Decisión 70020 de 2021 — SIC

(29 OCTUBRE 2021) VERSIÓN ÚNICA “Por la cual se impone una sanción y se imparten órdenes administrativas” Radicación 19-135285 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que en virtud de las funciones otorgadas a esta Superintendencia por los artículos 19 y siguientes de la Ley 1581 de 2012, y de conformidad con el procedimiento previsto en el artículo 47 de la Ley 1437 de 2011 Código de Procedimiento Administrativo y de lo Contencioso Administrativo; esta Dirección, a través del Grupo de Trabajo de Investigaciones Administrativas, se adelantó una visita de inspección los días 20 y 21 de junio del 2019, en las instalaciones de la sociedad SUEÑO ESTÉREO S.A.S, domiciliada en la ciudad de Bogotá, identificada con Nit. 900.648.406-3.

La visita tenía la finalidad de recopilar y requerir toda la información necesaria para comprobar el cumplimiento de los deberes y requisitos establecidos en el Régimen General de Protección de Datos Personales contemplados en la Ley 1581 de 2012 y demás normativa aplicable.

SEGUNDO: Que con fundamento en los hallazgos de la visita de inspección realizada los días 20 y 21 de junio del 2019, la documentación recolectada en desarrollo de la etapa de indagación preliminar y los testimonios recaudados, este Despacho pudo establecer que: 2.1. Existe un sistema de videograbación a través de trece (13) cámaras, que están ubicadas ocho (8) en el segundo piso y cinco (5) en el tercer piso, estas son monitoreadas a través de un sistema DVR (Digital Video Recorder) que almacena información por periodos de mes y medio.

Además, no se realizan copias de seguridad y las imágenes son regrabadas. También se encontró que este sistema es administrado por dos personas de la sociedad, sin embargo no se cuenta con un procedimiento prestablecido. Por otro lado, no se evidenció en la entrada ni en la recepción, la existencia de un aviso distintivo o señal en las zonas de videovigilancia que permitieran a las personas que se encuentran dentro de las instalaciones o al ingresar a ellas, saber que están siendo grabadas y monitoreadas.

Así las cosas, es importante señalar que aunque el sistema DVR y las cámaras son de propiedad de la compañía, es un deber de la sociedad SUEÑO ESTÉREO S.A.S solicitar la autorización previa para la recolección y tratamiento de la información, informar a los titulares acerca de las finalidades del tratamiento y exponer un aviso de privacidad para informar a los titulares que están siendo vigilados y monitoreados a través de un sistema de VideoVigilancia.2.2 La sociedad SUEÑO ESTÉREO S.A.S. cuenta con un sistema propio para el control de acceso biométrico (toma de huella), plataforma que está instalada en el computador de la Jefe de Compras.

Este sistema sirve para el control de ingreso y salida de los empleados al segundo y tercer piso de las instalaciones de la sociedad. La información en la plataforma de cada empleado se ingresa en el momento de la firma del contrato y cuando se retiran, sus datos se eliminan del sistema. No obstante, de acuerdo con la Jefe de Compras, no se firma una autorización de tratamiento de datos sino que se le informa de manera verbal al empleado que su huella se va a utilizar para el control de acceso.2.3 De acuerdo con las declaraciones recibidas de las personas que atendieron la visita de inspección por parte de la sociedad SUEÑO ESTÉREO S.A.S., las bases de datos reportadas que son de tipo contable se encuentran almacenadas en el servidor, las demás se encuentran en Google Drive, asociadas a una cuenta corporativa, a la que tienen acceso los funcionarios.

“Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 2, VERSIÓN ÚNICA 2.4 La sociedad en mención no cuenta con los soportes de las autorizaciones para realizar tratamiento de la base de datos denominada clientes marketing (a quien únicamente puede acceder el representante legal con su usuario y contraseña) en donde se registran datos como nombre, cédula, correo electrónico y ocasionalmente número de celular.

Estos datos se obtienen a través del registro de los titulares en el momento de la creación de las páginas para los eventos realizados. De acuerdo a lo manifestado por el representante legal, estas páginas contienen un check box para otorgar la autorización de manera previa al registro de sus datos, sin embargo dentro de las bases revisadas no se encontró el registro de dicha autorización. Aunado a lo anterior es preciso indicar que otra forma de insumo de datos para las bases de datos antes relacionadas, corresponde a la información remitida por TU BOLETA con quien celebraron un contrato de transferencia de datos, por lo tanto, preliminarmente se puede concluir que actúan como Responsables y Encargados del Tratamiento de datos personales. 2.5 La sociedad SUEÑO ESTÉREO S.A.S., no tiene control sobre el ingreso y retiro de equipos de cómputo de los visitantes e ingreso del personal ajeno a la sociedad por lo que podría evidenciarse una vulneración al principio de seguridad de la información y, posibles incidentes de seguridad al interior de la sociedad.

Del mismo modo, los equipos asignados a los empleados de la sociedad no cuentan con bloqueo de puertos USB, antivirus ni restricción al acceso de páginas web y ningún equipo tiene configurado el bloqueo de tiempo de pantalla por inactividad. 2.6. Si bien manifestaron no haber recibido ningún reclamo relacionado con protección de datos personales, la sociedad no cuenta con ningún manual para la atención de quejas y reclamos de los titulares de información. 2.7 Por último, aunque cuentan con una Política de Tratamiento de Datos Personales, la misma no se encuentra documentada en debida forma, toda vez que no estaba cargada en la página web de la sociedad y tampoco contaban con el Aviso de Privacidad en los términos de la Ley 1581 de 2012.

TERCERO: Que, con base en los hechos anotados y de acuerdo con las pruebas recolectadas en la etapa preliminar de esta investigación a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, el día 31 de julio 2020 se inició la presente investigación administrativa mediante la expedición de la Resolución N° 44102, por medio de la cual se formularon cargos a la sociedad SUEÑO ESTÉREO S.A.S. por el presunto incumplimiento de las siguientes normas: (i) (ii) (iii) (iv) (v) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2., 2.2.2.25.2.3., 2.2.2.25.2.4. y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015;

El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; El literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012. El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 y el inciso 2 del artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015.

El literal e) del artículo 4 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015.

CUARTO: Que la mencionada Resolución N°. 44102 le fue notificada a la investigada mediante aviso web N° 18423 el día 19 de agosto de 2020 de conformidad con la certificación expedida por la Secretaria General de esta Superintendencia bajo radicado número 19-135285-8, para que se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

QUINTO: Que, una vez vencido el término de quince (15) días hábiles para que la sociedad SUEÑO ESTÉREO S.A.S ejerciera su derecho de defensa y contradicción de acuerdo con lo establecido “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 3, VERSIÓN ÚNICA en el inciso tercero del artículo 47 del Código Administrativo y de lo Contencioso Administrativo, la sociedad presento escrito de descargos1 el día 8 de septiembre del 2020, manifestando lo siguiente: “(…) A los Cargos Primero y Segundo: Reconocemos expresamente la contravención parcial, temporal, y específicamente para los casos referidos adelante, al literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2., 2.2.2.25.2.3., 2.2.2.25.2.4. y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, según el cual, es deber del Responsable del Tratamiento de los datos personales, solicitar y conservar autorización previa, expresa e informada del Titular para el Tratamiento de sus datos; así como la infracción parcial, temporal, y específicamente para los casos referidos adelante, al literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, en concordancia con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, según el cual, el Responsable debe informar al Titular sobre las finalidades del Tratamiento al que serán sometidos sus datos personales.

Dichas omisiones han sido efectivamente subsanadas por mi representada, es decir Sueño Estéreo, previo a que se desatara la actual pandemia, mediante la identificación de todos los puntos de recolección de datos personales, y posterior implementación de la solicitud de autorización previa e información de sus finalidades en donde no hubiera sido previamente requerida o comunicada.

Estos puntos son: 1) recolección de datos personales de trabajadores de Sueño Estéreo, especialmente, datos biométricos; y, 2) recolección de imágenes a través del sistema de videovigilancia. Frente al primer punto, esto es, la recolección de datos de los trabajadores, especialmente los biométricos, Sueño Estéreo implementó un Acuerdo de Confidencialidad, mediante el cual se establece el procedimiento para realizar el registro de la huella dactilar, y se informa a los Titulares las finalidades específicas del tratamiento de esta información. Si bien Sueño Estéreo ya cumplía con la toma de la autorización previa para el tratamiento de datos, solicitada a todos los empleados - y proveedores en contratos de prestación de servicios - al momento de suscribir el contrato de trabajo, no se informaba el procedimiento de toma de la huella, ni su finalidad específica, esto es, el control de acceso de los trabajadores a las oficinas de la organización, pues dicho sistema de seguridad fue implementado apenas en febrero del año 2019.

De igual forma, no se cumplía con el deber de informar al Titular la facultad que le asiste de no otorgar información de carácter sensible; omisiones que, en todo caso, fueron solventadas en el Acuerdo de Confidencialidad ya implementado por mi representada (adjunto). No obstante, es de notar que, desde el mes de agosto de 2020, Sueño Estéreo se vio abocada a la entrega total de las oficinas donde ejercía su objeto social, por lo que ya no se realiza la recopilación, ni el tratamiento de esta información particular, ni se conserva de forma alguna, dado que la misma fue suprimida en su totalidad.

Al Cargo Tercero: Reconocemos expresamente la infracción parcial y temporal de Sueño Estéreo a lo dispuesto en el literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012, según el cual se deben implementar medidas que garanticen la conservación de la información bajo condiciones de seguridad. No obstante, de conformidad con las observaciones formuladas frente a ese particular en la Visita de Inspección, mi representada ya ha subsanado las omisiones relacionadas con su deber de seguridad de la información. Varias de ellas, estrictamente ligadas a la conservación de los equipos (hardware) en condiciones más seguras, fueron implementadas de forma inmediata, tal como el desplazamiento del servidor de SIIGO a un área de menos tránsito de personas, y traslado del Rack de videovigilancia, el cual almacenaba las imágenes del sistema DVR (Digital Video Recorder).

Respecto al bloqueo a puertos USB, restricción a páginas web y bloqueo automático de pantallas, si bien son medidas que no era necesario implementar, toda vez que la información personal a la que se refiere el Cargo se encuentra recopilada en otros lugares distintos a los equipos de cómputo de los trabajadores - específicamente, en el servidor SIIGO y plataforma mailchimp, las cuales son de acceso restringido, tal como quedó constatado en los numerales Escrito de descargos radicado bajo número 19-135285-10 del 9 de septiembre del 2020 “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 4, VERSIÓN ÚNICA 3.2.3. y 3.2.4. del Acta de Diligencia de Visita de Inspección - Sueño Estéreo procedió de igual forma con la aplicación de las mismas.

Así mismo, se adoptó un procedimiento para el control del sistema de videovigilancia, incluido dentro del Manual de Programa Integral de Gestión de Datos Personales, implementado por mi representada en diciembre del año 2019. No obstante, como se indicó anteriormente, Sueño Estéreo ha restituido la totalidad de las oficinas en donde inicialmente se llevó a cabo la visita de inspección. Por esta razón, ya no se recopilan imágenes de videovigilancia ni se conserva en ninguna forma los datos previamente recolectados, como tampoco se cuenta con constancia fotográfica u otra evidencia documental respecto de las medidas de seguridad anteriormente descritas, pues las oficinas ya han sido efectivamente desocupadas.

Como prueba de lo anterior, se adjunta al presente escrito copia del documento de entrega de los inmuebles arrendados, y se solicitarán pruebas testimoniales que den fe de las correcciones en seguridad implementadas antes de la actual pandemia y consecuente restitución de las oficinas. Al Cargo Cuarto: Reconocemos expresamente la infracción a lo dispuesto en literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el inciso segundo del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, según el cual, es deber del Responsable implementar un manual de políticas de seguridad, un manual de procedimiento para la atención de consultas y reclamos, y un manual en el que se describan los procedimientos usados para la recolección, uso, circulación y supresión de la información almacenada en sus bases de datos.

Frente a la omisión de mi representada, es importante resaltar que esta fue subsanada mediante la adopción de un Manual Integral de Protección de Datos Personales que, entre otras cosas, comprende políticas de seguridad de la información, procedimiento de recolección y tratamiento de datos, custodia, y atención de PQRs. Una copia del Manual Integral de Protección de Datos se adjunta al presente escrito.

Al Cargo Quinto: No reconocemos la infracción formulada por el Cargo Quinto respecto a un aparente incumplimiento a lo previsto en el literal e) del artículo 4 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015. Es importante resaltar que, de conformidad con la literalidad de las normas anteriormente indicadas, son deberes del Responsable del tratamiento "garantizar el derecho del Titular a obtener del Responsable ( ) en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan" y "aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes"; obligaciones frente a las cuales Sueño Estéreo ha cumplido en todo momento.

Si bien es cierto que, al momento de la Visita de Inspección, nuestra Política de Privacidad no estaba cargada en la página web principal de Sueño Estéreo, esto debido a un proceso técnico de actualización del portal, hecho que quedó consignado en el numeral 3.4. del Acta de Visita de Inspección, sí se cumplía con el deber de contar con una Política de Tratamiento de Datos Personales, la cual, incluso, estaba disponible al público en las páginas web de los eventos de Sueño Estéreo, tales como Baum Festival (https://www.baumfestival.com/politica-deproteccion-de-datos-personales/) o Knotfest Colombia (https://knotfestcolombia.com/terminos-y-condiciones), última en la cual, si bien no estaba cargada directamente la mencionada Política, sí se indicaba en dónde encontrarla.

Por lo tanto, se reitera que, por el simple hecho de que no estuviese cargada la Política de Privacidad en la página web www.paramopresenta.com, al momento de la visita de inspección, por motivos coyunturales de actualización del portal, - único sustento fáctico del Cargo Quinto para atribuir un aparente incumplimiento a Sueño Estéreo - no puede concluirse razonablemente una infracción a la normativa precitada, toda vez que: 1) Sueño Estéreo ha garantizado el derecho de los Titulares de obtener información y realizar cualquier solicitud relacionada con los datos que le conciernan, en cualquier momento y sin restricciones, por cuanto ha adoptado una Política de Privacidad con el pleno de requisitos legales, y la ha puesto a disposición del público ya sea en su página web principal, la de sus eventos individuales, o la de los operadores de boletería aliados para tal efecto; 2) Sueño Estéreo ha cumplido íntegramente su propia Política de Privacidad, y la ha hecho constar en medio físico y/o electrónico en todo momento, ya fuere en su página principal, eventos específicos y/o tiqueteras habilitadas.

Sin perjuicio de lo anterior, se deja constancia de que la mencionada Política ya ha se encuentra cargada y disponible para verificación en la página web principal http://paramopresenta.com/politica-de-datos/, para consulta irrestricta del Titular.” HOJA N 5, “Por la cual se impone una sanción y se imparten órdenes administrativas” VERSIÓN ÚNICA SEXTO: Que mediante Resolución N°. 70717 de 06 noviembre del 2020, esta Dirección incorporó las siguientes pruebas del expediente radicado bajo el número 19-134238, con el valor legal que les correspondiera, decretó y negó una prueba. 6.1 Pruebas recaudadas por esta Dirección 6.1.1 Acta de visita de inspección responsable y encargado de bases de datos personales ley 1582 de 2012 realizada a la sociedad SUEÑO ESTEREO S.A.S, radicada bajo el número 19-13528500001-0000 del 25 de junio de 2019. 6.1.2 Respuesta a requerimiento junto con sus anexos y Derecho de petición allegada por la sociedad SUEÑO ESTEREO S.A.S, radicada bajo el número 19-135285-00002-0000 de 2 de julio de 2019. 6.2.

Pruebas aportadas al interior del escrito de descargos por la sociedad investigada 6.2.1 Link de páginas web: • • • • https://www.baumfestival.com/politica-de-proteccion-de-datos-personales. https://knotfestcolombia.com/terminos-y-condiciones www.paramopresenta.com http://paramopresenta.com/politica-de-datos 6.3 Pruebas aportadas junto con el escrito de descargos 6.3.1 Copia de carta de fecha 18 de agosto de 2020, dirigida a la inmobiliaria MVV S.A.S por parte de la sociedad SUEÑO ESTÉREO S.A.S. 6.3.2 Imagen de aviso de privacidad de www.paramopresenta.com 6.3.3 Copia de cadena de correos electrónicos discriminados de la siguiente manera: • • • • • • • • • Correo por parte de xxxxxxxxxxxxxxxx@paramopresenta.com dirigido a mercadeo@whlcontroles.com. de fecha 24 de enero de 2019.

Correo por parte mercadeo@whlcontroles.com dirigido a xxxxxxxxxxxxxxxx@paramopresenta.com de fecha 24 de enero de 2019. Correo por parte de xxxxxxxxxxxxxxxx@paramopresenta.com dirigido a mercadeo@whlcontroles.com. de fecha 31 de enero de 2019. Correo por parte mercadeo@whlcontroles.com dirigido a xxxxxxxxxxxxxxxx@paramopresenta.com de fecha 31 de enero de 2019.

Correo por parte de xxxxxxxxxxxxxxxx@paramopresenta.com dirigido a mercadeo@whlcontroles.com. de fecha 31 de enero de 2019. Correo por parte mercadeo@whlcontroles.com dirigido a xxxxxxxxxxxxxxx@paramopresenta.com de fecha 1 de febrero 2019. Correo por parte de xxxxxxxxxxxxxxxx@paramopresenta.com dirigido a mercadeo@whlcontroles.com. de fecha 31 de enero de 2019.

Correo por parte mercadeo@whlcontroles.com dirigido a xxxxxxxxxxxxxxxx@paramopresenta.com de fecha 1 de febrero 2019. Correo por parte de xxxxxxxxxxxxxxxxxxx@paramopresenta.com dirigido a xxxxxxxxxxxxxxx de fecha 7 de septiembre de 2020. 6.3.4 Copia de certificado de existencia y representación legal de la sociedad SUEÑO ESTÉREO S.A.S. 6.3.5 Copia de acuerdo de confidencialidad suscrito por la sociedad SUEÑO ESTÉREO S.A.S con xxxxxxxxxxxxxxxxxxxx de fecha 10 de diciembre de 2019. 6.3.6 Copia de contrato de prestación de servicios profesionales suscrito entre SUEÑO ESTÉREO S.A.S. y xxxxxxxxxxxxxxxxxxxxxxxxx de fecha 26 de mayo de 2020 HOJA N 6, “Por la cual se impone una sanción y se imparten órdenes administrativas” VERSIÓN ÚNICA 6.3.7 Copia de contrato de prestación de servicios profesionales suscrito entre SUEÑO ESTÉREO S.A.S. Y IT consultoría integral de fecha 25 de agosto de 2020 6.3.8 Copia de contrato suscrito entre SUEÑO ESTÉREO S.A.S. y xxxxxxxxxxxxxxxxx. 6.3.9 Copia de contrato suscrito entre SUEÑO ESTÉREO S.A.S. y xxxxxxxxxxxxxxxxxx xxxxxxxxxxxx. 6.3.10 Copia de manual del programa integral de gestión de datos personales de la sociedad SUEÑO ESTÉREO S.A.S Igualmente, este Despacho decretó a petición de parte la siguiente prueba: “la inspección judicial del siguiente sitio web: 1. http://paramopresenta.com/politica-de-datos/. https://www.baumfestival.com/politicade-proteccion-de-datos-personales/ https://knotfestcolombia.com/terminos-y-condiciones.”

SÉPTIMO: Que a la sociedad investigada le fue comunicada la Resolución N°. 23485 del 22 de abril de 2021 de conformidad con la certificación 2 de radicada el 28 de mayo de 2021 por la Secretaria General de esta Superintendencia.

OCTAVO: Que, la Dirección de Investigación de Protección de Datos Personales, a través de un ingeniero perteneciente al Grupo de Trabajo de Informática Forense y Seguridad Digital de esta entidad, realizó inspección judicial de la página web. radicado bajo el número 19-135285-15 del 29 de marzo del 2021.

NOVENO: Que la sociedad SUEÑO ESTÉREO S.A.S, presentó escrito de alegatos de conclusión con radicado 19-135285-19 del 21 de abril del 2021, en el cual reitera lo dicho en el escrito de descargos.

DÉCIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO PRIMERO: Análisis del caso 11.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 201117, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: "En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato".

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: I) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de las siguientes disposiciones: 2 Certificado de notificación radicado bajo el número 19-134238- -15 “Por la cual se impone una sanción y se imparten órdenes administrativas” (i) (ii) (iii) (iv) (v) HOJA N 7, VERSIÓN ÚNICA El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2., 2.2.2.25.2.3., 2.2.2.25.2.4. y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015;

El literal e) del artículo 4 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta el acta de visita administrativa realizada por e este Despacho, así como las pruebas aportadas por la investigada y las recolectadas por esta Dirección. 11.2 Valoración probatoria y conclusiones 11.2.1 Respecto del deber solicitar y conservar autorización previa, expresa e informada del titular para el tratamiento de sus datos personales Para referirse a este cargo, es necesario, en primer lugar, aludir al artículo 15 de la Constitución Política: "ARTÍCULO 15.

Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas". Dicha norma establece que las personas, en desarrollo de sus derechos a la autodeterminación informática, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos.

Al respecto, la Corte Constitucional ha señalado lo siguiente: "Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.

Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su "imagen informática2" Igualmente, es importante indicar que, en virtud del principio de libertad, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la ley 1581 de 2012 y, además, el deber de solicitar y conservar copia de la autorización de Tratamiento otorgada por el mismo, dispuesto en el literal b) del artículo 17 de la ley mencionada.

“Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 8, VERSIÓN ÚNICA Relacionado con dicho deber, se encuentra el principio de finalidad dispuesto en el literal b) del artículo 4 de la Ley 1581 de 2012, en los siguientes términos: ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: ( ) b) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; ( ) ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.

"ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

( )." Decreto Único Reglamentario 1074 de 2015 "ARTÍCULO 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento". (Subrayado y Negrita fuera del texto original) "ARTÍCULO 2.2.2.25.2.5. Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos".

Definición del consentimiento: En la Ley 1581 de 2012 el consentimiento es tanto un principio rector (artículo 4 (literal c) como un elemento de legitimación constitucional de los procesos de administración de datos personales (artículos 9, 10, y artículo 26, literal a). El artículo 9 establece que en el tratamiento se requiere la autorización previa, expresa, e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior, mientras que el artículo 10 prevé las excepciones o los otros fundamentos de legitimación constitucional del tratamiento de datos personales, incluidos los casos de urgencia manifiesta, tratamiento de información autorizado por la ley para fines históricos, estadísticos o científico, etc.

Por su parte, el literal a) del artículo 3 de la Ley 1581 de 2012 establece que el consentimiento o autorización exigida para el tratamiento de datos personales es, además, calificado, por cuanto debe ser previo, expreso e informado. En este sentido, la Corte Constitucional interpretó esta definición en sentencia C-748 del 2011 de la siguiente manera: "En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato.

Así por ejemplo, en la Sentencia T-022 de 1993, se dijo que la veracidad del dato no implica que el Responsable del Tratamiento no tenga el deber de obtener una autorización anterior. En igual sentido, la Sentencia T-592 de 2003 dijo que “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 9, VERSIÓN ÚNICA el derecho al habeas data resulta afectado cuando los administradores de la información recogen y divulgan hábitos de pago sin el consentimiento de su titular.

La Corte expresó que el consentimiento previo del titular de la información sobre el registro de sus datos económicos "en los procesos informáticos, aunado a la necesidad de que aquel cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, resultan esenciales para salvaguardar su derecho a la autodeterminación informática." En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito.

Lo anterior, por varias razones: En primer lugar, la jurisprudencia constitucional ha exigido tal condición y ha dicho que el consentimiento debe ser explícito y concreto a la finalidad específica de la base de datos. ( ) En segundo lugar, de una interpretación armónica de todo el articulado se deduce que el legislador estatutario tuvo una intención inequívoca que el consentimiento siempre fuese expreso.

Así, desde el artículo 3 se dice que éste debe ser "previo, expreso e informado". Esto mismo se repite en el artículo 4. Posteriormente, el artículo 8 ordinal b), garantiza al Titular el derecho de solicitar prueba de la autorización, y señala que ésta sólo puede considerarse exceptuada en los casos consagrados en el artículo 10. El artículo 9 ordena que la autorización sea "obtenida por cualquier medio que pueda ser objeto de consulta posteriorJ'.

Por otro lado, el artículo 10 señala, en forma taxativa, los casos en que no se requiere autorización, y no hace referencia alguna a la existencia de un consentimiento tácito, lo cual necesitaría expresa autorización legal. ( ) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. En este mismo sentido, en la Sentencia T-592 de 2003, la Corte señaló que la autorización debe ser cualificada y debía contener una explicación de los efectos de la misma.

Además, a pesar de que se presente la autorización, el Responsable y Encargado del Tratamiento debe actuar de buena fe. De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez, ( )" No existe, por tanto, otra interpretación legal y constitucional diferente a aquella que el consentimiento debe cumplir con los requisitos de ser previo, expreso e informado para que el mismo pueda considerarse legal, pues, de lo contrario, se estaría afectando, como lo señaló la Corle en la sentencia arriba citada, el derecho a la autodeterminación informática entendido como el núcleo esencial del derecho al habeas data y, en la práctica, el Titular perdería el control de sus datos personales.

Las definiciones de expreso, previo e informado contienen elementos claves que se analizan a continuación, con el fin de que se asegure que sólo el consentimiento que se interprete conforme a la Ley 1581 de 2012 será considerado como tal. Elementos del consentimiento: (i) Expreso: el término expreso significa la manifestación de voluntad libre del Titular para permitir el tratamiento de sus datos personales por parte de un tercero. Así mismo, esa necesidad de “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 10, VERSIÓN ÚNICA manifestación por parte de la persona impide que la falta de actuación - o quizás mejor, el comportamiento pasivo - constituya un consentimiento válido bajo la Ley 1581 de 2012, pues, como lo señaló la Corte Constitucional en la Sentencia C-748 de 2011, "no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito".

Esto obliga a los Responsables del Tratamiento a crear procedimientos para garantizar que las personas otorguen su consentimiento y, a su vez, proporcionan pruebas al Responsable del Tratamiento de que se ha obtenido el consentimiento. Los ejemplos más clásicos son la firma manuscrita en la parte inferior de un formulario de papel y la selección de una casilla en un sitio web en Internet.

El requisito de expreso para los datos sensibles se sustituye por un “consentimiento explícito”, pues para este tipo de datos se considera adecuado que exista un elevado nivel de control sobre los datos personales por parte de su Titular (ii) Informado: el término informado significa que la persona debe conocer las finalidades del tratamiento de sus datos, la persona natural o jurídica, pública o privada, que decidirá sobre el tratamiento de los datos concernidos, los derechos relativos al tratamiento de sus datos, así como del modo de hacer valer sus derechos en relación con el tratamiento y, en general, las condiciones en que se efectuarán las actividades de acopio, recopilación y circulación del mismo.

En ese sentido, el artículo 12 de la Ley 1581 de 2012 establece que cuando se va a solicitar la autorización al Titular de la Información, el Responsable del tratamiento deberá informarle de manera clara y expresa lo siguiente: a) el tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) los derechos que le asisten como titular; y, d) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento.

(iii)Previo: el término previo significa que la persona debe otorgar su consentimiento antes del comienzo del tratamiento de su información personal, debiendo cumplirse a más tardar en el momento en que el dato va a ser recogido, sin que sea admisible, en este punto, considerar su acatamiento con posterioridad a su recolección, pues sólo así quedaría garantizado el derecho de la persona a tener una apropiada información antes de otorgar su consentimiento.

Visto lo anterior, el consentimiento, como uno de los fundamentos jurídicos del tratamiento de datos personales, para que sea válido bajo la Ley 1581 de 2012, debe cumplir los siguientes requerimientos legales: 1. El consentimiento debe ser expreso. El Titular debe realizar alguna acción positiva que indique su consentimiento y debe tener la libertad de no consentir. 2.

El consentimiento debe estar informado. El artículo 12 de la Ley 1581 de 2012 enumera la información que debe suministrársele al Titular; esa información debe ser claramente visible, destacada y completa. No basta con ponerla a disposición en algún sitio de la página web, sin que la persona no la conozca. 3. El consentimiento debe ser previo.

La obtención del consentimiento debe ser previa a la recolección de los datos. En el caso objeto de estudio, se encuentra que, mediante informe de la visita de inspección efectuada en la sociedad SUEÑO ESTÉREO S.A.S., radicada bajo el número 19-135285-9 del 28 de agosto de 2020, que la sociedad investigada recolectó datos personales de carácter privado y sensible sin informar el tratamiento al cual serán sometidos, como se evidencia a continuación: “(…) Sueño Estéreo S.A.S. cuenta con un sistema propio para el control de acceso, biométrico para toma de huella, que es una plataforma que está instalado en el computador de la señora Carolina Rodríguez, quien se identificó como Jefe de Compras; este sistema sirve para el control de ingreso y salida de los empleados de la compañía, a los pisos 2 y 3.

Aunque refiere que el sistema tiene otras opciones, pero no se están utilizando. Se ingresa la información de cada empleado en el momento de la firma del contrato y cuando se retira son borrados los datos del sistema. De acuerdo con la declaración de la señora HOJA N 11, “Por la cual se impone una sanción y se imparten órdenes administrativas” VERSIÓN ÚNICA Rodríguez no se firma autorización de tratamiento de datos una vez se toma la huella, se le informa de manera verbal al empleado que su huella se va a utilizar para el control de acceso.

Así, se encuentra preliminarmente que la sociedad SUEÑO ESTÉREO S.A.S. no cuenta con la evidencia de que solicito la autorización de los titulares para la recolección de sus datos personales, en especial aquellos capturados en el lector de huella; por lo tanto se presume que la sociedad SUEÑO ESTÉREO S.A.S. está recolectando información de naturaleza privada y sensible sin contar con la autorización previa y expresa para el tratamiento de datos personales de los titulares.

Además, no se cuenta con copias de seguridad de la información que reposa en el equipo de cómputo.3” Así las cosas, este Despacho inició investigación administrativa de carácter sancionatorio mediante la Resolución 44102 del 31 de julio de 2020, de acuerdo con lo siguiente: " (…)Preliminarmente este Despacho encontró que la sociedad SUEÑO ESTÉREO S.A.S. no cuenta con la evidencia de que solicito la autorización de los titulares para la recolección de sus datos personales, en especial aquellos capturados en el lector de huella; por lo tanto se presume que la sociedad SUEÑO ESTÉREO S.A.S. está recolectando información de naturaleza privada y sensible sin contar con la autorización previa y expresa para el tratamiento de datos personales de los titulares, yendo en contravención con lo expuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2., 2.2.2.25.2.3., 2.2.2.25.2.4. y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.” Sobre el particular, la sociedad SUEÑO ESTÉREO S.A. como argumentos de defensa en el escrito de descargos (se aclara que esta sociedad reitera dichos argumentos de defensa en los alegatos de conclusión) manifiesta que:"(…) Frente al primer punto, esto es, la recolección de datos de los trabajadores, especialmente los biométricos, Sueño Estéreo implementó un Acuerdo de Confidencialidad, mediante el cual se establece el procedimiento para realizar el registro de la huella dactilar, y se informa a los Titulares las finalidades específicas del tratamiento de esta información. Si bien Sueño Estéreo ya cumplía con la toma de la autorización previa para el tratamiento de datos, solicitada a todos los empleados – y proveedores en contratos de prestación de servicios – al momento de suscribir el contrato de trabajo, no se informaba el procedimiento de toma de la huella, ni su finalidad específica, esto es, el control de acceso de los trabajadores a las oficinas de la organización, pues dicho sistema de seguridad fue implementado apenas en febrero del año 2019”4.

Respecto a lo anterior, este Despacho evidencia que la sociedad SUEÑO ESTÉREO S.A realiza el tratamiento de datos biométricos los cuales son clasificados como sensibles, de acuerdo con lo establecido en el artículo 2.2.2.25.1.3 del Decreto Único Reglamentario 1074 del 2015, veamos: "3. Datos sensibles. Se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual, y los datos biométricos." Igualmente, es claro que la sociedad en cuestión realiza tratamiento de datos privados.

Para el efecto, se trae a colación dicha definición: “(…) Los datos semiprivados corresponden a aquellos que no tienen naturaleza íntima, reservada, ni pública y que. por ende: su conocimiento puede interesar no solo a su Titular sino a cierto sector o grupo de personas o a la sociedad en general. Ejemplo de esta categoría es el dato financiero y crediticio de actividad comercial o de servicios, el que como se ha indicado insistentemente en esta decisión, es el objeto de regulación del Proyecto de Ley.

Por último, el dato privado es aquel que por su naturaleza íntima o reservada sólo es relevante para el Titular5"(Negrilla fuera del texto original) Por otro lado, la Corte Constitucional explicó, respecto de los datos sensibles, que: "( ) la naturaleza de esos datos pertenece al núcleo esencial del derecho a la intimidad, entendido como aquella esfera o espacio de vida privada no susceptible de la interferencia Informe de visita radicado número 19-135285-9 del 28 de agosto de 2020 página 5 y 6 Escrito de descargos radicado bajo el número 19-135285-10 del 9 de septiembre del 2020, página 1 y 2 Corte Constitucional, Sentencia c-1011 de 16 de octubre de 2008 MP Jaime Córdoba Triviño. Considerando 3.1.3.

Artículo 3º Definiciones “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 12, VERSIÓN ÚNICA arbitraria de las demás personas. que al ser considerado un elemento esencial del ser. se concreta en el derecho a poder actuar libremente en la mencionada esfera o núcleo, en ejercicio de la libertad personal y familiar, sin más limitaciones que los derechos de los demás y el ordenamiento jurídico”6.

Entonces el dato sensible no es una información que solamente esté relacionada con la garantía propia del ejercicio del derecho de habeas data, sino que va ligada también al derecho fundamental a la intimidad, el cual, igualmente, es sujeto de protección constitucional. Obrando en consecuencia con la importancia constitucional y legal atribuida al dato sensible, el legislador estatutario, en el artículo 6 de la Ley 1581 de 2012 prohibió, por regla general, el tratamiento de información sensible de los Titulares, de tal forma que sólo consagró unas excepciones taxativas a dicha exclusión, las cuales responden a la necesidad de garantizar otros derechos constitucionales tales como la vida, la educación y el derecho de asociación. Teniendo presente tal situación, el legislador estatutario dispuso que, para que el Responsable del Tratamiento pueda tratar datos sensibles debe realizarlo conforme a lo establecido en el artículo 6 de la Ley 1581 de 20127 y además requiere que se le comunique al titular que los datos que está pretendiendo recoger son sensibles y que no está obligado a entregarlos ni a responder cuestiones acerca de los mismos.

Condiciones relevantes que garantizarán que el titular entregue o no su consentimiento de manera informada, circunstancia esencial para que proceda el Tratamiento de los datos sensibles por parte del Responsable de acuerdo a la ley. Ahora bien, dejando claro que la sociedad SUEÑO ESTÉREO S.A efectúa el tratamiento de datos sensibles, es menester señalar que dicho Tratamiento debe estar rodeado de especial cuidado y diligencia en su recolección, uso, seguridad o cualquier otra actividad que se realice con los mismos.

En efecto, la Corte Constitucional, tal y como lo señaló en la sentencia C-748 de 2011, exige responsabilidad reforzada por parte de los Responsables y Encargados, en la medida que, “como se trata de casos exceptuados y que, por tanto, pueden generar altos riesgos en términos de vulneración del habeas data, la intimidad e incluso la dignidad de los titulares de los datos, los agentes que realizan en estos casos el tratamiento tiene una responsabilidad reforzada que se traduce en una exigencia mayor en términos de cumplimiento de los principios del artículo 4 y los deberes del título VI”.8 Por ende, los datos sensibles deben ser objeto de mayores medidas de seguridad, confidencialidad, circulación restringida y uso limitado.

En virtud de lo anterior, es evidente que la investigada trata datos de niños niñas y adolescentes, así como datos biométricos, así las cosas la autorización utilizada por la sociedad SUEÑO ESTÉREO S.A no cumple con el requisito del literal b) del artículo 12 de la Ley 1581 de 2012, el cual consagra lo siguiente: “b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes;” En este punto es importante resaltar que, el tratamiento de datos personales de menores está permitido siempre y cuando se acuda a una interpretación restringida, según la cual ese uso de la información se debe sujetar a la interpretación señalada por la Corte Constitucional cuando analizó la exequibilidad del artículo 7 de la Ley 1581 de 2012.

Aun cuando el texto original de la norma estableció en principio que quedaba "proscrito el Tratamiento de datos personales de niños, niñas y adolescentes. salvo aquellos datos que sean de naturaleza pública", la Corte en sentencia C-748 de 2011 aclaró que dicha disposición "no debe entenderse en el sentido de que existe una prohibición Ibídem ARTÍCULO 6o.

TRATAMIENTO DE DATOS SENSIBLES. Se prohíbe el Tratamiento de datos sensibles, excepto cuando: a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización; b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado.

En estos eventos, los representantes legales deberán otorgar su autorización; c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad.

En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular; d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial; e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares.

Cfr Corte Constitucional Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb 2.8.4. Considerando. Examen de la constitucionalidad de las excepciones a la prohibición de tratamiento de datos sensibles “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 13, VERSIÓN ÚNICA absoluta del tratamiento de los datos de los menores de 18 años, exceptuando los de naturaleza pública, pues ello: daría lugar a la negación de otros derechos superiores de esta población ( )"9.

Siguiendo esa línea de interpretación, esa Corporación concluyó que "( ) el tratamiento de los datos personales de menores de 18 años, al margen de su naturaleza, pueden ser objeto de tratamiento siempre y cuando el fin que se persiga con dicho tratamiento responda al interés superior de los niños: niñas y adolescentes y se asegure sin excepción alguna el respeto de sus derechos prevalentes"10.

Tal interpretación fue recogida por el Decreto Único Reglamentario 1074 de 2015, el cual estableció que, para el tratamiento de datos personales de niños, niñas y adolescentes, excepto cuando se trate de datos de naturaleza pública, deberá cumplirse con los siguientes parámetros y requisitos: (i) que responda y respete el interés superior de los niños, niñas y adolescentes y (ií) que se asegure el respeto de sus derechos fundamentales.

Cumplidos los anteriores requisitos, el representante legal del niño, niña o adolescente otorgará la autorización previo ejercicio del menor de su derecho a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto. A su vez, la citada norma también estableció que '' Todo responsable y encargado involucrado en el tratamiento de los datos personales de niños, niñas y adolescentes, deberá velar por el uso adecuado de los mismos.

Para este fin deberán aplicarse los principios y obligaciones establecidos en la Ley 1581 de 2012 y el presente decreto". De manera concordante con lo expuesto, en la recolección de la autorización, tal y como lo expone el literal b) del artículo 12 de la Ley 1581 de 2012, “el Responsable del Tratamiento al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: ( ) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando versen sobre datos sensibles o sobre los datos de niños, niñas y adolescentes".

Frente al acervo probatorio, este Despacho evidencia que en el acta de visita radicada bajo el N°. 19-135285-1 de fecha 25 de junio de 2019, se solicitaron de forma aleatoria 5 contratos de trabajo con el objeto de revisar su clausulado, particularmente para contrastar si los mismos tienen la cláusula de autorización de tratamiento de sus datos personales.

En línea con lo anterior, esta Dirección, mediante informe jurídico de visita de inspección radicado bajo el número 19-135285-9 del 28 de agosto del 2020, evidenció que efectivamente en dichos contratos que el Despacho reunió de forma aleatoria, se solicita la autorización de la siguiente manera: Cfr Corte Constitucional Sentencia C-748 del 06 de octubre de 2011.

Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb. Considerando 2.9.3.4. El examen de constitucionalidad del artículo 7 Ibídem “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 14, VERSIÓN ÚNICA En virtud de lo anterior, es evidente que la investigada trata datos privados, datos de niños niñas y adolescentes, así como datos biométricos, según lo establecido en la cláusula décima primera del contrato de prestación de servicios anteriormente relacionado.

Así las cosas, la autorización utilizada por la sociedad SUEÑO ESTÉREO S.A no cumple con el requisito del literal b) del artículo 12 de la Ley 1581 de 2012, el cual consagra lo siguiente: “b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes;” En este sentido, es claro que en la autorización mediante contrato de prestación de servicios analizado no informa a los Titulares de manera expresa el carácter facultativo de las respuestas cuando las preguntas versen sobre datos sensibles o sobre los datos de niños, niñas y adolescentes.

Por otro lado, tampoco se menciona la facultad que se tiene de entregar o no los datos cuando se trata de datos sensibles y cuando se trata de datos de menores, incumpliendo los deberes establecidos en la Ley y vulnerando el derecho a la protección de datos de los menores de edad. Al respecto, es importante mencionar que el literal b) del artículo 4 de la Ley 1581 de 2012, establece que “el Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular”.

De esta forma, dicha norma, impuso como requisito del Tratamiento para los datos personales de los Titulares, la autorización previa, expresa e informada de éstos, pues no es suficiente que este autorice previa y expresamente el Tratamiento de sus datos, sino es necesario también que el Titular esté plenamente consciente de los efectos de haber otorgado dicha autorización, ya que tal y como lo manifestó la Corte Constitucional en la sentencia C-748 de 2011“(…) la autorización debe ser cualificada y debía contener una explicación de los efectos de la misma.

Además, de que se presente la autorización, el Responsable y Encargado del tratamiento debe actuar de buena fe”11. Así las cosas, es evidente que la autorización por medio de contratos de prestación de servicios mediante los cuales la sociedad SUEÑO ESTÉREO S.A. recolecta datos personales de los Titulares, no cumplen con el con el requisito del literal b) del artículo 12 de la Ley 1581 de 2012, el cual dispone “El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes;”, así como, con el artículo 2.2.2.25.2.3. del decreto 1074 del 2015 el cual consagra que, “Informar al titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento.”.

Igualmente, para esta Dirección resulta imperativo resaltar que esta omisión no resulta ser menor o insignificante pues le impide al Titular conocer que tiene la facultad de autorizar o no el tratamiento de sus datos sensibles y de los datos de los niños, niñas y adolescentes. En consecuencia, esta Dirección encuentra procedente imponer una sanción e impartir una orden administrativa, por la violación de las disposiciones contenidas en el presente cargo. 11.2.2 Respecto del deber de informar a los Titulares sobre la finalidad de la recolección y los derechos que le asisten por la autorización otorgada.

El literal c) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;” Cfr. Corte Constitucional, sentencia C 748 del 2011 del seis (6) de octubre de dos mil once (2011).

M.P.: Jorge Ignacio Pretelt Chaljub. Considerando 2.6.5.2.3. Principio de libertad: HOJA N 15, “Por la cual se impone una sanción y se imparten órdenes administrativas” VERSIÓN ÚNICA Literal b) del artículo 4: “ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular”;

En referencia al principio de finalidad, este se traduce en el deber de informar al Titular lo que se pretende hacer con su información y se encuentra contenido en el artículo 12 de la Ley 1581 de 2012, así: “Artículo 12. Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” Parágrafo.

El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta. Literal c) del artículo 17 de la ley 1581 de 2012 Como puede observarse, el principio de finalidad, que se encuentra íntimamente ligado al principio de libertad, impone unos límites al tratamiento de los datos que están siendo administrados por el Responsable; dichos límites se derivan de la naturaleza de la información y del uso que se dará a los datos recolectados.

El deber de informar la finalidad del tratamiento, de acuerdo con los pronunciamientos de la Corte Constitucional por medio de la sentencia C 748 del 2011, se ha entendido así: “(…) Específicamente se dispone que son deberes de esta parte de la relación: (…) (ii) Informar al titular la finalidad de esa autorización y actuar en consecuencia; por tanto, el responsable no puede conducirse por fuera de los lineamientos de la autorización, lo que significa que, por ejemplo, no puede suministrar al encargado del tratamiento más datos que los que fueron objeto de autorización, ni puede someterlos a un tratamiento con finalidades diferentes a las informadas.

En este orden de ideas, los deberes establecidos en los literales a), b) y h) son desarrollo del principio de finalidad. (…)”12. Adicionalmente, la Corte Constitucional en la misma sentencia ha explicado el alcance del artículo 12 de la Ley 1581 de 2012, es decir el deber de informar al Titular de la siguiente manera: “(…) El artículo 12 dispone las características de la información que deberá ser suministrada por el Responsable del Tratamiento.

La disposición es constitucional, pero el literal b) debe condicionarse por las siguientes razones. Cfr. Corte Constitucional, sentencia C 748 del 2011 del seis (6) de octubre de dos mil once (2011). M.P.: Jorge Ignacio Pretelt Chaljub Considerando 2.17.3. Constitucionalidad de los artículos 17 y 18 HOJA N 16, “Por la cual se impone una sanción y se imparten órdenes administrativas” VERSIÓN ÚNICA La norma señala a los Titulares deberá informárseles “el carácter facultativo a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes”.

En una primera lectura podría entenderse que la norma está autorizando el Tratamiento de datos sensibles y de niñas, niños y adolescentes, a pesar de encontrarse prohibida. Sin embargo, existe una forma de interpretar la disposición de una manera que se avenga a los postulados constitucionales. En primer lugar, el carácter facultativo, en razón del principio de libertad, es predicable de todas las preguntas.

Sin embargo, cuando se trate de una de las situaciones en que excepcionalmente se permite el Tratamiento de un dato sensible o de una niña, niño o adolescente, el Responsable del Tratamiento deberá informar las limitaciones y derechos que le son predicables de este tipo de dato. (…)” 13 Igualmente, en la guía titulada “FORMATOS MODELO PARA EL CUMPLIMIENTO DE OBLIGACIONES ESTABLECIDAS EN LA LEY 1581 DE 2012 Y SUS DECRETOS REGLAMENTARIOS”14 expedida el 22 de noviembre de 2017 por esta autoridad, se explica con claridad tanto la finalidad de la recolección de los datos personales, como el deber de informar a los Titulares de acuerdo con lo consagrado en el artículo 12 de la Ley 1581 de 2012.

Veamos: “(…)

2.5. FINALIDAD DE LA RECOLECCIÓN DE DATOS PERSONALES La recolección de datos personales debe tener una finalidad legítima y cierta, es decir, una razón de ser de esa recolección. Además, los datos recolectados deben ser pertinentes y adecuados para alcanzar dicho fin. (…)

2.6. DEBER DE INFORMAR AL TITULAR Además del deber de obtener el consentimiento de los titulares para el tratamiento de su información, quien recolecte datos personales debe informar de manera clara y expresa al titular lo siguiente: (i) (ii) El tratamiento al cual serán sometidos los datos personales recolectados y la finalidad de los mismos.

En caso de que la organización responsable recolecte datos personales sensibles (origen racial o étnico, orientación sexual, filiación política o religiosa, etc.) o de niños y adolescentes; debe explicarle el carácter sensible que posee este tipo de información y, además, debe darle la opción al titular de elegir si responde o no dichas preguntas.

(iii) Los derechos que tiene el titular de la información. (iv) La identificación, dirección física o electrónica y el teléfono de la organización o el responsable del tratamiento de los datos. (…)” Frente a este cargo, este Despacho inició investigación administrativa de carácter sancionatorio mediante la Resolución 44102 del 31 de julio de 2020, de acuerdo con lo siguiente: “En el momento en que se solicita información al titular se le debe informar: (i) el tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo (ii) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes (iii) los derechos que le asisten como titular y;

(iv) la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. Es de precisar que la finalidad de la recolección de datos aparte de ser legitima como lo establece la ley, deberá ser procesada con un propósito, claro y especifico. En este sentido el Cfr. Corte Constitucional, sentencia C 748 del 2011 del seis (6) de octubre de dos mil once (2011).

M.P.: Jorge Ignacio Pretelt Chaljub Considerando 2.14.3. Consideraciones de la Corte Disponible en: https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Publicaciones/Cartilla_formatos_datos_Personales_nov22.pdf “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 17, VERSIÓN ÚNICA Titular de la información podrá ejercer un control para verificar si el uso que se le está dando a sus datos personales es conforme a la autorización entregada.

Con base en lo anterior, se pudo corroborar que la sociedad no tiene evidencia de la autorización para el tratamiento de datos personales de los titulares, por ende, se presume que no les comunicaron a los titulares la razón de la recolección de su información personal. Así, este Despacho advierte un presunto incumplimiento a lo estipulado en el literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 por parte de la sociedad SUEÑO ESTÉREO S.A.S.”.

Sobre el particular, la sociedad SUEÑO ESTÉREO S.A. como argumentos de defensa en el escrito de descargos (se aclara que esta sociedad reitera dichos argumentos de defensa en los alegatos de conclusión) manifiesta que: “(…)Frente al primer punto, esto es, la recolección de datos de los trabajadores, especialmente los biométricos, Sueño Estéreo implementó un Acuerdo de Confidencialidad, mediante el cual se establece el procedimiento para realizar el registro de la huella dactilar, y se informa a los Titulares las finalidades específicas del tratamiento de esta información. Si bien Sueño Estéreo ya cumplía con la toma de la autorización previa para el tratamiento de datos, solicitada a todos los empleados - y proveedores en contratos de prestación de servicios - al momento de suscribir el contrato de trabajo, no se informaba el procedimiento de toma de la huella, ni su finalidad específica, esto es, el control de acceso de los trabajadores a las oficinas de la organización, pues dicho sistema de seguridad fue implementado apenas en febrero del año 2019.” De acuerdo con lo expuesto, tal como se explicó en el anterior cargo por autorización, una vez mencionado el artículo 2.2.2.25.1.3 del Decreto Único Reglamentario 1074 del 2015, se evidenció que los datos personales sobre los cuales la sociedad SUEÑO ESTÉREO S.A realiza el tratamiento, se encuentran dentro de la categoría de datos sensibles, pues trata datos biométricos como la huella digital.

Así pues, esta Dirección también pudo evidenciar que la sociedad SUEÑO ESTÉREO S.A realiza el tratamiento de datos de niños, niñas y adolescentes, lo que reviste una importancia mayor, ya que dicho tratamiento tiene una protección especial por parte del legislador estatutario. De esta forma, es claro que aun cuando, como se señaló líneas atrás, la autorización no es informada si se da cumplimiento con el principio de finalidad Ahora bien, sobre el particular tal como fue explicado en el cargo anterior, quedó debidamente probado que la autorización mediante los contratos de prestación de servicios que suscribe con sus trabajadores, la sociedad SUEÑO ESTÉREO S.A, no cumplen con el requisito del literal b) del artículo 12 de la Ley 1581 de 2012, el cual dispone “ El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes;”, así como, con el artículo 2.2.2.25.2.3. del decreto 1074 del 2015 el cual consagra, “Informar al titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento.” En consecuencia, este Despacho concluye que la sociedad SUEÑO ESTÉREO S.A incumplió con el deber de informar las finalidades del Tratamiento de los datos sensibles, así como de los datos de niños, niñas y adolescentes.

Razón por la cual este Despacho impondrá la correspondiente sanción e impartirá una orden administrativa. 11.2.3. Respecto del deber de conservar la información bajo condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento El literal k) del artículo 17 de la Ley 1581 de 2012 prevé un deber fundamental para los Responsables de la Información, el cual establece: “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 18, VERSIÓN ÚNICA k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;

(…)”. A su turno, el literal g) del artículo 4 de la Ley 1581 de 2012 establece: “ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)”. Adicionalmente, el Decreto Único Reglamentario 1074 de 2015 dispone, respecto de la demostración de la implementación de las medidas apropiadas y efectivas para el cumplimiento de las obligaciones establecidas en la Ley 1581 de 2012, lo siguiente: “ARTÍCULO 2.2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas: (Decreto 1377 de 2013, art. 26)” El deber consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012 hace referencia a las medidas de seguridad que deben adoptar los Responsables del Tratamiento a efectos de garantizar que la información administrada nos sea divulgada, adulterada, consultada o expuesta de manera inconsulta o no autorizada por su Titular, dicho precepto se armoniza con el principio de seguridad, contenido en el literal g) del artículo 4 de la misma disposición, normatividad que a su vez ha sido objeto de especial atención por parte de la Corte Constitucional, tal como quedó reflejado en la Sentencia C-748 de 2011, así: “De este principio se deriva entonces la responsabilidad que recae en el administrador del dato.

El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto “diluvio de datos” a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 19, VERSIÓN ÚNICA transferencia, no cesa de aumentar.

Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Elo también aumenta los riesgos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.

En estos términos, el Responsable o Encargado del Tratamiento debe tomar las medidas acordes con el sistema de información correspondiente. (…)15”(Se destaca). En efecto, el Responsable tiene el deber de tratar la información que se encuentra almacenada en su base de datos bajo las medidas mínimas establecidas por el régimen de protección de datos personales.

En el caso objeto de estudio, se encuentra que, mediante informe de la visita de inspección efectuada en la sociedad SUEÑO ESTÉREO S.A.S., radicada bajo el número 19-135285-9 del 28 de agosto de 2020, la sociedad investigada no acreditó contar, para el momento de la visita administrativa de inspección, con las medidas de seguridad y mecanismos necesarias para proteger los datos personales tratados bajo su custodia o posesión, como se evidencia a continuación: “(…) A. Los equipos de cómputo no cuentan con la seguridad necesaria que permitan impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de la información contenida en ellos ya que no están utilizando el software antivirus, no tienen políticas de asignación de usuario y claves, no cuentan con copias de seguridad, no tienen restringida la navegación por Internet, no hay restricción para descargar e instalar programas y en particular el servidor SIIGO está ubicado en una sitio de transito constante.

No se evidencia la existencia de políticas de seguridad de la información. B. De acuerdo con la verificación efectuada, los equipos de cómputo no presentan restricción en sus puertos y no presentan restricción en el acceso a Internet. C. Con relación al software antivirus, a pesar de verificar que existe este software instalado en los equipos, los usuarios de los equipos manifiestan no tenerlo, por lo que se evidencia su falta de uso.

D. En general, no existen copias de seguridad de la información que está almacenada: sistema DVR, sistema biométrico, servidor, equipos de cómputo.” Así las cosas, este Despacho inició investigación administrativa de carácter sancionatorio mediante la Resolución 44102 del 31 de julio de 2020, sustentada en las siguientes consideraciones: “(…) En la visita a la sociedad SUEÑO ESTÉREO S.A.S. se evidenció que no tienen control sobre el ingreso y retiro de equipos de cómputo de los visitantes e ingreso del personal ajeno a la sociedad, por lo que podría evidenciarse una vulneración al principio de seguridad en el tratamiento de datos, que podría causar incidentes de seguridad al interior de la sociedad.

De igual forma, los equipos asignados a los empleados de la sociedad no cuentan con bloqueo de puertos USB ni antivirus, ni tienen restricción al acceso de páginas web. Además, ningún equipo tiene configurado el bloqueo de tiempo de pantalla por inactividad. Respecto al presente cargo, este Despacho encuentra que la sociedad SUEÑO ESTÉREO S.A.S., presuntamente pudo haber incumplido con el Régimen General de Protección de Datos respecto de su obligación de contar con las medidas de seguridad y mecanismos necesarias para proteger los datos personales tratados bajo su custodia o posesión, incumpliendo preliminarmente con lo dispuesto en el literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012.

(…)”. Frente al tercer cargo, manifiesta la sociedad investigada en su escrito de descargos radicados bajo el número 19-135285-10 del 9 de agosto del 2020, que la empresa subsanó las falencias relacionadas con el deber de seguridad, manifestando lo siguiente: Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 20, VERSIÓN ÚNICA “(…)Reconocemos expresamente la infracción parcial y temporal de Sueño Estéreo a lo dispuesto en el literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012, según el cual se deben implementar medidas que garanticen la conservación de la información bajo condiciones de seguridad.

No obstante, de conformidad con las observaciones formuladas frente a ese particular en la Visita de Inspección, mi representada ya ha subsanado las omisiones relacionadas con su deber de seguridad de la información. 3 Varias de ellas, estrictamente ligadas a la conservación de los equipos (hardware) en condiciones más seguras, fueron implementadas de forma inmediata, tal como el desplazamiento del servidor de SIIGO a un área de menos tránsito de personas, y traslado del Rack de videovigilancia, el cual almacenaba las imágenes del sistema DVR (Digital Video Recorder).

Respecto al bloqueo a puertos USB, restricción a páginas web y bloqueo automático de pantallas, si bien son medidas que no era necesario implementar, toda vez que la información personal a la que se refiere el Cargo se encuentra recopilada en otros lugares distintos a los equipos de cómputo de los trabajadores – específicamente, en el servidor SIIGO y plataforma mailchimp, las cuales son de acceso restringido, tal como quedó constatado en los numerales 3.2.3. y 3.2.4. del Acta de Diligencia de Visita de Inspección – Sueño Estéreo procedió de igual forma con la aplicación de las mismas.

Dichas medidas propenden, entonces, por mejorar los niveles de confianza de los Titulares a través de la identificación, valoración, tratamiento y mitigación de los riesgos de los sistemas de información de la compañía. Por su parte, las medidas administrativas se refieren a la estructura jerárquica de la entidad, en el sentido de que haya un líder que apruebe la adopción de dichas medidas de seguridad para el funcionamiento óptimo del organismo.

Por otra parte, las medidas humanas se refieren a los métodos de capacitación de personal para asegurar que éste realiza todas las medidas que sean pertinentes para evitar la puesta en riesgo de los datos personales. Así las cosas, es pertinente precisar las falencias en las que incurre la sociedad SUEÑO ESTÉREO S.A.S: i) Advierte esta Dirección que, aun cuando la sociedad investigada aporta un documento denominado “MANUAL DEL PROGRAMA INTEGRAL DE GESTIÓN DE DATOS PERSONALES” este no suple ni hace las veces del manual de políticas de seguridad de la información del que trata la Ley 1581 de 2012 y su Decreto Reglamentario 1074 de 2015, pues únicamente incluye lo siguiente: “(…) “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 21, VERSIÓN ÚNICA (…) (…) ” ii) La ausencia del desarrollo e implementación del manual de políticas de seguridad de la información no solo va en contravía del espíritu del Régimen de Protección de Datos Personales, sino que, además, implica un abierto desconocimiento del derecho de habeas data de los Titulares, cuyos datos son objeto de tratamiento por parte de la sociedad SUEÑO ESTÉREO S.A.S.; en la medida en que al no estar documentadas las medidas de seguridad no existe certeza para esta entidad de que tan seguros son los datos con los que cuenta la sociedad investigada. iii) Se encuentra acreditado que la sociedad investigada no cuenta con medidas adecuadas, útiles y eficaces para que los postulados legales sean realidades verificables y no se limiten a creaciones teóricas. iv) No obra prueba en el expediente de las medidas técnicas adoptadas por la sociedad SUEÑO ESTÉREO S.A.S. en sus instalaciones físicas, con posterioridad a la visita administrativa. v) La sociedad no ha documentado procesos tendientes a suplir las fallas encontradas durante la visita administrativa; pues no se evidencian medidas técnicas, administrativas y humanas en materia de seguridad adoptadas por la sociedad SUEÑO ESTÉREO S.A.S. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 22, VERSIÓN ÚNICA Así las cosas, en el documento aportado denominado “MANUAL DEL PROGRAMA INTEGRAL DE GESTIÓN DE DATOS PERSONALES”, no demuestra el cumplimiento de la norma en tanto que no se describen las medidas técnicas, humanas y administrativas adoptadas por la sociedad para impedir la adulteración, pérdida, uso o acceso no autorizado o fraudulento.

Igualmente, reitera los mismos argumentos en los alegatos de conclusión, afirmando “(…) Desplazamiento del servidor de SIIGO a un área de menos (sic) tránsito de personas, y traslado del Rack de video-vigilancia, el cual almacenaba las imágenes del sistema DVR (Digital Video Recorder); (ii) Implementación de bloqueo a puertos USB, restricción a páginas web y bloqueo automático de pantallas de los equipos propiedad de Sueño Estéreo, y utilizados por los empleados; y (iii) Se adoptó un procedimiento para el control del sistema de videovigilancia, incluido dentro del Manual de Programa Integral de Gestión de Datos Personales, implementado por Sueño Estéreo en diciembre del año 2019”, sin aportar pruebas que busquen acreditar y/o demostrar lo aquí afirmado a las ya analizadas, que demuestren las medidas adoptadas por la investigada.

En este orden de ideas, una vez revisado el material probatorio que obra en el expediente, concluye esta Dirección que no hay pruebas que demuestren que la aquí investigada hubiese documentado y menos aún implementado políticas y procedimientos relacionados con el deber de conservar la información bajo condiciones adecuada e idóneas de seguridad.

Así las cosas, se evidencia el incumplimiento de la investigada a los deberes consagrados en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 y el inciso 2 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; Razón por la cual, se impondrá la respectiva sanción pecuniaria 11.2.4.

Respecto del deber que la investigada ostenta en su condición de Responsable del Tratamiento de desarrollar e implementar un manual de políticas de seguridad, un manual de procedimiento para la atención de consultas y reclamos, y un manual en el que se describan los procedimientos usados para la recolección, uso, circulación y supresión de la información almacenada en sus bases de datos El literal k) del artículo 17 de la Ley 1581 de 2012 prevé un deber fundamental para los Responsables de la Información, el cual establece: “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;

(…)” (Resaltado fuera del texto). Dicho deber está relacionado con los artículos 14 y 15 de la Ley 1581 de 2012, los cuales disponen que: “Artículo 14. Consultas. Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en cualquier base de datos, sea esta del sector público o privado. El Responsable del Tratamiento o Encargado del Tratamiento deberán suministrar a estos toda la información contenida en el registro individual o que esté vinculada con la identificación del Titular.

La consulta se formulará por el medio habilitado por el Responsable del Tratamiento o Encargado del Tratamiento, siempre y cuando se pueda mantener prueba de esta. La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término. Parágrafo.

Las disposiciones contenidas en leyes especiales o los reglamentos expedidos por el Gobierno Nacional podrán establecer términos inferiores, atendiendo a la naturaleza del dato personal. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 23, VERSIÓN ÚNICA Artículo 15. Reclamos. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1.

El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.

Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.

Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga "reclamo en trámite" y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.

Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término ( )” Respecto de este deber, la Corte Constitucional en sentencia C 748 del 2011 dispuso que: “En el título VI, “DE LOS DEBERES DE LOS RESPONSABLES Y ENCARGADOS DEL TRATAMIENTO DEL DATO”, el legislador enlistó en preceptos separados los deberes de los responsables y de los encargados del tratamiento.

Los deberes enumerados, en términos generales, buscan garantizar el pleno ejercicio del derecho al habeas data por parte de los titulares, como los principios de la administración de datos personales analizados en otro capítulo de esta providencia. Estos deberes hacen referencia, según el sujeto concernido, a lo siguiente: En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación: (…) (vi) Tramitar las consultas y reclamos, hecho que lo obliga a dar a conocer al encargado esas eventualidades para que éste incluya la información correspondiente en la base de datos, con anotaciones que permitan identificar fácilmente el estado de la información, es decir, para que siempre se encuentre actualizada -literales j) y l), e igualmente adoptar reglamentos claros para que el titular del dato pueda hacer exigible sus derechos a consultar y reclamar literal k).” (Negrilla fuera del texto original) Al respecto, este Despacho por medio de la Resolución N°. 44102 del 31 de julio de 2020, sustentada en las siguientes consideraciones: “Conforme a lo anterior, la investigada no acreditó que cuenta con (i) unas políticas internas de seguridad implementada por la organización;

(ii) un manual en el que se señalen los procedimientos establecidos para la recolección, uso, circulación y supresión del dato y; (iii) un manual o procedimiento establecido para la atención de consultas y reclamos, que se ajusten a las obligaciones impuestas por la Ley 1581 de 2012. Razón por la que, se encuentra que la sociedad SUEÑO ESTÉREO S.A.S. presuntamente transgredió lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 24, VERSIÓN ÚNICA 2.2.2.25.2.1 y el inciso 2 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.” Frente al tercer cargo, manifiesta la sociedad investigada en su escrito de descargos radicados bajo el número 19-135285-10 del 9 de agosto del 2020 indico que “(…)Reconocemos expresamente la infracción a lo dispuesto en literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el inciso segundo del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, según el cual, es deber del Responsable implementar un manual de políticas de seguridad, un manual de procedimiento para la atención de consultas y reclamos, y un manual en el que se describan los procedimientos usados para la recolección, uso, circulación y supresión de la información almacenada en sus bases de datos.

Frente al deber que le asiste a la sociedad SUEÑO ESTÉREO S.A.S. en su calidad de Responsable del Tratamiento de adoptar manuales de políticas internas de seguridad implementada por la organización, manual de procedimiento para la atención de consultas y reclamos, manual interno donde se encuentren los procedimientos para la recolección, almacenamiento, uso, circulación y supresión de la información, la sociedad investigada señala que, en efecto, para la fecha en que se llevó a cabo la visita administrativa por parte de esta Superintendencia; es decir, para el mes de junio del 2019, la sociedad NO contaba con estos manuales Ahora bien, frente al deber que le asiste a la sociedad SUEÑO ESTÉREO S.A.S. en su calidad de Responsable del Tratamiento de adoptar un manual de políticas internas de seguridad, este Despacho encuentra que, tal y como quedó acreditado en los hallazgos y conclusiones de la visita de inspección realizada los días 20 y 21 de junio del 2019, por parte de esta Superintendencia, la sociedad no ha adoptado las medidas efectivas tendientes a la conservación de la información bajo medidas de seguridad idóneas y con la confidencialidad que demandaban, puesto que en el documento denominado MANUAL DEL PROGRAMA INTEGRAL DE GESTIÓN DE DATOS PERSONALES, allegado mediante escrito de descargos16, no se evidenció la adopción de este manual.

Ahora bien, frente al deber que le asiste a la sociedad SUEÑO ESTÉREO S.A.S. en su calidad de Responsable del Tratamiento de adoptar un manual de procedimiento para la atención de consultas y reclamos, se presenta a continuación un extracto del acápite que se titula “12. PROCEDIMIENTO PARA EL EJERCICIO DE SUS DERECHOS COMO TITULAR” del documento denominado MANUAL DEL PROGRAMA INTEGRAL DE GESTIÓN DE DATOS PERSONALES, allegado mediante escrito de descargos17, en el que se describe el procedimiento en los siguientes términos: MANUAL DEL PROGRAMA INTEGRAL DE GESTIÓN DE DATOS PERSONALES.

Anexo al escrito de descargos 19-135285-10 del 9 de agosto del 2020 MANUAL DEL PROGRAMA INTEGRAL DE GESTIÓN DE DATOS PERSONALES. Anexo al escrito de descargos 19-135285-10 del 9 de agosto del 2020 “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 25, VERSIÓN ÚNICA ” Respecto lo anterior, se logra evidenciar que la investigada SÍ cuenta con un manual para la atención de quejas y reclamos, en donde se encuentra el procedimiento a través del cual se los titulares pueden realizar consultas o solicitudes encaminadas a conocer, actualizar, rectificar, suprimir los datos o revocar la autorización otorgada.

No obstante es pertinente aclarar que este documento fue implementado en diciembre del 2019 con posterioridad a la ocurrencia de los hechos que dieron origen a la presente investigación es decir 20 y 21 de junio del 2019. Igualmente, frente al deber que le asiste a la sociedad SUEÑO ESTÉREO S.A.S. en su calidad de Responsable del Tratamiento de adoptar un manual interno donde se encuentren los procedimientos para la recolección, almacenamiento, uso, circulación y supresión de la información, es necesario precisar que los aspectos analizados en el presente cargo, guardan relación a los procedimientos internos que debe adoptar los Responsables de la Información con el fin de garantizar la adecuada protección de los datos personales que trata, en virtud del desarrollo de sus actividades; estas actividades van encaminadas a que los responsables, desarrollen políticas internas efectivas que demuestren el cumplimiento de las obligaciones establecidas en la Ley 1581 de 2012 y en su Decreto Reglamentario.

No obstante, la sociedad investigada señala que, en efecto, para la fecha en que se llevó a cabo la visita administrativa es decir 20 y 21 de junio del 2019 por parte de esta Superintendencia;, la sociedad no contaba con este manual, de igual modo, mediante documento denominado MANUAL DEL PROGRAMA INTEGRAL DE GESTIÓN DE DATOS PERSONALES, allegado mediante escrito de descargos 18, NO se evidenció que haya documentado los procedimientos de recolección, almacenamiento, uso y circulación de los datos personales durante el tiempo que sea razonable y necesario, de acuerdo con las finalidades que justificaron el tratamiento.

Para claridad de la investigada, dichos procedimientos son lo siguientes: MANUAL DEL PROGRAMA INTEGRAL DE GESTIÓN DE DATOS PERSONALES. Anexo al escrito de descargos 19-135285-10 del 9 de agosto del 2020 “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 26, VERSIÓN ÚNICA - El método de recolección de la información; - La forma de almacenamiento de la información; - Los múltiples usos que puede tener la información dependiendo de la(s) finalidad(es) especificadas por la empresa; y - La forma en que la información circula al interior de la empresa y/o si la misma es remitida a un Encargado para su Tratamiento Así las cosas, se evidencia el incumplimiento de la investigada a los deberes consagrados en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 y el inciso 2 del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.;

Razón por la cual, se procederá a imponer una multa e impartir unas ordenes administrativas a la sociedad investigada por la adopción y documentación del manual de seguridad y del manual interno donde se encuentren los procedimientos para la recolección, almacenamiento, uso, circulación y supresión de la información. 11.2.5 Respecto del deber de contar con una Política de Tratamiento de Datos Personales El principio de transparencia definido en el literal e) del artículo 4 de la Ley 1581 de 2012 establece que los Responsables del Tratamiento están obligados a garantizarle al Titular, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.

El anterior principio se materializa, entre otros mecanismos jurídicos, a través de la Política de Tratamiento de Información Personal. Al respecto, el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015 señala que los Responsables del Tratamiento deberán (i) escribir sus políticas para el tratamiento de los datos personales;

(ii) implementarlas en medio físico o electrónico, en un lenguaje claro y sencillo; y (iii) ser puestas en conocimiento de los Titulares. El artículo también especifica la información que debe incluir en la política, que en ningún caso debe ser inferior a lo establecido en dicha norma, de conformidad con el artículo 25 de la Ley 1581 de 2012.

Cita la norma: “(…) Artículo 2.2.2.25.3.1. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas. Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares.

Dichas políticas deberán incluir, por lo menos, la siguiente información: 1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. 2. Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. 3. Derechos que le asisten como Titular. 4.

Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. 5. Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. “Por la cual se impone una sanción y se imparten órdenes administrativas” 6.

HOJA N 27, VERSIÓN ÚNICA Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente Decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas.

(…)”. En torno a este asunto, es importante señalar que: (1) La política de tratamiento es una herramienta que permite a los Titulares de la Información pedir, en cualquier tiempo, cuentas a los Responsables del Tratamiento, controlar el uso de sus datos personales y ejercer sus derechos de acceso, actualización, supresión y rectificación de sus datos personales y de revocatoria de la autorización. (2) Este documento debe ser transparente y de fácil acceso para los Titulares de la Información, ya sea por medio escrito 19, formatos electrónicos 20, medios verbales o cualquier otra tecnología disponible, siempre y cuando garantice y cumpla con el deber de informar al Titular de la Información, y estar redactados un lenguaje sencillo y claro.

El requisito de que el lenguaje sea claro y sencillo significa que, por ejemplo, la política sea comprensible para el tipo de personas a la que se dirige; esto reviste una importancia especial cuando se trata de niños, niñas o adolescentes, o personas con alguna discapacidad, o personas de la tercera edad, o personas que no hablen el idioma castellano, etc., razón por la cual, en una política de tratamiento se debe evitar, entre otras cosas, a: (i) contener un lenguaje o terminología de naturaleza excesivamente legal, técnica o especializada; e (ii) incluir ambigüedades, oraciones y estructuras lingüísticas complejas.

(3) Los Responsables del Tratamiento deberán poner en conocimiento al Titular de la Información, a más tardar al momento de la recolección de los datos personales, la política de tratamiento de información personal. La reunión de estos elementos permiten garantizar “el ámbito de protección del derecho de habeas data”21, pues resultan oponibles al sujeto obligado en los procesos de recolección, tratamiento, circulación y disposición final de datos, así como también permite garantizar a los Titulares el pleno y efectivo ejercicio del derecho de habeas data a través de la implementación y puesta en marcha, a su vez, de los principios que rigen el tratamiento de los datos personales mediante herramientas claramente definidas y los procedimientos para su implementación. Al respecto, esta Dirección encontró, de manera preliminar, en la Resolución 44102 del 31 de julio de 2020, sustentada en las siguientes consideraciones: “(…) En el caso analizado, durante la visita administrativa se encontró que la sociedad SUEÑO ESTÉREO S.A.S. contaba con una Política de Tratamiento de Datos Personales, sin embargo se revisó en su momento y no estaba cargada en la página web de la sociedad.

De conformidad con lo anterior, este Despacho evidencia preliminarmente que, en el momento en que se realizó la visita, los días 20 y 21 de junio de 2019, la sociedad SUEÑO ESTÉREO S.A.S. presuntamente incumplía lo estipulado en el literal e) del artículo 4 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la misma Ley y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015.

(…) Frente al cargo quinto, la investigada manifiesta que: (…) Por ejemplo: medios impresos, anuncios impresos, formularios, etc. Electrónicamente - en mensajes de texto; en los sitios web; en correos electrónicos; en aplicaciones móviles. Corte Constitucional, sentencia C-748 de 2011, M.P. María Victoria Calle Correa “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 28, VERSIÓN ÚNICA Es importante resaltar que, de conformidad con la literalidad de las normas anteriormente indicadas, son deberes del Responsable del tratamiento “garantizar el derecho del Titular a 4 obtener del Responsable (…) en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan” y “aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes”; obligaciones frente a las cuales Sueño Estéreo ha cumplido en todo momento.

Por lo tanto, se reitera que, por el simple hecho de que no estuviese cargada la Política de Privacidad en la página web www.paramopresenta.com, al momento de la visita de inspección, por motivos coyunturales de actualización del portal, – único sustento fáctico del Cargo Quinto para atribuir un aparente incumplimiento a Sueño Estéreo – no puede concluirse razonablemente una infracción a la normativa precitada, toda vez que: 1) Sueño Estéreo ha garantizado el derecho de los Titulares de obtener información y realizar cualquier solicitud relacionada con los datos que le conciernan, en cualquier momento y sin restricciones, por cuanto ha adoptado una Política de Privacidad con el pleno de requisitos legales, y la ha puesto a disposición del público ya sea en su página web principal, la de sus eventos individuales, o la de los operadores de boletería aliados para tal efecto; 2) Sueño Estéreo ha cumplido íntegramente su propia Política de Privacidad, y la ha hecho constar en medio físico y/o electrónico en todo momento, ya fuere en su página principal, eventos específicos y/o tiqueteras habilitadas.

Sin perjuicio de lo anterior, se deja constancia de que la mencionada Política ya ha se encuentra cargada y disponible para verificación en la página web principal http://paramopresenta.com/politica-de-datos/, para consulta irrestricta del Titular” Respecto de lo anterior, con el fin de comprobar lo dicho por la investigada y accediendo a la solicitud de realizar inspección judicial del siguiente sitio web de la sociedad SUEÑO ESTÉREO S.A.S, esta Dirección decretó la prueba22 y a través de un Ingeniero de esta Delegatura, se realizó la inspección de la página web 23 cuyas conclusiones mediante acta N° 036-21 son las que, se evidencian a continuación: Resolución No. 70717 del 6 de noviembre del 2020 Por la cual se incorporan pruebas, se decreta la práctica de una prueba y se niega otra, visible bajo radicado número 19-135285-11 del 9 de noviembre del 2020.

ACTA DE PRESERVACIÓN DE PÁGINAS WEB - PRE INVESTIGACIÓN radicado bajo el número 19-135285-15 del 29 de marzo del 2021 HOJA N 29, “Por la cual se impone una sanción y se imparten órdenes administrativas” VERSIÓN ÚNICA (…) Respecto de lo anterior, se evidencia que la sociedad SUEÑO ESTÉREO S.A.S. para la fecha de visita de inspección es decir el mes de junio del 2019, la investigada efectivamente no contaba con una Política de Tratamiento de Datos Personales, cargada en la página web de la sociedad.

Igualmente, mediante escrito de descargos 24 allegó documento denominado “MANUAL DEL PROGRAMA INTEGRAL DE GESTIÓN DE DATOS PERSONALES” con fecha de emisión diciembre del 2019, es decir posterior a la visita de inspección, como se puede evidenciar a continuación: A continuación, se detalla lo evaluado y los resultados o comentarios sobre cada ítem: REQUISITO LEGAL SI/NO COMENTARIO 24 Escrito de descargos radicado bajo el número 19-135285-10 del 9 de septiembre del 2020 “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 30, VERSIÓN ÚNICA 1.

¿La PTI consta en medio físico o NO electrónico? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). La PTI consta en medio físico, pero aún no se encuentra cargada en la página web de la sociedad. 2. ¿La PTI fue redactada con un SI lenguaje claro y sencillo? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).

La PTI incorpora un lenguaje claro y sencillo respecto del tratamiento de los datos 3. ¿La PTI ha sido puesta en NO conocimiento de los Titulares? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). La PTI no se encuentra en el Registro Nacional de Bases de Datos. Igualmente no se encuentra cargada en la página web. 4.

¿la PTI contiene el nombre o razón NO social, domicilio, dirección, correo electrónico y teléfono del Responsable? (Numeral 1 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). 5. ¿La PTI señala el tipo de NO Tratamiento –manual o automatizado- al cual serán sometidos los Datos? (Numeral 2 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).

La PTI no hace referencia a este criterio pues no señala el nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable.” 6. ¿La PTI informa la finalidad del SI Tratamiento de los Datos? (Numeral 2 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). Este requisito se cumple por cuanto la política establece con claridad cuál es el tratamiento al que van a ser sometidos los datos, en el numeral “9.

USO Y FINALIDAD 7. ¿La PTI Menciona de manera SI completa los derechos del Titular del Dato? (Numeral 1 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y artículo 8 de la Ley 1581 de 2012). La PTI menciona todos los derechos que están en cabeza del Titular por virtud del artículo 8 de la Ley 1581 de 2012 y del artículo 2.2.2.25.3.1 del Decreto 1074 de 2015. en el numeral “6.

DERECHOS DEL TITULAR” 8. ¿En la PTI se informa al Titular del SI dato que tiene derecho “conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento. Este derecho se podrá ejercer, entre otros frente a datos parciales, La PTI menciona los derechos que están en cabeza del Titular por virtud del artículo 8 de la Ley 1581 de 2012 y del artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, en el siguiente sentido: “6.

DERECHOS DEL TITULAR”” Dado que la Política no menciona el tipo de tratamiento, el mismo se tiene como no implementado. DEL TRATAMIENTO” “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 31, VERSIÓN ÚNICA inexactos, incompletos, fraccionados, que induzcan a error, ¿o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado”? (Literal a) del artículo 8 de la Ley. 1581 de 2012) 9.

¿En la PTI se informa al Titular del SI dato que tiene derecho a “solicitar prueba de la autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10” de la Ley 1581 de 2012? (Literal –b- del artículo 8 de la Ley 1581 de 2012) La PTI señala la facultad del Titular, de conformidad con el artículo 8 de la Ley 1581 de 2012, de “ Solicitar prueba de la autorización otorgada a La Compañía, salvo cuando expresamente se exceptúe como requisito para el Tratamiento.” 10.

En la PTI se informa al Titular que SI tiene derecho a “ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus datos personales”? (Literal -c- del artículo 8 de la Ley 1581 de 2012) La PTI informa al Titular que tiene derecho a “ser informado por el Responsable del Tratamiento, previa solicitud suya en tal sentido, respecto del uso que le ha dado a sus datos personales” 11.

¿En la PTI se informa al Titular del SI dato que tiene derecho a “presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen? (Literal -d- del artículo 8 de la Ley 1581 de 2012) En la PTI informa al Titular del dato que tiene derecho a “presentar ante la quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen”.

SI En la PTI sí se informa al Titular del dato que tiene derecho a revocar la autorización, al especificar lo siguiente: “ DERECHOS DEL TITULAR 5. Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el tratamiento el Responsable o Encargado han incurrido en conductas contrarias a la ley y a la Constitución.” La PTI informa al Titular del dato que tiene derecho a “6.

Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento al menos una vez cada mes calendario y cada vez que existan modificaciones sustanciales a las Políticas de Tratamiento.” La PTI señala que la persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular 12. ¿En la PTI se informa al Titular del dato que tiene derecho a revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales? (Literal e- del artículo 8 de la Ley 1581 de 2012) 13.

¿En la PTI se informa al Titular del SI dato que tiene derecho a “acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento”? (Literal -f- del artículo 8 de la Ley 1581 de 2012) 14. ¿En la PTI se señala quién es la SI persona o área responsable de la atención de peticiones, consultas y “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 32, VERSIÓN ÚNICA reclamos ante la cual el Titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el Dato y revocar la Autorización? (Numeral 4 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y artículo 23 del Decreto 1377 de 2013). de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización, al señalar lo siguiente “El Departamento de 15.

¿En la PTI se describe el SI procedimiento para que los Titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la Autorización? (Numeral 5 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, artículo 18 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.6. del Decreto 1074 de 2015 y numeral 3 del artículo 27 del Decreto 1377 de 2013).

La PTI especifica el procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización, en la medida en que señala que “Para realizar consultas o solicitudes encaminadas a conocer, actualizar, rectificar, suprimir los datos o revocar la autorización otorgada, el Titular o sus causahabientes pueden utilizar cualquiera de los siguientes canales de comunicación.”.

NO No puntualiza la fecha de entrada en vigencia de la política de tratamiento de la información, ya que aun cuando la misma señala que “El presente manual integral de Marketing será el área encargada por parte de SUEÑO ESTÉREO S.A.S. como Responsable de la función de protección de datos, la cual se puede contactar a través de email info@paramopresenta.com” 16.

¿La PTI indica la fecha de entrada en vigencia de la política de Tratamiento de la información? (Núm. 6, art 13 del Decreto 1377 de 2013 incorporado en el Artículo 2.2.2.25.3.1 Decreto 1074 de 2015). 17. ¿La PTI informa el período de NO vigencia de la Base de Datos? (Numeral 6 del artículo 13 del Decreto 1377 de 2013 incorporado en el Artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). gestión de datos personales de Sueño Estéreo SAS fue elaborado/revisado/actualizado el día 28 de diciembre de 2018 para efectos de dar cumplimiento a las disposiciones contenidas en la Circular 03 del 3 de Noviembre de 2015”, lo cierto es que la fecha de emisión corresponde al mes de diciembre del 2019” No puntualiza el período de vigencia de la Base de Datos Respecto lo anterior, es evidente que la sociedad SUEÑO ESTÉREO S.A.S. vulneró el régimen de protección de datos, de acuerdo con las siguientes situaciones 1.

Para la fecha de realización de la visita administrativa de inspección y vigilancia (20 y 21 de junio del 2019), la sociedad investigada no contaba con una Política de Tratamiento de Datos Personales cargada en su sitio web, como quedó demostrado durante la visita de inspección y posteriormente con el decreto de la prueba solicitada y practicada mediante el acta de preservación de páginas web N° 036-21 2.

La Política de Tratamiento de Datos Personales allegada mediante escrito de descargos cuyo contenido, conforme a la tabla antes reseñada, no cumple con la totalidad de los requisitos mínimos que establece el Decreto único Reglamentario 1074 de 2015 Por ello y en ejercicio de las funciones conferidas por el artículo 21 de la Ley 1581 de 2012 a esta Superintendencia, se impartirá una orden administrativa a la sociedad investigada, consistente en ajustar, conforme a la tabla anterior, su Política de Tratamiento de Información (PTI) y cargar la “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 33, VERSIÓN ÚNICA versión actualizada de dicho documento en el Registro Nacional de Bases de Datos, conforme a lo preceptuado en la Ley 1581 de 2012 y su Decreto Único Reglamentario 1074 de 2015.

DÉCIMO SEGUNDO: CONCLUSIONES 12.1 Quedó demostrado que la autorización otorgada a la sociedad SUEÑO ESTÉREO S.A.S por los titulares para la recolección de sus datos personales, en especial aquellos capturados en el lector de huella y de niños, niñas y adolescentes no cumplen con el requisito de informada, pues no indica las finalidades específicamente i) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes ii) Informar al titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento. 12.2 Quedó demostrado que la sociedad la sociedad SUEÑO ESTÉREO S.A.S, no documentó e implementó los manuales de políticas de seguridad y del ciclo del dato, en el que se describan los procedimientos usados para la recolección, uso, circulación de la información almacenada en sus bases de datos. 12.3 Quedó demostrado que la sociedad SUEÑO ESTÉREO S.A.S para la fecha de visita de inspección es decir 20 y 21 de junio del 2019, no contaba con la Política de Tratamiento de Datos Personales cargada en su sitio web como quedo acreditado mediante ACTA DE PRESERVACIÓN DE PÁGINAS WEB - PRE INVESTIGACIÓN N°036 del 202125.

Igualmente, al revisarla política allegada mediante escrito de descargos, se evidenció que la misma no cumple con la totalidad de los requisitos mínimos establecidos en la Ley Estatutaria 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015.

DÉCIMO TERCERO: ÓRDENES ADMINISTRATIVAS En este orden de ideas, de acuerdo con los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones: • La sociedad SUEÑO ESTÉREO S.A.S deberá modificar el modelo de autorización implementado para recolectar la autorización dada por los Titulares, de tal manera que este se ajuste a la exigencia relacionada con el carácter informada.

En esta medida, se deberá aclarar la finalidad específica del carácter facultativo que tienen tanto los menores como sus padres o acudientes de contestar las preguntas formuladas, así como, Informar al titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento. • La sociedad SUEÑO ESTÉREO S.A.S deberá desarrollar e implementar una manual de políticas de seguridad y un manual en el que se describan los procedimientos usados para la recolección, uso, circulación de la información almacenada en sus bases de datos.: • La sociedad SUEÑO ESTÉREO S.A.S deberá adecuar la Política de Tratamiento de Información (PTI) implementada por la sociedad de acuerdo con lo siguiente: i) ii) iii) Indicar si la PTI consta en medio físico o electrónico Cargar la PTI ajustada en el Registro Nacional de Bases de Datos y en la página web de la sociedad Indicar en la PTI contiene el nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. 25 Acta radicada bajo el número 19-135285-15 del 29 de marzo del 2021 HOJA N 34, “Por la cual se impone una sanción y se imparten órdenes administrativas” iv) v) vi) VERSIÓN ÚNICA Indicar si el Tratamiento al cual serán sometidos los Datos será –manual o automatizado- al cual serán sometidos los Datos Incluir el período de vigencia de la Base de Datos Incluir la fecha de entrada en vigencia de la política de tratamiento de la información La investigada deberá acreditar el cumplimiento de lo ordenado mediante certificación firmada por el representante legal y remitir la documentación pertinente dentro del término de los DOS (2) meses siguientes a la ejecutoria de la presente decisión. En virtud de todo lo anterior, EXHORTAMOS a la representante legal de SUEÑO ESTÉREO S.A.S para que adopte medidas pertinentes, útiles, efectivas y verificables con miras a: 1.

Aplicar el principio de responsabilidad demostrada, con miras a garantizar frente a los titulares el derecho a conocer, actualizar y rectificar los datos que de ellos se esté realizando Tratamiento se encuentren debidamente documentadas observando las orientaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)”26. 2.

Evitar que se repitan hechos como los que dieron origen a la presente investigación. 3. Respetar y garantizar los derechos de los titulares de los datos. 4. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 5. Demostrar, en los casos que se requiera, que los procedimientos adecuados al interior de la entidad se apliquen en debida forma. 6.

Hacer efectivo el pleno respeto del derecho fundamental a la protección de datos de las personas.

DÉCIMO CUARTO: Imposición y graduación de la sanción 14.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 23 27. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 2 28, 4 29 y 6 30 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo31.

La Corte Constitucional señaló sobre este asunto: El texto puede consultarse en: http://www.sic.gov.co/noticias/guia-para-la-implementacion-del-principio-de-responsabilidad-demostrada Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.

(negrita añadida) Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones. (negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000);

Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 35, VERSIÓN ÚNICA "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”32 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)”.

El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 33. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En efecto, el artículo 26 de la Ley 152 de 1994 dispone: “Con base en el Plan Nacional de Desarrollo aprobado, cada uno de los organismos públicos de todo orden a los que se aplica esta Ley preparará su correspondiente plan de acción. En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV.” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Tributario (UVT).

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2021 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional34 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2.

Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 36, VERSIÓN ÚNICA De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”35 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 23 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros36. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”37.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia38. Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.

Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas.

Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 37, VERSIÓN ÚNICA La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2339 de la misma.

Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Ley 1581 de 2012, artículo 24: “Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012.

Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “El artículo 23 del proyecto establece las sanciones que puede aplicar la Superintendencia de Industria y Comercio a los responsables del tratamiento y encargados del tratamiento, dentro de las cuales contempla las multas, la suspensión de las actividades relacionadas con el tratamiento, el cierre temporal de las operaciones relacionadas con el tratamiento y finalmente el cierre inmediato y definitivo de la operación: Esta norma constituye una disposición de carácter sancionatorio y por ello debe cumplir con todos los principios propios del debido proceso sancionador contemplados en la Constitución Política y reconocidos por la jurisprudencia de esta Corporación: En primer lugar, el principio de legalidad, de acuerdo con el cual: “las conductas sancionables no sólo deben estar descritas en norma previa sino que, además, deben tener un fundamento legal, por lo cual su definición no puede ser delegada en la autoridad administrativa”.

Este axioma tiene una interpretación menos rigurosa en el Derecho administrativo sancionador que en el Derecho penal, pues es posible una flexibilización razonable de la descripción típica: “Ha reiterado la Corte, que en el derecho administrativo sancionador "aunque la tipicidad hace parte del derecho al debido proceso en toda actuación administrativa, no es demandable en este campo el mismo grado de rigurosidad que se exige en materia penal”, por cuanto la naturaleza de las conductas reprimidas, los bienes jurídicos involucrados y la teleología de las facultades sancionadoras en estos casos, hacen posible también una flexibilización razonable de la descripción típica, en todo caso, siempre erradicando e impidiendo la arbitrariedad y el autoritarismo, que se haga prevalecer los principios de legalidad y de justicia social, así como los demás principios y fines del Estado, y que se asegure los derechos constitucionales, los intereses legítimos y los derechos de origen legal o convencional de todas las personas”.

Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 38, VERSIÓN ÚNICA Esta norma cumple con el principio de tipicidad, para lo cual debe interpretarse conjuntamente con el artículo 22 de la futura ley estatutaria, que establece la posibilidad de imponer sanciones cuando se hayan incumplido las disposiciones de esta ley.

En este sentido, el supuesto de hecho que completa la norma jurídica sancionatoria está constituido por la infracción de las disposiciones de la futura ley estatutaria por la cual se dictan disposiciones generales para la protección de datos personales. (…)40 Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 14.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

En el caso sub-examine, con base en el literal a) del artículo 24 de la Ley 1581 de 2012, esta Dirección evidencia que los cargos comprobados en contra de la entidad SUEÑO ESTÉREO S.A.S, afectaron de forma real y concreta los intereses jurídicos consagrados en la Ley 1581 de 2012 y sus normas complementarias. También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Así como, la conducta de la investigada durante el trámite de la investigación administrativa. Como se ha expuesto la sociedad SUEÑO ESTÉREO S.A.S, infringió los siguientes deberes que le asisten en calidad de Responsable del tratamiento de datos en virtud de la Ley Estatutaria: • El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2., 2.2.2.25.2.3., 2.2.2.25.2.4. y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; por cuanto la autorización no es informada pues no cumple específicamente con el requisito establecido en el numeral b) del artículo 12 de la Ley 1581 de 2012.

En consecuencia, se impondrá una sanción pecuniaria de OCHO MILLONES SESENTA MIL TRESCIENTOS SETENTA Y SEIS PESOS M/CTE ($ 8.060.376) equivalente a DOSCIENTOS VEINTIDÓS (222) Unidades de Valor Tributario vigentes. • El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; por cuanto no informó las finalidades específicamente i) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando versen sobre datos sensibles o sobre datos de niños, niñas y adolescentes. ii) Informar al titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento.

En consecuencia, se impondrá una sanción pecuniaria de CINCO MILLONES DIEZ MIL QUINIENTOS CUATRO PESOS M/CTE ($ 5.010.504) equivalente a CIENTO TREINTA Y OCHO (138) Unidades de Valor Tributario vigentes. • El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el inciso segundo del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, al no contar con un manual de políticas de seguridad y un manual en el que se describan los procedimientos usados para la recolección, uso, circulación y supresión de la información almacenada en sus bases de datos.

En consecuencia, se impondrá una sanción Corte Constitucional, Sentencia C-748 de 2011, M.P: Jorge Ignacio Pretelt Chaljub. FJ: 2.22.3. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA N 39, VERSIÓN ÚNICA pecuniaria de CINCO MILLONES DIEZ MIL QUINIENTOS CUATRO PESOS M/CTE ($ 5.010.504) equivalente a CIENTO TREINTA Y OCHO (138) Unidades de Valor Tributario vigentes. 14.1.2 Otros criterios de graduación Por último, se aclara que frente a la sociedad investigada los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) no hubo beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones de esta Dirección. Así mismo, no se beneficiará del criterio de atenuación del literal f) ibídem, con relación a los dos cargos objeto de sanción, en tanto su “reconocimiento” lo alega de forma parcial.

DÉCIMO QUINTO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad SUEÑO ESTÉREO S.A.S., identificada con Nit. 900648406 - 3, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial de la sociedad gabriel@paramopresenta.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Finalmente, indicando que la totalidad del Expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad SUEÑO ESTÉREO S.A.S.,, considera estrictamente necesario el acceso del Expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.

Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad SUEÑO ESTÉREO S.A.S, identificada con el Nit. 900.648.406-3, de VEINTISÉIS MILLONES CIENTO CUARENTA Y UN MIL SETECIENTOS SESENTA PESOS M/CTE ($26.141.760) equivalentes a SETECIENTOS VEINTE (720) Unidades de Valor Tributario (UVT) vigentes por la violación a lo dispuesto en: (i) (ii) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2., 2.2.2.25.2.3., 2.2.2.25.2.4. y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015;

El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; “Por la cual se impone una sanción y se imparten órdenes administrativas” (iii) HOJA N 40, VERSIÓN ÚNICA El literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012.

El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 y el inciso 2 del artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015. (iv)

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR a la sociedad SUEÑO ESTÉREO S.A.S, identificada con el Nit. 900.648.406-3, cumplir con las siguientes instrucciones, dentro del término de dos (2) meses siguientes a la ejecutoria de la presente decisión: • La sociedad SUEÑO ESTÉREO S.A.S deberá modificar el modelo de autorización implementado para recolectar la autorización dada por los Titulares, de tal manera que este se ajuste a la exigencia relacionada con el carácter informada.

Indicar si el Tratamiento al cual serán sometidos los Datos será –manual o automatizado- al cual serán sometidos los Datos Incluir el período de vigencia de la Base de Datos Incluir la fecha de entrada en vigencia de la política de tratamiento de la información PARÁGRAFO PRIMERO: La sociedad SUEÑO ESTÉREO S.A.S, identificada con el Nit. 900.648.406-3, deberá acreditar el cumplimiento de lo ordenado mediante certificación firmada por el representante legal y la documentación pertinente dentro del término de los DOS (2) meses siguientes a la ejecutoria de la presente decisión.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad SUEÑO ESTÉREO S.A.S, identificada con el Nit. 900.648.406-3, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad SUEÑO ESTÉREO S.A.S, identificada con el Nit. 900.648.406-3, a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación. HOJA N 41, “Por la cual se impone una sanción y se imparten órdenes administrativas” VERSIÓN ÚNICA ARTÍCULO CUARTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 29 OCTUBRE 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.10.29 16:05:13 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JMBG Revisó: SRB Aprobó: CESM NOTIFICACIÓN: Investigada: SUEÑO ESTÉREO S.A.S Identificación: Nit. 900.648.406-3 Representante Legal: GABRIEL GARCIA ARDILA Identificación: C.C. No. 79601391 Dirección: DG 68 SUR 37 C 49 TO 1 AP 403 Correo electrónico: gabriel@paramopresenta.com Ciudad: BOGOTA, D.C.

Resolución sancionatoria N° 70020 de 2021

CONSIDERANDO

RESUELVE