleza pública 9.

6. LA AUTORIZACIÓN DEL TITULAR ES UN PRERREQUISITO PARA PODER TRATAR SUS DATOS CON FINES DE MARKETING, PUBLICIDAD O COMERCIO ELECTRÓNICO. EN CASOS EXCEPCIONALES SE PUEDE HACER SIN AUTORIZACIÓN, PERO ELLO NO SIGNIFICA QUE DESAPAREZCA LA PROTECCIÓN LEGAL DE ESA INFORMACIÓN Y DEL TITULAR DEL DATO. Las actividades de marketing, publicidad y comercio electrónico son lícitas y para su realización debe aplicarse la regulación sobre tratamiento de datos personales.

Durante 2019 esta entidad emitió las siguientes dos (2) guías10 para que sean tenidas en cuenta por parte de quienes efectúan esas labores: • • GUÍA SOBRE EL TRATAMIENTO DE DATOS PERSONALES PARA FINES DE COMERCIO ELECTRÓNICO GUÍA SOBRE EL TRATAMIENTO DE DATOS PERSONALES PARA FINES DE MARKETING Y PUBLICIDAD Estas no son de obligatorio cumplimiento, pero presentan orientaciones o recomendaciones para cumplir mandatos legales como, entre otros, los artículos 9 y 10 de la Ley Estatutaria 1581 de 2012, a saber: “ARTÍCULO 9o.

AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.

ARTÍCULO

10. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓN. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; El numeral 2 del artículo 3 del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) afirma que: “Dato público: Es el dato que no sea semiprivado, privado o sensible.

Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva”.

Los textos están disponibles en la sección de publicaciones de la Delegatura para la protección de datos personales: https://www.sic.gov.co/tema/proteccion-de-datos-personales RESOLUCIÓN NÚMERO 62974 DE 2021 b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d)Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.

Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley.” Como se observa, por regla general se requiere la Autorización previa, expresa e informada para tratar los datos personales que no sean de naturaleza pública. En algunos casos excepcionales, el artículo 10 de la Ley 1581 de 2012 permite el tratamiento de datos sin el consentimiento del Titular del Dato.

No obstante, la recolección de Datos sin Autorización no significa que quede sin protección esa información, o los ciudadanos Titulares de los Datos. En efecto, la parte final del artículo 10 de la Ley 1581 de 2012 esa norma señala que “quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley”.

La falta de autorización no genera la desaparición de la protección jurídica de los datos personales y de los Titulares de los mismos porque el Responsable o Encargado debe cumplir todas las demás obligaciones legales establecidas en la citada ley y sus decretos reglamentarios. Así pues, la Autorización es un mecanismo muy importante de legitimación para tratar Datos personales, pero no es, per se, una forma de protección de los derechos.

La efectiva protección de éstos, dependerá, entre otros, de las medidas que implementen los Responsables del Tratamiento para cumplir la regulación sobre la materia.

7. LA RECURRENTE REALIZÓ UN TRATAMIENTO DE DATOS PERSONALES DESCONOCIENDO LO PREVISTO EN EL LITERAL B) DEL ARTÍCULO 17 DE LA LEY 1581 DE 2012. En el numeral segundo de la Resolución 64258 de 2020 se especifica que se dio inicio a la presente actuación administrativa por, entre otros, lo siguiente: Así, es importante dejar claro que la presente investigación tenía como propósito establecer si la sociedad recurrente hace Tratamiento de datos personales desconociendo lo previsto en el literal b) del artículo 17 de la Ley 1581 de 2012 y sus normas concordantes.

Precisamente, la sociedad recurrente no logró allegar a esta autoridad manifestación alguna RESOLUCIÓN NÚMERO 62974 DE 2021 del Titular quejoso dirigido a otorgar su Autorización para el Tratamiento de sus datos personales. Dicha situación quedó en evidencia en la resolución recurrida en los siguientes términos: Por su parte, sobre el proceso de recolección de información la recurrente asegura que los titulares sólo reciben un correo electrónico “(…) en donde encontrará el poder, la autorización para el manejo de los datos, la forma en que se prestará el servicio (…)” luego de que los titulares se hubiesen comunicado con ellos para contarles los hechos del caso y el origen de la reclamación. Ahora bien, el material probatorio demuestra que la recolección de datos personales de los titulares por parte de la recurrente se realizó de manera irregular, pues no se evidencia copia de la Autorización previa para la recolección y Tratamiento de aquel dato (correo electrónico) para la remisión de la información descrita.

Este Despacho se pregunta, ¿cómo podría tener presente el cumplimiento de las normas en comento, si, precisamente, la recurrente considera que el correo electrónico del denunciante no es un dato personal? Sobre las cargas probatoria en el Tratamiento de Datos personales La regulación sobre protección de datos impone al Responsable la carga probatoria de acreditar la citada Autorización. Es necesario tener presente que, “los responsables del RESOLUCIÓN NÚMERO 62974 DE 2021 tratamiento de datos personales deben ser capaces de demostrar, a petición de la efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”11 y en el Decreto 1377 de 2013.

La obtención de la Autorización puede hacerse mediante cualquiera de los medios autorizados en el artículo 7 del decreto 1377 de 2013, incluso las conductas inequívocas. No obstante, no debe perderse de vista que el Responsable del Tratamiento debe estar en capacidad de probar que obtuvo el consentimiento previo, expreso e informado del Titular del Datos.

De hecho, no sólo el Titular tiene el derecho de “solicitar prueba de la citada autorización”12, sino que es deber del Responsable del Tratamiento “solicitar y conservar, en las condiciones previstas en esta ley, copia de la respetiva autorización otorgada por el titular”13. Reiteramos que la Autorización puede obtenerse utilizando diversos mecanismos o procedimientos que se utilicen en la página web, pero es estrictamente necesario tener la prueba de la autorización individual y concreta de todos y cada uno de los Titulares cuyos datos se recolectan en la página web.

A saber, no sirve acreditar proformas generales sino autorizaciones puntuales sobre cada Titular del Dato. Es preciso resaltar que la regulación sobre datos personales impone cargas probatorias en cabeza de los Responsables del Tratamiento como, entre otras, las siguientes: a) Conservar prueba de haber informado al titular, al momento de solicitarle la autorización, de manera clara y expresa lo que ordena el artículo 12 de la Ley 1581 de 2012 y, cuando el Titular lo solicite, entregarle copia de ello14. b) “Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”15. c) “Proveer una descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso”16. d) “Documentar los procedimientos para el Tratamiento, conservación y supresión de los datos personales de conformidad con las disposiciones aplicables a la materia de que se trate”17. e) “Desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas”18. f) “Conservar el modelo del Aviso de Privacidad que utilicen para cumplir con el deber que tienen de dar a conocer a los Titulares la existencia de políticas del tratamiento de la información y la forma de acceder a las mismas, mientras se traten datos personales conforme al mismo y perduren las obligaciones que de este se deriven”19.

Cfr. Artículo 26 del Decreto 1377 de 2013. Cfr. Literal b) del artículo 8 de la Ley Estatutaria 1581 de 2012 Cfr. Literal b) del artículo 17 de la Ley Estatutaria 1581 de 2012. Cfr. Parágrafo del artículo 12 de la Ley 1581 de 2012. Cfr. Literal (b) del artículo 17 de la Ley 1581 de 2012 y artículo 8 del Decreto 1377 de 2013 “Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos”.

Cfr. Artículo 4 del Decreto 1377 de 2013. Cfr. Artículo 11 del Decreto 1377 de 2013. Cfr. Artículo 13 del Decreto 1377 de 2013. Cfr. Artículo 16 del Decreto 1377 de 2013. RESOLUCIÓN NÚMERO 62974 DE 2021 g) Adoptar “las medidas razonables para asegurar que los datos personales que reposan en las bases de datos sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento”20.

En suma, quienes desarrollen actividades económicas en la internet deben establecer medidas útiles, apropiadas y efectivas para cumplir sus obligaciones legales. Adicionalmente, tendrán que evidenciar y demostrar el correcto cumplimiento de sus deberes.

8. DE LA MANERA COMO LA SOCIEDAD RECURRENTE DEBE ACREDITAR EL CUMPLIMIENTO DE LA ORDEN ADMINISTRATIVA. En la resolución recurrida, la Dirección de Investigación de Protección de Datos Personales impartió las siguientes órdenes administrativas: Este Despacho verificó que, a la fecha, la sociedad recurrente no allegó a esta autoridad una certificación de cumplimiento expedida por un auditor externo. La sociedad GRUPO INNOVA INTERNATIONAL S.A.S no ha demostrado el cumplimiento de la orden impartida, en consecuencia, no se ha presentado la figura de un hecho superado, razón por la cual no se revocará la orden impartida.

Dada la relevancia del tema, se considera pertinente destacar lo siguiente respecto del principio y deber de seguridad en el debido Tratamiento de Datos personales.

9. DEL PRINCIPIO Y DEL DEBER DE SEGURIDAD EN EL DEBIDO TRATAMIENTO DE DATOS PERSONALES. Mediante Resolución 5845 del 14 de marzo de 2019, la Dirección de Investigaciones de Protección de Datos Personales, dejó claro que el segundo cargo formulado contra la recurrente con ocasión de la denuncia presentada, recaía en la presunta vulneración al deber de contar con medidas de seguridad para el Tratamiento de los datos personales.

Cfr. Artículo 22 del Decreto 1377 de 2013. RESOLUCIÓN NÚMERO 62974 DE 2021 Respecto del principio de seguridad en el Tratamiento de datos personales, existe una amplia regulación. No obstante, se destacan las siguientes normas: Literal g) Artículo 4 de la Ley 1581 de 2012: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Literal d) Artículo 17 de la Ley 1581 de 2012: Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Por su parte, la Corte Constitucional ha establecido que: “Al amparo de este principio, la información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

(..) Existe entonces un deber tanto de los Responsables como los Encargados de establecer controles de seguridad, de acuerdo con el tipo de base de datos que se trate, que permita garantizar los estándares de protección consagrados en esta Ley Estatutaria.”21. (Subrayado fuera de texto). En el presente caso, la Coordinación del Grupo de Trabajo de Investigaciones Administrativa, solicitó a la sociedad recurrente mediante requerimiento radicado bajo el número 18-1400814-1 del 05 diciembre 2018 que allegara: "copia del manual de seguridad de la información adoptado ( ) para impedir la adulteración, perdida, consulta, uso o acceso no autorizado o fraudulento a la información personal almacenada en sus bases de datos".

La protección de datos personales no puede entenderse satisfecho con la mera redacción de políticas. No se trata de garantizar seguridad en el papel sino en la práctica. En el caso bajo estudio, la recurrente falló en demostrar la adopción de medidas idóneas, efectivas y útiles para “conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”22.

Corte Constitucional. Sentencia C – 748 del 2011. M.P. JORGE IGNACIO PRETELT CHALJUB Literal d) Artículo 17 de la Ley 1581 de 2012. RESOLUCIÓN NÚMERO 62974 DE 2021 Ahora bien, en el recurso de reposición y en subsidio de apelación la recurrente afirma lo siguiente: Página 11. Página

11. RESOLUCIÓN NÚMERO 62974 DE 2021 Página 12. De lo anterior se destaca lo siguiente: • La recurrente no había allegado a esta autoridad un manual de seguridad de la información. La documentación referenciada fue aportada (como bien lo afirma la recurrente) junto con el recurso de reposición y en subsidio de apelación. Por tanto, falta a la verdad la sociedad recurrente cuanto afirma que aportan nuevamente el manual de seguridad.

RESOLUCIÓN NÚMERO 62974 DE 2021 • La sociedad recurrente manifiesta tener contratado con Amazon los correos electrónicos corporativos, así como toda información en servidores de Amazon, sin embargo, no demostró que su implementación haya sido previo a la fecha de ocurrencia de los hechos originadores de la sanción, en consecuencia, no logra desvirtuar la responsabilidad endilgada a la sociedad. • La sociedad recurrente allegó unos documentos denominados: o Using AWS in the Context of Common Privacy & Data Protección Considerations. o Información general sobre el cumplimiento del reglamento GDPR en AWS. o Amazon Web Services. o Información general acerca de los procesos de seguridad.

Sin embargo, los mismos no logran desvirtuar el cargo, teniendo en cuenta que estos de ninguna manera dan cuenta que efectivamente fueron implementados por la sociedad en su plataforma. Tampoco se tiene certeza de que su implementación haya sido previo a la fecha de ocurrencia de los hechos originadores de la sanción, de igual modo, se hace la salvedad que los documentos se deben allegar en el idioma oficial. • El artículo 2.2.2.25.6.1 del Decreto Reglamentario 1074 de 2015 establece que: “En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”, así las cosas, la documentación aportada no establece fecha de elaboración y entrada en vigor.

10. SOBRE LA INCORPORACIÓN DE PRUEBAS AL EXPEDIENTE. Ante el rechazo de pruebas decretados por esta autoridad, la recurrente afirma lo siguiente: Página 3. Recurso de apelación. Este Despacho no comparte el argumento de la sociedad recurrente porque las pruebas solicitadas son impertinentes e inútiles para la investigación en curso. Lo anterior, por las siguientes razones: • La Superintendencia de Industria y Comercio no es el Responsable del Tratamiento que está siendo investigado.

Por tanto, no puede pretender la recurrente trasladar la carga probatoria a la entidad al solicitarle el documento de soporte donde consta la Autorización para el Tratamiento de los datos del Titular quejoso. La recurrente -no la SIC- es quien debe obtener la autorización RESOLUCIÓN NÚMERO 62974 DE 2021 y conservar prueba de la misma tal y como lo ordena el literal b) del artículo 17 de la Ley Estatutaria 1581 de 2012: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

(…)” (Énfasis añadido) La Corte Constitucional ha destacado el deber adoptar medidas para demostrar que se ha cumplido la regulación de Datos personales. En efecto, mediante la Sentencia C-32 de 2021 reconoció la existencia de la responsabilidad demostrada en los siguientes términos: “219. El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013 (sic).

El artículo 26 de esa normativa determina que los responsables del tratamiento de datos personales deberán demostrar, a petición de la Superintendencia de Industria y Comercio, entidad que obra como autoridad colombiana de protección de datos, que han implementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas.

Esto de manera proporcional a: (i) la naturaleza jurídica del responsable y, cuando sea el caso, su tamaño empresarial; (ii) la naturaleza de los datos personales objeto de tratamiento; (iii) el tipo de tratamiento; y (iv) los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares del dato personal.

Con este fin, los responsables deben informar a la SIC acerca de los procedimientos usados para el tratamiento de datos. A esta medida se suma lo previsto en el artículo 27 ejusdem, que estipula la obligación del responsable de establecer políticas internas que garanticen: (i) la existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable;

(ii) la adopción de mecanismos internos para poner en práctica dichas políticas; y (iii) la previsión de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, respecto de cualquier aspecto del tratamiento de datos personales. El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho al habeas data, en especial, la vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal”23. • En todo caso, la prueba documental solicitada no tendría vocación de demostrar el adecuado Tratamiento de los datos personales del quejoso por parte de la recurrente.

Adicionalmente, olvida la sociedad recurrente lo que ordena el recurrente lo que dispone el literal a) del artículo 10 de la cita ley: Cfr. Corte Constitucional, sentencia C-032 del 18 de febrero de 2021. M.P. Dra Gloria Stella Ortiz. El texto de la sentencia puede consultarse en: https://www.corteconstitucional.gov.co/relatoria/2021/C-032-21.htm RESOLUCIÓN NÚMERO 62974 DE 2021 “ARTÍCULO

10. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓN. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; (…)” • Con relación al decreto de la prueba consistente a requerir a la Universidad del Norte, este Despacho evidencia que la pieza probatoria no cumple con los requisitos de conducencia y utilidad.

Lo anterior, ya que, la presente investigación se asocia al mecanismo de obtención de los Datos personales de los titulares de la información por parte de la recurrente. • Respecto del testimonio del Titular quejoso, en consonancia con lo anterior, no es conducente o útil, ya que, la investigación adelantada por la Dirección tenía como propósito establecer si la recurrente hace Tratamiento de Datos personales desconociendo lo previsto en el literal b) del artículo 17 de la Ley 1581 de 2012 y sus normas concordantes.

Así, este Despacho no encuentra ninguna irregularidad en el actuar de la Dirección cuando ésta rechazo las pruebas solicitadas por la sociedad investigada.

11. PROPORCIONALIDAD DE LA SANCIÓN ADMINISTRATIVA. La sanción impuesta además de obedecer a la desatención de los deberes legalmente establecidos en la regulación sobre tratamiento de datos personales resulta proporcional en consideración a: i) los supuestos fácticos y jurídicos que motivaron el acto administrativo apelado; y ii) los documentos y demás elementos probatorios valorados en el curso de esta actuación administrativa.

En todo caso, es fundamental que el operador jurídico realice un análisis conjunto y sistemático de los criterios mencionados. Así como de los elementos y pautas que estime convenientes, con el propósito de ponderar la gravedad de la conducta y la capacidad de pago de la entidad infractora. Por este motivo, es necesario reiterar lo siguiente: • En primer lugar, el monto de la multa impuesta a la investigada es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.

De tal suerte que, la recurrente al desatender el deber de solicitar y conservar, en las condiciones previstas en la ley, copia de la respectiva Autorización otorgada por el Titular vulneró los derechos que le asisten al Titular del dato. De igual forma, incumplió sus deberes legales cuando realizó un Tratamiento de los Datos personales del quejoso sin contar con la autorización previa, expresa e informada del mismo. • No sobra señalar que la sanción impuesta a la sociedad recurrente tiene como propósito que el Responsable en el futuro no incurra en violaciones al derecho al debido Tratamiento de Dato personales y, en su defecto, cumpla a cabalidad con las disposiciones de la Ley 1581 de 2012 y demás normas que rigen el sistema de protección de Datos personales en la República de Colombia.

RESOLUCIÓN NÚMERO 62974 DE 2021 • En todo caso, la multa impuesta equivale al 0,55% del monto máximo permitido por la ley. La vulneración del derecho de la protección de datos no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.

Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.

Así las cosas, la defensa de un derecho fundamental no puede doblegarse ante los intereses económicos de un Responsable que violentó el ordenamiento jurídico. Por los motivos expuesto, no se acogerán las consideraciones de la recurrente en la medida en que la sanción impuesta obedece a las particularidades propias de esta actuación administrativa.

Aunque las razones anteriores son suficientes para confirmar la Resolución No. 64258 de 14 de octubre de 2020, esta Delegatura considera pertinente destacar lo siguiente respecto de: i. ii. Responsabilidad Demostrada (Accountability) y “Compliance” en el Tratamiento de Datos Personales, y Responsabilidad jurídica de los Administradores

12. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) Y “COMPLIANCE” EN EL TRATAMIENTO DE DATOS PERSONALES. La regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad. Por el contrario, debe ser real y demostrable.

Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante”24. Adicionalmente, es importante resaltar que los responsables o encargados del tratamiento de los datos, no se convierten en dueños de estos como consecuencia del almacenamiento en sus bases o archivos.

En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los titulares de los datos.

En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. Cfr. Corte Constitucional, sentencia T-227 de 2003. RESOLUCIÓN NÚMERO 62974 DE 2021 El artículo 2625 -Demostración- establece que, “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

El artículo 27 -Políticas Internas Efectivas-, exige que los responsables del tratamiento de datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, con respecto a cualquier aspecto del tratamiento.”26 Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada27(accountability)28”.

El término “accountability”29, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente. Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1.

Diseñar y activar un programa integral de gestión de datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.

En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.

La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”.

El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf “El término “accountability” puede ser traducido por rendición de cuentas. Esta voz inglesa, que, en su uso cotidiano, significa ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el término accountability puede ser traducido por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” Recuperado de https://www.fundeu.es/recomendacion/rendicionde-cuentas-y-norendimientomejor-que-accountability-1470/ el 22 de abril de 2019.

Cfr. Grupo de trabajo de protección de datos del artículo 29. Dictamen 3/2010 sobre el principio de responsabilidad, pág.

8. RESOLUCIÓN NÚMERO 62974 DE 2021 2. Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales. El principio de responsabilidad demostrada –accountability- demanda implementar acciones de diversa naturaleza30 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales.

El mismo, exige que los responsables y encargados del tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales.

El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales. El éxito de este dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos.

Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales” 31.

(Énfasis añadido). El principio de responsabilidad demostrada busca que los mandatos constitucionales y legales sobre tratamiento de datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los titulares de los datos personales y ii) una gestión respetuosa de los derechos humanos. Aunque no es espacio para explicar cada uno de los aspectos mencionados en la guía 32, es destacable que el principio de responsabilidad demostrada se articula con el concepto de compliance, en la medida que este hace referencia a la autogestión o “conjunto de Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo involucran procesos y procedimientos con características propias en atención al objetivo que persiguen.

Cfr. Red Iberoamericana de Protección de Datos. Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.

El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf RESOLUCIÓN NÚMERO 62974 DE 2021 procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”33.

También se ha afirmado que, “compliance es un término relacionado con la gestión de las organizaciones conforme a las obligaciones que le vienen impuestas (requisitos regulatorios) o que se ha autoimpuesto (éticas)” 34. Adicionalmente se precisa que, “ya no vale solo intentar cumplir la ley”, sino que las organizaciones “deben asegurarse que se cumple y deben generar evidencias de sus esfuerzos por cumplir y hacer cumplir a sus miembros, bajo la amenaza de sanciones si no son capaces de ello.

Esta exigencia de sistemas más eficaces impone la creación de funciones específicas y metodologías de compliance”35. Por tanto, las organizaciones deben “implementar el compliance” en su estructura empresarial con miras a acatar las normas que inciden en su actividad y demostrar su compromiso con la legalidad. Lo mismo sucede con “accountability” respecto del tratamiento de datos personales.

La identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del compliance y buena parte de lo que implica el principio de responsabilidad demostrada (accountability). En la mencionada guía se considera fundamental que las organizaciones desarrollen y ejecuten, entre otros, un “sistema de administración de riesgos asociados al tratamiento de datos personales”36 que les permita “identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales”37.

13. RESPONSABILIDAD DE LOS ADMINISTRADORES EN EL TRATAMIENTO DE DATOS PERSONALES. Según el artículo 22 de la Ley 222 de 199538 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la Ley 1581 de 2012 y cualquier otra norma concordante.

Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias” (énfasis añadido).

En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/ (última consulta: 6 de noviembre de 2018).

Cfr. Bonatti, Francisco. Va siendo hora que se hable correctamente de compliance (III). Entrevista del 5 de noviembre de 2018 publicada en Canal Compliance: http://www.canal-compliance.com/2018/11/05/va-siendo-hora-que-se-hable-correctamente-de-compliance-iii/ Idem. Cfr. Superintendencia de Industria y Comercio (2015) “Guía para implementación del principio de responsabilidad demostrada (accountability)”, págs 16-18.

Ibidem. Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” RESOLUCIÓN NÚMERO 62974 DE 2021 profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal, con la efectividad y rigurosidad requeridas.

Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumpliendo en todas las actividades que realiza su empresa u organización. El artículo 2439 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Esta presunción de responsabilidad, exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”40.

Las disposiciones referidas, prevén unos elementos de juicio ciertos, i) el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, y ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el tratamiento de datos personales. En virtud de lo expuesto, se considera imprescindible que los Administradores de la sociedad recurrente implementen en la práctica todo lo que ordena la regulación sobre Tratamiento de datos personales. 14.

CONCLUSIONES Sin perjuicio de lo establecido, no se accederá a las pretensiones de la recurrente por, entre otras, las siguientes razones: i. El mero hecho de que un dato personal sea de acceso público, NO significa que, por esa sola razón, sea un dato de naturaleza pública. Por eso, el inciso 2 del decreto 1377 de 2013 (incorporado en el decreto 1074 de 2015) es claro en señalar que “Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos.” (Énfasis añadido).

En suma, no todo dato de acceso público es, per se, de naturaleza pública. La naturaleza jurídica de un dato público no depende únicamente de que su Artículo 24, Ley 222 de 1995 “Responsabilidad de los administradores. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros.

No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten. En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos”.

Cfr. Parte inicial del artículo 24 de la Ley 222 de 1995. RESOLUCIÓN NÚMERO 62974 DE 2021 acceso sea libre. De ser así, equivocadamente se concluiría que todos los datos personales que reposan en internet -fotos, videos, direcciones de correo electrónico, historias clínicas- son de naturaleza pública y por ende cualquier persona puede tratarlos sin autorización previa, expresa e informada del Titular del Dato. ii.

Los datos personales que suministran los ciudadanos a la SIC son para ser utilizados en el contexto de una actuación administrativa entre el mismo y dicha entidad. Los ciudadanos no entregan su información para que terceros la recolecten y usen para fines de marketing o publicidad. El hecho que estén disponibles en internet no significa que cualquier persona puede tratarlos sin autorización previa, expresa e informada del Titular del Dato.

Recolectar datos personales privados, semiprivados o sensibles en internet no legitima al recolector para apropiarse de dicha información y hacer lo que quiera con la misma. iii. Por regla general se requiere la Autorización previa, expresa e informada para tratar los datos personales que no sean de naturaleza pública. No obstante, la recolección de Datos sin Autorización no significa que quede sin protección esa información, o los ciudadanos Titulares de los Datos.

En efecto, la parte final del artículo 10 de la Ley Estatutaria 1581 de 2012 esa norma señala que “quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley”. La falta de autorización no genera la desaparición de la protección jurídica de los datos personales y de los Titulares de los mismos porque el Responsable o Encargado debe cumplir todas las demás obligaciones legales establecidas en la citada ley y sus decretos reglamentarios. iv.

Una dirección de correo electrónico vinculado a una persona no deja de ser un dato personal por estar en una fuente de acceso público. Si la dirección del correo incorpora, entre otras, el nombre o sigla de una entidad educativa, ello no significa, per se, que sea un dato de naturaleza pública. v. Lo señalado en el artículo 16 de la Ley Estatutaria 1581 de 2012 no es un requisito de procedibilidad para que esta entidad inicie un proceso administrativo sancionatorio.

Las actuaciones administrativas de naturaleza sancionatoria pueden iniciarse de oficio o por solicitud de cualquier persona. vi. La formulación de cargos cumplió los requisitos legales establecidos en el artículo 47 de la Ley 1437 de 2011. vii. La multa impuesta equivale al 0,55% del monto máximo permitido por la Ley Estatutaria 1581 de 2012.

Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, concluye el Despacho que la resolución objeto de impugnación fue expedida observando la ley. De esta forma y conforme con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se confirmará en su totalidad, la Resolución No. 64258 de 14 de octubre de 2020.

RESOLUCIÓN NÚMERO 62974 DE 2021 En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: CONFIRMAR en todas sus partes contra Resolución No. 64258 de 14 de octubre de 2020, de conformidad con lo expuesto en la parte motiva del presente acto administrativo.

ARTÍCULO SEGUNDO. Notificar personalmente el contenido de la presente resolución a la sociedad GRUPO INNOVA INTERNATIONAL S.A.S identificada con el Nit. 900.885.724-6a través de su representante legal o su apoderado o quien haga sus veces, entregándole copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO TERCERO. Comunicar el contenido de la presente decisión al señor XXXXXX XXXXX XXXXXXX XXXXX identificado con la Cédula de Ciudadanía No. x.xxx.xxx.xxx o a su apoderado, entregándole copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO CUARTO. Comunicar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., septiembre 29 de 2021 El Superintendente Delegado para la Protección de Datos Personales Firmado NELSON digitalmente por REMOLINA REMOLINA NELSON ANGARITA 2021.09.29 ANGARITA Fecha: 16:32:20 -05'00' Nelson Remolina Angarita ALC RESOLUCIÓN NÚMERO 62974 DE 2021 NOTIFICACIÓN: Investigada: Entidad: GRUPO INNOVA INTERNATIONAL S.A.S Identificación: Nit.: 900.885.724-6 Representante Legal: Claudio Castrillón Zuluaga.

Identificación: C.C No. 1.053.791.706 Dirección: Cra 23 # 19 -43 Ciudad: Manizales / Caldas Correo electrónico: contabilidad@giraldoabogados.com COMUNICACIÓN: Señor: XXXXXX XXXXX XXXXXXX XXXXX Identificación: C.C. No. x.xxx.xxx.xxx Dirección: Xxx xxx # xx x - xx Ciudad: Xxxxxxxxxxx – Xxxxxxxxx Correo electrónico: xxxxxxxxx@xxxxxxxx.xxx.xx