(31 de marzo de 2025) “Por la cual se resuelve un recurso” Radicación 21-169148 VERSIÓN ÚNICA LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 de la Ley 1581 de 2012, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022 y,
CONSIDERANDO
PRIMERO: Que, la Dirección de Investigaciones de Protección de Datos Personales de la Superintendencia Industria y Comercio, mediante Resolución 56927 del 27 de septiembre de 2024, impuso una sanción pecuniaria en contra de la sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S. identificada con NIT. 900.782.536-5, en los siguientes términos: “ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S identificada con Nit. 900.782.536-5, de CINCO (5) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes a MIL CIENTO SESENTA (580) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a SEIS MILLONES TRESCIENTOS CINCUENTA Y UN MIL QUINIENTOS OCHENTA PESOS M/CTE ($6.351.580) por la vulneración de en su calidad de Responsable del tratamiento del literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) y f) del artículo 21 de la citada Ley.”
SEGUNDO: Que la Resolución 56927 del 27 de septiembre de 2024, se notificó personalmente a la sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S. mediante correo electrónico del 27 de septiembre de 2024, de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia con radicación 21-169148- -24 del 30 de septiembre de 2024.
TERCERO: Que, la sociedad sancionada COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S. a través de su representante legal, interpuso recurso de reposición y subsidiariamente el de apelación en contra de la Resolución 56927 del 27 de septiembre de 2024, mediante correo electrónico del 11 de octubre de 2024 con radicación 21-169148- -00025 del 16 de octubre de la misma anualidad.
En dicho recurso se expusieron los siguientes argumentos principales que fundamental las pretensiones: 3.1 Que COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S. ha estado implementando y monitoreando de manera efectiva la Política de Seguridad de la Información, priorizando un enfoque proactivo en el presente proceso, con el objetivo de establecer un programa robusto que garantice la salvaguarda de los activos de información. 3.2 Que previo a la expedición del acto administrativo objeto de disenso, se cumplió cabalmente con lo dispuesto en la Resolución N.° 67915 de 2023, emitida el 31 de octubre de 2023, en la cual la Superintendencia formuló el mismo requerimiento que se encuentra contenido en la “Por la cual se resuelve un recurso” Resolución N.° 25800 del 30 de abril de 2021.
Esto implica que se están llevando a cabo dos procedimientos administrativos en relación con los mismos hechos, lo cual debe ser considerado al momento de adoptar una decisión de fondo. 3.3 Que a pesar de que esa información no fue incorporada como medio de prueba, previo a que se adoptara una decisión de fondo, la investigada a través de correo electrónico aportó la documentación y los soportes de implementación, con el fin de efectuar el respectivo monitoreo frente al cumplimiento de esta orden de carácter administrativo.
Por lo cual, está plenamente demostrado al interior del presente proceso: a) la existencia de una Política de Seguridad de la información y los soportes que acreditan su implementación, b) actualización del manual de política de tratamiento de datos personales y su registro en el RNBD, y c) la certificación expedida por el Representante legal donde da fe del cumplimiento al interior de la organización. 3.4 Junto con el mencionado recurso se aportaron los siguientes medios de prueba: - Copia del correo electrónico del 30 de abril de 2020 dirigido al correo contactenos@sic.gov.co con el asunto “Respuesta requerimiento Resolución 67915 del 31 de octubre de 2023 suscrito por la Representante Legal de COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S. - Oficio con el asunto “Respuesta a requerimiento de información” sin fecha suscrito por la Representante Legal de COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S. - Certificado de existencia y representación legal de COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S. - Copia del documento denominado “Acuerdo de confidencialidad, reserva de la información y protección a los activos de información” suscrito con los trabajadore de COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S. - Copia del documento denominado “CRONOGRAMA DE ACTIVIDADES AÑO 2024” de los procesos de seguridad de la sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S. - Pantallazo de la suscripción al programa KASPERKY PREMIUM. - Copia del documento denominado “HOJA DE VIDA DE EQUIPOS DE COMPUTO” - Copia del documento denominado “POLITICA INTERNA DE PROTECCIÒN Y SEGURIDAD DE DATOS PERSONALES (HABEAS DATA)”. - Copia del documento denominado “Protocolo de Seguridad de las Tecnologías de la Información y las Comunicaciones”. - Copia del documento denominado “REGISTRO NO CONFORMIDADES ACCIONES CORRECTIVAS”. - Copia de la certificación del 30 de abril de 2024 suscrita por la representante legal de sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S. mediante la cual se acredita el cumplimiento de la Resolución No 67915 del 31 de octubre de 2023.
“Por la cual se resuelve un recurso”
CUARTO: Que, el procedimiento, oportunidad y requisitos para la interposición del recurso de reposición y el de apelación contra actos administrativos de carácter sancionatorio, se encuentran contemplados en la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo) de la siguiente manera: “Artículo 74.
Recursos contra los activos administrativos. Por regla general, contra los actos definitivos procederán los siguientes recursos. 1. El de reposición, ante quien expidió la decisión para que la aclare, modifique, adicione o revoque…” 2. El de apelación, para ante el inmediato superior administrativo o funcional con el mismo propósito. No habrá apelación de las decisiones de los Ministros, Directores de Departamento Administrativo, superintendentes y representantes legales de las entidades descentralizadas ni de los directores u organismos superiores de los órganos constitucionales autónomos.
Tampoco serán apelables aquellas decisiones proferidas por los representantes legales y jefes superiores de las entidades y organismos del nivel territorial. (…) Artículo 76. Oportunidad y presentación. Los recursos de reposición y apelación deberán interponerse por escrito en la diligencia de notificación personal, o dentro de los diez (10) días siguientes a ella, o a la notificación por a viso, o al vencimiento del término de publicación, según el caso.
Los recursos contra los actos presuntos podrán interponerse en cualquier tiempo, salvo en el evento en que se haya acudido ante el juez (…) Artículo 77. Requisitos. Por regla general los recursos se interpondrán por escrito que no requiere de presentación personal si quien lo presenta ha sido reconocido en la actuación. Igualmente, podrán presentarse por medios electrónicos.
Los recursos deberán reunir, además, los siguientes requisitos: 1. Interponerse dentro del plazo legal, por el interesado o su representante o apoderado debidamente constituido. 2. Sustentarse con expresión concreta de los motivos de inconformidad. 3. Solicitar y aportar las pruebas que se pretende hacer valer. 4. Indicar el nombre y la dirección del recurrente, así como la dirección electrónica si desea ser notificado por este medio (…)” 1.
QUINTO: Que, con base en las citadas normas, este Despacho concluye que se encuentran reunidos los requisitos previstos en las citadas normas para estudiar de fondo el recurso recibido para el caso en concreto, por cuanto: 5.1 El recurso fue interpuesto por la representante legal de la sociedad sancionada dentro del término previsto en el artículo 76 de la Ley 1437 de 2011.
Esto en consideración a que la Resolución 56927 del 27 de septiembre de 2024, se notificó a la sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S. mediante correo electrónico del 27 de septiembre de 2024, de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia con radicación 21-169148- -24 del 30 de septiembre de 2024.
Con base en ello, la sociedad sancionada COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S. interpuso recurso de reposición y 1 Ley 1437 de 2011 “Por la cual se expide el Código de Procedimiento Administrativo y de lo Contencioso Administrativo” “Por la cual se resuelve un recurso” subsidiariamente el de apelación en contra de la Resolución 56927 del 27 de septiembre de 2024, mediante correo electrónico del 11 de octubre de 2024 con radicación 21-169148- -00025 del 16 de octubre de la misma anualidad. 5.2 En dicho escrito, se señalaron con claridad las razones de disentimiento en contra de la Resolución 56927 del 27 de septiembre de 2024, las cuales se resumieron en el numeral TERCERO de este escrito. 5.3 Que, junto con dicho escrito, la sociedad recurrente aportó los medios de prueba señalados previamente en este escrito. 5.4 Finalmente, los datos de identificación de la recurrente y sus direcciones de notificación se encuentran señalados en el correo mediante el cual se remite el recurso, lo cual le permitirá al Despacho cumplir principio de publicidad y dar a conocer efectivamente a la sancionada la presente decisión. Con base en lo anterior, procederá este Despacho en ejercicio de sus funciones a estudiar el recurso interpuesto por la sancionada en lo siguiente términos:
SEXTO: Competencia de la Superintendencia de Industria y Comercio El artículo 21 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley y sus normas complementarias.
SÉPTIMO: Que con base en las funciones otorgadas a esta Superintendencia y de acuerdo con los motivos de inconformidad expuestos por la recurrente, este Despacho procederá a resolver a continuación el recurso interpuesto: En primer lugar, es necesario precisar que, contrario a lo afirmado por la sociedad recurrente, no se adelantaron dos actuaciones por los mismos hechos.
En efecto, el artículo 19 de la Ley 1581 de 2012 ordena a la Superintendencia de Industria y Comercio como autoridad de protección de datos personales en Colombia ejercer vigilancia “para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley”. Así mismo, con sujeción a lo establecido en el artículo 21 de la Ley 1581 de 2012, le corresponde a la Superintendencia de Industria y Comercio impartir las medidas que sean necesarias para que los Responsables y Encargados del tratamiento cumplan con los principios rectores establecidos en la Ley 1581 de 2012, así como con los deberes que de ellos se derivan (artículos 17 y 18 de la Ley 1581 de 2012).
Con base en las citadas normas, la Dirección de Investigación de Protección de Datos Personales expidió la Resolución 25800 del 30 de abril de 2021, mediante la cual le impuso a la recurrente COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S. una orden administrativa tendiente a que dentro de un periodo determinado documentara, implementara y monitoreara una Política de Seguridad.
Lo anterior por cuanto la sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S., identificada con NIT. 900782536 - 5 en su condición de Responsable del Tratamiento llevó a cabo el Registro Nacional de Bases de Datos según lo establecido en el artículo 25 de la Ley 1581 de 2012 y el Decreto 1074 de 2015, y que dicha sociedad reconoció durante ese proceso que no había adoptado ninguna medida de seguridad para proteger los datos “Por la cual se resuelve un recurso” personales, ya que frente al cuestionario de preguntas sobre “SEGURIDAD DE LA INFORMACIÓN” respondió que NO ha implementado ninguna de las medidas requeridas en el formulario del RNBD en 3 de las bases de datos inscritas.
Ahora, al transcurrir un periodo de seis (6) meses sin que la sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S. diera cumplimiento a lo ordenado, nuevamente este Despacho -ahora bajo las funciones de control- resolvió imponer una sanción pecuniaria contra la investigada mediante la Resolución 56927 del 27 de septiembre de 2024, luego del inicio de una investigación administrativa de carácter sancionatoria por el incumplimiento a las ordenes e instrucciones impartidas pro está superintendencia. Dicha sanción se impuso con base en lo dispuesto en el artículo 22 de la Ley 1581 de 2012, conforme al cual la Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la Ley 1581 por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes.
En consecuencia, esta Dirección en primer lugar impuso una orden administrativa para garantizar que en el Tratamiento de datos personales se respetaran los principios, derechos, garantías y procedimientos previstos en la ley 1581 de 2012, a la sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S.; y ante el incumplimiento de dicha orden, se procedió a imponer una sanción pecuniaria que hoy es objeto de impugnación. Asimismo, es importante indicar que en la parte resolutiva de la resolución N.° 25800 de 2021, se indicó claramente em el parágrafo segundo del artículo segundo que: “PARÁGRAFO SEGUNDO: Advertir que el incumplimiento de la presente orden dar lugar a multas institucionales o personales hasta dos mil (2000) salarios mínimos legales mensuales y, según el caso, a sanciones disciplinarias”.
De esta manera, queda claro que no existe una violación al principio del non bis in idem y por tal motivo no se procederá a revocar la sanción impuesta mediante la resolución 56927 del 27 de septiembre de 2024. En segundo lugar, debe recordarse que en la presente actuación nos encontramos ante el incumplimiento de una orden administrativa impuesta por la autoridad de datos personales en Colombia, la cual debía cumplirse dentro de los seis (6) meses siguientes a la notificación de la Resolución 25800 del 30 de abril de 2021.
Ahora bien, junto con el presente recurso objeto de estudio se señala que la sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S. remitió el 30 de abril de 2024 copia de los documentos que acreditaban el cumplimiento de lo ordenado en la citada Resolución 25800 del 30 de abril de 2021. Sobre lo anterior, es preciso preguntarse: si contaba con dicha información ¿por qué LA INVESTIGADA no procedió a acreditarla o ponerla en conocimiento de esta Superintendencia dentro del término concedido para cumplir la orden administrativa, y asimismo actualizar la información en el RNBD? Lo que se encuentra demostrado en la presente actuación es entonces que solo hasta el inicio del presente procedimiento administrativo sancionatorio fue que la investigada informó de la existencia e implementación de la Política de Seguridad que ese echaba de menos, lo cual implica un desgaste administrativo en cabeza de esta Superintendencia. Así mismo, este Despacho debe indicar que el objeto de la presente investigación no era establecer si la investigada ya contaba o no una Política de Seguridad cuando se impuso la orden, sino que la investigada acreditará dentro del término “Por la cual se resuelve un recurso” de seis (6) meses cómo había DOCUMENTADO, IMPLEMENTADO Y MONITOREADO dichas medidas y que procediera a actualizar la información registrada en el RNBD.
En este sentido, si bien pudiera aceptarse que la investigada ya había documentado una Política de Seguridad, lo cierto es que no se actualizó en dicha oportunidad la información en el Registro Nacional de Bases de Datos. Al respecto se debe tener en cuenta que mediante la resolución N.° 25800 del 30 de abril de 2021, se le ordenó a la sociedad investigada la actualización de las medidas de seguridad en las bases de datos registradas en el RNBD, orden que se impartió en cumplimiento de lo dispuesto el numeral 2.3 del título V de la Circular Única de la Superintendencia de industria y Comercio que dispone, que los obligados a realizar la inscripción en el registro deben actualizar la información “dentro de los primeros diez (10) días hábiles de cada mes, a partir de la inscripción de la base de datos, cuando se realicen cambios sustanciales en la información registrada”.
Por su parte, la misma circula señala que se entiende por cambios sustanciales: “(…) los que se relacionen con la finalidad de la base de datos, el Encargado del Tratamiento, los canales de atención al Titular, la clasificación o tipos de datos personales almacenados en cada base de datos, las medidas de seguridad de la información implementadas, la Política de Tratamiento de la Información y la transferencia y transmisión internacional de datos personales”.
De esta manera, es claro que el deber de actualizar la información en el Registro Nacional de Bases de datos, no solo se deriva de una orden administrativa sino también del cumplimiento de las reglas establecidas por esta Superintendencia para los sujetos obligados de realizar el registro. De igual manera, es importante mencionar que dentro de la presente investigación la sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S., realizó el primer registro de información de sus bases de datos en el RNBD en el año 2016, y solo hasta el 6 de marzo y 30 de abril de 2024, procedió a actualizar la información allí consignada, es decir que ni siquiera con la apertura de esta investigación, sociedad procedió a realizar dicha actualización. De esta manera, la investigada con los documentos no solo no aportó dentro del término ordenado la certificación de cumplimiento exigida por este Despacho en ejercicio de sus funciones, sino que al tratar de estructurar un presunto hecho superado al señalar que ya había documentado previamente una Política de “Por la cual se resuelve un recurso” Seguridad, lo cierto es que no demostró la actualización de la información registrada en el RNBD, que permitiera establecer un cumplimiento efectivo de las órdenes impartidas por esta Dirección. Por lo cual este argumento tampoco será de recibo a favor de la investigada.
En consecuencia, no se demostró en la presente actuación administrativa ni ahora en sede de reposición que la sociedad investigada acreditara el cumplimiento efectivo de las órdenes impartidas por esta Dirección mediante Resolución N.° 25800 del 30 abril 2021, lo cual era objeto de investigación. En consecuencia, estos argumentos expuestos por la sociedad recurrente tampoco serán tenidos en cuenta para desvirtuar la sanción impuesta.
OCTAVO: Conclusiones - Se demostró en la presente actuación que la sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S. incumplió el deber de cumplir las órdenes e instrucciones impuestas por esta Superintendencia en ejercicio de sus funciones, por lo cual se logró demostrar el cargo único formulado el cual no logra ser desvirtuado con los argumentos expuestos en el recurso de reposición. - Durante toda la actuación procesal se garantizó el principio de buena fe y los demás establecidos en el artículo 3º de la Ley 1437 de 2011 y el artículo 209 de la Constitución Política referentes a la función administrativa, por lo cual se observa en sede de reposición la garantía del principio de legalidad en el proceso. - Con fundamento en ello, la sanción impuesta no obedeció a un ejercicio arbitrario o contrario a derecho; por el contrario, la proporcionalidad y razonabilidad se encuentran debidamente justificadas en la decisión recurrida atendiendo de manera estricta los criterios establecidos en el artículo 23 y 24 de la Ley 1581 de 2012 y atendiendo los criterios jurisprudenciales que han desarrollado dichos principios. - Las sanciones que impone esta Superintendencia, en virtud del artículo 23 de la Ley 1581 de 2012, son una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones del régimen de protección de datos personales.
Esta consecuencia negativa tiene como finalidad principal proteger el derecho fundamental de habeas data de los ciudadanos. - Finalmente, debido a que no se accedió a las pretensiones del recurso interpuesto, se concederá el recurso de apelación interpuesto subsidiariamente por la entidad investigada por estar debidamente sustentado; en consecuencia, se trasladarán las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
NOVENO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 802 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho encuentra que los argumentos del recurso de reposición y en subsidio de apelación no son de recibo por lo que se confirmará la decisión.
DÉCIMO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la institución educativa COLOMBIANA DE SERVICIOS COMEDORES & 2 ARTÍCULO
80. DECISIÓN DE LOS RECURSOS. Vencido el período probatorio, si a ello hubiere lugar, y sin necesidad de acto que así lo declare, deberá proferirse la decisión motivada que resuelva el recurso. La decisión resolverá todas las peticiones que hayan sido oportunamente planteadas y las que surjan con motivo del recurso. “Por la cual se resuelve un recurso” SUMINISTROS S.A.S identificada con Nit. 900.782.536-5, con el correo electrónico de notificación judicial admon@colservico.com.co quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N.° 21-169148. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1: CONFIRMAR en todas sus partes la Resolución 56927 del 27 de septiembre de 2024 “Por la cual se impone una sanción” de conformidad con la parte motiva del presente acto administrativo.
ARTÍCULO 2: CONCEDER el recurso de apelación interpuesto subsidiariamente por la sociedad recurrente, y, en consecuencia, TRASLADAR las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO 3: NOTIFICAR a la sociedad COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S identificada con Nit. 900.782.536-5 a través de su representante legal, entregándole copia de la misma y advirtiéndole que contra la presente decisión no procede recurso alguno.
ARTÍCULO 4: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Carrera 13 N.º 27 - 00, Piso 3 Edificio Bochica en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C, 31 de marzo de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2025.03.31 14:40:02 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Proyectó: DR Revisó: AC Aprobó: CG “Por la cual se resuelve un recurso” NOTIFICACIÓN Investigada: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: COLOMBIANA DE SERVICIOS COMEDORES & SUMINISTROS S.A.S. NIT. 900.782.536-5 JESSICA PAOLA BERNAL CALDERÓN C.C. N.º 1.098.760.686 Carrera 29 N.º. 45 – 64 Bucaramanga, Santander admon@colservico.com.co