Resolución sancionatoria N° 56651 de 2021

(01 SEPTIEMBRE 2021) VERSIÓN PÚBLICA “Por la cual se impone una sanción” Radicación 19-79100 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que, mediante denuncia presentada ante esta Superintendencia, radicada con el número 19-079100-00000 del 3 de abril de 2019, la cual fue trasladada por competencia a este Despacho por la Delegatura para Asuntos Jurisdiccionales de la Superintendencia de Industria y Comercio mediante Auto No. 18805 del 27 de febrero de 2019, al interior de la cual el señor xxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxx, identificado con C.C. No. xx.xxx.xxx, manifestó que presuntamente la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., identificada con NIT. 860.052.634-2, consignó “(…) el teléfono personal de mi residencia (…)” 1, dentro de la facturación emitida por “Los Coches” como contacto de la Distribuidora, lo que ocasionó llamadas y correos masivos de clientes de solicitando los servicios prestados por la sociedad.

SEGUNDO: Que, con el propósito de precisar las circunstancias de tiempo, modo y lugar de los hechos narrados en la denuncia presentada por el señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, las personas naturales o jurídicas involucradas, las normas presuntamente trasgredidas y las medidas o sanciones que serían procedentes, esta Dirección recolectó los elementos materiales probatorios que se enlistan a continuación: 2.1 Oficio con radicado 19-079100-00003 del 3 de octubre de 2019, mediante el cual esta Dirección, a través del Grupo de Trabajo de Investigaciones Administrativas, solicitó a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., entre otras cosas que informara: “1) (…) por qué razón aparecieron los datos de contacto del señor xxxxxxxxxxxxxxxx xxxxxxx en las facturas de la sociedad y por qué fueron enviados unos mensajes de confirmación de citas de otros clientes a su correo electrónico.

Especifique cómo ocurrieron los hechos. (…) 10) indique en cuantas facturas fue visible el número telefónico del señor xxxxxxxxxxxxxx xxxxxx. (…) 12) informe que medidas se tomaron frente a los hechos denunciados por parte del señor xxxxxxxxxxxxxxxxxxxxxxx, y qué medidas se tomaron frente a los empleados o personas naturales que estuvieron involucrados.

(…) 14) Determine específicamente las fechas y el tiempo que estuvo el número telefónico de la residencia del denunciante en las facturas de la DISTRIBUIDORA LOS COCHES DE LA SABANA S.A.S como número de contacto. De igual forma manifieste el tiempo en que 1 Denuncia con radicado 19-079100-00000 del 3 de abril de 2019. “Por la cual se impone una sanción” las confirmaciones de las citas de sus clientes se remitieron al correo electrónico del señor xxxxxx.

(…)”. 2.2 Comunicación presentada ante esta Superintendencia, radicada con el número 19-07910000005 del 22 de octubre de 2019, mediante la cual la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., en atención al requerimiento enunciado en el numeral anterior, informó lo siguiente: “1. (…). • El día 17 de noviembre de 2018, el Sr. xxxxxxxxxxxxxxxxxxxxxx solicitó la prestación de un servicio técnico en el taller de Los Coches para un vehículo de su propiedad.

Como resultado de la prestación del servicio se generó la orden de trabajo No. 247161 con fecha del mismo día de la prestación del servicio. • Como parte del procedimiento interno para la generación de la respectiva orden de trabajo, el asesor técnico responsable de la prestación del servicio, procedió a la actualización de los datos del cliente para su inclusión en el sistema DMS, mediante el cual se gestiona el proceso de facturación de la Compañía. • Al momento de realizar el proceso de actualización de datos, el asesor técnico encargado de realizar el registro de los datos, debido a un error involuntario no actualizó los campos de información del cliente, sino que modificó los campos de información de la sociedad Los Coches (…).

Al realizarse este cambio, las facturas generadas de manera automatizada por el mencionado sistema, reflejaban el número de teléfono del cliente como número de contacto de Los Coches. De igual forma el correo de contacto del cliente xxxxxxxxxxxxxxxxxxxxxxxxxx, quedó registrado internamente como un correo de los Coches para confirmar el agendamiento de las citas de servicio técnico de los clientes.

(…) 10. (…). El número telefónico del Sr xxxxxxxxxxxxxxxxxx se incluyó en un total de 3289 factura, emitidas a un total de 2.095 clientes de la Compañía. (…) 12. (…). Inmediatamente fue recibida la comunicación del cliente, se procedió a efectuar la corrección de la información, modificando el número telefónico de contacto de nuestra compañía 4233535.

Se procedió a generar control de software en la base de datos (“Triggers”), para que no fuera modificable ninguno de los terceros que se publican en la Factura. Se generó comunicación por las diferentes plataformas de redes sociales (Facebook y Twitter), recordando todos los datos de contacto de Los Coches en cada una de nuestras sedes y para cada una de nuestras marcas en las diferentes ciudades.

(…) Se realizan modificaciones en el almacenamiento de la información de la base de datos para que la auditoria sea detallada sobre todos los módulos que realizan cambios de los datos de clientes. El día 21 de diciembre del año 2018, se envió correo electrónico a cada uno de los clientes (en copia oculta) con facturación generada desde el 17 de noviembre hasta el 10 de diciembre del 2018, informando de acuerdo a la ciudad y a la marca nuestras líneas de contacto.

(…) Así mismo, a través de nuestro proveedor Call Center “Táctica Consultores”, se efectuaron campañas de información con los 2.095 clientes que recibieron facturas con un numero de “Por la cual se impone una sanción” contacto equivocado, aclarando cuales eran nuestras líneas de atención para cada ciudad y marca. El desarrollo de la campaña se llevó a cabo iniciando el 9 de abril y se dio por terminada el 25 de mayo de 2019.

En ese tiempo se realizaron 6 barridos de la base de datos los cuales se llevaron a cabo en horas y días diferentes buscando contactar la mayor cantidad de clientes. (…) El número telefónico del denunciante registrado en las facturas, así como el envío de confirmaciones de las citas de los clientes en su correo electrónico se presentó desde el día 17 de noviembre de 2018 hasta el día 10 de diciembre de 2019, fecha en que el titular de información presentó su respectiva reclamación. 14.

(…). • El número telefónico del denunciante registrado en las facturas, así como el envío de confirmaciones de las citas de los clientes en su correo electrónico se presentó desde el día 17 de noviembre de 2018 hasta el día 10 de diciembre de 2019, fecha en que el titular de información presentó su respectiva reclamación. (…)”.

TERCERO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4° de la misma Ley, se inició la presente investigación administrativa mediante la expedición de la Resolución No. 31331 del 25 de junio de 2020.

CUARTO: Que acorde con la certificación con radicado 19-79100-00017 del 10 de agosto de 2020 de la Secretaría General Ad-Hoc de esta Superintendencia, la investigada fue notificada, a través de su representante legal, por aviso No. 13906 el 13 de julio de 2020 de la Resolución No. 31331 del 25 de junio de 2020. A su vez, se comunicó la Resolución al denunciante.

QUINTO: Que dentro del término legal para presentar descargos, la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., radicó las siguientes comunicaciones: 5.1 Con radicado 19-79100-000132 del 3 de agosto de 2020, la investigada aporta: (i) carta fechada del 3 de agosto del 2020 en la que los señores xxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxx y xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx indican que fueron resarcidos los daños causados por la compañía por el incidente de seguridad al llegarse a acuerdo conciliatorio en la Cámara de Comercio de Bogotá y;

(ii) copia del acta de conciliación del caso No. 113898 del 13 de mayo de 2013. Se extraen las siguientes imágenes de estos documentos: Imagen 1. Tomada del anexo a la comunicación con radicado 19-79100-00013. 2 Con la comunicación con radicado 19-79100-00016 del 3 de agosto de 2020 la investigada también radicó los dos documentos aportados con el radicado 19-79100-00014.

“Por la cual se impone una sanción” Imagen 2. Tomada del anexo a la comunicación con radicado 19-79100-00013. 5.2 Con radicado 19-79100-000143 del 3 de agosto de 2020 la investigada presentó escrito de descargos y las pruebas que pretende hacer valer en esta actuación administrativa. Los argumentos expuestos en el escrito de descargos son los siguientes: 5.2.1 Señala que la empresa ha diseñado e implementado un programa integral de protección de datos personales, actuando con debida diligencia “(…) antes, durante e incluso con posterioridad a la ocurrencia del incidente de seguridad objeto de investigación (…)”. 5.2.2 Indica que al identificarse el hecho que genera el incidente de seguridad, se realizaron las “siguientes actuaciones generales”: “• Etapa de indagación: La Compañía recolecta la información técnica asociada al evento presentado con la información de contacto del Sr. xxxxxxxxxxxxxxxxxxxx, confirmando el efectivo registro involuntario de su información en el campo del formato de facturación correspondiente a la información de la Compañía. • Etapa de Análisis: La Compañía inicia un análisis integral desde la perspectiva técnica y jurídica para determinar las causas e impactos del evento de seguridad, estableciendo adicionalmente las medidas de corrección, prevención y mitigación descritas en la información suministrada a esta Superintendencia. • Etapa de gestión: Se adelantan las medidas técnicas necesarias para la corrección, prevención y mitigación de todos los impactos derivados del mismo, identificando las lecciones aprendidas con miras a adoptar acciones efectivas para evitar su nueva ocurrencia en el futuro, anexo informe del incidente (…)”. 5.2.3 Arguye que el error involuntario de exponer la información del Titular en las facturas de la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. implicó que se asociara su información a la empresa y no fuera posible identificar el Titular de dichos datos.

Agrega que: “Al respecto destacamos que el concepto de datos personales sobre el cual recae del deber de seguridad de la información se soporta en el atributo esencial del conocimiento de la identidad de las personas naturales que ostentan la condición de titulares de la información, de lo contrario se configura una información disociada o anonimizada, respecto de la cual existe un deber corporativo de custodia pero que por si (sic) misma no tendría la capacidad 3 Con la comunicación con radicado 19-79100-00016 del 3 de agosto de 2020 la investigada radicó nuevamente el escrito de descargos presentado con el radicado 19-79100-00013 sin los demás anexos allegados con este.

“Por la cual se impone una sanción” de materializar una vulneración a los principios de seguridad y privacidad de los datos personales. Si bien la Compañía reconoce que hipotéticamente, una persona podría llegar a obtener la confirmación de la identidad del titular del información de contacto registrada en la factura, lo cual conllevaría a considerar el presente evento como un incidente de datos personales, debemos destacar que en el contexto objeto de análisis se evidencian factores determinantes para concluir que los hechos descritos no afectarían materialmente el principio de seguridad y privacidad de la información según se describe a continuación: i. El dato de contacto expuesto en la factura no solo estaba disociado de la identidad del titular, sino que adicionalmente estaba demarcado como información corporativa de los Coches, razón por la que a diferencia de otros posibles escenarios de exposición de datos personales, los receptores de dicha información no tendrían la vocación o posibilidad material de utilizar o emplear dicha información para establecer un contacto efectivamente orientado o dirigido al titular de información, por ejemplo para fines de prospección comercial, publicidad o incluso para fines delictivos, tal como sucedería en los casos en que incluso la sola revelación del dato de contacto se realiza en un contexto de fuga o extracción indebida de bases de datos corporativas, en donde sus potenciales receptores claramente podrían utilizar dicha información para propiciar un contacto directo con una persona determinada o determinable que ostenta la condición de titular de los datos de contacto. ii.

Conforme a los hechos descritos, la única posibilidad efectiva de conocer la identidad del titular de la información de contacto reflejada en las facturas, era mediante la revelación directa por parte del propio titular de información al momento de entablar un contacto con alguno de los clientes de los Coches, situación que aunque factible, no guarda correspondencia con los supuestos de una revelación indebida de datos personales por parte de la Compañía, lo anterior tomando en consideración que no existe una exposición de datos complementarios con los que razonablemente una persona pudiera correlacionar la identidad del titular de información con los datos de contacto equivocadamente relacionados en la factura”. 5.2.4 Indica que “(…) reconoce su responsabilidad frente a la ocurrencia del error en el manejo de los datos de contacto del titular (…)” y por ello, ha adoptado medidas para: “(…) remedir la situación en todos los ámbitos de impacto, incluyendo entre otras medidas previamente informadas, el despliegue de acciones de contacto directo con cada uno de los clientes receptores de la información equivocada, utilizando para ello el servicio de contact center de la empresa Táctica Consultores, para lo cual se procedió a asignar recursos y definir un alcance específico y adecuado para el despliegue de esta gestión de mitigación y corrección. (…)”. 5.2.5 Aclara que frente al caso concreto del Titular y ante “(…) la afectación en su expectativa de servicio (…)” se realizaron acciones directamente con él, dentro de las cuales se encuentran: “i. Se socializó y concertó con el titular de información las acciones adelantadas por la Compañía, definiendo adicionalmente acciones complementarias para la corrección, prevención y mitigación del incidente, tomando como único criterio de acción la satisfacción plena del titular de información. ii.

Se define adicionalmente una compensación económica a favor del titular de información con el objeto de compensar la afectación derivada de la falla del servicio de la Compañía, buscando una compensación integral y mitigando de manera razonable y adecuado (sic) los efectos adversos sufridos por el titular de información. iii. Las acciones y compromisos adelantados por la Compañía fueron valorados y aceptados por el titular de información como medidas conducentes, pertinentes y efectivas para la mitigación del impacto derivado del mencionado error, lo cual se refleja no solo en el retiro de la queja presentada por el titular de información ante esta Superintendencia con ocasión a los hechos objeto de análisis (ver anexo No. 5), sino adicionalmente por la cesación definitiva de las acciones de contacto recibidas por el titular de información con ocasión al error previamente descrito”. 5.2.6 Manifiesta que el Titular de la información, eliminó la información recibida a su correo electrónico de diferentes clientes, “(…) de lo cual se dejó constancia expresa en el acta de “Por la cual se impone una sanción” conciliación suscrita entre la Compañía (…)”.

Al respecto, agrega que tampoco se han presentado quejas ante la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. y la Superintendencia de Industria y Comercio por parte de los clientes que se contactaron con el señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx. 5.2.7 Invoca que en el programa integral de protección de datos personales implementado no solo se acatan las obligaciones y lineamientos que establece la normatividad sobre la materia, sino que también las “(…) directrices específicas de la ‘Guía para la acreditación del principio de Accountability’ de esta Superintendencia, como mecanismos para promover la efectividad de su programa de protección de datos personales (…)”.

Adicionalmente, añade que “(…) ha estructurado un programa para la sostenibilidad y mejora continua de su programa corporativo de protección de datos personales mediante la definición de un plan anual de protección de datos (…)”.

SEXTO: Que mediante Resolución No. 12740 del 11 de marzo de 2021, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 19-79100, con el valor legal que les corresponda y decretó las siguientes pruebas: “(…)  Requerir a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., identificada con NIT 860.052.634-2, con el fin de que certifique respecto del señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, identificado con C.C. xxxxxxxxxx, hasta qué día, mes y año, (i) su teléfono fijo se registró en las facturas de la compañía y;

(ii) recibió al correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxx mensajes de confirmación de citas de los servicios prestados por la empresa.  Requerir a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., identificada con NIT 860.052.634-2, con el fin que respecto del documento Diagnóstico y Recomendaciones de Seguridad de la Información, anexo al escrito de descargos[3], remita la versión en la que se acredite (i) la fecha de emisión del documento y (ii) quiénes, con los cargos correspondientes, la proyectaron, revisaron y aprobaron, con las respectivas rúbricas.  Requerir a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. identificada con NIT 860.052.634-2 para que explique de forma minuciosa el video, anexo a los escritos de descargos[3], en particular, (i) el cargo en la compañía de la persona que realiza la ilustración, (ii) el objeto de la explicación dada en el vídeo y;

(iii) a qué se refiere cada una de las siguientes menciones: a)’(…) el informe desde que consulto el histórico de cliente es por rombos abiertos por fecha (…)’, b) ‘(…) ingreso por la ruta de informes 0401, taller, rombo informe 132, rombos abiertos por fecha (…), c) ‘(…) cuando genero el informe de máximo unas semanas atrás, me arroja información (…)’ y; d) ‘(…) si deseo consultar fechas anteriores me arroja el error de la pantalla (…)’”.

Que la Resolución No. 12740 de 2021 fue comunicada a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. el 12 de marzo de 2021, de acuerdo con la certificación con radicado 19-79100-00021 del 23 de marzo de 2021 emitida por la Secretaria Ad-Hoc de esta Superintendencia.

SÉPTIMO: Que dentro del plazo otorgado por la Resolución No. 12740 de 2021, la investigada mediante comunicación con radicado 19-79100-00022 del 23 de marzo de 2021 informó lo siguiente: “1. (…) RESPUESTA: en relación con este punto nos permitimos precisar: (i) El teléfono fijo del señor xxxxxxxxxxxxxxxxxxxxxxxxxx se registró en las facturas de la Compañía desde el día 17 de noviembre de 2018 hasta el día 10 de diciembre de 2018.

(ii) Los mensajes de confirmación de agendamiento de los servicios prestados por la Compañía, fueron remitidos al correo xxxxxxxxxxxxxxxxxxxxxxxxxx hasta el día 10 de diciembre de 2018. “Por la cual se impone una sanción” 2. (…) RESPUESTA: El documento ‘Diagnóstico y Recomendaciones de Seguridad de la Información’ es el resultado de la gestión realizada por el equipo de asesores externos: Once Asesores & Consultores, quienes fueron contratados por la Compañía para adelantar de manera independiente y objetiva las labores tendientes a verificar y evaluar el estado de las medidas de seguridad de la información de la Compañía, tomando como referencia inicial la relación de controles de seguridad y privacidad de la información descritos en el Registro Nacional de Bases de Datos Personales, así como los estándares internacionales en la materia.

Este informe fue elaborado por el Ingeniero xxxxxxxxxxxxxxxxxxxxxxx y aprobado de parte del equipo consultor por xxxxxxxxxxxxxxxxxxxxxxxxxx, Gerente general de la firma y coordinador del proyecto por parte del mencionado equipo consultor. El informe con fecha del 19 de diciembre de 2017 fue remitido por parte del equipo de Once Asesores & Consultores a xxxxxxxxxxxxx, Directora de Tecnología el día 19 de diciembre de 2017, mediante correo electrónico remitido por el Ing. xxxxxxxxxxxxxxxxxxxxxx desde el correo xxxxxxxxxxxxxxxxxxxxxxxxxx el mismo día indicado en la fecha del informe según se evidencia en el correo remitido como anexo al presente documento (Ver Anexo No. 1).

Desde el equipo de la Compañía, el informe fue inicialmente revisado y aprobado por Sonia González, quien revisó las recomendaciones efectuadas por el equipo de Once Asesores, aplicando cambios en las ‘POLÍTICAS Y PROCEDIMIENTOS PARA LA GESTIÓN DE LA SEGURIDAD Y LA CONSERVACIÓN DE LA INFORMACIÓN EN LA ORGANIZACIÓN’ (Anexo 2); posteriormente, su contenido se socializó con el representante legal de la Compañía, junto con los demás resultados de la consultoría contratada, de lo cual se dejó constancia en el documento remisorio del informe el día 05 del mes de marzo del año 2018, en el cual se indicaron las medidas aplicadas sobre las recomendaciones efectuadas por el equipo de Once Asesores, la cual se incluye como Anexo No. 3 del presente documento. 3.

(…) RESPUESTA: (i) Cargo: Asesor de Servicio de la marca Volvo, persona encargada de realizar la recepción de los vehículos que ingresan al taller ya sea por diagnóstico o reparación, así como la planificación (gestión de llamar confirmar asistencia verificar disponibilidad de tiempos de atención), en las citas agendadas de los clientes que asisten al taller de servicio.

(ii) El objeto de la explicación dada en el vídeo: Ilustrar el proceso de consulta de los vehículos que ingresaron al taller en un periodo de tiempo, el cual es requerido por el funcionario como parte de sus funciones, a fin de poder consultar y contactar al cliente para darle información con respecto al avance de reparación de su vehículo.

Se evidencia como el sistema controla que el funcionario solo pueda extraer información de hasta 7 días atrás de la fecha de consulta, control que se implementó con el fin que no pueda extraer periodos de tiempo superiores. Este video fue realizado como evidencia de la inmediata diligencia por parte de Los Coches por el incidente presentado en la fecha 26 de septiembre del año 2017 con numero (sic) de incidente 17-375516 (iii) a qué se refiere cada una de las siguientes menciones: a) ‘(…) el informe desde que consulto el histórico de cliente es por rombos abiertos por fecha (…)’, Cuando el funcionario menciona la palabra ‘rombos’, hace referencia a la codificación interna que se emplea en los talleres de la compañía para identificar y ubicar con más facilidad un vehículo que se encuentra en taller.

El rombo está asociado al número de la orden servicio con la que ingresa un vehículo al concesionario. De esta manera, al indicarse qué ‘el histórico de cliente es por rombos abiertos’, hace referencia a los vehículos ingresados al taller de servicio que cuentan con orden abierta de trabajo, permitiendo únicamente un término de consulta de hasta máximo 7 días sobre ordenes ya cerradas.

“Por la cual se impone una sanción” b) ‘(…) ingreso por la ruta de informes 0401, taller, rombo informe 132, rombos abiertos por fecha (…): Hace referencia a la ruta de acceso o código para ingresar al módulo de reportes del sistema de gestión de información de la compañía - DMS (Dynamic Modular System) desde el cual se genera el informe en mención. c) ‘(…) cuando genero el informe de máximo unas semanas atrás, me arroja información (…)’ y;

El usuario ilustra que, al generar el informe de consulta de ‘rombos abiertos’ solo se le permite consultar hasta siete días atrás. d) ‘(…) si deseo consultar fechas anteriores me arroja el error de la pantalla (…)’. Cuando se desean consultar ordenes de trabajo cerradas desde hace más de 7 días, el sistema arroja un mensaje de error, informando que no se encuentra autorizado este tipo de consulta, por tratarse de información fuera del rango autorizado.

(…)”.

OCTAVO: Que mediante la comunicación con radicado 19-79100-00023 del 27 de mayo de 2021 se corrió traslado a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. para que presentara alegatos de conclusión.

NOVENO: Que la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., dentro de la oportunidad legal y por conducto de su representante legal, presentó alegatos de conclusión con la comunicación con radicado 19-79100-00024 del 11 de junio de 2021, alegando lo siguiente: “(…) destacamos que en decisión tomada por esta misma Superintendencia y con ocasión a los mismos hechos que motivaron la presente investigación, fuimos notificados mediante oficio 7111del 30 de noviembre de 2020enviado al correo electrónico notificaciones@loscoches.com.co, que dentro del marco del incidente de seguridad reportado por LOS COCHES bajo radicado 19-6831-0, se determinó: ‘Una vez realizada la revisión de la información aportada, este Despacho observó debida gestión del incidente de seguridad por parte de la Sociedad y la adopción de las medidas de seguridad pertinentes para la contención de los riesgos a los que fue sometida la información; motivo por el cual, se procederá al archivo de las diligencias adelantadas bajo el número de radicado 19-6831’.

Lo anterior con fundamento en el hecho de que durante el proceso de investigación se pudo constatar por parte de esta entidad, que la actuación de LOS COCHES se encuentra enmarcada dentro de las exigencias legales y no se identificaron elementos que responsabilidad frente a la vulneración del régimen normativo de protección de datos personales.

Si bien la decisión previamente descrita puede corresponder a instancias internas de distinta competencia de esta Superintendencia, se destaca que en virtud de los principios constitucionales sobre cosa juzgada, la materialización formal y material de derecho de contradicción y defensa requiere que exista correspondencia entre las actuaciones y decisiones de las autoridades públicas, especialmente cuando sus decisiones versan sobre los mismos hechos objeto de investigación, razón por la cual solicitamos a este despacho, tomar en consideración los elementos facticos y probatorios que cursan en este expediente, así como aquellos tomados en consideración por esta Superintendencia y que sirvieron de fundamento para el archivo de la investigación adelantada por los mismos hechos bajo el radicado 19-6831-0”.

DÉCIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley. “Por la cual se impone una sanción”

DÉCIMO PRIMERO: Análisis del caso 11.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20114, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del Tratamiento respecto del manejo de los datos personales de los Titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración del el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, así como las razones de hecho y de derecho aducidas por la investigada en descargos y alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 11.2 Valoración probatoria y conclusiones A continuación, se realizará un análisis respecto de los argumentos expuestos por la investigada sobre los perjuicios resarcidos al Titular y respecto del desistimiento de la queja presentada por el mismo, para concluir con la valoración del cargo imputado a la investigada en la presente actuación, así como del acervo probatorio recaudado, para establecer si se presentó una infracción al Régimen de Protección de Datos Personales. 11.2.1 Respecto de la indemnización por daños y perjuicios La sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. en descargos5 señaló que ante la falla en el servicio se efectuó una compensación económica al Titular de la información, “(…) buscando compensación integral y mitigando de manera razonable y adecuado (sic) los efectos sufridos por el titular de la información (…)”, aportando copia del acta de conciliación del caso No. 1138986 del 13 de mayo de 2019 del Centro de Conciliación y Arbitraje de la Cámara de Comercio de Bogotá, suscrita por el representante legal y asesora de servicio al cliente de la investigada, así como por la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx y la apoderada del señor xxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxx.

En la mencionada acta de conciliación se prevé, entre otros aspectos, lo siguiente: Imagen 3. Tomada del anexo a la comunicación con radicado 19-79100-00013. 4 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). 5 Obrante en la comunicación con radicado 19-79100-00014 del 3 de agosto de 2020. 6 Obrante en la comunicación con radicado 19-79100-00013 del 3 de agosto de 2020.

“Por la cual se impone una sanción” Imagen 4. Tomada del anexo a la comunicación con radicado 19-79100-00013. Frente a lo alegado por la investigada en el sentido que el Titular de la información fue resarcido por los perjuicios causados por la falla acaecida en el servicio, que dio lugar a la exposición de sus datos, y que ello se demuestra a través del acta de conciliación del caso No. 113898 7 del 13 de mayo de 2019 del Centro de Conciliación y Arbitraje de la Cámara de Comercio de Bogotá, este Despacho precisa que el artículo 19 de la Ley 1581 de 2012 dispuso que esta entidad, “(…) a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley”.

A su turno, en el artículo 21 de la misma ley dispone las funciones que le fueron asignadas, dentro de las cuales se encuentran: “ARTÍCULO 21. FUNCIONES. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.

Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; (…) k) Las demás que le sean asignadas por ley”. De acuerdo con estas especificaciones normativas, téngase presente que a través de esta entidad se busca salvaguardar el derecho fundamental de hábeas data y garantizar el pleno cumplimiento de todos los derechos, deberes, principios, garantías y procedimientos del Régimen General de Protección de Datos Personales.

Respecto a este segundo aspecto, el inicio de una investigación administrativa de carácter sancionatorio, como la que dio origen a esta actuación mediante la Resolución No. 313331 de 2020, tiene por fin determinar si se desconoció este Régimen por parte de los Responsables y/o Encargados del Tratamiento, y de concluirse que se configuró una vulneración a los deberes por parte estos, hay lugar a la imposición de las sanciones previstas en el artículo 238 de la Ley 1581 de 2012 y en lo que sea aplicable, los criterios de graduación de las sanciones contemplados en el artículo 249 de la ley en mención. 7 Ibídem. 8 “ARTÍCULO 23.

SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. 9 “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio;

“Por la cual se impone una sanción” Nótese que la facultad sancionatoria de esta entidad en materia de protección de datos personales no tiene por objeto que se resarzan los daños y perjuicios causados al Titular de la información sino que se garantice el cumplimiento del Régimen General de Protección de Protección de Datos Personales previsto en la Ley 1581 de 2012, el cual fue reglamentado con el Decreto 1377 de 2013 10.

El resarcimiento de daños y perjuicios en materia contractual es competencia de la Jurisdicción Ordinaria. En conclusión, el hecho que la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. haya resarcido al Titular de la información por los perjuicios ocasionados por la divulgación de los datos del Titular, no tiene efecto alguno en esta investigación en caso que se determine que desconoció el deber previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, por cuanto este Despacho no está llamado a cuantificar daños y perjuicios sino a sancionar por el desconocimiento del Régimen General de Protección de Datos Personales. 11.2.2 Respecto del desistimiento de la queja presentada por el Titular ante la La sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. manifestó en escrito de descargos11 que el Titular de la información retiró la queja presentada ante esta Superintendencia y demostró esto a través de documento fechado del 3 de agosto de 2020 suscrito por el denunciante, saber: Imagen 5.

Tomada del anexo a la comunicación con radicado 19-79100-00013. Ante lo expuesto por la investigada, este Despacho aclara que el desistimiento por parte de los Titulares de la información de las denuncias presentadas ante esta entidad por la presunta vulneración del derecho de hábeas data y/o el desconocimiento del Régimen General de Protección de Datos Personales, no conlleva al archivo de actuación administrativa alguna ni constituye una causal de atenuación de la sanción en los términos de los artículos 23 y 24 de la Ley 1581 de 2012.

Al respecto, independientemente del medio a través del cual esta Superintendencia conozca sobre hechos y conductas que presuntamente desconocen el derecho de hábeas data y/o el Régimen General de Protección de Datos Personales, está dentro de sus facultades “[v]elar por el cumplimiento de la legislación en materia de protección de datos personales”12 y “[a]delantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar”. 10 Incorporado al Decreto Único Reglamentario 1074 de 2015. 11 Obrante en la comunicación con radicado 19-79100-00014 del 3 de agosto de 2020. 12 Literal a) del artículo 21 de la Ley 1581 de 2012.

“Por la cual se impone una sanción” medidas que sean necesarias para hacer efectivo el derecho de hábeas data. (…)” 13. Así, nótese que incluso de oficio esta Superintendencia puede iniciar una investigación administrativa. En ese orden de ideas, si esta Superintendencia advierte que se han configurado hechos que posiblemente han quebrantado el derecho fundamental de hábeas data o el Régimen General de Protección de Datos Personales, con el objeto de reestablecer el derecho del Titular o Titulares y/o sancionar a los investigados con fines disuasorios para que no se vuelva a desconocer los deberes a su cargo que prevé dicho Régimen, ejerce todas las potestades conferidas en la Ley 1581 de 2012 independientemente si los hechos fueron o no denunciados.

Así, el hecho de que el señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx desistiera mediante carta fechada del 3 de agosto de 202014 de la denuncia15 por él presentada ante esta Superintendencia, no implica de modo alguno que este Despacho archive esta investigación, ya que frente a los hechos puestos en conocimiento del Titular esta autoridad administrativa debe analizar si hubo un desconocimiento por parte de la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. del deber previsto el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley. 11.2.3 Respecto del deber de conservar la información bajo condiciones de seguridad necesarias para evitar su uso o acceso no autorizado.

En primer lugar, el artículo 17 de la Ley 1581 de 2012 dispone los deberes de los Responsables del Tratamiento, especificando en el literal d) lo siguiente: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)”. Frente a este deber la Corte Constitucional en sentencia C-748 de 2011 señaló: “En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación: (…) (iii) Adoptar las medidas para garantizar la seguridad del dato, a efectos de que no se pierda, no se adultere, no se utilice o acceda por fuera de la autorización, lo cual es desarrollado en el literal d) en concordancia con el principio de seguridad en la transferencia del dato.

Por tanto, el responsable está obligado a exigir y controlar las condiciones de seguridad que está empleando el encargado del tratamiento -literal a), como informar oportunamente a la autoridad encargada de la protección del dato sobre violaciones a los códigos de seguridad y la existencia de riesgos en la administración de la información de los titulares- literal n); siendo estos deberes, sin lugar a dudas, también desarrollo del principio de seguridad jurídica”. 13 Literal b) del artículo 21 de la Ley 1581 de 2012. 14 Obrante en la comunicación con radicado 19-79100-00013 del 3 de agosto de 2020. 15 Obrante en la comunicación con radicado 19-79100-00000 del 3 de abril de 2019.

“Por la cual se impone una sanción” El anterior deber de los Responsables del Tratamiento, es desarrollo de los principios de acceso y circulación restringida y seguridad previstos en el artículo 4 de la Ley 1581 de 2012, así: “ARTÍCULO

4. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley; g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)”. A su vez, respecto de estos principios es preciso traer a colación lo determinado por la Corte Constitucional en sentencia C-748 de 2011 en los siguientes términos: “2.6.5.2.6. Principio de acceso y circulación restringida: En razón de esta directriz, el Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, éste sólo podrá hacerse por personas autorizadas por el titular y/o por las personas previstas en la presente ley.

Además, se prohíbe que los datos personales, salvo información pública, se encuentren disponibles en Internet, a menos que se ofrezca un control técnico para asegurar el conocimiento restringido. (…) Considera la Sala que tales condicionamientos no son necesarios, por cuanto la misma norma elimina estas posibilidades. En efecto: (i) prohíbe que los datos no públicos sean publicados en Internet y (ii) sólo podrían ser publicados si se ofrecen todas las garantías.

De lo anterior se infiere que si el sistema permite el acceso con la simple digitación de la cédula, no es un sistema que cumpla con los requerimientos del inciso segundo del literal f) del artículo 4. Sin embargo, debe reiterarse que el manejo de información no pública debe hacerse bajo todas las medidas de seguridad necesarias para garantizar que terceros no autorizados puedan acceder a ella.

De lo contrario, tanto el Responsable como el Encargado del Tratamiento serán los responsables de los perjuicios causados al Titular. De otra parte, cabe señalar que aún cuando se trate de información pública, su divulgación y circulación está sometida a los límites específicos determinados por el objeto y finalidad de la base de datos. 2.6.5.2.7.

Principio de seguridad: Al amparo de este principio, la información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. De este principio se deriva entonces la responsabilidad que recae en el administrador del dato.

El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto ‘diluvio de datos’[240], a través “Por la cual se impone una sanción” del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior transferencias, no cesa de aumentar.

Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Ello también aumenta los riegos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.

(…) Existe entonces un deber tanto de los Responsables como los Encargados de establecer controles de seguridad, de acuerdo con el tipo de base de datos que se trate, que permita garantizar los estándares de protección consagrados en esta Ley Estatutaria”. Preliminarmente este Despacho encontró que la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. dio uso no autorizado a los datos del Titular al ponerlos en circulación del 17 de noviembre de 2018 al 10 de diciembre del 2018, a través de las facturas emitidas durante este periodo, ocasionando el Tratamiento de sus datos por personas no autorizadas.

Así mismo, se evidenció que el correo electrónico del Titular quedó registrado internamente en la empresa para el agendamiento de citas. Además, también se encontró preliminarmente que la investigada no cuenta con las medidas de seguridad idóneas para evitar esta clase de situaciones. La sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. expresó que frente a los hechos presentados con el Titular se desplegó el proceso interno de incidentes de seguridad y se actuó con debida diligencia. A su turno, señaló que, si bien los datos del Titular se consignaron en las facturas de la compañía, no es posible aludir que los datos corresponden a él al incorporarse dentro de la información de la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. Ahora bien, en esta actuación administrativa la investigada aceptó que incurrió en un error en el Tratamiento de los datos personales del Titular, tanto en descargos 16 como en alegatos de conclusión17, y describe los hechos en: (i) El incidente de seguridad presentado ante esta Superintendencia el 14 de enero de 2019 bajo el radicado 19-06831-00000, en el cual indica: Imagen 6.

Tomada de anexo a la comunicación con radicado 19-79100-00014. Imagen 7. Tomada de anexo a la comunicación con radicado 19-79100-00014. 16 Obrante en la comunicación con radicado 19-79100-00013 del 3 de agosto de 2020. 17 Obrante en la comunicación con radicado 19-79100-00024 del 11 de junio de 2021. “Por la cual se impone una sanción” Imagen 8.

Tomada de anexo a la comunicación con radicado 19-79100-00014. (ii) El acta de conciliación del caso No. 11389818 del 13 de mayo de 2019 del Centro de Conciliación y Arbitraje de la Cámara de Comercio de Bogotá, suscrita por el representante legal y asesora de servicio al cliente de la investigada, así como por la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx y la apoderada del señor xxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxx, en la que se encuentran los hechos narrados por la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. en audiencia de conciliación, a saber: Imagen 9.

Tomada de anexo a la comunicación con radicado 19-79100-00013. (iii) A lo largo de esta actuación administrativa19 informó que el número telefónico del Titular se incluyó en 3289 facturas, destinadas a 2095 clientes de la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. Así las cosas, está probado y aceptado por la investigada que: (i) divulgó el número telefónico del Titular en las facturas emitidas del 17 de noviembre del 2018 al 10 de diciembre de 2018 al señalarlo como dato de contacto de la empresa, por lo cual los clientes se comunicaron directamente con el denunciante y;

(ii) recibió el Titular a su correo electrónico datos personales de clientes de la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. producto del agendamiento de citas. Por su parte, se encuentra demostrado que la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. tras la ocurrencia de los hechos denunciados por el Titular, para el caso concreto adoptó las siguientes medidas: (i) En el incidente de seguridad radicado ante esta Superintendencia el 14 de enero de 2019 bajo el radicado 19-06831-000000, la investigada informó y demostró que adoptó las siguientes medidas de mitigación:  Modificó desde el 10 de diciembre de 2018, fecha en la cual recibió la queja del señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, el número telefónico de contacto del Titular en las facturas de la compañía al de esta, soportándolo a través de la siguiente imagen de su sistema de registro: Imagen 10.

Tomada de anexo a la comunicación con radicado 19-79100-00014. 18 Obrante en la comunicación con radicado 19-79100-00013 del 3 de agosto de 2020. 19 Tanto en los anexos a la comunicación con radicado 19-79100-00013 del 3 de agosto de 2020 como en los obrantes en la comunicación con radicado 19-79100-00024 del 11 de junio de 2021. “Por la cual se impone una sanción”  El 17 de diciembre de 2018 en las redes sociales Twitter y Facebook informó los números de contacto de la empresa, demostrándolo a través de las siguientes imágenes: Imagen 11.

Tomada del anexo a la comunicación con radicado 19-79100-00014. Imagen 12. Tomada de anexo a la comunicación con radicado 19-79100-00014.  Con copia oculta enviaron el 21 de diciembre de 2018 correos electrónicos a los clientes, a quienes generaron las facturas del 17 de noviembre al 10 de diciembre de 2018, con el objeto de informarles las líneas de contacto de la empresa.

El soporte de esto es: Imagen 13. Tomada de anexo a la comunicación con radicado 19-79100-00014. (ii) Por conducto de su proveedor de Call Center “Táctica Consultores” efectuó compañas con los 2095 clientes, a quienes se les expidió factura con el número telefónico del Titular, “Por la cual se impone una sanción” precisándoles cuáles son los números de contacto de la compañía por ciudad.

Mediante comunicación fechada del 25 de mayo de 2019 suscrita por el gerente de “Táctica Consultores”, se acreditó: “El desarrollo de la campaña se llevó a cabo iniciando el 9 de abril y se dio por terminada el 25 de mayo. En ese tiempo se realizaron 6 barridos de la base de datos los cuales se llevaron a cabo en horas y días diferentes buscando contactar la mayor cantidad de clientes.

Los resultados fueron los siguientes: Cuadro resumen con los resultados de llamadas por cliente: El total de la base de datos fue de 2.095 clientes, de ellos, fueron contactados 1.696 que representan el 77% y 391 (23%) no fueron contactados; estos últimos bien sea porque no contestaron la llamada, el teléfono no estaba en uso o porque era número equivocado.

Entre los contactados, el 53% (979 clientes) fueron informados de los números de teléfono según el taller que visitan, el 16% (265 clientes) se les dejó el mensaje en el buzón de voz, 3% (58 clientes) contestó otra persona que conoce al cliente, 8% (132 clientes manifestaron que no les interesa el servicio principalmente porque: no viven en la ciudad en que Los Coches presta servicio, en algunos casos porque no tienen vehículo o algunos otros porque no quieren regresar al taller; 6% (94 clientes) contestaron pero manifestaron no tener tiempo para tomar datos o atender la llamada; 2% (41 clientes) dijeron que ya tienen los datos de contacto con el taller; y el 1% (11 personas) manifestaron alguna inconformidad y se abrió un caso de servicio”.

(iii) Convocó al Titular a audiencia de conciliación, acorde con el acta de conciliación del caso No. 11389820 del 13 de mayo de 2019 del Centro de Conciliación y Arbitraje de la Cámara de Comercio de Bogotá, en la cual se lograron los siguientes acuerdos tendientes a garantizar que el denunciante se abstenga de hacer uso no autorizado de los datos personales de clientes de la DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. que obtuvo por mensajes de agendamiento recibidos directamente a su correo electrónico, así como a través de las llamadas recibidas a su número telefónico.

Los acuerdos son los siguientes: Imagen 14. Tomada del anexo a la comunicación con radicado 19-79100-00013. Imagen 15. Tomada del anexo a la comunicación con radicado 19-79100-00013. 20 Obrante en la comunicación con radicado 19-79100-00013 del 3 de agosto de 2020. “Por la cual se impone una sanción” Asimismo, este Despacho encuentra dentro de las pruebas aportadas por la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. que tras la ocurrencia de los hechos materia de investigación, ella desplegó acciones tendientes a evitar que no vuelvan a ocurrir hechos similares respecto de otros Titulares, a saber: (i) En la presentación del incidente de seguridad radicado ante esta Superintendencia el 14 de enero de 2019 bajo el radicado 19-06831-000000, la investigada informó y demostró que generó “(…) control de software en la base de datos (‘Triggers’), para que no fuera modificable ninguno de los terceros que se publican en la Factura”21.

En comunicación fechada del 21 de agosto de 201922, anexa soporte de esta acción: Imagen 16. Tomada de anexo a la comunicación con radicado 19-79100-00014. (ii) En comunicación 19-6831-00003 del 21 de agosto de 2019, obrante en el expediente 196831 y en esta investigación en el radicado 19-79100-00014, respecto del incidente de seguridad la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. indicó: “Las modificaciones en el almacenamiento de la información solo se realizan para el tercero ‘Distribuidora Los Coches la Sabana S.A.S.’, Nit. 860052634 y demás sociedades aliadas de manera que los datos relacionados con estas compañías no pudieran ser modificables salvo solicitud del jefe de tecnologías al desarrollar del (sic) software.

A continuación un ejemplo de lo manifestado: Ahora bien, frente a la auditoría detallada sobre los módulos que realizan cambios de los datos de los clientes, se procedió con el desarrollo de software a la corrección del módulo para que registrara en la tabla de auditoría una relación detallada de todos los cambios que se ejecutan sobre un tercero (clientes), ejemplo: 21 Incidente de seguridad con radicado 19-06831-00000 obrante en la comunicación con radicado 19-79100-00014 del 3 de agosto de 2020. 22 Comunicación del expediente con radicado 19-06831-00000, la cual está en el radicado 19-79100-00014 del 3 de agosto de 2020 de esta actuación administrativa.

“Por la cual se impone una sanción” ” “Por la cual se impone una sanción” De acuerdo con lo anteriormente expuesto, este Despacho encuentra que la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. adoptó medidas y acciones que en su conjunto son pertinentes frente a la falla de seguridad presentada respecto de los hechos puestos en conocimientos del Titular de la información, ya que: (i) el mismo día que tuvo conocimiento que el número telefónico del denunciante estaba consignado en la factura, lo modificó por el de la empresa, (ii) presentó el incidente de seguridad 23 ante esta Superintendencia informando las medidas adoptadas, (iii) desplegó una campaña a través de Call Center para aclarar el número telefónico de la empresa en las distintas ciudades y;

(iv) convocó al denunciante a audiencia de conciliación extrajudicial para lograr un acuerdo, en el cual logró un compromiso para que él no haga uso de los datos personales obtenidos a través de los correos electrónicos de agendamiento de citas recibidos. Adicional a ello, implementó otras medidas tendientes a evitar que hechos similares a los denunciados vuelvan a ocurrir en la compañía que pueden llevar a que los datos de los Titulares puedan ser accedidos sin autorización por terceros.

En todo caso, estas medidas y acciones fueron posteriores a la ocurrencia de los hechos que se han investigado en esta actuación administrativa, de manera que con ellas la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. no puede demostrar que previo al 17 de noviembre de 2018 adoptó las medidas necesarias, pertinentes y útiles con las que hubiese evitado que el asesor técnico que atendió al Titular no incurriera en el error humano de cambiar el número telefónico en la factura y en el sistema de agendamiento relacionar el correo electrónico del Titular.

Por ejemplo, lo hubiesen acreditado si, por ejemplo, demostraban que el asesor estaba debidamente capacitado sobre el manejo del sistema y en protección de datos personales o debido a que contaban con un sistema que imposibilitaba la modificación de la información de la compañía por parte de sus empleados. Por otra parte, este Despacho dentro del acervo probatorio evidencia que previo a la ocurrencia de los hechos denunciados, la investigada había adoptado algunas medidas que tenían por finalidad garantizar la confidencialidad y seguridad de la información: (i) Contrató a asesores externos para el análisis de la gestión de la seguridad de la información de la empresa y los resultados se plasmaron por estos asesores en el documento denominado Diagnóstico y Recomendaciones de Seguridad de la Información24, cuyo objeto se definió así: “Identificar la situación actual de la organización frente a la seguridad de la información tomando como guía los aspectos definidos por la Superintendencia de Industria y Comercio a través del Registro Nacional de Bases de Datos y estándar internacional de Seguridad de la Información”.

Respecto de este documento, la investigada en comunicación con radicado 19-7910000022 del 29 marzo de 2021 indicó lo siguiente: 23 Respecto a la oportunidad para la presentación de los incidentes de seguridad, téngase presente que es máximo dentro de los 15 días hábiles siguientes al momento en que se hayan detectado. Así lo dispone el numeral (ii) del literal f) del numeral 2.1 del capítulo 2 del Título V de la Circular Única de la Superintendencia de Industria y Comercio, en los siguientes términos: “(…) (ii) Incidentes de seguridad.

Se refiere a la violación de los códigos de seguridad o la pérdida, robo y/o acceso no autorizado de información de una base de datos administrada por el Responsable del Tratamiento o por su Encargado, que deberán reportarse al RNBD por parte de los Responsables del Tratamiento que se encuentran obligados a registrar sus bases de datos en el RNBD dentro de los quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos.

Los Responsables del Tratamiento que no se encuentren obligados a registrar sus bases de datos en el RNBD y los Encargados del Tratamiento, deberán hacer el reporte de los incidentes de seguridad que afecten la información contenida en estas mediante el aplicativo dispuesto para tal fin en la página web de la Superintendencia de Industria y Comercio en el micrositio de la Delegatura para la Protección de Datos Personales o mediante cualquiera de los canales habilitados por la entidad para recibir comunicaciones dentro de los quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos.

La información relacionada con las medidas de seguridad, los reclamos presentados por los Titulares y los incidentes de seguridad reportados en el RNBD no estará disponible para consulta Pública”. 24 Obrante en la comunicación con radicado 19-79100-00022 del 29 marzo de 2021. “Por la cual se impone una sanción” “El documento ‘Diagnóstico y Recomendaciones de Seguridad de la Información’ es el resultado de la gestión realizada por el equipo de asesores externos: Once Asesores & Consultores, quienes fueron contratados por la Compañía para adelantar de manera independiente y objetiva las labores tendientes a verificar y evaluar el estado de las medidas de seguridad de la información de la Compañía, tomando como referencia inicial la relación de controles de seguridad y privacidad de la información descritos en el Registro Nacional de Bases de Datos Personales, así como los estándares internacionales en la materia.

Este informe fue elaborado por el Ingeniero xxxxxxxxxxxxxxxxxxxxxx y aprobado de parte del equipo consultor por xxxxxxxxxxxxxxxxxxxxxxxxx, Gerente general de la firma y coordinador del proyecto por parte del mencionado equipo consultor. El informe con fecha del 19 de diciembre de 2017 fue remitido por parte del equipo de Once Asesores & Consultores a xxxxxxxxxxxxx, Directora de Tecnología el día 19 de diciembre de 2017, mediante correo electrónico remitido por el Ing. xxxxxxxxxxxxxxxxxxxxxx desde el correo consultor@onceasesores.net el mismo día indicado en la fecha del informe según se evidencia en el correo remitido como anexo al presente documento (Ver Anexo No. 1).

Desde el equipo de la Compañía, el informe fue inicialmente revisado y aprobado por Sonia González, quien revisó las recomendaciones efectuadas por el equipo de Once Asesores, aplicando cambios en las ‘POLÍTICAS Y PROCEDIMIENTOS PARA LA GESTIÓN DE LA SEGURIDAD Y LA CONSERVACIÓN DE LA INFORMACIÓN EN LA ORGANIZACIÓN’ (Anexo 2); posteriormente, su contenido se socializó con el representante legal de la Compañía, junto con los demás resultados de la consultoría contratada, de lo cual se dejó constancia en el documento remisorio del informe el día 05 del mes de marzo del año 2018, en el cual se indicaron las medidas aplicadas sobre las recomendaciones efectuadas por el equipo de Once Asesores, la cual se incluye como Anexo No. 3 del presente documento”.

Como se demuestra en la siguiente imagen, dicho análisis fue remitido por los asesores externos a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. el 4 de diciembre de 2017: Imagen 17. Tomada de anexo a la comunicación con radicado 19-79100-00022. (ii) Adopción del documento Políticas y Procedimientos para la Gestión de la Seguridad de la Conservación de la Información en la Organización 25, creado el 31 de enero de 2017, el cual fue actualizado por la investigada atendiendo el Diagnóstico y Recomendaciones de Seguridad de la Información de los asesores externos. (iii) Como se evidencia en el video obrante en la comunicación con radicado 19-79100-00014 del 3 de agosto de 2020, el cual es explicado en la respuesta con radicado 19-7910000022 del 29 de marzo de 2021, en el sistema de control de los vehículos al que accede el Asesor de Servicio al encontrarse dentro de sus funciones, para efectos de “(…) consultar y contactar al cliente para darle información con respecto al avance de reparación de su vehículo (…)”26 solo puede consultar información no mayor a 7 días. 25 Obrante en la comunicación con radicado 19-79100-00022 del 29 de marzo de 2021. 26 Respuesta obrante en la comunicación con radicado 19-79100-00022 del 29 de marzo de 2021 “Por la cual se impone una sanción” Este “(…) control que se implementó con el fin que no pueda extraer periodos de tiempo (sic) superiores”27.

De acuerdo con las tres pruebas anteriores, se encuentra que la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. previo a la ocurrencia de los hechos adoptó medidas encaminadas a garantizar la confidencialidad y seguridad de la información; no obstante, estas fueron insuficientes en consideración a que ninguna de ellas evitó que el 17 de noviembre de 2018 el asesor que atendió al Titular no cambiara los datos de la compañía por los del Titular.

Además, dentro del acervo probatorio no obra una sola prueba con la que se demuestre que el asesor comercial fue, por ejemplo, capacitado en el sistema de registro de las órdenes de compra y de las facturas de la compañía y en el Tratamiento de datos personales. Así, está evidenciado que la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. no implementó las medidas necesarias, útiles y pertinentes para evitar que el asesor comercial el 17 de noviembre de 2018 no errara modificando los datos de la compañía por los del Titular en las facturas de la empresa.

Ahora bien, respecto a lo señalado por la investigada en el sentido de que los datos divulgados del Titular son de naturaleza pública, este Despacho aclara que, para el caso materia de estudio, el número telefónico y correo electrónico del Titular son datos de naturaleza semiprivada, con fundamento en el artículo 3 de la Ley 1266 de 2008 que señala: “(…) e) Dato personal.

Es cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica. Los datos impersonales no se sujetan al régimen de protección de datos de la presente ley. Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal.

Los datos personales pueden ser públicos, semiprivados o privados; f) Dato público. Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas; g) Dato semiprivado.

Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley. h) Dato privado.

Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular; (…)”. Por su parte, en la Sentencia C-1011 de 2008, la Corte Constitucional declaró la norma exequible en el siguiente entendido: “El dato público, en los términos de la norma estatutaria, corresponde a aquellos que sean calificados de esa manera por la Constitución y la ley, al igual que todos los que no estén incluidos en las categorías de datos semiprivados y privados.

El legislador prevé dentro de la categoría en comento a los documentos públicos, las sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva y los relativos al estado civil de las personas. Los datos semiprivados corresponde a aquellos que no tienen naturaleza íntima, reservada, ni pública y que, por ende, su conocimiento puede interesar no solo a su titular sino a cierto sector o grupo de personas o a la sociedad en general.

Ejemplo de esta categoría es el dato financiero y crediticio de actividad comercial o de servicios, el que, como se ha indicado insistentemente en esta decisión, es el objeto de regulación del Proyecto de Ley. Por último, el dato privado es aquel que por su naturaleza íntima o reservada sólo es relevante para el titular”. (Se subraya fuera de texto) 27 Ibídem.

“Por la cual se impone una sanción” La anterior clasificación fue retomada de manera íntegra por el Alto Tribunal en la sentencia C-748 de 2011, al efectuar el estudio de constitucionalidad de la actual Ley 1581 de 2012. En la referida sentencia dijo esa Corporación lo siguiente: “(…) la clasificación de los datos personales no es un elemento indispensable de la regulación y, dicho vacío en todo caso puede ser remediado acudiendo a la jurisprudencia constitucional y a otras definiciones legales, especialmente al artículo 3 de la Ley 1266, en virtud del principio de conservación del derecho, el literal c) será declarado exequible en este respecto”.

(Negrita fuera del texto original) Habiendo precisado que para el caso los datos divulgados del Titular no son públicos sino semiprivados, también aclara este Despacho que incluso respecto de los datos públicos aunque de estos no se requiera solicitar la autorización del Titular para su Tratamiento sí se deben cumplir las demás disposiciones de la Ley 1581 de 2012 como lo dispone el artículo 10 de la Ley 1581 de 201228.

En cuanto a lo manifestado por la investigada en el sentido de que no era posible asociar al Titular con los datos consignados de sí en la factura por estar relacionados como de la empresa, es menester traer a colación lo preceptuado por la Corte Constitucional en sentencia C-748 de 2011 respecto de la definición de base de datos contemplada en el literal c) el artículo 3 de la Ley 1581 de 2012: “El literal c) del artículo 3 define los datos personales como ‘[c]ualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables’.

Esta definición, aunque es amplia, concuerda en términos generales con la línea jurisprudencial que esta Corte ha desarrollado en la materia, así como con la definición adoptada en la Ley 1266 sobre el dato personal financiero. Adicionalmente, la fijación de una definición de dato personal es un ejercicio legítimo de la libertad de configuración de la que goza el legislador, cuyos límites en este caso no han sido desconocidos. 2.5.6.1.

En efecto, la jurisprudencia constitucional ha precisado que las características de los datos personales –en oposición a los impersonales[184]- son las siguientes: ‘i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.’[185] Por su parte, la Ley 1266, con el aval de esta Corporación, aunque en un contexto diferente, definió los datos personales de forma similar: ‘Dato personal: es cualquier pieza de información vinculada a una o varias personas natural o jurídica.

(…)’ (literal e del artículo 3)”. De acuerdo con la definición del literal c) del artículo 3 de la Ley 1581 de 2012 y lo establecido por la jurisprudencia constitucional, téngase presente que un dato personal es tal no porque un tercero puede identificar de forma clara si pertenece a una determinada persona natural sino si en efecto corresponde a una persona natural como lo es para el caso concreto, el número telefónico y correo electrónico del señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx.

Por otra parte, en cuanto a lo invocado por la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. respecto a que en el expediente con radicado 19-6831 se resolvió favorablemente el incidente de seguridad que se basa en los mismos hechos de esta investigación, este Despacho 28 “ARTÍCULO

10. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓN. La autorización del Titular no será necesaria cuando se trate de: (…) b) Datos de naturaleza pública; (…) Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley”. “Por la cual se impone una sanción” explica a la investigada que la respuesta favorable con radicado 19-6831-00005 del 7 de febrero de 2020 está dentro del deber que le corresponde en calidad de Responsable del Tratamiento del literal n) del artículo 17 de la Ley 1581 de 2012, el cual dispone: “[i]nformar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares”.

Por su parte, en esta actuación se está analizando si se vulneró el deber previsto en el literal d) de la misma norma: “[c]onservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”. Además, el expediente con radicado 19-6831, a diferencia de la presente actuación administrativa, no corresponde a una investigación sino a la gestión del incidente de seguridad en cumplimiento del deber previsto en el literal n) del artículo 17 de la Ley 1581 de 2012.

En consecuencia, el radicado 19-6831-00005 del 7 de febrero de 2020 corresponde a una respuesta frente a dicha gestión por parte de la Coordinadora del Grupo de Trabajo de Investigaciones Administrativas de esta Dirección y no a una decisión de naturaleza sancionatoria. Incluso, si la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. no hubiese dado cumplimiento al mentado literal n) a través de la presentación del incidente de seguridad, hubiese sido susceptible formulación de cargos también por dicho deber.

En conclusión, se encuentra demostrado que la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. realizó divulgación no autorizada del número de teléfono del denunciante y a su vez, este recibió a su correo electrónico datos no autorizados de los clientes de la empresa. Así mismo, está evidenciado que la investigada previo a la ocurrencia de los hechos no adoptó las medidas de seguridad necesarias, útiles y efectivas tendientes a evitar que el asesor comercial de la investigada no cometiera el error de modificar el 17 de noviembre de 2018 los datos en el sistema que conllevaron a la divulgación no autorizada de la información personal del denunciante y otros Titulares.

Así las cosas, está probado que la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. actuó negligentemente en el cumplimiento del deber previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, por lo cual se impondrá una sanción pecuniaria en los términos del literal a) del artículo 23 de la Ley 1581 de 2012 y en la medida en que la investigada se allano al cargo, será aplicable el criterio de atenuación de la sanción contemplado en el literal f) del artículo 24 de la Ley 1581 de 2012. 11.2.4 Respecto del principio de responsabilidad demostrada – Accountability La sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. expresa en su escrito de descargos29 que: “En el marco de este compromiso y en línea con las políticas y directrices del buen gobierno corporativo, la Compañía ha desplegado un conjunto de acciones orientadas a la implementación de un programa corporativo integral de protección de datos personales que ha diseñado y adoptado de manera efectiva en su operación, acreditando una diligencia demostrada conforme a los postulados de la normatividad y los lineamientos de esta Superintendencia para la acreditación del principio de ‘Accountability’ (…) En su condición de responsable del tratamiento de datos personales, la Compañía ha implementado un programa corporativo integral de protección de datos personales a partir del cual no solo se cumplen cada uno de las obligaciones y lineamientos exigidos en la normatividad aplicable, sino adicionalmente los directrices específicas de la ‘Guía para la acreditación del principio de Accountability’ de esta Superintendencia, como mecanismos para promover la efectividad de su programa de protección de datos personales”.

Al respecto, este Despacho precisa que el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, estableció la obligación de las empresas de demostrar, a petición de la para cumplir con las obligaciones establecidas en la Ley 1581 de 2012, señalando que dichas 29 Radicado 19-79100-00014 del 3 de agosto de 2020. “Por la cual se impone una sanción” medidas deben ser proporcionales a: (i) la naturaleza jurídica del Responsable, su tamaño empresarial;

(ii) la naturaleza de los datos personales objeto del Tratamiento; (iii) el tipo de Tratamiento y; (iv) los riesgos potenciales que el Tratamiento podría causar sobre el derecho de los titulares. Así mismo, el artículo 2.2.2.25.6.2 del Decreto mencionado, frente a las políticas internas efectivas que deben implementar el Responsable, dispuso: “Artículo 2.2.2.25.6.2.

Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2.25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1.

La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo. 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.

La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo”.

De acuerdo con las pruebas analizadas en el acápite 11.2.3 de este acto administrativo, la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. previo a la ocurrencia de los hechos investigados desplegó acciones para evitar el desconocimiento de los principios de confidencialidad y seguridad de la información; no obstante, no fueron pertinentes, útiles y efectivas para prevenir el error humano incurrido por el asesor comercial que conllevó a que se vulnerara el deber previsto literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley.

Así mismo, en el acápite 11.2.3 también se valoraron una serie de medidas adoptadas por la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. tras la ocurrencia de los hechos investigados, las cuales tuvieron por objeto aminorar el acaecimiento de las mismas circunstancias y aclarar las líneas de contacto de la compañía frente a la divulgación de los datos del Titular por el periodo del 17 de noviembre al 10 de diciembre de 2018, así como para garantizar que el denunciante no hiciera uso de la información personal que recibió a su correo electrónico de los Titulares.

En todo caso, estas medidas al haberse implementado con posterioridad al 17 de noviembre de 2018, de modo alguno evitaron que se incurriera en la conducta que llevó al desconocimiento del Régimen General de Protección de Datos Personales. De lo anterior, es claro que la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. no acredita que previo a la ocurrencia de los hechos investigados dio cumplimiento efectivo al principio de responsabilidad demostrada.

Al respecto, es menester traer a colación lo expresado por la Delegatura de Protección de Datos Personales de esta Superintendencia en la Resolución No.12192 del 1 de abril de 2012, en la cual se indica: “El término ‘accountability’, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

El reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Se trata de una actividad constante, que exige demostrar un cumplimiento real y efectivo en la práctica de sus labores. El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes “Por la cual se impone una sanción” que imponen las regulaciones sobre Tratamiento de Datos personales.

El mismo, exige que los Responsables y Encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales.

Medidas ‘apropiadas’ son aquellas ajustadas a las necesidades del Tratamiento de Datos. Y ‘efectivas’, son las que permiten lograr el resultado o efecto que se desea o espera. En otras palabras, no se deben adoptar medidas inoperantes; inservibles; inanes o infructuosas. Solo se deben instaurar aquellas adecuadas; correctas; útiles; oportunas y eficientes con el propósito de cumplir los requerimientos legales para realizar Tratamiento de Datos personales.

El Principio de Responsabilidad Demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos personales. Adicionalmente, el reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas.

Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones”. Así las cosas, revisado el material probatorio obrante en el expediente y los argumentos de hecho y de derecho de la investigada, respecto del principio de responsabilidad demostrada, encontramos que para que el mismo sea tomado como atenuante de la sanción es necesario que la investigada (i) haya adoptado medidas pertinentes, útiles, efectivas y verificables, que garanticen “[c]onservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento” y;

(ii) haya adoptado, previo al 17 de noviembre de 2018, medidas que evitaran los hechos objeto de esta investigación y haya aplicado el principio de responsabilidad demostrada de acuerdo con la “Guía de Implementación del Principio de Responsabilidad Demostrada (Accountability)” de esta Superintendencia, así como lo previsto en lo correspondiente en el Decreto Único Reglamentario 1074 de 2015.

De acuerdo con lo anterior, este Despacho encuentra que varios de las medidas y acciones adoptadas por la investigada, son posteriores al 17 de noviembre de 2018. Además, las pruebas aportadas con fechas anteriores no demuestran que efectivamente la investigada cumpla de forma material y real con el deber pm “[c]onservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”, específicamente respecto de los principios de seguridad y circulación restringida.

En consideración a esto, se trae a acotación lo previsto en la Resolución No. 83882 del 15 de noviembre de 2018 proferida por la Delegatura de Protección de Datos Personales de esta Superintendencia, en la cual se indica: “Responsabilidad de los administradores en materia de tratamiento de datos personales. El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, ‘garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución’.

Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico.

Por eso, el citado artículo ordena que las ‘autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares’. Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que ‘la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común’.

“Por la cual se impone una sanción” Dicho ‘bien común’ se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una ‘persona’ y no como un objeto o cosa. En línea con lo anterior, nuestra Carta Política recalca que la ‘libre competencia económica es un derecho de todos que supone responsabilidades’ y que la ‘empresa, como base del desarrollo tiene una función social que implica obligaciones’.

Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual ‘el fin justifica los medios’. En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo puede ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.

El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas. Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley.

Ahora bien, según el artículo 22 de la ley 222 de 1995 la expresión administradores comprende al ‘representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones’. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de datos y de cumplir la ley 1581 de 2012 y cualquier otra norma.

Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben ‘obrar de buena fe, con lealtad y con diligencia de un buen hombre de negocios’, sino que en el cumplimiento de sus funciones deben ‘velar por el estricto cumplimiento de las disposiciones legales o estatutarias’. (Subrayamos) (…) Nótese que el artículo 24 de la ley en comento presume la culpa del administrador ‘en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos’.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un ‘buen hombre de negocios’ tal como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden ‘solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros’”.

En este sentido es de suma importancia resaltar la responsabilidad jurídica y económica, que radica no solo en las personas jurídicas sino también en cabeza de sus administradores, de suerte que este Despacho es enfático en aclarar que los mismos deben obrar con diligencia en su gestión para el adecuado tratamiento de datos personales. En virtud de lo anterior, se EXHORTA al representante legal de la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., para que adopte las medidas pertinentes, útiles, efectivas y verificables con el propósito de: (i) Evitar que se repitan hechos que dieron origen a la presente investigación. (ii) Respetar y garantizar los derechos de los titulares de los datos.

(iii) Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el Tratamiento de datos personales. (iv) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de esta Superintendencia en la “Guía para la implementación del principio de responsabilidad demostrada (accountability)”30, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto 30 Ver en: https://www.sic.gov.co/noticias/guia-para-la-implementacion-del-principio-de-responsabilidad-demostrada “Por la cual se impone una sanción” de los principios que rigen el Tratamiento de datos personales, especialmente los de circulación restringida y seguridad.

(v) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

DÉCIMO SEGUNDO: Imposición y graduación de la sanción 12.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, la Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)”.

(Se subraya fuera de texto) El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 31. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la Ley 152 de 1994. En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: 31 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción” “ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV”. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2021 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibídem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional32 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”33. Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de 32 Artículo 29. “El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…)”. (Negrita añadida) 33 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.

“Por la cual se impone una sanción” habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros34. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí solo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”35.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia36. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2337 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; 34 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 35 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 36 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 37Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”.

“Por la cual se impone una sanción” d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 12.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”38. De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados39.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que:  La sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. realizó la divulgación no autorizada del número telefónico del Titular en 3289 facturas emitidas a clientes, así como 38 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 39 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada.

En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. “Por la cual se impone una sanción” envió al correo electrónico del denunciante los datos personales de clientes para agendamiento de citas, del 18 de noviembre al 10 de diciembre de 2018, por lo cual se impondrá una sanción pecuniaria equivalente a MIL SEISCIENTAS (1600) UNIDADES DE VALOR TRIBUTARIO - UVT40 por la vulneración del deber previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley. 12.1.2 El reconocimiento o aceptación de la comisión de una aceptación El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581de 2012 se aplicará toda vez que la investigada, en su comunicación del 19-79100-00024 del 11 de junio de 2021, reconoció la comisión de infracción al deber contemplado en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley, indicando expresamente: “No obstante lo anterior, obrando bajo los principios de responsabilidad y prudencia, la Compañía reconoce el error en los procesos internos y la consecuente afectación a la expectativa del servicio del Sr. xxxxxxxxxxxxxx, por lo que no solo consideró el evento como un incidente de seguridad de la información, sino que además realizó el reporte del mismo ante esta Superintendencia, (…)”.

En virtud de lo expuesto, se procederá a reducir la sanción impuesta en el cargo de sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. por la vulneración al deber establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley en DOSCIENTAS (200) UNIDADES DE VALOR TRIBUTARIO – UVT. 12.1.3 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y;

(iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

DÉCIMO TERCERO: CONCLUSIÓN Se procederá a imponer una sanción, por cuanto: (i) Este Despacho encuentra que la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. vulneró el deber previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley. (ii) Se demostró que la investigada tan pronto tuvo conocimiento del uso no autorizado de los datos del Titular, procedió adoptar las medidas técnicas, humanas y administrativas para que cesara la afectación, así como para evitar que esto vuelva a ocurrir; no obstante, esas medidas posteriores no evitaron la divulgación no autorizada de datos del 17 de noviembre al 10 de diciembre de 2018.

(iii) Se probó que las medidas adoptadas por la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. no fueron pertinentes, útiles y efectivas para evitar que el asesor comercial cometiera el error en el sistema de facturación el 17 de noviembre de 2018, lo generó la divulgación no autorizada tanto de los datos del Titular como de otros clientes.

Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer la sanción correspondiente a CINCUENTA MILLONES OCHOCIENTOS TREINTA Y UN MIL DOSCIENTOS PESOS M/CTE ($ 50.831.200), equivalente a MIL CUATROCIENTAS (1400) UNIDADES DE VALOR 40 Mediante Resolución 111 del 11 de diciembre de 2020 se fijó en Tributario - UVT, que regirá durante el año 2020. $36.308 pesos el valor de la Unidad de Valor “Por la cual se impone una sanción” TRIBUTARIO – UVT, por la violación del literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4° de la misma Ley, a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., identificada con NIT 860.052.634-2.

DÉCIMO CUARTO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., identificada NIT 860.052.634-2, esta Dirección ha concedido el acceso al presente expediente digital a esta, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial de la sociedad notificaciones@loscoches.com.co, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Finalmente, indicando que la totalidad del expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. considera estrictamente necesario el acceso del expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.

Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (571) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., identificada NIT 860.052.634-2, de CINCUENTA MILLONES OCHOCIENTOS TREINTA Y UN MIL DOSCIENTOS PESOS M/CTE ($ 50.831.200), equivalente a MIL CUATROCIENTAS (1400) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la misma Ley.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: EXHORTAR al señor xxxxxxxxxxxxxxxxxxxxxx, identificado con C.C. No. xxxxxxxxxx, en calidad de representante legal de la sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., identificada NIT 860.052.634-2, para que adopte las medidas pertinentes, útiles, efectivas y verificables con el propósito de: (i) Evitar que se repitan hechos que dieron origen a la presente investigación. “Por la cual se impone una sanción” (ii) Respetar y garantizar los derechos de los titulares de los datos.

(iii) Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el Tratamiento de datos personales. (iv) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de esta Superintendencia en la “Guía para la implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales, especialmente los de circulación restringida y seguridad.

(v) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a sociedad DISTRIBUIDORA LOS COCHES LA SABANA S.A.S., identificada con NIT 860.052.6342, a través de su representante legal, entregándole copia de esta e informándole que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO CUARTO: COMUNICAR al señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, identificado con C.C. No. xx.xxx.xxx, el contenido de la presente decisión.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá, de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 01 SEPTIEMBRE 2021 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR MUÑOZ Firmado digitalmente por CARLOS ENRIQUE SALAZAR MUÑOZ Fecha: 2021.09.01 17:32:28 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LACA Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Investigada: Sociedad: DISTRIBUIDORA LOS COCHES LA SABANA S.A.S. Identificación: NIT 860.052.634-2 Representante Legal: xxxxxxxxxxxxxxxxxxxx Identificación: C.C. No. xx.xxx.xxx Dirección: Av.

El Dorado No. 77 – 04 Ciudad: Bogotá Correo electrónico: notificaciones@loscoches.com.co COMUNICACIÓN: Señor: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Identificación: C.C. No. xx.xxx.xxx Dirección: xxxxxxxxxxxxxxxxxxxxxxxxxxxxx Ciudad: xxxxxxx Correo electrónico: ixxxxxxxxxxxxxxxxxxxxxxxxx