Sanción 39514 de 2021 — SIC

REPÚBLICA DE COLOMBIA (28 JUNIO DE 2021) “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA Radicación 20-210753 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que mediante oficio radicado bajo el número 20-210753-1 de fecha 3 de julio de 2020 este Despacho requirió al Presidente Ejecutivo de la CÁMARA DE COMERCIO DE VILLAVICENCIO, identificada con el Nit. 892.000.102-1, (en adelante CÁMARA DE COMERCIO), para que informara lo siguiente: 1. ¿La recolección y Tratamiento de los Datos la realizan directamente la Cámara de Comercio de Villavicencio o se acude a los servicios de un tercero (Encargado de Tratamiento) para que se encargue de todos o algunos de los aspectos que involucra del Tratamiento ese tipo de información? En caso de que acuda a los servicios de un tercero, por favor adjuntar el contrato correspondiente. 2.

¿Antes de diseñar la página web en lo relacionado con la recolección de Datos, se realizó un estudio de impacto de privacidad (Privacy Impact Assessment - PIA por sus siglas en inglés)?. De ser así, por favor remitirlo. 3. ¿Se realizó una evaluación de los riesgos específicos para los derechos y libertades de los Titulares de los Datos personales?.

Si así fue, deberá, anexar el respectivo documento que lo acredite. 4. ¿Se desarrolló y puso en marcha un sistema de administración de riesgos asociados al Tratamiento de Datos personales que les permita identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestas las personas como consecuencia del Tratamiento de su información a través de la página web de esa organización? En caso de que la respuesta a este interrogante sea positiva, por favor enviar la evidencia correspondiente. 5.

¿Qué medidas útiles, apropiadas, oportunas, efectivas y demostrables han adoptado para cumplir la regulación de Tratamiento de Datos personales respecto de la información que recolectan a través de su página web? 6. Qué medidas tecnológicas; humanas; administrativas; físicas; contractuales; entre otras, ha implementado la Cámara de Comercio de Villavicencio, con el fin de evitar lo siguiente respecto del manejo de la información: I. II.

III. IV. Accesos y/o usos indebidos o no autorizados; Manipulación; Destrucción; Circulación o suministro de la de los Datos a personas no autorizadas. 7. ¿Esas medidas de seguridad son objeto de revisión, evaluación y mejora permanente? 8. ¿Se han presentado incidentes de seguridad? De ser así, por favor informe ¿cuántos reclamos se han presentado y cuál fue la gestión adelantada frente a esto? 9.

¿Con cuáles empresas; plataformas digitales; y/o entidades se realiza intercambio o envió de Datos de los Titulares? Y ¿por qué causa? 10. ¿Dónde están almacenadas, y cómo se obtienen las Autorizaciones de los Titulares para el Tratamiento sus Datos por parte de terceros? 11. De ser el caso, ¿cuál es la información que se comparte y/o transmite? Por favor especificar. 12.

¿Cuál es el Tratamiento que aplica cada tercero a los Datos recolectados? 13. De conformidad con lo establecido en el artículo 11 del Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015), y en atención a las limitaciones temporales en el Tratamiento de Datos personales, ¿Cuál ha sido “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA el procedimiento establecido por esa organización para suprimir la información que se recolecte mediante su sitio web? 14.

De conformidad con lo establecido en el artículo 4 del Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) ¿qué procedimientos se establecieron para determinar que la información solicitada en la página web, es pertinente y adecuada para la finalidad del registro? 15. Así pues, por favor explique, ¿Por qué razón cada uno de los Datos recolectados son indispensables para cumplir la finalidad informada? Finalmente, frente a la recolección y Tratamiento de Datos sensibles y Datos de menores de edad que realiza esa entidad informe si se tuvo en cuenta lo dispuesto por el artículo 6 de la Ley 1581 de 2012, en concordancia con el artículo 6 del Decreto 1377 de 2013, sobre el Tratamiento de Datos personales sensibles de los Titulares, en la medida que “ninguna actividad podrá condicionarse a que el Titular suministre Datos personales sensibles”.

SEGUNDO: Que mediante Oficio radicado con el número 20-210753-2 de fecha 13 de julio de 2020, la Directora Jurídica, Conciliación y Arbitraje de la CÁMARA DE COMERCIO, dio respuesta al citado requerimiento en los siguientes términos: 1. ¿La recolección y tratamiento de los datos la realizan directamente la Cámara de Comercio de Villavicencio o se acude a los servicios de un tercero (Encargado de Tratamiento) para que se encargue de todos o algunos de los aspectos que involucra del Tratamiento ese tipo de información? Si se acude a un tercero, adjuntar el contrato correspondiente RPTA: La Cámara de Comercio de Villavicencio (CCV) realiza directamente la recolección y tratamiento de datos. 2.

¿Antes de diseñar la página web en lo relacionado con la recolección de Datos, se realizó un estudio de impacto de privacidad (Privacy Impact Assessment – PIA por sus siglas en inglés)?. De ser así, por favor remitirlo. RPTA: No se realizó estudio, toda vez que la página en sí no recolecta información, en caso de realizar esta actividad es con la finalidad de brindar capacitaciones gratuitas y en cada formulario se especifica el tratamiento de los datos, igual sucede para realizar trámites de PQRS. 3.

¿Se realizó una evaluación de los riesgos específicos para los derechos y libertades de los Titulares de los Datos personales? Si fue así, deberá, anexar el respectivo documento que lo acredite. RPTA: Revisados los archivos de la entidad, no se evidencia soporte de realización de evaluación. Sin embargo, en el momento en que se obtenga alguna documentación sobre el particular, esta será remitida de inmediato al órgano de control. 4.

¿Se desarrolló y puso en marcha un sistema de administración de riesgos asociados al Tratamiento de Datos personales que les permita identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestas las personas como consecuencia del Tratamiento de su información a través de la página web de esa organización? En caso de que la respuesta a este interrogante sea positiva, por favor enviar la evidencia correspondiente.

RPTA: Sí, la entidad en cumplimiento de lo dispuesto en la Ley 1581 de 2012 y el Decreto Reglamentario 1377 de 2013, compilado en el Decreto 1074 de 2015, cuenta con unos lineamientos que se aplican a las bases de datos que contienen datos de carácter personal que se hallan bajo la responsabilidad de la Cámara de Comercio de Villavicencio, incluyendo los sistemas de información, soportes y equipos empleados para el tratamiento de datos de carácter personal, que deban ser protegidos de acuerdo a lo dispuesto en normativa vigente en protección de datos personales.

(Se adjunta el IPE-003 Documento de Seguridad) 5. ¿Qué medidas útiles, apropiadas, oportunas, efectivas y demostrables han adoptado para cumplir la regulación del Tratamiento de Datos personales respecto de la información que recolectan a través de su página web? RPTA: En concordancia con lo mencionado respecto del punto 2, lo que se realiza a través de la página web es el diligenciamiento de formularios (para efectos de capacitaciones) y la interposición de PQRS. 6.

Qué medidas tecnológicas; humanas; administrativas; físicas; contractuales; entre otras, ha implementado la Cámara de Comercio de Villavicencio, con el fin de evitar lo siguiente respecto del manejo de la información: i. Accesos y/o usos indebidos o no autorizados; ii. Manipulación; iii. Destrucción; iv. Circulación o suministro de la de los Datos a personas no autorizadas.

RPTA: Dentro del sistema de Gestión de calidad, en lo que corresponde a la documentación existe el instructivo IPE-003 DOCUMENTO DE SEGURIDAD, que hace referencia las medidas de índole técnica y organizativa posibles y necesarias para garantizar la protección, confidencialidad, integridad y disponibilidad de los datos de carácter personal que están bajo la responsabilidad de la Cámara de Comercio de Villavicencio.

Igualmente, ante el acceso indebido se cuenta con un protocolo de seguridad, el cual a través de FIREWARE es el que controla los accesos indebidos o virus cibernéticos, en cuanto a la manipulación, destrucción o circulación de los datos a personas no autorizadas y se cuenta con el administrador de base de datos el cual es la única persona autorizada para crear usuarios, dar permisos a módulos de trabajo y es el encargado de resguardar la información. “Por la cual se impone una sanción y se imparte una orden” 7.

VERSIÓN ÙNICA ¿Esas medidas de seguridad son objeto de revisión, evaluación y mejora permanente? RPTA: En el momento que se retira un Usuario de la Entidad se bloquea, e igualmente cada 30 días se hace un barrido para validar que los usuarios retirados estén bloqueados y así evitar el ingreso indebido a los aplicativos. Asimismo se realiza por lo menos una vez al año la auditoría interna para verificar el cumplimiento de las políticas y generar oportunidades de mejora. 8.

¿Se han presentado incidentes de seguridad? De ser así, por favor informe ¿Cuántos reclamos se han presentado y cuál fue la gestión adelantada frente a esto? RPTA: No se han presentado incidentes de seguridad. 9. ¿Cuáles son las empresas; plataformas digitales; y/o entidades que realiza intercambio o envió de Datos de los Titulares? Y ¿Por qué causa? RPTA: De manera respetuosa se solicita aclarar el alcance del presente interrogante, para poder atender de fondo el requerimiento. 10.

¿Dónde están almacenadas y como se obtienen las Autorizaciones de los Titulares para el Tratamiento sus Datos por parte de terceros? RPTA: Las autorizaciones de los titulares para el tratamiento de sus datos se obtienen mediante manifestación escrita, autorización previa y aviso de privacidad. De conformidad con los lineamientos establecidos en el documento IPE-003, la Cámara de Comercio de Villavicencio garantiza el archivo de los soportes o documentos, la correcta conservación de los documentos, la localización y consulta de la información y la posibilidad del ejercicio de los derechos de acceso, rectificación, actualización y supresión por parte de los titulares.

Los elementos utilizados para el almacenamiento de información cuentan con mecanismos que solo permiten el acceso a personal autorizado. Cuando por sus características físicas no es posible adoptar estas medidas, se adoptan otras que impidan el acceso a la información de personas no autorizadas. Los elementos de almacenamiento como armarios, archivadores y otros elementos utilizados para el almacenamiento de datos personales sensibles y de menores, se encuentran en área restringida a la cual solo cuenta con acceso personal autorizado.

Además, estos lugares permanecen cerrados en tanto no sea preciso el acceso a los documentos. En tanto los documentos con datos personales no se encuentren archivados en los dispositivos de almacenamiento indicados en los párrafos precedentes, por estar en proceso de tramitación, las personas que se encuentren a su cargo deben custodiarlos e impedir el acceso a personas no autorizadas.

Así mismo, la Cámara de Comercio de Villavicencio garantiza que las medidas de seguridad de los accesos a los datos de carácter personal a través de redes de comunicaciones, garantizan un nivel de seguridad equivalente al exigido para los accesos en modo local. Los datos personales sensibles y de menores, que se transmitan a través de redes públicas o inalámbricas de comunicaciones electrónicas se realizan cifrando previamente estos datos. 11.

De ser el caso, ¿Cuál es la información que se comparte y/o trasmite? Por favor especificar. RPTA: De manera respetuosa se solicita aclarar el alcance del presente interrogante, para poder atender de fondo el requerimiento. 12. ¿Cuál es el Tratamiento que aplica cada tercero a los Datos recolectados? RPTA: De manera respetuosa se solicita aclarar el alcance del presente interrogante, para poder atender de fondo el requerimiento. 13.

De conformidad con lo establecido en el Articulo 11 del Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015), y en atención a las limitaciones temporales en el Tratamiento de Datos personales, ¿Cuál ha sido el procedimiento establecido por esa organización para suprimir la información que se recolecte mediante su sitio web? RPTA: El procedimiento está implícito en el Documento de Seguridad (IPE-003) 14.

De conformidad con lo establecido en el Articulo 4 del Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) ¿Qué procedimientos se establecieron para determinar que la información solicitada en la página web, es pertinente y adecuada para la finalidad del registro? RPTA: Atendiendo lo expuesto en los numerales anteriores, se establecieron parámetros de información personal básica como nombre e identificación, así como medio de contacto para poder suministrar la información relevante de la actividad.

Ahora, en lo que respecta a las PQRS, se busca garantizar que la entidad cuente con los datos de contacto para remisión de respuesta o pronunciamiento de fondo a la solicitud. 15. Así pues, por favor explique, ¿Por qué razón cada uno de los Datos recolectados son indispensables para cumplir la finalidad informada? RPTA: Los datos recolectados son los estrictamente necesarios para cumplir con la finalidad que se plantea, sea esta en lo referente a capacitaciones y/o PQRS.

“Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA 16. Finalmente, frente a la recolección y Tratamiento de Datos sensibles y Datos de menores de edad que realiza esa entidad informe si se tuvo en cuenta lo dispuesto por el artículo 6 de la Ley 1581 de 2012, en concordancia con el artículo 6 del Decreto 1377 de 2013, sobre el Tratamiento de Datos personales sensibles de los Titulares, en la medida que “ninguna actividad podrá condicionarse a que el Titular suministre Datos personales sensibles”.

RPTA: La CCV solo trata datos personales sensibles para lo estrictamente necesario, solicitando consentimiento previo y expreso a los titulares (representantes legales, apoderados, causahabientes) e informándoles sobre la finalidad exclusiva para su tratamiento. Solo trata datos personales de menores de edad cuando estos sean de naturaleza pública o provengan de la información suministrada por lo Empleados o Contratistas, al momento de su vinculación o de prestación de servicio de la Cámara.

TERCERO: Que el Grupo de Trabajo de Informática Forense y Seguridad Digital de esta Superintendencia, realizó la preservación de la página web de la CÁMARA DE COMERCIO (www.ccv.org.co), relacionando en el Acta No. 069 del 16 de julio de 2020, los hallazgos encontrados sobre la protección de datos personales.

CUARTO: Que mediante Resolución 50087 del 25 de agosto de 2020, este Despacho resolvió iniciar investigación administrativa en contra de la CÁMARA DE COMERCIO, formulando los cargos que se relacionan a continuación:

ARTÍCULO PRIMERO. FORMULAR PLIEGO DE CARGOS contra la Cámara de Comercio de Villavicencio identificada con el Nit. 892000102, por la presunta vulneración del deber de solicitar la Autorización al Titular para el Tratamiento de sus Datos personales, contenido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley.

Así como del artículo 5 del Decreto 1377 de 2013 (incorporado en el artículo 2.2.2.25.2.2 del Decreto 1074 de 2015) de conformidad con lo señalado anteriormente y resumido en la Tabla número uno, titulada “Relación de presuntos incumplimientos de la Cámara de Comercio de Villavicencio respecto del tratamiento de datos que realiza mediante formularios que utiliza en su página web.”

ARTÍCULO SEGUNDO. FORMULAR PLIEGO DE CARGOS contra la Cámara de Comercio de Villavicencio identificada con el Nit. 892000102 por el presunto incumplimiento del deber de informar al Titular al momento de solicitar la Autorización lo establecido en los literales a); b); c); y d) del artículo 12 de la Ley 1581 de 2012, en concordancia con los literales b); c) y e) del artículo 8 de la misma norma.

ARTÍCULO TERCERO. FORMULAR PLIEGO DE CARGOS contra la Cámara de Comercio de Villavicencio identificada con el Nit. 892000102 por la presunta transgresión de los numerales 2 y 6 del artículo 13 del Decreto 1377 de 2013 incorporados en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015.

ARTÍCULO CUARTO. FORMULAR PLIEGO DE CARGOS contra la Cámara de Comercio de Villavicencio identificada con el Nit. 892000102 por la presunta violación del deber de informar al Titular sobre las finalidades del Tratamiento al que serán sometidos sus Datos personales, de conformidad con lo establecido en el literal c) del artículo 17 en concordancia con el literal b) del artículo 4, el artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, de conformidad con la Tabla número uno, titulada “Relación de presuntos incumplimientos de la Cámara de Comercio de Villavicencio respecto del tratamiento de datos que realiza mediante formularios que utiliza en su página web”.

ARTÍCULO QUINTO. FORMULAR PLIEGO DE CARGOS contra la Cámara de Comercio de Villavicencio identificada con el Nit. 892000102 por la presunta vulneración del deber de dar a conocer y ser fácilmente accesible a los Titulares la información sobre los procedimientos a que se refiere el artículo 18 del Decreto 1377 de 2013 (incorporado en el Decreto 1377 de 2013).

ARTÍCULO SEXTO. FORMULAR PLIEGO DE CARGOS contra la Cámara de Comercio de Villavicencio identificada con el Nit. 892000102 por la presunta violación del deber establecido en los numerales 1) y 2) del artículo 6 del Decreto 1377 de 2013 (incorporado en el artículo 2.2.2.25.2.3 del Decreto 1074 de 2015) para recolectar y tratar datos sensibles, de conformidad con la Tabla número uno, titulada “Relación de presuntos incumplimientos de la Cámara de Comercio de Villavicencio respecto del tratamiento de datos que realiza mediante formularios que utiliza en su página web”.

En el mismo acto administrativo, se concedió un término de quince (15) días hábiles a la CAMARA DE COMERCIO para que rindiera los respectivos descargos y aportara o solicitara las pruebas que pretende hacer valer dentro de la presente actuación administrativa.

QUINTO: Que la Resolución 50087 del 25 de agosto de 2020, fue notificada personalmente, de manera electrónica a la CAMARA DE COMERCIO, ese mismo día, de acuerdo con la certificación expedida por la Coordinadora del grupo de Notificaciones y Certificaciones de esta Superintendencia, la cual se encuentra radicada en el sistema de trámites bajo el número 20210753-11 de fecha 24 de septiembre de 2020.

SEXTO: Que mediante oficios radicados en el sistema de trámites de la entidad bajo los números 20-210753-9 y 20-210753-10 de fecha 14 de septiembre de 2020, la CAMARA DE COMERCIO “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA encontrándose dentro del término establecido para el efecto, a través de su apoderado especial presentó los respectivos descargos anexando una serie de documentos como pruebas.

SÉPTIMO: Que de conformidad con lo establecido en el artículo 41 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo1, mediante Resolución 77232 del 30 de noviembre de 2020, este Despacho modificó la formulación de cargos contenida en la Resolución 50087 del 25 de agosto de 2020, en el sentido de enmarcar la conducta preliminarmente investigada dentro de los deberes de los Responsables del Tratamiento establecidos en el artículo 17 de la Ley 1581 de 2012, imputando de esta manera, los cargos que se relacionan a continuación; i) Cargo primero: el literal b) del artículo 17, en concordancia con el literal c) del artículo 4º y artículo 9º de la Ley 1581 de 2012 y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; ii) Cargo segundo: el literal c) del artículo 17, en concordancia con el literal b) del artículo 4º, artículo 8º y artículo 12 de la Ley 1581 de 2012 y, el inciso primero del artículo 2.2.2.25.2.2. y artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015; iii) Cargo tercero: el literal k) del artículo 17, en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y los artículos 2.2.2.25.3.1. y 2.2.2.25.3.6. del Decreto Único Reglamentario 1074 de 2015.

OCTAVO: Que la Resolución 77232 del 30 de noviembre de 2020, fue notificada por aviso al apoderado especial de la CAMARA DE COMERCIO, el 11 de diciembre de 2020, de acuerdo con la certificación expedida por la Coordinadora del grupo de Notificaciones y Certificaciones de esta Superintendencia, la cual se encuentra radicada en el sistema de trámites bajo el número 20210753-17 de fecha 16 de diciembre de 2020.

NOVENO: Que mediante oficios radicados en el sistema de trámites de la entidad bajo los números 20-210753-18, 20-210753-19 y 20-210753-20 de fecha 4 de enero de 2021, la CAMARA DE COMERCIO encontrándose dentro del término establecido para el efecto, a través de su apoderado presentó los respectivos descargos en los cuales manifestó, lo siguiente: “INCIDENTE DE NULIDAD” “NULIDAD – VIOLACIÓN AL DEBIDO PROCESO – VIOLACIÓN AL PRINCIPIO DE PUBLICIDAD” Consideró el apoderado de la CAMARA DE COMERCIO lo que a continuación se transcribe: “(…) cuando la administración encuentra fundamentos suficientes para considerar iniciar un procedimiento sancionatorio, esta decisión deberá ser comunicada al interesado que, con ocasión a esa comunicación, se convierte en investigado.

Lo anterior tiene fundamento en lo dispuesto en el inciso segundo del artículo 47 y en el principio de publicidad, consagrado en el artículo 29 de la Constitución Nacional y el numeral 9 del artículo 3 del CPACA. Así, es evidente que las autoridades, en este caso la SIC, tiene la obligación de dar a conocer sus decisiones a través de las comunicaciones, notificaciones y publicaciones que ordene la ley.

Esta obligación ha sido omitida por la SIC en la presente actuación, toda vez que, se omitió la obligación procesal, previa al pliego de cargos, sobre la apertura de la investigación en su contra. (…) (destacamos No es menos cierto que el momento procesal para comunicar la apertura de la investigación no es el mismo momento para la formulación de cargos.

Son momentos diferentes y, por ende, deben ser plenamente agotados. (destacamos) Esta omisión por parte de la SIC implicó una violación evidente al debido proceso y al derecho de contradicción, toda vez que, una vez conocido el estado de investigada, la CCV pudo haber accedido y participado dentro de las pruebas que servirían de fundamento para la formulación de cargos.

Sin embargo, al no haber sido comunicada, nunca se tuvo plena oportunidad para conocer los informes y las pruebas que fundamentaron la decisión de la autoridad para formular los cargos notificados. (…) Así las cosas, como investigada, la CCV tiene derecho a acceder a las pruebas que han servido como fundamento para la formulación de cargos.

La SIC informa de la apertura de la investigación dentro de la Resolución de formulación de cargos, que tiene como término para la presentación del escrito de descargos ARTÍCULO

41. CORRECCIÓN DE IRREGULARIDADES EN LA ACTUACIÓN ADMINISTRATIVA. La autoridad, en cualquier momento anterior a la expedición del acto, de oficio o a petición de parte, corregirá las irregularidades que se hayan presentado en la actuación administrativa para ajustarla a derecho, y adoptará las medidas necesarias para concluirla. “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA quince (15) días.

Y pretende el Despacho que se eleve petición para acceder al Acta de Preservación, cuando en la actualidad el término para que den respuesta fue modificado por el Decreto Legislativo 491 de 2020. (…) En este sentido, continuando con lo expuesto en el párrafo anterior, actualmente, el término para dar respuesta a las solicitudes de documentación es de veinte (20) días hábiles, por lo que, ni elevando la solicitud a la SIC el mismo día de notificación del pliego de cargos, habría sido posible que la CCV tuviera acceso al Acta de Preservación. Lo anterior pone en evidencia la flagrante violación al debido proceso y a lo dispuesto dentro del artículo 29 constitucional, en concordancia con el artículo 3 y el artículo 47 del CPACA.

No obstante, lo anterior, el día diez (10) de septiembre de 2020, se elevó petición al Despacho, para que se brindara acceso al Acta de Preservación, a la fecha, la petición NO ha sido atendida por el Despacho y la CCV ni el suscrito hemos tenido acceso a las pruebas que obran en el expediente. Así las cosas, le indicamos al Despacho que el procedimiento administrativo que nos ocupa es contrario al ordenamiento jurídico y, por tanto, todas las actuaciones adelantadas están viciadas por no haber agotado todas las etapas procesales correspondientes en la oportunidad.

EN CUANTO A LOS CARGOS En los capítulos que preceden analizaremos de manera detallada, uno por uno, los hallazgos del Acta de Preservación, que fueron publicados en las Resolución No. 77232 del treinta (30) de noviembre de 2020, con la finalidad de demostrar al Despacho que la CCV ha implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en el RGPDP, especialmente lo tendiente a la solicitud de autorización para el tratamiento de datos personales de los titulares, el deber de informar las finalidades y los derechos que le asisten a los titulares y el deber de adoptar una Política de Tratamiento de Datos Personales.

Ahora bien, del amplio y complejo sistema del RGPDP y las múltiples obligaciones que este conlleva para los responsables y encargados, la CCV reconoce que, no todas las disposiciones son cumplidas a cabalidad, por lo tanto, en el presente escrito, del análisis de cada cargo, se reconocerá de manera expresa la comisión de una infracción al RGPDP o las razones por las cuales la CCV considera que no hay una transgresión a las disposiciones del RGPDP.

CARGO PRIMERO: Se reconoce expresamente que la CCV no solicita autorización del titular para el tratamiento de datos personales en los cinco (5) formularios utilizados para la recolección de datos personales analizados por el Despacho. Sin embargo, como presunta transgresión al deber solicitar y conservar copia de la respectiva autorización de los titulares, el Despacho debe reconocer que la CCV, como cámara de comercio, ejerce una función administrativa derivada de la descentralización por colaboración que el Estado impone legalmente a estas entidades, por lo tanto, es consideración de la CCV, que los datos personales recopilados en los formularios analizados por el Despacho, se recolectan y son tratados en ejercicio de una función legal como entidad que, en virtud de sus funciones, legalmente atribuidas, deberá promocionar la industria y el desarrollo económico y servir como instrumento de apoyo al desarrollo empresarial.

Por lo tanto, NO ES NECESARIA LA AUTORIZACIÓN DEL TITULAR. En consecuencia, por la presunta vulneración del deber de solicitar la autorización al titular para el tratamiento de sus datos personales, de conformidad con el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y artículo 9 de la Ley 1581 de 2012 y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, reconocemos expresamente que la CCV no solicita la autorización para el tratamiento de datos personales en algunos de los formularios mencionados en el Acta de Preservación. Se aclara, además, que, en la PTI, capitulo 2, numeral 2.5., en el cual se desarrolla el principio de libertad, se informa a los titulares que la CCV podrá tratar los datos personales que se encuentren almacenados en sus bases de datos, sin el previo consentimiento de los titulares, si estos se encuentran en bases de datos excluidas por la ley, estas, hacen referencia, a las bases de datos de los formularios objeto de la investigación. CARGO SEGUNDO: Se reconoce expresamente que la CCV no informa, en los cinco (5) formularios analizados por el Despacho, la finalidad de la recolección y los derechos que le asisten al titular por virtud de la autorización otorgada.

Sin embargo, este reconocimiento se encuentra estrechamente ligado con lo manifestado en el pronunciamiento inmediatamente anterior sobre el CARGO PRIMERO, toda vez, que, en consideración de la CCV, la recolección y tratamiento de los datos personales que se realiza a través de los formularios se lleva a cabo en virtud de una función legal, por lo tanto, no es necesaria la autorización del titular.

Lo que implica necesariamente, que, ante la ausencia del deber de solicitar autorización, no se informen, en el momento de recopilar los datos personales, las finalidades y los derechos que le asisten al titular. INFORMACIÓN QUE, EN TODO CASO, SÍ SE ENCUENTRA DISPUESTA PARA LOS TITULARES EN LA PTI (la PTI se encuentra en el Anexo No. 1). En consecuencia, por el presunto incumplimiento del deber de informar al titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, de conformidad con el literal c) del artículo 17, en concordancia con el literal b) del artículo 4, artículo 8 y artículo 12 de la Ley 1581 de 2012 y el inciso primero del artículo o 2.2.2.25.2.2. y artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015, reconocemos expresamente que la CCV no informa a los titulares al momento de solicitar la autorización los derechos que le asisten como titular, con la aclaración de que tal hallazgo, se debe a la consideración de la CCV, de no requerir autorización de los titulares, en virtud del ejercicio de una función pública que le asiste en virtud de la descentralización por colaboración. Por lo tanto, aun cuando se acepta que no se informa al titular sobre la finalidad de la recolección, se aclara, que dicha información: (i) SÍ SE ENCUENTRA DISPOSICIÓN DE LOS TITULARES en el MANUAL DE POLÍTICAS Y PROCEDIMIENTOS PARA EL TRATAMIENTO DE DATOS PERSONALES DE LA CCV; y (ii) al tratarse de la recopilación y tratamiento de datos personales en ejercicio de una función legal, no le asiste a la CCV el deber legal de solicitar la autorización. “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA Se aclara, además, que, en la PTI, capitulo 2, numeral 2.5., del desarrollo del principio de libertad se informa a los titulares que la CCV podrá tratar los datos personales que se encuentren almacenados en sus bases de datos, sin el previo consentimiento de los titulares, si estos se encuentran en bases de datos excluidas por la ley, estas, hacen referencia, a las bases de datos de los formularios objeto de la investigación. CARGO TERCERO. Por el presunto incumplimiento del deber de adoptar una Política de Tratamiento de Datos Personales de acuerdo el literal k) del artículo 17, en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y los artículos s 2.2.2.25.3.1. y 2.2.2.25.3.6. del Decreto Único Reglamentario 1074 de 2015.

No se acepta el cargo. La CCV sí cumple con la disposición mencionada, tal y como podrá evidenciar el Despacho en el presente escrito de descargos. “SOBRE LAS CONSIDERACIONES DE LA DIRECCIÓN DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES” Respecto de este aparte, manifiesta el apoderado de la CÁMARA DE COMERCIO, indica lo siguiente: “De conformidad con lo indicado por el Despacho en la Resolución de la referencia se considera que la CCV, presuntamente, incumple con algunas de las disposiciones legales en materia de tratamiento de datos personales teniendo como fundamento el Acta de Preservación. A continuación, nos pronunciaremos sobre cada uno de los hallazgos: AL CARGO PRIMERO: PRESUNTA INFRACCIÓN AL DEBER QUE LE ASISTE A LA CCV DE SOLICITAR AUTORIZACIÓN AL TITULAR PARA EL TRATAMIENTO DE SUS DATOS PERSONALES.

De conformidad con la conclusión del Despacho, del análisis del Acta de Preservación, se presenta una presunta transgresión al deber establecido en el literal b) del artículo 17, en concordancia con el literal c) del artículo 4º y artículo 9º de la Ley 1581 de 2012 y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, en cinco (5) formularios dispuestos por la CCV en su página web.

Consideramos menester aclarar al Despacho que el tratamiento de datos personales que lleva a cabo la CCV a través de los formularios: (a) en su función de llevar registros públicos; y (b) en su misión de promover la formalización, el fortalecimiento y la innovación empresarial, así como desarrollar actividades de capacitación en las áreas comercial e industrial y otras de interés regional, a través de cursos especializados, seminarios, conferencias y publicaciones, entre otras, se lleva a cabo en desarrollo de un mandato legal, por lo tanto, la CCV, así como todas las cámaras de comercio del país, llevan a cabo el tratamiento de datos personales en ejercicio de funciones que les son asignadas por la ley.

En efecto, los hallazgos son los siguientes: - Al respecto, nos permitimos manifestar lo siguiente: Se reconoce expresamente que la CCV NO solicita la autorización conforme con lo dispuesto en las normas mencionadas, por ende, no conserva copia de esta. No obstante, tal y como se mencionó anteriormente en el presente escrito de descargos, las cámaras de comercio ejercen sus funciones en el contexto de la descentralización por colaboración. La descentralización por colaboración consiste en la entrega del ejercicio de funciones públicas estatales a los particulares, para que estos, autorizados por la ley, las ejerzan como si el Estado hubiera actuado.

La función legal delegada a la CCV por parte del Estado, implica, necesariamente que como cámara de comercio (a) ejerza su función de llevar registros públicos (formulario Registro al Sistema Integrado de Información) y (b) desarrolle su misión de promover la formalización, el fortalecimiento y la innovación empresarial, así como el desarrollo de actividades de capacitación en las áreas comercial e industrial y otras de interés regional, a través de cursos especializados, seminarios, conferencias y publicaciones, entre otras, por lo tanto, y como se reitera en el presente escrito de descargos, la solicitud de autorización para el tratamiento de datos personales no era necesaria al momento de solicitar la información de los titulares.

DESCENTRALIZACIÓN POR COLABORACIÓN “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA Las cámaras de comercio ejercen una función pública, como lo es la función registral, además, prestan el servicio público de registro y de dar fe de actos de relevancia social. Así mismo, ejercen otras funciones designadas por la ley, que, se desarrollan en el contexto de la descentralización por colaboración, cuyo desarrollo jurisprudencial y doctrinal en Colombia han planteado que la misma, implica la ampliación de las funciones del Estado, previa autorización legal, para el desarrollo de ciertas actividades por parte de entidades privadas.

Las cámaras de comercio son entidades con un régimen legal único, y su naturaleza ha sido objeto de debates. No se desconoce, que las cámaras de comercio son entidades de naturaleza privada, que ejercen UNA FUNCIÓN ADMINISTRATIVA, delegada por el Estado con el objetivo de satisfacer intereses de carácter general. El desarrollo de funciones administrativas por parte de un particular ha sido reiteradamente reconocido por la Corte Constitucional y se encuentra previsto en el artículo 210 de la Constitución Política.

Como persona jurídica de naturaleza privada, la CCV, en cuanto a los que al ejercicio de sus funciones de refiere, ocupa la posición de la autoridad estatal, por ende, se encuentra sometida a las prerrogativas del poder público. Así, acerca de la naturaleza jurídica de las cámaras de comercio, la Corte Constitucional, en la sentencia C-259 de 2008 dispuso que: “(i) las cámaras de comercio son organizaciones privadas, de carácter gremial, las cuales conservan su carácter al margen que se les adscriban, por mandato legal, el ejercicio de actividades propias de la función administrativa;

(ii) la delegación de la administración del registro de proponentes a las cámaras de comercio es una modalidad de descentralización por colaboración que encuentra sustento constitucional suficiente, en la medida en que la Carta Política adscribe al legislador la competencia para determinar el régimen en que los particulares pueden cumplir funciones administrativas (Art. 210 C.P.), mandato constitucional en el que se inscribe la delegación mencionada; y (iii) en tanto las cámaras de comercio ejercen por disposición legal, actividades propias de la función pública, quedan sometidas a los principios que regulan la actividad administrativa, contenidos en el Artículo 209 Superior”.

Las cámaras de comercio, regidas por disposiciones especiales, como entidades descentralizadas por colaboración: (i) (ii) (iii) (iv) (v) Son creadas por autorización legal. El Gobierno interviene en su creación. El Gobierno incide en la composición de sus juntas Su objeto está determinado por la ley y los reglamentos; y Su actividad está sujeta a un amplio sistema de controles de derecho público.

Conforme con lo anterior, en virtud de lo dispuesto en el Capítulo 38 del Decreto 1074 de 2015, especialmente el artículo 2.2.2.38.1.4., las cámaras de comercio ejercerán las funciones señaladas en el artículo 86 del Código de Comercio y en las demás normas legales y reglamentarias. (…) Es menester indicar que los datos personales solicitados a través de los formularios dispuestos en la página web, objeto de la investigación, se recolectan en ejercicio de las funciones legales que el Estado asigna a las cámaras de comercio.

El uso de los formularios no es más que la expresión de la obligación que tienen las cámaras de comercio de disponer de los servicios tecnológicos necesarios para el cumplimiento y debido desarrollo de sus funciones registrales y la prestación eficiente de sus servicios. Las funciones de la CCV son, entre otras, las de llevar los registros públicos: mercantiles, de proponentes y de entidades sin ánimo de lucro.

Funciones cuya fuente misma es la ley y que deben ser cumplidas taxativamente. En efecto, el artículo 86 del Código de Comercio, la Ley 80 de 1993, el Decreto 2150 de 2015, la Ley 550 de 1999, la Ley 590 de 2000, el Decreto 2042 de 2014, entre otros, radican en cabeza de las cámaras de comercio funciones legales. En efecto, las obligaciones de las cámaras de comercio van más allá de mantener registros públicos.

Como entidades sin ánimo de lucro de carácter gremial, tienen un rol fundamental en el desarrollo empresarial, lo que implica la función de promover el comercio, la formación, la innovación y la formalización empresarial. Por lo tanto, no es ajeno para estas entidades: a. Llevar a cabo eventos, programas o actividades en favor de los sectores productivos de las regiones (numeral 14 del Artículo 2.2.2.38.1.4. del Decreto 1074 de 2015); b. Promover la formalización, el fortalecimiento y la innovación empresarial, así como desarrollar actividades de capacitación en las áreas comercial e industrial y otras de interés regional, a través de cursos especializados, seminarios, conferencias y publicaciones (numeral 8 del Artículo 2.2.2.38.1.4. del Decreto 1074 de 2015). c. Adelantar, elaborar y promover investigaciones y estudios jurídicos, financieros, estadísticos y socioeconómicos, sobre temas de interés regional y general, que contribuyan al desarrollo de la comunidad y de la región donde operan (numeral 2 del Artículo 2.2.2.38.1.4. del Decreto 1074 de 2015).

Ahora bien, las funciones de las cámaras de comercio, en especial lo que toca con el registro mercantil son de carácter público, así lo aclaró la Corte Constitucional en Sentencia C-1142 del 2000 (M.P.: Dr. Jose Gregorio Hernández Galindo). (…) Es clara la posición de la Corte Constitucional en relación con el carácter público de las funciones de las cámaras de comercio.

Es así que, la recolección y tratamiento de los datos personales, a través de los formularios analizados por el Despacho tienen una conexión directa con las funciones legalmente asignadas a la CCV. En efecto, el contenido, función, y datos personales recolectados y tratados en los formularios “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA analizados en el Acta de Preservación se realizan en el marco del ejercicio de sus funciones legales, por lo tanto, se puede concluir que la CCV NO requiere del consentimiento libre, previo, expreso e informado del titular de los datos personales para su tratamiento, de conformidad con lo establecido en el literal a) del artículo 10 de la Ley 1581 de 2012, que establece que la autorización para el tratamiento de datos personales no será necesaria cuando se trate de información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales, así como, con el literal b), frente a datos personales de naturaleza pública, como lo son todos aquellos datos personales provenientes de los registros mercantiles.

La CCV reconoce de manera expresa en la PTI e informa a los titulares que el tratamiento de aquellos datos personales de naturaleza pública, de aquellos contenidos en registros públicos, no implica que no se adopten medidas para el cumplimiento de los principios y obligaciones dispuestos en la Ley 1581 de 2012 y demás normas que regulan la materia.

Se resalta que la CCV, a través de los formularios objeto de estudio desarrolla una de las funciones que legalmente le han sido asignadas, que tiene que ver con la obligación de promover capacitaciones y demás, que sean de interés regional, a través de cursos especializados, seminarios, conferencia y publicaciones. Así lo informa de manera expresa en la PTI, en la cual dispone frente a las bases de datos de formación empresarial que los tratará con el fin de dar cumplimiento a las funciones asignadas legalmente conforme a lo dispuesto en el numeral 8 del artículo 10 del Decreto 898 de 2002 (ahora actualizado en el Decreto Único Reglamentario 1074 de 2015).

En este sentido, es importante mencionar al Despacho que la CCV se encuentra adelantando la implementación de un procedimiento para solicitar la autorización de los titulares para el tratamiento de sus datos personales en todas y cada una de las operaciones en las que no se traten datos de naturaleza pública y, en general, para la mejora del programa integral de gestión de datos personales, con el fin de brindar seguridad, confidencialidad y circulación restringida de la información suministrada por los titulares.

SOBRE EL FORMULARIO DE REGISTRO AL SISTEMA INTEGRADO DE INFORMACIÓN (SII) Capítulo aparte se debe desarrollar sobre el formulario de Registro al Sistema Integrado de Información (Páginas 177-179 del Acta de Preservación). El Sistema Integrado de Información (por sus siglas referido como el “SII”), es una plataforma tecnológica administrada por la Confederación Nacional de Cámaras de Comercio (“Confecamaras”) que contiene la información pública de registros tales como el, SII, RUES, RNT y RUNEOL.

El SII contiene un sistema de gestión de seguridad de la información basado en ISO 27001, además, Confecamaras ha adoptado el cumplimiento del control 18.1.4 de ISO 27001 cuyos estudios están en análisis de riesgos de la entidad gremial. En relación con la información solicitada en el formulario del SII, el Despacho deberá tener en cuenta que la misma se recolecta en ejercicio de la función registral de la CCV, que, tiene un carácter eminentemente público y, en consecuencia, toda la información allí consignada comparte la misma naturaleza.

Esta particularidad permite que cualquier persona pueda tener acceso a los datos allí inscritos a través de diversos mecanismos desarrollados para facilitar su acceso, ya que, la principal función que cumple el registro público que llevan la CCV (y demás cámaras de comercio del país), es la de otorgar publicidad de los actos y documentos registrales y su consecuente oponibilidad frente a terceros, según lo establecido en el artículo 29, numeral 4 del Código de Comercio.

La PTI dispuesta por la CCV informa, desde su introducción que los datos tratados son de naturaleza pública, debido que su tratamiento se realiza por mandato legal y en cumplimiento de una función reglada. Se destaca, además, que en la misma PTI se informa a los titulares sobre el alcance del principio de libertad (Anexo No. 1, Capítulo 2.5.) y que la CCV tratará datos personales sin el previo consentimiento del titular, siempre y cuando, estos provengan de registros públicos, o que si bien no están contenidos en ellos sean de naturaleza pública, así como aquellos en bases de datos excluidas por la ley.

Así las cosas, y como se ha expuesto reiteradamente en el presente escrito de descargos, en el Formulario de Registro al Sistema Integrado de Información (especialmente) y en los demás formularios dispuestos en la página web, la CCV lleva a cabo el tratamiento de datos personales, en ejercicio de un mandato legal. En efecto, y como se ha reiterado en el presente escrito de descargos, las funciones de las cámaras de comercio, en especial lo que toca con el registro mercantil son de carácter público, así lo aclaró la Corte Constitucional en Sentencia C-1141 del 2000 (M.P.: Dr. Jose Gregorio Hernández Galindo) citada anteriormente (remitirse al literal d), del numeral 1, de la Sección 4.1.4. del Capítulo IV del presente escrito de descargos).

Del análisis jurisprudencial y normativo que regula el marco de las funciones de las cámaras de comercio, resulta evidente que la CCV, como cámara de comercio, ejerce principalmente funciones públicas que le son asignadas por el Estado. El SII es la plataforma tecnológica a través de la cual se desarrolla la función registral de la CCV. Actualmente, alrededor de 41 cámaras de comercio del país utilizan el SII, tales como las de Ibagué, Pereira, Santa Rosa de Cabal, San Andrés, Amazonas, Cauca, Aguachica, Florencia, Dosquebradas, Honda, Duitama, Magangué, Guajira, Sogamoso, Facatativá, Casanare, Santa Marta, Sincelejo, Palmira, Sur y Oriente del Tolima, Buga, Huila, Armenia y del Quindío, Urabá, Valledupar, Puerto Boyacá, Manizales, Tunja, entre otras.

Se resalta entonces que los datos personales objeto de tratamiento en virtud de la función registral de la CCV, a través del SII, tienen el carácter de dato público. (…) En conclusión, en relación con el Formulario de Registro al Sistema Integrado de Información: 1. 2. 3. La CCV trata datos de carácter público; El tratamiento se realiza en virtud de una función pública en ejercicio de sus atribuciones legales;

La plataforma tecnológica a través de la cual se tratan estos datos pertenece a Confecámaras y cumple con altos estándares de seguridad. “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA Por lo tanto, el Despacho debe reconocer que el tratamiento de datos personales a través del Formulario de Registro al Sistema Integrado de Información se soporta en una obligación legal aplicable a la CCV, razón por la cual, no se requiere el consentimiento del titular para su tratamiento.

La relación entre la CCV y Confecámaras para el uso del SII se regula mediante el “Convenio de Colaboración Tecnológica No. 527” del cuatro (4) de septiembre de 2018 (Ver Anexo No. 16). En todo caso, aclaramos que: (i) La PTI sí se pone en conocimiento de los titulares tal y como lo dispone el artículo 13 del Decreto 1377 de 2013. (ii) El Aviso de Privacidad sí está publicado en la página, en todo caso, la PTI también está a disposición de los titulares.

(iii) La CCV no requiere de autorización del titular para el tratamiento de sus datos personales, por lo tanto, en estricto sentido, no aplica el artículo 12 de la Ley 1581 de 2012. AL CARGO SEGUNDO: PRESUNTA INFRACCIÓN AL DEBER DE INFORMAR DEBIDAMENTE AL TITULAR SOBRE LA FINALIDAD DE LA RECOLECCIÓN Y LOS DERECHOS QUE LE ASISTEN POR VIRTUD DE LA AUTORIZACIÓN OTORGADA Consideró el Despacho que, conforme con la evaluación de siete (7) formularios dispuestos en la página web, no se informó a los titulares las finalidades del tratamiento y los derechos que le asisten por virtud de la autorización otorgada.

Argumentando, de manera preliminar, que esto configura una transgresión al deber establecido en el literal c) del artículo 17, en concordancia con el literal b) del artículo 4º, artículo 8º y artículo 12 de la Ley 1581 de 2012 y, el inciso primero del artículo 2.2.2.25.2.2 y artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015.

La conducta de la CCV frente al deber de informar a los titulares las finalidades del tratamiento y los derechos que le asisten no se subsume en una presunta transgresión si el Despacho tiene en cuenta los argumentos esbozados en el anterior numeral 5.1. En efecto, reiterando lo ya mencionado, los formularios son utilizados por la CCV en el contexto de la descentralización por colaboración del Estado y en ejercicio de funciones legales, para: (a) ejercer su función de llevar registros públicos (formulario Registro al Sistema Integrado de Información); y (b) en su misión de promover la formalización, el fortalecimiento y la innovación empresarial, así como, desarrollar actividades de capacitación en las áreas comercial e industrial y otras de interés regional, a través de cursos especializados, seminarios, conferencias y publicaciones, entre otras.

Se plantean los hallazgos del Despacho, de la siguiente manera: - Al respecto, nos permitimos manifestar lo siguiente: Merece especial análisis la presunta transgresión por parte de la CCV al deber establecido en el literal c) del artículo 17, en concordancia con el literal b) del artículo 4º, artículo 8º y artículo 12 de la Ley 1581 de 2012 y, el inciso primero del artículo 2.2.2.25.2.2 y artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015, toda vez que, tal y como se ha mencionado en el presente escrito de descargos en numerosas ocasiones, la CCV utilizó los formularios investigados en desarrollo y ejercicio de sus funciones legales.

Ahora bien, no obsta lo anterior para que el Despacho tenga en cuenta, para determinar una presunta transgresión, lo dispuesto en el literal a) del artículo 10 de la Ley 1581 de 2012. (…) En materia de protección de datos personales, y especialmente en lo que tiene que ver con la recolección de estos a través de los formularios objeto de la investigación, la CCV actuó en pleno ejercicio de sus funciones legales, por lo tanto, no requería de autorización por parte del titular.

Como se ha reiterado en el presente escrito de descargos, la recolección de los datos personales relacionados en cada uno de los formularios “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA disponibles en la página web de la CCV corresponde al ejercicio de funciones legales por parte de las cámaras de comercio y al deber de uso de herramientas tecnológicas para prestar sus servicios.

Nótese como cada uno de los formularios corresponde exactamente al ejercicio por parte de la CCV de actividades para el cumplimiento de sus obligaciones legales. Así como, al deber de disponer de los servicios tecnológicos necesarios para el cumplimiento y debido desarrollo de sus funciones registrales y la prestación eficiente de sus servicios.

La relación de cada uno de los formularios analizados por el Despacho con las funciones legales asignadas a la CCV, son las siguientes: (i) Formulario Asesorías Jurídicas Especializadas (Páginas 165-170 del Acta de Preservación de Páginas web No. 069 de 2020) Función: - Promover la formalización, el fortalecimiento y la innovación empresarial, así como desarrollar actividades de capacitación en las áreas comercial e industrial y otras de interés regional, a través de cursos especializados, seminarios, conferencias y publicaciones. - Promover el desarrollo regional y empresarial, el mejoramiento de la competitividad y participar en programas nacionales de esta índole.

La CCV puso a disposición este formulario con la finalidad de brindarle a los empresarios y comerciantes de la región apoyo en el fortalecimiento de sus conocimientos en diferentes asuntos jurídicos, así como, la posibilidad de encontrar soluciones razonables a sus situaciones legales. (ii) Formulario Módulo PQRS (Páginas 170-173 del Acta de Preservación de Páginas web No. 069 de 2020) El formulario PQRS es al mecanismo utilizado por la CCV para permitir a las personas interponer peticiones, quejas, reclamos o hacer sugerencias.

(iii) Formulario Registro en la opción Competitividad y Proyectos – Coordinación Gestión Internacional (Páginas 173-177 del Acta de Preservación de Páginas web No. 069 de 2020). Función: - Promover la formalización, el fortalecimiento y la innovación empresarial, así como desarrollar actividades de capacitación en las áreas comercial e industrial y otras de interés regional, a través de cursos especializados, seminarios, conferencias y publicaciones. - Promover el desarrollo regional y empresarial, el mejoramiento de la competitividad y participar en programas nacionales de esta índole.

En alianza con Procolombia (entidad encargada de promover el turismo, la inversión extranjera en Colombia, las exportaciones no minero energéticas y la imagen del país) la CCV utilizó este formulario para informar a las empresas de contenido digitales y TI, y demás actividades de industrias 4.0 interesadas en exportar sus servicios, con la finalidad de identificar su propuesta de valor y transmitirla efectivamente.

Estas fueron todas sesiones sin costo para los usuarios y la información se solicitó con la finalidad de participar en el formulario. Se aclara, además, que la CCV actuó como encargado del tratamiento para Procolombia, y que, en el formulario, se solicitó la autorización, previa expresa e informada de los titulares para el tratamiento de sus datos personales.

(iv) Formulario de Registro al Sistema Integrado de Información (Páginas 177-179 del Acta de Preservación de Páginas web No. 069 de 2020). Función: - Llevar los registros públicos encomendados a ellas por la ley y certificar sobre los actos y documentos allí inscritos. Se trata del formulario para el acceso al SII, cuyo alcance y uso, se explicó en el capítulo anterior.

En todo caso, se le informa a los titulares que, al continuar con la solicitud de registro, autoriza a la entidad para hacer uso de la información incluida en el formulario para los fines del ejercicio de las funciones registrales de la CCV. (v) Formulario Acompañamiento Cultura Digital (Páginas 179-180 del Acta de Preservación de Páginas web No. 069 de 2020) Función: - Promover la formalización, el fortalecimiento y la innovación empresarial, así como desarrollar actividades de capacitación en las áreas comercial e industrial y otras de interés regional, a través de cursos especializados, seminarios, conferencias y publicaciones. - Promover el desarrollo regional y empresarial, el mejoramiento de la competitividad y participar en programas nacionales de esta índole.

Formulario que se utilizó con la finalidad de brindar acompañamiento para el proceso de transformación digital. “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA (vi) Formulario Inscripción Diseño de Paquetes y Diseño de Experiencias (Páginas 181- 183 del Acta de Preservación de Páginas web No. 069 de 2020) Función: - Promover la formalización, el fortalecimiento y la innovación empresarial, así como desarrollar actividades de capacitación en las áreas comercial e industrial y otras de interés regional, a través de cursos especializados, seminarios, conferencias y publicaciones. - Promover el desarrollo regional y empresarial, el mejoramiento de la competitividad y participar en programas nacionales de esta índole.

Formulario que se utilizó con la finalidad de brindar acompañamiento a los empresarios de turismo y cultura en paquetes turísticos y experiencias, como sectores esenciales del desarrollo de la región. (vii) Formulario de Registro al Sistema Integrado de Información (Páginas 183-184 del Acta de Preservación de Páginas web No. 069 de 2020).

Función: - Llevar los registros públicos encomendados a ellas por la ley y certificar sobre los actos y documentos allí inscritos. Se trata del formulario para el acceso al SII, cuyo alcance y uso, se explicó en el capítulo anterior. En todo caso, nos pronunciaremos específicamente sobre cada uno de los hallazgos, aclarando, que hay un reconocimiento expreso por parte de la CCV en que no solicitó la autorización de los titulares, por lo cual, no informó a los titulares, de manera clara y expresa lo dispuesto en el artículo 12 de la Ley 1581 de 2012.

Cabe anotar, que el estudio del Acta de Preservación realizado por el Despacho NO evidencia el análisis de la página web como un todo o unidad, que incluye la PTI, avisos de privacidad, módulo para el ejercicio de los derechos para los titulares y de manera transparente se publica todo tipo de información relevante para los usuarios de la CCV; por el contrario, se evidencian conclusiones derivadas de un análisis fraccionado, que desconoce que no necesariamente, en la sección o módulo analizado, la CCV da cumplimiento a su deber legal.

Así como, que tanto las finalidades, como los derechos que le asisten a los titulares sí se informan en la PTI, la cual, se encuentra disponible para los titulares en la página web. En efecto, la apreciación de la prueba desconociendo las funciones legales de las cámaras de comercio, configura un error de derecho para todos los hallazgos incluidos en el presente acápite.

Resulta relevante informarle al Despacho que de los veinticuatro (24) hallazgos contemplados en la investigación, para el segundo cargo, se evidencia un error de apreciación de las pruebas. En efecto, de los hallazgos del segundo cargo no hay una apreciación de la PTI en la que se informan todos los derechos que le asisten a los titulares en virtud del tratamiento de datos personales que lleva a cabo la CCV.

Las disposiciones del artículo 8 de la Ley 1581 de 2012 NO se refieren al deber de informar a los titulares sobre sus derechos en un momento especifico, en efecto, el alcance de la obligación se refiere a informar a los titulares sobre los derechos que le asisten, deber que la CCV cumple a cabalidad en la PTI (Anexo No. 1). (…) AL CARGO TERCERO: PRESUNTO INCUMPLIMIENTO DEL DEBER DE ADOPTAR UNA POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES Del cargo tercero, por el presunto incumplimiento de adoptar una Política de Tratamiento de Datos Personales, conforme con lo previsto previsto en el literal k) del artículo 17, en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y los artículos 2.2.2.25.3.1. y 2.2.2.25.3.6. del Decreto Único Reglamentario 1074 de 2015, consideramos sobre los siguientes hallazgos, que: “Por la cual se impone una sanción y se imparte una orden” - VERSIÓN ÙNICA Respecto de las conclusiones, nos permitimos indicar lo siguiente: En el Anexo No. 21, que contiene un video de navegación de la página web objeto de la investigación, se evidencia que la PTI se encuentra en disposición de los usuarios en diferentes secciones y que la información disponible es perfectamente legible.

En las pruebas se podrá verificar que: (i) la PTI sí se encuentra habilitada; (ii) es legible la información del responsable del tratamiento; (iii) Señala el tipo de tratamiento al que serán sometidos los datos; (iv) señala las finalidades; (v) es legible la información del responsable de atención de peticiones, quejas y reclamos; (vi) es legible el procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización;

(vii) es legible la información de los canales o medios para que los titulares ejerzan sus derechos; (viii) la PTI sí informa el periodo de vigencia de las bases de datos. i. A la conclusión primera - No estaba habilitado para consulta el Manual de Políticas y Procedimientos de Protección de Datos Personales No es de recibo la conclusión del Despacho toda vez que la PTI, sí se encuentra en disposición de los usuarios de la página web.

En efecto, a manera de ejercicio nos hacemos la siguiente pregunta ¿si la política no se encontraba habilitada para consulta? ¿cómo la consultó el funcionario examinador que elaboró el Acta de Preservación? Es más, según la evaluación del Despacho, la PTI sí constaba en medio físico o electrónico, además, consideró el Despacho que la PTI fue redactada con un lenguaje claro y sencillo.

En consecuencia, no estamos de acuerdo con lo manifestado por el Despacho, toda vez que la PTI sí ha estado habilitada para consulta antes, durante y después de la investigación que nos ocupa. La PTI es puesta en conocimiento de los titulares a través de la página web y se encuentra a disposición para consulta en diferentes módulos o secciones de la página web, para lo cual, nos permitimos indicar la ruta de acceso a esta, desde los diferentes módulos o secciones que la CCV ha dispuesto para ello, como se muestra a continuación: 1.

En los TyC El uso de la página web se regula mediante los TyC publicados en: https://www.ccv.org.co/es/ipaginas/ver/4/ (Anexo No. 17). Los TyC establecen las condiciones de uso de la página web y los usuarios, al navegar en esta, aceptan su carácter vinculante. En relación con el tratamiento de datos personales, los TyC incluyen un capítulo único para la PTI, en efecto, se informa a los titulares, que: “LA EMPRESA reconoce la importancia de su derecho a la intimidad y del tratamiento adecuado de sus datos personales.

Le rogamos que consulte nuestra Política sobre el Tratamiento de Datos Personales que se incluye por referencia a las presentes Condiciones y pasan a formar parte de las mismas, para estar informado de como recopilamos, usamos y tratamos sus datos personales.” -Subraya y negrita nuestraSe evidencia con la siguiente imagen: “Por la cual se impone una sanción y se imparte una orden” 2.

VERSIÓN ÙNICA En el módulo de Ley de Transparencia Ingresando al módulo de Ley de Transparencia (https://www.ccv.org.co/es/ley-de-transparencia-y- acceso-a-lainformacion-CPG356) y al sub-módulo de Normas, Políticas y Lineamientos) el titular podrá acceder, entre otros documentos relevantes, a la PTI (acá: https://s3.pagegear.co/415/71/imageneseditor/paginas/2020/ley_de_transparencia/norma_politicas_y_lin/6.manualpoliticasyprocedimientosprotecciondat ospersonales.pdf). 3.

En el módulo de PQRS (https://www.ccv.org.co/es/ipaginas/ver/29/PQR/) En el módulo de PQRS los titulares, no solo tienen la posibilidad de acceder a la PTI, sino que también pueden ejercer sus derechos a conocer, actualizar, rectificar o suprimir las informaciones que sobre ellos reposen en las bases de datos de la CCV. Ver imagen siguiente: Así las cosas, la PTI SÍ se encuentra disponible para ser consultada por los titulares.

La obligación legal del artículo 13 del Decreto 1377 de 2013 dispone que la PTI sea puesta en conocimiento de los titulares, obligación “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA que la CCV cumple a cabalidad, poniendo a disposición de los titulares la PTI en diferentes módulos de su página web, con total transparencia y sin el ánimo de transgredir derecho alguno. Por lo tanto, en relación con este hallazgo, la CCV SÍ cumple, y hay no solo una (1), sino tres (3) secciones o módulos en la página web que remiten a la PTI.

No obstante, también queremos indicar al Despacho que la CCV se encuentra trabajando arduamente para mejorar la experiencia de los usuarios de su página web y garantizar que los titulares conozcan de una mejor manera y tengan claro el tratamiento que la CCV da a sus datos personales. Así mismo, en aras mejorar los procedimientos ya implementados, la CCV ha iniciado un proceso de actualización de la PTI.

Además, ha implementado medidas para garantizar la navegación en el sitio web y el acceso a cada uno de sus módulos. Adicionalmente, se encuentra en curso una auditoría general a la implementación del RGPDP con la finalidad de mejorar los procedimientos ya implementados y dar cabal cumplimiento a lo dispuesto en la Ley 1581 de 2012, el Decreto 1377 de 2013, las Circulares emitidas por la SIC y a las normas que complementan el RGPDP. ii.

A la conclusión segunda - Es ilegible la información de nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable consignada en el Manual de Políticas y Procedimientos El Despacho, de manera desacertada, consideró que la información de nombre, razón social, domicilio, dirección, correo electrónico y teléfono dispuesta en la PTI es ilegible.

Al respecto, es necesario hacer énfasis en que los datos de contacto y del responsable del tratamiento de los datos personales de los titulares, SÍ se encuentran contenidos en la PTI. La PTI se encuentra a disposición de los titulares en varias secciones o módulos del sitio web. Los titulares, desde los diferentes módulos o secciones que la CCV ha puesto a disposición para consultar la PTI, pueden conocer de manera clara la información del responsable del tratamiento.

En efecto, le informamos al Despacho que, la información presuntamente ilegible se encuentra disponible, así: 1. En la introducción de la PTI (Ver Anexo No. 1, página 2): Como bien puede evidenciarse en la ilustración 12, los datos de contacto del responsable del tratamiento, tal y como los exige la norma, se encuentran publicados de manera clara y sencilla para los titulares.

Cabe destacar que el hecho que las letras estén en color gris, no impide de ninguna manera la lectura del contenido. En todo caso, la CCV se encuentra en proceso de mejora de la PTI con la finalidad cumplir de mejor manera con las obligaciones que le corresponden en materia de datos personales, entre estas, ajustará la PTI. 2. En el numeral 8 de la PTI (Ver Anexo No. 1, página 20) “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA Tal y como lo prueba la Ilustración 13, SÍ es posible identificar el nombre del responsable del tratamiento y demás información, conforme lo dispone el numeral 1 del artículo 13 del Decreto 1377 de 2013.

Se evidencia que el investigador no validó las otras secciones o módulos dispuestos por la CCV para que los titulares accedieran a la PTI, además, omitió varios Capítulos en los cuales la información se incluye de manera clara y sencilla. 3. En el numeral 11 de la PTI (Ver Anexo No. 1, página 21) Como bien puede evidenciarse en la imagen relacionada, el Capítulo 11 de la PTI también informa los datos a través de los cuales los titulares de la información pueden ejercer sus derechos de habeas data.

Adicionalmente, si bien es necesario que los datos de contacto del responsable o del encargado del tratamiento de datos personales se encuentren de manera clara y expresa en la PTI, como lo están. El Aviso de Privacidad dispuesto por la CCV en la página web también informa a los titulares dicha información (Anexo No. 2) (acceso: https://s3.pagegear.co/415/71/imagenes- editor/paginas/2020/la_camara/aviso_de_privacidad.pdf): “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA Por lo tanto, no es de recibo la consideración del Despacho, cuando indica que no es posible para el titular de la información saber quién es el responsable de velar por el debido cumplimiento de las disposiciones legales en materia de protección de datos personales.

Además, el titular de la información tiene completo acceso, tanto a la PTI, como a los datos de contacto de las personas encargadas de velar por el cumplimiento del RGPDP. Así, en relación con este hallazgo, la CCV SÍ cumple. En todo caso, la CCV, se encuentra implementando medidas para mejorar el acceso por parte de los titulares a la PTI. iii.

A la conclusión tercera - La Política no señala el tipo de Tratamiento al cual serán sometidos los Datos El Despacho concluyó que la PTI no informa ni señala el tipo de tratamiento al cual serán sometidos los datos. Sin embargo, es menester indicar que no estamos de acuerdo con lo manifestado por el ente investigador, toda vez que no le asiste razón, ya que en la PTI si se informa el tratamiento que se le dará a los datos personales recolectados en el desarrollo de sus funciones.

Al respecto, el Capítulo 1, de definiciones, de la PTI, describe el tratamiento como: “Cualquier operación o conjunto de operaciones que la Cámara de Comercio de Villavicencio realice sobre datos de carácter personal tales como la recolección, procesamiento, publicidad, almacenamiento, uso, circulación o supresión. Lo anterior solo aplicará exclusivamente para personas naturales.” Lo anterior se puede evidenciar en la Ilustración 16 a continuación: De la misma manera, en el capítulo 3 de la PTI, se puede evidenciar un capítulo dedicado al tratamiento de datos personales que la CCV da a cada uno de los datos recolectados, ya sean de carácter público, privado o sensible.

Esto puede evidenciarse así: “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA La obligación de informar el tratamiento al que serán sometidos los datos, no sólo se limita a la metodología de manipulación, es decir, no solo se trata de informarle al titular si el tratamiento será manual o automatizado. La CCV, en el capítulo 3 de la PTI, informa el tipo de tratamiento que dará a los datos personales, incluso, informa, de manera transparente el tratamiento que dará a los diferentes tipos de datos personales que trata, como: los datos públicos, los datos sensibles o los datos de menores.

En el numeral 3.4. de la PTI, la CCV clasifica las bases de datos de la siguiente manera: (a) datos con información pública registral; (b) datos de afiliados; (c) datos de empleados; (d) datos de contratistas y proveedores; (e) datos de formación empresarial; (f) datos de comercialización; (g) datos con información general; (h) datos de centros de arbitraje y conciliación; y (i) datos de archivos inactivos.

Para cada una de las bases de datos clasificadas, la CCV informa que podrán ser manuales o automatizadas. Por lo tanto, en relación con este hallazgo, la CCV SÍ cumple. (Ver Anexo No. 1 páginas 8, 9, 10 y 11). Ver siguiente imagen: En todo caso, la PTI se encuentra en proceso de actualización para evitar interpretaciones dispares del cumplimiento de ciertas obligaciones de RGPDP, como lo es, el tipo de tratamiento al cual son sometidos los datos personales.

Así las cosas, la CCV sí informa de manera clara y expresa a los titulares el tratamiento que se otorga a los datos personales de carácter público, los recolectados a través de sus funciones, a los datos de carácter sensible y a los datos de menores de edad, así como también lo estipulado para la clasificación de las bases de datos. Por su parte, también se informa al titular de la información del carácter facultativo de la respuesta a las preguntas relacionadas con datos sensibles. iv.

A la conclusión cuarta - La Política no especifica la finalidad, se refiere a generalidades “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA La interpretación del Despacho, en cuanto a la omisión del deber de informar las finalidades carece de sustento probatorio, toda vez que la PTI es clara frente a las finalidades del tratamiento.

En efecto, la lectura de la PTI desde darse como un todo, y no de manera fraccionada por Capítulos. Los títulos de cada una de las secciones o capítulos de la PTI son para efectos de referencia únicamente y no se utilizan para limitar el alcance de esta. Así las cosas, el análisis del cumplimiento de la obligación contenida en el numeral 3 del artículo 13 del Decreto 1377 de 2013, debe darse en conjunto con todo el contenido de la PTI, considerando, además, que la norma no dispone que las finalidades, ni la demás información que debe incluirse en las políticas se organice de una manera específica.

De la lectura de la norma se desprende que, siempre y cuando de incluya, por lo menos, la información mínima requerida, de manera clara y sencilla, los encargados o titulares tienen libertad en la manera de hacerlo. En tal sentido, las finalidades sí se informan, tal y como se evidencia a continuación: (i) En la introducción (página 2) Se informa que los datos administrados o tratados por la CCV son de naturaleza pública, y su tratamiento, se realiza por mandato legal y en cumplimiento de una función pública reglada.

Así mismo, informa que la CCV, trata datos personales que no son de naturaleza pública, con el fin de llevar a cabo sus funciones de carácter privado. Además, informa que recogerá datos personales con fines periodísticos, estadísticos y de investigación. (ii) En el Capítulo 3 (página 8-11) Se informa de manera clara que tipo de tratamiento se lleva a cabo con los datos contenidos en los registros públicos, así como de los datos sensibles y los de menores.

Además, clasifica las bases de datos, en: a. Bases de datos de información pública registral Sobre las cuales se aclara que su tratamiento viene del cumplimiento de una función reglada y cumplen la finalidad de publicidad y oponibilidad. b. Bases de datos de empleados Se aclara que contienen los datos de las personas naturales que se vinculan laboralmente con la CCV.

Su finalidad es la de cumplir con disposiciones legales y reglamentarias en la materia, que de desprenden de las obligaciones derivadas de la relación laboral. c. Bases de datos de contratistas y proveedores Se aclara que con las bases de datos de las personas naturales que mantienen un vínculo contractual y comercial con la CCV y su finalidad es la de cumplir las disposiciones contractuales con la CCV, para las adquisiciones de servicios y bienes demandados por esta. d. Base de datos de formación empresarial Se trata de las bases de datos que contienen datos públicos y privados que son requeridos con el fin de dar cumplimiento a las funciones asignadas legalmente conforme a lo dispuesto en el numeral 8 del artículo 10 del Decreto 898 de 2002 (ahora actualizado en el Decreto Único Reglamentario 1074 de 2015). e. Base de datos para la comercialización Se trata de las bases de datos que contienen datos de naturaleza pública, que tienen como fin el servicio de información comercial de acuerdo con lo dispuesto en el numeral 10 del artículo 10 del Decreto 989 de 2002 (ahora actualizado en el Decreto Único Reglamentario 1074 de 2015). f. Base de datos con información general Se trata de las bases de datos que contienen información personal que se tratará de manera ocasional y para finalidades específicas de las CCV, casos en las cuales se requerirá la autorización de los titulares. g. Base de datos de Centros de Arbitraje y Conciliación Se trata de las bases de datos que contienen archivos o información de carácter personal público y/o privada de árbitros, secretarios, conciliadores y usuarios en general, recogida dentro de las funciones propias de los Centros de Arbitraje y Conciliación de la CCV, conforme con el marco legal establecido en la Ley 23 de 1991, la Ley 446 de 1998, la Ley 640 de 2001, la Ley 1563 de 2012 y el Decreto 1829 de 2013.

Se informa que la finalidad de la de la información es desarrollar os Métodos Alternativos de Solución de Conflictos. h. Base de datos de archivos inactivos Se trata de bases de datos recogida en soportes diferentes a los contenidos con los registros públicos de la CCV y tiene como finalidad cumplir con las funciones de la CCV en materia de archivo de este tipo de información. Así mismo, el capítulo 2 de la PTI (Anexo No. 1, página 6) informa, de manera clara y concreta sobre la aplicación del principio de finalidad para el tratamiento de datos personales por parte del a CCV.

En efecto, se informa que la CCV tratará los datos personales para finalidades legítimas, informadas y de manera temporal. Así mismo, informa expresamente que las finalidades corresponden a las funciones públicas otorgadas legalmente a las cámaras de comercio. “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA Lo anterior es de la mayor importancia, teniendo en cuenta que las funciones de las cámaras de comercio se encuentran enunciadas taxativamente en la ley y que la CCV informa de manera expresa, clara y sencilla a los titulares que las finalidades del tratamiento de datos personales que lleva a cabo se desprenden de sus funciones legalmente otorgadas.

Por lo tanto, podemos concluir, sin lugar a inequívocos, que los titulares sí tienen la posibilidad, de manera clara y sencilla, de conocer las finalidades del tratamiento para los cuales sus datos personales son tratados, específicamente, las funciones que se desprenden del Decreto 2042 de 2014. Así las cosas, las finalidades SÍ se informan en la PTI y en el Aviso de Privacidad.

En efecto, la obligación establecida en el numeral 2 del artículo 13 del Decreto 1377 de 2013 no obliga a que las finalidades sean enunciadas en un capítulo único o que se refiera a estas en un orden particular en la PTI. Es clara la orden normativa en que la PTI debe incluir la finalidad del tratamiento cuando no se haya informado en el Aviso de Privacidad y así lo aplica la CCV.

En efecto, la PTI sí informa las finalidades del tratamiento de manera específica y no generalizada, sin embargo, estas se encuentran incorporadas en diferentes capítulos, subcapítulos y siguiendo el orden lógico establecido en el contenido o índice de la PTI. Además, en el Aviso de Privacidad de manera complementaria. Es importante precisar, que la manera en la que están dispuestas las finalidades en la PTI se realiza respetando los principios de libertad, transparencia y finalidad el en tratamiento, porque se le informan a los titulares, de manera clara y sencilla, las finalidades del tratamiento dependiendo la base de datos en la que sea incorporada su información. Con fundamento en lo anterior, consideramos que no procede la interpretación del Despacho en relación con la presunta falta de especificidad de las finalidades.

De manera inequívoca, en la PTI, se informan las finalidades, que podrán referenciarse en la PTI, conforme se indica a continuación: a) En el capítulo 2 se informa de manera expresa y clara que las finalidades serán aquellas que se desprenden de las funciones públicas otorgadas legalmente a las cámaras de comercio, entre otras, llevar registros públicos o promover la formalización y formación a través de eventos (Anexo No. 1, páginas 6 y 7). b) En el capítulo 3 se informa (Anexo No. 1, página 9) a los titulares que: 1.

Los datos sensibles serán tratados con una finalidad histórica, estadística y científica, o, dentro del marco de procesos de mejoramiento, así mismo, cuando sea necesario salvaguardar el interés vital del titular y este se encuentre física o jurídicamente incapacitado. 2. Bases de datos con información pública registral. Estos se tratan en cumplimiento de una función reglada y cumplen una finalidad de publicidad y oponibilidad (Anexo No. 1, página 10). 3.

Bases de datos de empleados (Anexo No. 1, página 10). Se tratan con la finalidad de cumplir con las disposiciones legales y reglamentarias en materia laboral. 4. Bases de datos de contratistas y proveedores (Anexo No. 1, página 10). Se tratan con la finalidad de cumplir con las disposiciones contractuales estipuladas por la CCV, para la adquisición de servicios y bienes demandados por ella para su normal funcionamiento o el cumplimiento de algunas de sus funciones. 5.

Bases de datos de formación empresarial (Anexo No. 1, página 10). Se tratan con la finalidad de dar cumplimiento a las funciones asignadas legalmente a las cámaras de comercio, derivadas, específicamente, del Decreto 898 de 2002, unificado en el Decreto 2042 de 2014. Sobre el particular, el numeral 8 del artículo 4, estipula la finalidad de manera clara en cabeza de las cámaras de comercio. 6.

Bases de datos para la comercialización (Anexo No. 1, página 10). Tienen como fin el servicio de información comercial, que se desprende de la obligación de prestar servicios de información empresarial originada en los registros públicos (artículo 11 del Decreto 2042 de 2014). 7. Bases de datos con información general de Centros de Arbitraje y Conciliación (Anexo No. 1, página 10).

Se tratan con la finalidad de desarrollar los Métodos Alternativos de Solución de Conflictos (MASC). “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA En todo caso, la CCV se encuentra actualmente en el proceso de revisión de la PTI, así como en la implementación de procesos que mejoren el cumplimiento de todas las obligaciones establecidas en el RGPDP.

La CCV continúa respetando los principios que rigen al tratamiento de datos personales, por lo tanto, se encuentra implementando procedimientos que desarrollen los principios de libertad, transparencia y finalidad conforme con los hallazgos del Despacho y del Acta de Preservación. v. A la conclusión quinta - Es ilegible la información consignada en el aparte “Los Responsables” del Manual de Políticas y Procedimientos de Protección de Datos Personales, respecto de quien es la persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el Dato y revocar la Autorización. La CCV sí señala quien es la persona o área responsable de la atención de peticiones, consultas y reclamos.

En efecto, se evidencia un desconocimiento de principios probatorios por parte del Despacho cuyo análisis desconoció por completo la integralidad de la prueba, que además no analizó a la página web ni la PTI como un cuerpo unificado de módulos y secciones, todas al servicio de las funciones de la CCV. No se entiende, como manifiesta el Despacho que NO es legible la información consignada, al tiempo que informa que en la introducción sí se hace referencia a esta información. Se aclara que en el ordenamiento jurídico se establece la obligación de informarlo y la CCV cumple plenamente con esta obligación en diferentes secciones de la PTI.

En efecto, el numeral 4 del artículo 13 del Decreto 1377 de 2013 establece que se deberá: informar: “Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización.” Reiteramos que el funcionario investigador: (i) no accedió a la PTI en los otros módulos a través de los cuales la CCV pone la PTI disposición de los titulares; y (b) no evidenció que la PTI, en diferentes capítulos y secciones, informa, en lenguaje claro y sencillo, la información requerida en el numeral 4 del artículo 13 del Decreto 1377 de 2013.

En el numeral 11 de la PTI se pone a disposición de los titulares la información de contacto de la CCV (Ver Anexo No. 1, página 21). vi. A la conclusión sexta - Es ilegible la información consignada en el Manual de Políticas y Procedimientos, respecto del procedimiento para que los Titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la Autorización. La CCV sí señala de manera clara y sencilla el procedimiento para que los titulares de la información puedan ejercer sus derechos.

Aunque se ha mencionado en numerosas ocasiones el cumplimiento de esta obligación por parte de la CCV, el Despacho deberá analizar las pruebas que obran en el expediente de manera unificada, y no podrá obviar que el numeral 7 de la PTI sí incluye de manera perfectamente legible, clara y sencilla el procedimiento para que los titulares ejerzan sus derechos (Anexo No. 1, páginas 19 y 20).

Ver siguiente imagen: Por su parte, es evidente que el Despacho decidió obviar el hecho de que en el aviso de privacidad de la CCV también se pueden encontrar datos de contacto para que los titulares resuelvan sus inquietudes y/o ejerzan sus derechos que recaen sobre los datos personales de su propiedad. Lo anterior, puede evidenciarse en la siguiente imagen: “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA Por lo tanto, en relación con esta conclusión, contrario a lo indicado por el Despacho, la PTI de la CCV SÍ cumple.

Existen procedimientos establecidos para la atención y recepción de las consultas y reclamos elevadas por los titulares. En todo caso, la CCV, se encuentra implementando medidas para mejorar el acceso por parte de los titulares a la PTI. vii. A la conclusión séptima - Es ilegible la información contenida en el aparte “Los Responsables” respecto de los canales o medios para que los Titulares ejerzan sus derechos.

Al respecto, solicitamos al Despacho tener en cuenta lo manifestado anteriormente, especialmente lo indicado en el numeral ii. del presente acápite, toda vez que la información relacionada con los datos y los procedimientos a través de los cuales los titulares pueden ejercer sus derechos, están perfectamente claros a lo largo de la PTI y, en efecto, son perfectamente legibles, como se indicó en las ilustraciones 12, 13, 14, 15 y 21. viii.

A la conclusión octava - La Política no informa el periodo de vigencia de la Base de Datos. En relación con el presunto hallazgo relacionado con la vigencia de las bases de datos, nos permitimos informarle al Despacho, que la CCV, a través de la PTI, informa a los titulares que las bases de datos de archivos inactivos (considerada como aquella que ya cumplió su finalidad), diferentes a los registros públicos que lleva la CCV, se encuentra almacenada bajo los principios archivísticos y logísticos definidos en el Manual de Seguridad, tendrá como finalidad el cumplimiento de las funciones propias de la CCV, y como término de permanencia, los establecidos en las tablas de retención documentos indicadas por el Archivo General de la Nación (Ver Anexo No. 1, páginas 11 y 12).

Ver siguiente imagen: Por lo tanto, en relación con este hallazgo, la CCV SÍ cumple. En todo caso, y en aras de dar cabal cumplimiento al RGPDP conforme con el principio de responsabilidad demostrada, actualmente, la CCV se encuentra actualizando su PTI, así como, mejorando los procesos para la protección de la información de los titulares.

“CONSIDERACIONES” “RESPONSABILIDAD DEMOSTRADA FRENTE AL TRATAMIENTO DE DATOS PERSONALES” Manifestó el apoderado de la CAMARA DE COMERCIO lo siguiente: “La CCV, en gran medida, cumple con lo dispuesto en el RGPDP y ha tomado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y el Decreto 1377 de 2013 de manera proporcional a su naturaleza jurídica, la naturaleza de los datos personales objeto de tratamiento, el tipo de tratamiento que realiza y los riesgos que el referido tratamiento puede causar sobre los titulares.

En efecto, en desarrollo del principio de responsabilidad demostrada, la CCV ha implementado el RGPDP, materializado así: 1. Su naturaleza jurídica “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA Debido a su naturaleza jurídica, como entidad de carácter corporativo, gremial y sin ánimo de lucro la CCV toma medidas apropiadas y efectivas para el cumplimiento del RGPDP y lo realiza en pleno desarrollo de sus funciones legales.

La CCV NO realiza el tratamiento de datos personales por fuera de las disposiciones legales que establecen sus funciones. En efecto, la CCV cuenta con procedimientos que permiten a los titulares desarrollar su derecho constitucional para conocer, actualizar y rectificar las informaciones que sobre ellos reposan en sus bases de datos, que se materializan en la implementación de las siguientes medidas: (i) Manual de Políticas y Procedimientos de Protección de Datos Personales (Anexo No. 1).

Como el Manual que establece las condiciones de organización, obligaciones de los implicados e intervinientes en el tratamiento y uso de la información de carácter personal, el régimen de funcionamiento y procedimientos aplicables al tratamiento de datos personales que en el desarrollo de sus funciones propias como Cámara de Comercio tenga que solicitar, almacenar, corregir, ceder o suprimir.

(ii) Documento de Seguridad (Anexo No. 5), el cual recoge las medidas de índole técnica y organizativa posibles y necesarias para garantizar la protección, confidencialidad, integridad y disponibilidad de los datos de carácter personal que están bajo su responsabilidad. Este documento desarrolla: (a) las medidas, normas, procedimientos, reglas y estándares encaminados a garantizas la seguridad de los datos personales;

(b) la gestión de soportes y documentos; (c) el régimen de trabajo fuera de las instalaciones; (d) el responsable de seguridad; (e) las funciones y obligaciones del personal de la CCV, entre otras medidas. (iii) Modelo de Autorregulación Jurídica para la Protección de Datos Personales en las Cámaras de Comercio (Anexo No. 6). Este modelo: (i) rige y brinda los parámetros obligatorios que se deben aplicar en la interpretación y la ejecución de cada uno de los instrumentos jurídicos diseñados e implementados en el modelo de autorregulación de protección de datos personales (en lo sucesivo el “Modelo”) adoptados por cada una de las Cámaras de Comercio de Colombia (en lo sucesivo las “Cámaras”);

(ii) comprende los principios y las reglas jurídicas que rigen la ejecución del referido Modelo; (iii) expone los fundamentos y los parámetros jurídicos principales y generales que se deben tener presentes en la interpretación y en el desarrollo de cada uno de los instrumentos jurídicos de autorregulación general de los cuales se compone el Modelo en materia de protección de datos personales en cada una de las Cámaras; y (iv) contiene las bases para la concepción, diseño, ejecución, interpretación o argumentación jurídica de cualquier otro modelo general o especial que se llegue a desarrollar o requerir para la protección de datos personales en cada una de las Cámaras.

(iv) Aviso de Privacidad (Anexo No. 2). La CCV informa a los titulares, mediante el Aviso de Privacidad su calidad como responsables, las funciones o finalidades por las cuales lleva el tratamiento de datos personales, los derechos que le asisten a los titulares y los mecanismos dispuestos ejercer sus derechos. (v) Aviso de Ingreso a Instalaciones (Anexo No. 3).

La CCV informa a los titulares que acceden a sus instalaciones mediante este aviso que cumple lo dispuesto en el Decreto 1377 de 2013. (vi) Cartel de Videovigilancia (Anexo No. 4). La CCV informa a los titulares que acceden a sus instalaciones mediante este aviso que cumple lo dispuesto en el Decreto 1377 de 2013. (vii) Cláusula Aviso de Privacidad Hojas de Vida (Anexo No. 7) (viii) Para que los titulares ejerzan sus derechos aplica procedimientos que se materializan con la: (i) Solicitud de Renovación de Actualización de Datos Personales (Anexo No. 8);

(ii) Solicitud de Supresión de Datos de Carácter Personal (Anexo No. 9); (iii) Solicitud de Acceso a Datos de Carácter Personal (Anexo No. 10); y (iv) Solicitud de Rectificación o Actualización de Datos Personales (Anexo No. 11). (ix) Autorización Datos Personales Directivos (Anexo No. 12). (x) La naturaleza de los datos personales que trata Los datos personales que son objeto de tratamiento por parte de la CCV, son, en su gran mayoría, datos de carácter público, correspondiente a aquellos relativos al registro público encomendado por la ley.

Así mismo, se trata de datos personales que son tratados en ejercicio de ciertas funciones públicas. (xi) El tipo de tratamiento El tipo de tratamiento que la CCV realiza sobre los datos personales se circunscribe a desarrollar las funciones que por ley le corresponden, es decir, a efectos de registro público y promoción empresarial (Decreto 2042 de 2014).

(xii) Los riesgos potenciales que el tratamiento pueda causar sobre los derechos de los titulares Se aclara que la CCV, en principio, no trata datos personales de carácter sensible ni de menores de edad. Además, los datos personales que trata son de carácter público y/o en ejercicio de sus funciones legalmente asignadas. Se demuestra a lo largo del presento escrito de descargos que la CCV ha implementado, desde el año 2013, medidas apropiadas y efectivas para el cumplimiento del RGPDP.

Además, que ha llevado a cabo el tratamiento de datos personales con un alto nivel de transparencia, lealtad y responsabilidad en la recolección, uso y divulgación de los datos personales. Siendo para la CCV el tratamiento de datos personales una de las herramientas a través de las cuales cumple con las funciones impuestas legalmente para las cámaras de comercio.

“Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA NO BENEFICIO ECONÓMICO PARA LA CCV Aun cuando, en efecto, sí hay aspectos por mejorar por parte de la CCV en materia de implementación del RGPDP, no es menos cierto que dicha situación: (i) no es en sí misma generadora de un perjuicio directo a un titular; y (ii) NO genera ningún beneficio económico para la CCV.

Se aclara al Despacho que la CCV, como entidad de carácter corporativo, gremial y sin ánimo de lucro que ejerce funciones públicas no es la de lucrarse mediante el tratamiento de datos personales. Por el contrario, las operaciones que relacionadas con el tratamiento de datos personales, se desprenden de funciones legalmente asignadas por el Estado.

PRINCIPIO DE BUENA FE – LA CCV SIEMPRE HA ACTUADO DE BUENA FE La CCV es una entidad que siempre ha actuado de buena fe, y ha estado presta a resolver todo y cualquier requerimiento de las autoridades en materia de protección de datos personales. Además, como entidad ha implementado, desde al año 2013 el RGPDP con especial observancia al respeto de los derechos de los usuarios y los titulares.

Por consiguiente, su actuar siempre ha sido acorde con la ley y las normas, nunca ha intentado omitir sus obligaciones legales y mucho menos actuar de mala fe para ocasionar daño a la Administración Pública o a los titulares. En ese sentido, comedidamente solicito al Despacho, tener en cuenta que la CCV nunca ha sido objeto de incidentes relacionados con la protección de datos personales y que si en los hallazgos se evidencia, aspectos por mejorar, no se debe a actuaciones de mala fe o con ánimo de defraudar a la Administración Pública.

PRINCIPIO DE CULPABILIDAD En atención que la CCV reconoce que, en efecto, hay aspectos por mejorar en la implementación de RGPDP y que ha tomado todas las acciones necesarias para el cabal cumplimiento de lo dispuesto en el RGPDP y que nunca se presenten vulneraciones a los derechos de los titulares, solicito amablemente al Despacho, tener en cuenta el grado de culpabilidad de la CCV en la conducta investigada.

Entendiendo que el principio de culpabilidad es uno de los pilares que sustentan la actividad sancionatoria de la administración pública, es el supuesto ineludible y necesario de la responsabilidad y de la imposición de la sanción. Pues no deben existir figuras de responsabilidad que, además de hacer nugatorio el derecho a la defensa, radicado en cabeza de todos los sujetos de derecho, niegan toda consideración respecto del valor de una conducta, restringiéndose a la simple verificación de hechos o infracciones.

En la actuación administrativa sancionatoria se encuentra proscrita la responsabilidad objetiva, por lo tanto, la culpabilidad es el supuesto ineludible y necesario de la responsabilidad y de la imposición de la sanción. Las faltas solo son sancionables a título de dolo o culpa. Teniendo en cuenta lo anterior, es importante que el Despacho tenga en cuenta que la CCV nunca ha actuado con intención de generar un daño o de omitir un deber legal, es más, su conducta evidencia una observancia de las disposiciones del RGPDP y la intención de continuar mejorando los procesos internos que permitan a los titulares ejercer su derecho al habeas data.

PRINCIPIO DE PROPORCIONALIDAD De considerar el Despacho que la CCV infringe una disposición legal y causa un daño a la Administración Pública. Solicitamos, de manera respetuosa que se tengan en cuenta los principios de proporcionalidad y razonabilidad en una posible imposición de sanción que la afecte. Si bien, potencialmente hay aspectos por mejorar en la observancia e implementación del RGPDP, no es menos cierto que la CCV siempre ha actuado en aras de cumplir con los deberes legales que, como tal, le corresponden.

Así mismo, no se evidencia, a la fecha, incidente que vulnere derechos de personas particulares y hay una plena disposición para cumplir con todos los requerimientos de las autoridades y en la generación de procesos que garanticen para los titulares el pleno ejercicio de su derecho al habeas data. En ese sentido, la autoridad deberá ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma establece, así como, la proporcionalidad entre el presunto hecho constitutivo de infracción y la sanción. (…) Conforme con lo anterior, el Despacho deberá: (i) analizar la dimensión del daño o peligro a los intereses jurídicos tutelados; y (ii) el posible beneficio económico, para, de esa manera, considerar otras circunstancias concurrentes de graduación, como: (a) la capacidad económica del investigado;

(b) la reiteración de la infracción; (c) la colaboración para esclarecer los hechos investigados; y (d) la información financiera como los ingresos operacionales, el patrimonio. Además, es importante señalar que en caso de una posible sanción se debe tener en cuenta el principio de proporcionalidad mediante el cual la sanción administrativa impuesta debe corresponder a la gravedad de la falta cometida.

Así mismo, se deberá tener en cuenta que la CCV ha sido capaz de demostrar la implementación de medidas que resultan apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012. CRITERIOS PARA DOSIFICAR LA SANCIÓN En caso de imponer una sanción solicito amablemente al Despacho que tenga en cuenta lo señalado en el artículo 24 de la Ley 1581 de 2012 para la graduación de las sanciones.

(…) A la luz de la norma transcrita, y con relación con el caso concreto, se debe realizar el siguiente análisis a cada uno de los numerales del artículo 24: “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA (i) Si bien el Despacho llegare a considerar un daño o peligro, este es muy inferior a una conducta por no la total inobservancia o no aplicación del RGPDP.

La investigación se desprende de algunos hallazgos que, en su gran mayoría, son cumplimientos parciales o interpretaciones subjetivas del investigador que fueron aclaradas en el presente escrito. Así mismo, la CCV se encuentra trabajando en la implementación de procesos adecuados para cumplir cabalmente con el RGPDP. (ii) Respecto del beneficio económico, es importante señalar que las presuntas infracciones, no genera ningún lucro para la CCV, ya que el tratamiento de datos personales por parte de la CCV se desprende de sus funciones legales.

(iii) En relación con la reincidencia de la infracción, cabe resaltar que la CCV nunca ha sido investigada por infracciones al RGPDP, tampoco se han presentado incidentes de seguridad ni quejas o reclamos por parte de los titulares, que no hayan sido resultas, su actuar siempre ha sido acorde a la ley y las normas, nunca ha tenido intención alguna de omitir sus obligaciones legales y mucho menos actuar de mala fe para ocasionar daño a la Administración Pública.

(iv) La CCV nunca ha actuado y nunca actuará con grado de resistencia, negativa u obstrucción a la acción investigadora o de supervisión de la SIC, ni de ninguna autoridad. (v) En la presente investigación no existe renuencia o desacato en el cumplimiento de las órdenes impartidas por la autoridad competente. (vi) Ahora bien, como ya se mencionó en el presente escrito de descargos, la CCV hizo reconocimiento o aceptación expresa de la infracción, materializado en la falta de de manera parcial frente a los aspectos establecidos parcial de algunos aspectos encontrados antes del decreto de pruebas.

Razón por la cual debe tenerse en cuenta este atenuante al momento de dosificar la sanción. Es importante realizar un análisis para dosificar una posible sanción, no debe acudirse a criterios que no existan en las normas para no imponer una sanción desproporcionada y poco razonable. En caso de hacer un análisis riguroso de la norma frente al caso concreto y de la conducta desplegada, conllevaría a no imponer multa alguna, y en su lugar una advertencia por parte del Despacho a la CCV para que cumpla de manera apropiada y efectiva con las obligaciones que le impone el RGPDP.

Adjunto al presente escrito de descargos (Anexo No. 13) se encuentran los estados financieros correspondientes a los años 2018 y 2019 consolidados, así como el estado de resultados 2018 y 2019. Es un hecho notorio que la economía nacional se encuentra en una crisis profunda derivada de las medidas sanitarias impuestas por el Gobierno Nacional para mitigar el impacto del contagio del virus COVID-19, especialmente en la región del Meta, que además se ha visto afectada en los últimos años por cierres prolongados de la vía Bogotá – Villavicencio de la cual depende, en gran parte, el desarrollo económico de la región. Para el año 2020, se han visto afectadas múltiples fuentes de ingreso para la CCV, siendo de estas, las más afectadas, aquellas que tienen que ver con pagos o aportes de empresarios o matriculados.

Por un lado, aquellos que se han visto obligados a cerrar sus establecimientos de comercio y empresas de manera definitiva, por otro, aquellos que se han visto obligados a reestructurar sus empresas o reducir presupuestos. No ha sido ajena la CCV a este fenómeno, la entidad se ha visto obligada a reducir al máximo sus costos y gastos administrativos para el 2020 y no se avizora una salida a la crisis en el mediano plazo.

En ese orden de ideas, asumir una sanción en este momento de crisis y más aún cuando el actuar de la CCV no obedeció a conductas deliberadas y constitutivas de mala fe y se encuentran en proceso de subsanarse, causaría para la CCV un perjuicio irremediable, como quiera que dicha sanción generaría un gran impacto negativo en las finanzas de la entidad.

LIMITACIÓN DE RECURSOS DE LAS CÁMARAS DE COMERCIO PARA EL PAGO DE MULTAS O SANCIONES NATURALEZA DE LA CCV EN VIRTUD DE LA DESCENTRALIZACIÓN POR COLABORACIÓN Aun cuando consideramos que no cabe sanción alguna para la CCV, sí el Despacho considera imponer una sanción a la CCV, deberá considerar que la graduación de la sanción tendrá que tener como referencia, los ingresos considerados como “recursos privados”, los cuales se refieren a los que NO provienen de los pagos por concepto de derechos y tarifas establecidos en favor de la entidad para el manejo de Registros Públicos.

En efecto, el ejercicio de funciones públicas en las condiciones previstas en la ley implica que estos tienen el carácter de recursos públicos. Ha considerado la Corte Constitucional que las cámaras de comercio cumplen con la función pública del registro mercantil, en el contexto de la descentralización por colaboración. Es así que, todos los ingresos que genera el registro mercantil, y los de los actos, documentos y libros de los cuales la ley exige tales formalidades son ingresos públicos.

Al respecto, la sentencia C-144 de 1993, M.P. Dr. Eduardo Cifuentes Muñoz (…) Estos ingresos no tienen como destino incrementar el patrimonio de las cámaras de comercio, por el contrario, aseguran la adecuada prestación de un servicio público, son considerados como tasas, y, por tanto, tienen el carácter de ingreso tributario y como ingresos de naturaleza pública.

Por lo anterior, si llegare a considerarse que la CCV transgredió disposiciones del RGPDP, la graduación de la sanción, de ser de carácter pecuniario, deberá se impuesta de manera razonable, con base en los ingresos de carácter privado. PRUEBAS VERSIÓN ÙNICA “Por la cual se impone una sanción y se imparte una orden” Se solicita al Despacho se sirva tener en cuenta las siguientes pruebas que se aportan, así como decretar y practicar aquellas que se le solicitan: Documentales Conforme lo establecido en el artículo 257 y siguientes del Código General del Proceso, respetuosamente solicito al Despacho se sirva decretar y tener como pruebas los siguientes documentos: Anexo No. 1: Manual de Políticas y Procedimientos de Protección de Datos Personales de la CCV con su certificación digital.

Referida en este escrito de descargos como la PTI. Anexo No. 2: Aviso de Privacidad. Anexo No. 3: Aviso de Ingreso Instalaciones. Anexo No. 4: Cartel de Videovigilancia. Anexo No. 5: Documento de Seguridad. Anexo No. 6: Modelo de Autorregulación Jurídica para la Protección de Datos Personales en las Cámaras de Comercio. Anexo No. 7: Cláusula Aviso Privacidad Hojas de Vida.

Anexo No. 8: Solicitud de Renovación de Actualización de Datos Personales. Anexo No. 9: Solicitud de Supresión de Datos de Carácter Personal. Anexo No. 10: Solicitud de Acceso a Datos de Carácter Personal. Anexo No. 11: Solicitud de Rectificación o Actualización de Datos Personales. Anexo No. 12: Autorización Datos Personales Directivos. Anexo No. 13: Estados financieros de los años 2018 y 2019 de la CCV.

Anexo No. 14: Convenio de cooperación con firma asesora para llevar a cabo debida diligencia en materia de habeas data. Anexo No. 15: Contrato de prestación de servicios para brindar acompañamiento y apoyo a la CCV en la implementación del RGPDP. Anexo No. 16: Convenio de colaboración tecnológica No. 527. Anexo No. 17: Archivo mhtml que contiene términos y condiciones de uso.

Anexo No. 18: Correo electrónico del diez (10) de septiembre de 2020, a través del cual se elevó solicitud para acceder al Acta de Preservación. Anexo No. 19: Memorial de solicitud de acceso al Acta de Preservación y demás pruebas fundamento de los cargos formulados. Anexo No. 20: Charla en materia de protección de Link: https://www.facebook.com/505014549657226/videos/292309445416723. datos personales.

Anexo No. 21: Vídeo navegación página web. Oficio Respetuosamente solicito al Despacho que el Laboratorio de Informática Forense y Seguridad Digital de la SIC realice nueva inspección de la página web www.ccv.org.co para que el Despacho conozca y verifique el correcto proceder de la CCV frente a los presuntos hallazgos o incumplimientos encontrados y plasmados en el Acta de Preservación”.

DÉCIMO: Que mediante Resolución 6406 del 17 de febrero de 2021, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 20-210753, con el valor legal correspondiente, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que presentara los alegatos de conclusión respectivos.

DECIMOPRIMERO: Que la Resolución 6406 del 17 de febrero de 2021 fue comunicada al apoderado de la CÁMARA DE COMERCIO el 18 de febrero de 2021, según consta en la certificación expedida el Coordinador del Grupo de Notificaciones y Certificaciones de esta Superintendencia, radicada bajo el número 20-210753-24. “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA DECIMOSEGUNDO: Que, dentro del término concedido para el efecto, el apoderado de la CÁMARA DE COMERCIO presentó alegatos de conclusión, bajo el radicado 20-210753-26 del 4 de marzo de 2021, mediante los cuales ratifica lo expresado en el escrito de Descargos.

DECIMOTERCERO: Que, de conformidad con lo expuesto en la presente actuación administrativa, y de conformidad con lo establecido en el artículo 19 de la Ley 1581 de 2012, se presentan las siguientes: CONSIDERACIONES DE LA DIRECCIÓN DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES 1. CONSIDERACIONES PREVIAS. Para el desarrollo de la presente decisión, este Despacho en primer lugar se pronunciará respecto de la solicitud de nulidad por la violación al debido proceso planteada por el apoderado de la CÁMARA DE COMERCIO, en segundo lugar se pronunciará frente a la naturaleza jurídica de las Cámaras de Comercio y frente a cada uno de los cargos formulados en la presente actuación administrativa, para finalmente considerar si se impone o no una sanción de carácter pecuniario a la investigada o se emitirán órdenes tendientes al mejoramiento del sistema de protección de datos personales implementado.

2. DE LA SOLICITUD DE NULIDAD. NO HUBO VIOLACIÓN DEL DEBIDO PROCESO. Respecto de la solicitud de nulidad invocada por parte del apoderado de la CÁMARA DE COMERCIO, este Despacho no tiene competencia para realizar pronunciamiento alguno, en la medida que esa potestad corresponde únicamente a la jurisdicción de lo contencioso administrativo.

Sobre el tema en particular, la doctrina2 ha indicado: “[l]a declaración de nulidad del Acto Administrativo le compete a la jurisdicción de lo contencioso administrativa, y es el resultado de una demanda, el proceso que debe seguirse, razones de hecho y de derecho que aporta el demandante, para finalizar con un fallo declarándolo o no la respectiva nulidad”.

En el mismo sentido, se ha manifestado que “la anulación del acto administrativo solo se puede promover a través de acción judicial ante la jurisdicción contencioso-administrativa, según las competencias fijadas en las disposiciones atrás mencionadas (…) Lo anterior, no requiere mayor desarrollo jurídico si se tiene en cuenta que las competencias se encuentran establecidas en la Ley.

No obstante, debe este Despacho aclarar que dentro de la presente actuación administrativa se han respetado las garantías que componen el debido proceso. Pues bien, el debido proceso es un derecho fundamental consagrado la Constitución Política 3, que se traduce en las garantías mínimas que tiene todo ciudadano frente a las prerrogativas ejercidas por las autoridades administrativas y judiciales en sus diferentes actuaciones.

De esta forma, la jurisprudencia de la Corte Constitucional ha señalado que el debido proceso busca: “( ) “(i) asegurar el ordenado funcionamiento de la administración, (ii) la validez de sus propias actuaciones y, (iii) resguardar el derecho a la seguridad jurídica y a la defensa de los administrados”4. De igual forma, la Corte se refirió a los elementos esenciales que comprende el debido proceso administrativo, como sigue: “(…) (i) ser oído durante toda la actuación,(ii) a la notificación oportuna y de conformidad con la ley, (iii) a que la actuación se surta sin dilaciones injustificadas, (iv) a que se permita la participación en la actuación PENAGOS, Gustavo.

El Acto Administrativo Tomo II. Ediciones Doctrina y Ley. Bogotá D.C., 2008 Constitución Política, artículo 29: “El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. Nadie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa, ante juez o tribunal competente y con observancia de la plenitud de las formas propias de cada juicio.

En materia penal, la ley permisiva o favorable, aun cuando sea posterior, se aplicará de preferencia a la restrictiva o desfavorable. Toda persona se presume inocente mientras no se la haya declarado judicialmente culpable. Quien sea sindicado tiene derecho a la defensa y a la asistencia de un abogado escogido por él, o de oficio, durante la investigación y el juzgamiento; a un debido proceso público sin dilaciones injustificadas; a presentar pruebas y a controvertir las que se alleguen en su contra; a impugnar la sentencia condenatoria, y a no ser juzgado dos veces por el mismo hecho.

Es nula, de pleno derecho, la prueba obtenida con violación del debido proceso“. Corte Constitucional. Sentencia T-051 de 2016. M.P. Gabriel Eduardo Mendoza Martelo. “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA desde su inicio hasta su culminación, (v) a que la actuación se adelante por autoridad competente y con el pleno respeto de las formas propias previstas en el ordenamiento jurídico, (vi) a gozar de la presunción de inocencia, (vii) al ejercicio del derecho de defensa y contradicción, (viii) a solicitar, aportar y controvertir pruebas, y (ix) a impugnar las decisiones y a promover la nulidad de aquellas obtenidas con violación del debido proceso”5.

(Negrilla fuera de texto) De conformidad con lo establecido en el literal b) del artículo 21 de la Ley 1581 de 2012, esta Superintendencia, tiene como función la de iniciar de oficio o a petición de parte las investigaciones que considere pertinentes en contra de los Responsables o Encargados del tratamiento de datos personales, así una vez establecido el incumplimiento de las disposiciones establecidas en la citada ley, podrá adoptar las medidas necesarias o imponer las sanciones si a ello hubiese lugar.

De esta manera, mediante oficio radicado con el número 20-210753-00 de fecha 3 de julio de 2020 se requirió al Presidente Ejecutivo de la CÁMARA DE COMERCIO, para que resolviera unos interrogantes respecto de los procedimientos relacionados con la protección de datos personales; los cuales fueron resueltos. Ahora, teniendo en cuenta la competencia legal antes descrita, esta Superintendencia realizó la preservación de la página web de la CAMARA DE COMERCIO, (https://www.ccv.org.co), con el fin de recaudar material probatorio que sirviera de apoyo técnico para el análisis jurídico relacionado con el cumplimiento de las normas relacionadas con la protección de datos personales.

De acuerdo con los argumentos esbozados en el escrito de descargos por parte del apoderado de la CÁMARA DE COMERCIO, resulta indispensable indicar que la preservación de un sitio web tiene como objetivo conservar y resguardar un sitio web o App en un instante de tiempo determinado, con el fin de ser utilizada como soporte en las investigaciones que sobre vulneración de datos personales realice esta Dirección. Dicha conservación se realiza a través de capturas de pantalla del sitio web inspeccionado, quedando los hallazgos relacionados en un Acta, en el presente caso se trata del Acta No. 069 del 16 de julio de 2020, a partir de la información recolectada se realiza un análisis jurídico con el fin de determinar si los hallazgos vulneran o no el régimen de protección de datos personales.

Ahora, si bien es cierto, los cargos formulados en la Resolución 77232 del 30 de noviembre de 2020, tuvieron su sustento en los hallazgos encontrados por parte del Grupo de Trabajo de Informática Forense y Seguridad de esta Superintendencia en la mencionada acta, también lo es que en el acto administrativo fueron relacionados cada uno de los aspectos relevantes y que sustentan la formulación de los ya citados cargos, es decir, se puso en conocimiento de la CAMARA DE COMERCIO, los resultados del acta de preservación y que en últimas fueron los necesarios para el inicio de la presente actuación administrativa.

Así las cosas, considera este Despacho que en las presentes diligencias no hubo vulneración al debido proceso en la medida que la CAMARA DE COMERCIO ha tenido desde su inicio activa participación, ha presentado las pruebas que ha considerado conducentes y los resultados del acta de preservación que fueron tenidos en cuenta para la formulación de cargos fueron presentados en la Resolución 77232 del 30 de noviembre de 2020, en la medida que se trata de capturas de pantalla de la página web y la descarga de los documentos que son publicados en la misma, y que son de pleno conocimiento por parte de la investigada. 3.

DEFINICIÓN Y NATURALEZA JURÍDICA DE LAS CÁMARAS DE COMERCIO. Previo a realizar el análisis de los cargos formulados a la CÁMARA DE COMERCIO, este Despacho realizará un breve pronunciamiento respecto de la definición y naturaleza jurídica de las funciones de las Cámaras de Comercio. De conformidad con lo establecido en el artículo 76 del Código de Comercio, las Cámaras de Comercio son “instituciones de orden legal con personería jurídica, creadas por el Gobierno Nacional, de oficio o a petición de los comerciantes del territorio donde hayan de operar”.

El artículo 2.2.2.38.1.1 del Decreto 1074 de 2015, dispone: Ibidem. “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA “Artículo 2.2.2.38.1.1. Naturaleza jurídica. Las cámaras de comercio son personas jurídicas de derecho privado, de carácter corporativo, gremial y sin ánimo de lucro, administradas y gobernadas por los comerciantes matriculados en el respectivo registro mercantil que tengan la calidad de afiliados.

Son creadas de oficio o a solicitud de los comerciantes mediante acto administrativo del Gobierno Nacional y adquieren personería jurídica en virtud del acto mismo de su creación, previo cumplimiento de los requisitos legales exigidos para el efecto y verificación de su sostenibilidad económica que garantice el cumplimiento eficiente de sus funciones”.

Sobre la definición y naturaleza de las Cámaras de Comercio, la Corte Constitucional en la sentencia C-135 del 17 de marzo de 2016, indicó: “Las Cámaras de Comercio son personas jurídicas de derecho privado, de naturaleza corporativa, gremial y sin ánimo de lucro, que por expresa disposición legal ejercen funciones públicas mediante la figura de la descentralización por colaboración. En su calidad de particulares se encuentran sometidas a los principios de la función administrativa que establece el artículo 209 de la Constitución Política, respecto del cumplimiento de las funciones públicas encomendadas, sin que ello implique una mutación en su condición de sujeto sometido al régimen privado en lo atinente a su organización y al desarrollo de sus actividades propias, las cuales se encuentran bajo la vigilancia y control de la Superintendencia de Industria y Comercio.

(…) De acuerdo con lo anterior, está claro que las Cámaras de Comercio son entidades de carácter privado que por expresa disposición de la ley cumplen funciones de carácter administrativo, a través de la descentralización por colaboración, figura que fue definida por la Corte Constitucional en la sentencia C-909 del 31 de octubre de 2007, en los siguientes términos: “cuando la administración pública no asume la prestación de determinados servicios, puede ocurrir que la ley autorice a los particulares para que tomen a su cargo la actividad respectiva, presentándose, entonces, la figura de la descentralización por colaboración, autorizada mediante los artículos 1º., 2º., 123, 209, 210 y 365 de la Constitución Política.

En la descentralización por colaboración, un determinado tipo de entidad privada, nacida de la libre iniciativa de los particulares, y que inicialmente se constituye para cumplir propósitos que sólo interesan a éstos, en razón del conocimiento y la experiencia por ella acumulados, es investida por ley de determinadas funciones públicas, bajo la consideración de que su cumplimiento resulta más eficiente en cabeza suya que en cabeza de una entidad estatal.

En cada caso de asignación de tales funciones, la misma ley regula de manera cuidadosa todos los aspectos relacionados con el carácter público de la función encomendada”. Ahora, el hecho que las Cámaras de Comercio realicen por disposición legal ciertas funciones de carácter administrativo o público, no quiere decir que su naturaleza privada cambie o se confunda con una de carácter público 6, sobre este punto en particular, vale la pena traer nuevamente a colación la sentencia C-135 del 17 de marzo de 2016, veamos: “El artículo 210 de la Constitución señala que los particulares pueden cumplir funciones administrativas en las condiciones que señale la ley, por lo cual además, están sometidos en su desarrollo a los principios de igualdad, moralidad, eficacia, economía, celeridad, imparcialidad y publicidad, sin que ello implique una mutación en la naturaleza de la institución a la que se le atribuye la función, ya que por el contrario conserva inalterada su condición de sujeto privado sometido al régimen del derecho privado en lo atinente a la organización y al desarrollo de las actividades relacionadas con su específica finalidad.

En efecto, las personas jurídicas cuando son investidas de la facultad de ejercer funciones administrativas, participan de la naturaleza administrativa en cuanto toca con el ejercicio de esas funciones, en cuyo desempeño ocupan la posición de autoridad estatal con las prerrogativas del poder público, siendo una de ellas el estar sometidas a la disciplina del derecho público y concretamente a la responsabilidad que éste impone.

Ello brinda garantías para el resto de los asociados y justifica la operación de controles especiales ubicados en cabeza de la administración pública. Respecto de las funciones que cumplen las Cámaras de Comercio, la ya citada sentencia C- 135 de 2016 sostuvo: “En cuanto a las funciones que les compete ejercer a tales instituciones, por virtud de la asignación que les hizo el legislador extraordinario en el artículo 86 del Código de Comercio, les corresponde primordialmente llevar el registro mercantil y certificar sobre los actos y documentos inscritos en él. Además, leyes posteriores les han asignado otras funciones como llevar el registro único de proponentes, el registro de entidades privadas sin ánimo de lucro, y de forma más reciente el Decreto Ley 019 de 2012 (Ley Anti trámites) les otorgó la administración de cinco nuevos registros: el registro nacional de turismo, el registro de todas las entidades de la economía solidaria, el registro de veedurías ciudadanas, el registro La Corte Constitucional mediante Sentencia C-144 del 20 de abril de 1993, manifestó: “Las Cámaras de Comercio a las cuales se ha encargado el ejercicio de la función de llevar el registro mercantil y certificar sobre los actos y documentos en él inscritos, no son entidades públicas, pues no se avienen con ninguna de las especies de esta naturaleza contempladas en la Constitución y la Ley.

Sin bien nominalmente se consideran “instituciones de orden legal”, creadas por el Gobierno, lo cierto es que ellas se integran por los comerciantes inscritos en su respectivo registro mercantil. La técnica autorizatoria y la participación que ella reserva a la autoridad pública habida consideración de las funciones que cumplen las Cámaras de Comercio, no permite concluir por si solas su naturaleza pública.

No se puede dudar sobre su naturaleza corporativa, gremial y privada. “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA nacional de vendedores de juegos de suerte y azar, y el registro de entidades privadas extranjeras sin ánimo de lucro. Tales registros integrados y que administran las Cámaras de Comercio se conocen como Registro Único Empresarial y Social (RUE).

Así mismo, como lo ha reconocido esta Corte, según previsiones de orden legal, las Cámaras de Comercio desarrollan funciones especiales en el marco de lo previsto en el artículo 116 Superior, relacionadas con el carácter judicial como son las que se cumplen a través de los centros de conciliación y arbitraje que aquellas se encargan de organizar y desde los cuales transitoriamente se realiza el servicio de administrar justicia”.

Entonces, en cuanto a la naturaleza jurídica de las Cámaras de Comercio, éstas son entidades privadas 7, que no se integran a la organización de la administración pública en ninguno de sus niveles. La función pública que realizan a través de la descentralización por colaboración se circunscribe primordialmente al desarrollo de su actividad registral, pues es la única que podría otorgar el estado en virtud de los servicios que presta, en la medida que “las autoridades administrativas solamente pueden atribuir a los particulares las funciones que son de su competencia. Por lo cual las autoridades administrativas sólo pueden atribuir a los particulares el ejercicio de funciones jurídicamente suyas (…)8” De lo anterior entiende el Despacho que, si bien es cierto todas las funciones que desarrollan las Cámaras de Comercio tienen origen legal o reglamentario, también lo es que, no todas sus actuaciones corresponden al ejercicio de funciones públicas 9, pues estas se limitan primordialmente a las registrales, que son las que involucran el ejercicio de una función del estado10.

El hecho de que una función asignada a las Cámaras de Comercio por la ley o el reglamento no hace que ella tenga la naturaleza de pública. Aclarada la anterior cuestión, este Despacho entrará a determinar si los formularios estudiados en la Resolución 77232 del 30 de noviembre de 2020, se enmarcan o no dentro de la función registral alegada por la CÁMARA DE COMERCIO y que la eximiría de exigir la autorización, así como de informar la finalidad para el tratamiento de los datos personales.

4. DEL DEBER DE SOLICITAR Y CONSERVAR LA RESPECTIVA AUTORIZACIÓN OTORGADA POR EL TITULAR. El artículo 15 de la Constitución Política, establece que “[t]odas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”.

Dicha norma establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos. En desarrollo de lo anterior, el literal b) del artículo 17 la Ley 1581 de 2012 le impone a los Responsables del Tratamiento de Datos Personales el deber de “[s]olicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”;

Respecto de la autorización para el tratamiento de datos personales, el artículo 9 de la mencionada Ley, dispone: ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.

El Decreto 1074 de 2015, a través de los artículos 2.2.2.25.2.4 y 2.2.2.25.2.5 en lo que tiene que ver con el modo de obtener la autorización y su prueba, dispone lo siguiente: El artículo 110 de la Ley 489 de 1998 establece que Las personas naturales y jurídicas privadas podrán ejercer funciones administrativas. Así mismo indica como una de sus condiciones que La regulación, el control, la vigilancia y la orientación de la función administrativa corresponderá en todo momento, dentro del marco legal a la autoridad o entidad pública titular de la función la que, en consecuencia, deberá impartir las instrucciones y directrices necesarias para su ejercicio.

Sentencia C – 037 del 28 de enero de 2003. MP. Dr. Álvaro Tafur Galvis. De conformidad con lo establecido en el artículo 27 del Código de Comercio establece que el registro mercantil se llevará por las cámaras de comercio, pero la Superintendencia de Industria y Comercio determinará los libros necesarios para cumplir esa finalidad, la forma de hacer las inscripciones y dará las instrucciones que tiendan al perfeccionamiento de la institución. Los numerales 17 y 18 del artículo primero del Decreto 4886 de 2011, estableció como funciones de la Superintendencia las de (17) Ejercer el control y vigilancia de las cámaras de comercio, sus federaciones y confederaciones de acuerdo con las disposiciones vigentes sobre la materia y coordinar lo relacionado con el registro mercantil.

(18) Determinar los libros necesarios para que las Cámaras de Comercio lleven el registro mercantil, la forma de hacer las inscripciones e instruir para que dicho registro y el de las personas jurídicas sin ánimo de lucro se lleve de acuerdo con la ley. “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA “Artículo 2.2.2.25.2.4.

Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.2.1, del presente Decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.

Artículo 2.2.2.25.2.1 Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los titulares de datos personales para el Tratamiento de los mismos”. Por su parte el artículo 10 de la Ley 1581 de 2012, dispone lo siguiente: “ARTÍCULO

10. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓN. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.

Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley”. De conformidad con las normas anteriormente citadas, el Responsable del tratamiento debe solicitar al titular de la información la respectiva autorización, que no es otra que poner en conocimiento que sus datos personales serán tratados conforme a las normas legales; dicha autorización debe ser solicitada en todos los casos excepto aquellos que estén relacionados en el ya citado artículo 10 de la Ley 1581 de 2012.

Manifestó el apoderado de la CÁMARA DE COMERCIO en su escrito de descargos que, como presunta transgresión al deber solicitar y conservar copia de la respectiva autorización de los titulares, se debe reconocer que la CCV, como cámara de comercio, ejerce una función administrativa derivada de la descentralización por colaboración que el Estrado impone legalmente a estas entidades, por lo tanto, es consideración de la CCV, que los datos personales recopilados en los formularios analizados por el Despacho, se recolectan y son tratados en ejercicio de una función legal como entidad que, en virtud de sus funciones, legalmente atribuidas, deberá promocionar la industria y el desarrollo económico y servir como instrumento de apoyo al desarrollo empresarial.

Por lo tanto, no es necesaria la autorización del titular. La excepción a la que hace referencia el apoderado de la CÁMARA DE COMERCIO es la establecida en el literal a) del ya citado artículo 10 de la Ley 1581 de 2012, y considera es aplicable a su representada, en la medida que las funciones que ella realiza son de carácter público o administrativo.

Efectivamente, las entidades públicas o administrativas por las funciones que realizan no están en la obligación de solicitar al titular al momento de recaudar el dato la autorización de que trata el artículo 9 antes transcrito, pero la excepción es bastante clara y sencilla, debe tratarse de una entidad pública o administrativa en ejercicio de sus funciones legales.

Cuando se realizó el análisis de la naturaleza jurídica de las Cámaras de Comercio se concluyó que estas son personas jurídicas de derecho privado, de naturaleza corporativa, gremial y sin ánimo de lucro, que por expresa disposición legal ejercen funciones públicas mediante la figura de descentralización por colaboración, sin que ello implique una mutación en su condición de sujeto sometido al régimen privado.

No hacen parte de la organización del estado en ninguno de sus niveles. Igualmente se indicó que, si bien las funciones que realizan las Cámaras de Comercio son de origen legal, no todas corresponden a una función pública, pues esta se reduce primordialmente a la registral. Teniendo en cuenta esta premisa, al analizar la formulación de cargos, encuentra el Despacho que los formularios (i) Asesorías Jurídicas Especializadas, (ii) Competitividad y Proyectos – Coordinación de Gestión Internacional, (iii) Acompañamiento Cultura Digital y (iv) Diseño de Paquetes y Diseño de Experiencias, se relacionan con las actividades propias de las cámaras de “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA comercio y no con la función pública de registro, razón por la que, se debió obtener en su momento la autorización correspondiente para realizar el tratamiento de los datos.

En consecuencia, y en la medida que hubo una vulneración a los deberes que le corresponde cumplir en calidad de Responsable del Tratamiento de la Información le será impuesta una sanción. Por otra parte, en lo que tiene que ver con el Formulario de Registro al Sistema Integrado de Información, (SII), tal y como lo indicó el apoderado de la CÁMARA DE COMERCIO, se trata de una herramienta tecnológica, administrada por Confecámaras a través de la cual se pueden realizar todos los trámites inclusive los de carácter registral de manera virtual en cada una de las Cámaras de Comercio instituidas en el territorio colombiano. Ahora bien, el literal a) del artículo 10 de la Ley 1581 de 2012, establece como excepción para solicitar la autorización del titular para el tratamiento de su información, que dicha información sea requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial.

Así, en su sentido literal la norma condiciona la excepción a que la entidad que requiera la información sea del orden público o administrativo. La Corte Constitucional11 ha sido clara en expresar que “el artículo 210 de la Constitución señala que los particulares pueden cumplir funciones administrativas en las condiciones que señale la ley, por lo cual además, están sometidos en su desarrollo a los principios de igualdad, moralidad, eficacia, economía, celeridad, imparcialidad y publicidad, sin que ello implique una mutación en la naturaleza de la institución a la que se le atribuye la función, ya que por el contrario conserva inalterada su condición de sujeto privado sometido al régimen del derecho privado, en lo atinente a la organización y al desarrollo de las actividades relacionas con su especifica finalidad.

En efecto, las personas jurídicas cuando son investidas de la facultad de ejercer funciones administrativas participan de la naturaleza administrativa en cuanto toca con el ejercicio de esas funciones, en cuyo desempeño ocupan la posición de autoridad estatal con las prerrogativas del poder público”. En un sentido amplio entonces, entiende el Despacho que cuando se trate de la función especifica de registro, que es la función de carácter público que le fue atribuida a la CÁMARA DE COMERCIO, no está en la obligación de obtener del titular de los datos la respectiva autorización para el tratamiento de los datos personales que le sean entregados para ésta finalidad específica, interpretación que resulta adecuada si se tiene en cuenta que los registros a los que se hace referencia son de carácter público, información que también se encuentra exceptuada en el literal b) del artículo 10 de la Ley 1581 de 2012.

Por las razones antes expuestas este Despacho acoge las razones expuestas por el apoderado de la CÁMARA DE COMERCIO únicamente en lo que tiene que ver con el registro en el Sistema Integrado de Información, en la medida que, además de tratarse de una herramienta tecnológica administrada por Confecámaras, se encuentra a disposición de las diferentes Cámaras de Comercio registradas en el territorio nacional, y a través de la cual se pueden realizar diferentes tipos de trámites de naturaleza registral.

5. DEL DEBER DE INFORMAR AL TITULAR SOBRE LA FINALIDAD DE LA RECOLECCIÓN Y LOS DERECHOS QUE LE ASISTEN POR VIRTUD DE LA AUTORIZACIÓN OTORGADA. Respecto del cargo formulado, consideró el Despacho que la CÁMARA DE COMERCIO presuntamente no cumplió con su deber de “informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada”, en los formularios para el Tratamiento de datos personales establecidos en su página web, así: C- 135 de 2016 “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA Pues bien, establece el literal c) del artículo 17 de la Ley 1581 de 2012, lo siguiente:

ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;

Así mismo, el artículo 12 de la misma norma, indica: “ARTÍCULO

12. DEBER DE INFORMAR AL TITULAR. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

PARÁGRAFO. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta”. A su vez, el artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015, establece: “Artículo 2.2.22.25.2.1. Recolección de los datos Personales. En desarrollo de los principios de finalidad y libertad, la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos conforme a la normatividad vigente.

Salvo en los casos expresamente previstos en la Ley, no se podrán recolectar datos personales sin autorización del Titular. A solicitud de la Superintendencia de Industria y Comercio, los Responsables deberán proveer una descripción de los procedimiento usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso.

No se podrán utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales”. (destacamos) En relación el principio de finalidad, la Corte Constitucional mediante sentencia C- 748 de 2011, manifestó: “Principio de finalidad: En virtud de tal principio, el tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley, la cual debe ser informada al titular.

La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos. Sin embargo, debe hacerse algunas precisiones. Por una parte, los datos personales deben ser procesados con un propósito específico y explícito. En ese sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular.

Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos. Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad por él autorizada.

Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato. Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular.

Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales no exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas.

En razón de lo anterior, el literal b) debe ser entendido en dos aspectos. Primero, bajo el principio de necesidad se entiende que los datos deberán ser conservados en una forma que permita la identificación de los interesados durante un periodo no superior al necesario para los fines para los que fueron recogidos. Es decir, el periodo de conservación de los datos personales no debe exceder del necesario para alcanzar la necesidad con que se han registrado.

“Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA En la Sentencia C-1011 de 2008[228]12, la Corporación reiteró la importancia de la existencia de unos criterios razonables sobre la permanencia de datos personales en fuentes de información. Además, sostuvo que este periodo se encuentra en una estrecha relación con la finalidad que pretende cumplir.

Así, a partir del estudio de la jurisprudencia, construyó una doctrina constitucional comprehensiva sobre la caducidad del dato negativo en materia financiera y concluyó que dentro de las prerrogativas mismas del derecho al habeas data, se encuentra esta garantía, como una consecuencia del derecho al olvido. Sobre el particular observó la providencia: “De acuerdo con lo señalado en el artículo 15 Superior, la Corte identifica como facultades que conforman el contenido del derecho al hábeas data, las de (i) conocer la información personal contenida en las bases de datos, (ii) solicitar la actualización de dicha información a través de la inclusión de nuevos datos y (iii) requerir la rectificación de la información no ajustada a la realidad.

Junto con las prerrogativas expuestas, la Corte, habida cuenta los precedentes jurisprudenciales anteriores que señalaban la necesidad de establecer un límite al reporte financiero negativo, estableció un nuevo componente del derecho al hábeas data, la de la caducidad del dato negativo.” (…) La Corte reitera que los procesos de administración de datos personales de contenido crediticio cumplen un propósito específico: ofrecer a las entidades que ejercen actividades de intermediación financiera y, en general, a los sujetos que concurren al mercado, información relacionada con el grado de cumplimiento de las obligaciones suscritas por el sujeto concernido, en tanto herramienta importante para adoptar decisiones sobre la suscripción de contratos comerciales y de crédito con clientes potenciales.

Esta actividad es compatible con los postulados superiores, pues cumple con propósitos legítimos desde la perspectiva constitucional, como son la estabilidad financiera, la confianza en el sistema de crédito y la protección del ahorro público administrado por los establecimientos bancarios y de crédito. Es precisamente la comprobación acerca de la finalidad específica que tienen los operadores de información financiera y crediticia la que, a su vez, permite determinar los límites al ejercicio de las actividades de acopio, tratamiento y divulgación de datos.” (Resaltado fuera del texto) Segundo, los datos personales registrados deben ser los estrictamente necesarios para el cumplimiento de las finalidades perseguidas con la base de datos de que se trate, de tal forma que se encuentra prohibido el registro y divulgación de datos que no guarden estrecha relación con el objetivo de la base de datos.

En consecuencia, debe hacerse todo lo razonablemente posible para limitar el procesamiento de datos personales al mínimo necesario. Es decir, los datos deberán ser: (i) adecuados, (ii) pertinentes y (iii) acordes con las finalidades para las cuales fueron previstos”. Conforme a lo anteriormente indicado, sólo podrá ser recolectada aquella información que sea imprescindible para cumplir con la finalidad del tratamiento, la cual deberá ser informada de manera clara y expresa al titular de la información al momento en que es otorgada la autorización. En este orden de ideas, los deberes de solicitar la autorización previa al tratamiento de los datos y el de informar la finalidad para la cual son recolectados, se encuentran estrechamente relacionados, en la medida que el titular autoriza el tratamiento de su información de acuerdo con la finalidad que se le vaya a dar a la misma.

Al mismo tiempo deberá informársele al titular respecto de los derechos que le asisten. El apoderado de la CÁMARA DE COMERCIO en su escrito de descargos, en lo que tiene que ver con el deber de informar la finalidad por la que se recolecta la información, manifestó que, “[e]n materia de protección de datos personales, y especialmente en lo que tiene que ver con la recolección de estos a través de los formularios objeto de la investigación, la CCV actuó en pleno ejercicio de sus funciones legales, por lo tanto, no requería autorización por parte del titular.

Como se ha reiterado en el presente escrito de descargos, la recolección de los datos personales relacionados en cada uno de los formularios disponibles en la página de la CCV corresponde al ejercicio de funciones legales por parte de las cámaras de comercio y al deber de uso de herramientas tecnológicas para prestar sus servicios” No concuerda esta Dirección con los argumentos expuestos por parte del apoderado de la CÁMARA DE COMERCIO, se reitera en este punto, que, no todas las funciones asignadas a las cámaras de comercio son del orden público, la función registral que ejercen es la única que tiene esa naturaleza, por lo que, respecto de la información recolectada en los formularios (i) Asesorías Jurídicas Especializadas, (ii) Competitividad y Proyectos – Coordinación de Gestión Internacional, (iii) Acompañamiento Cultura Digital y (iv) Diseño de Paquetes y Diseño de Experiencias, al no poder relacionarse específicamente con esa función pública, debía informársele a los titulares la finalidad por la cual es recolectada. [228] M.P. Jaime Córdoba Triviño “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA Por las razones indicadas, se procederá a imponer la sanción correspondiente.

6. DE LA POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES. El literal k) del artículo 17 de la Ley 1581 de 2012, dispone:

ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;

Por su parte los artículos 2.2.2.25.3.1 y 2.2.2.25.3.6 del Decreto 1074 de 2015, disponen: Artículo 2.2.2.25.3.1. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas.

Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares. Dichas políticas deberán incluir, por lo menos, la siguiente información: 1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. 2.

Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. 3. Derechos que le asisten como Titular. 4. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. 5.

Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. 6. Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas.

Artículo 2.2.2.25.3.6. Procedimientos para el adecuado tratamiento de los datos personales. Los procedimientos de acceso, actualización, supresión y rectificación de datos personales y de revocatoria de la autorización deben darse a conocer o ser fácilmente accesibles a los Titulares de la información e incluirse en la política de tratamiento de la información. Sobre el tercer cargo formulado en la Resolución 77232 del 30 de noviembre de 2020, este Despacho concluyó: “En el caso analizado, observa este Despacho que, si bien la CÁMARA DE COMERCIO DE VILLAVICENCIO tiene una Política de Tratamiento de la Información, esta no contiene todos los requisitos señalados en el artículo 2.2.2.25.3.1. y 2.2.2.25.3.6. del Decreto Único Reglamentario 1074 de 2015, pues se encontró que: 1. 2. 3. 4. 5. 6. 7. 8.

No estaba habilitado para consulta el Manual de Políticas y Procedimientos de Protección de Datos Personales. Es ilegible la información de nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable consignada en el Manual de Políticas y Procedimientos. La Política no señala el tipo de Tratamiento al cual serán sometidos los Datos.

La Política no especifica la finalidad, se refiere a generalidades. Es ilegible la información consignada en el aparte “Los Responsables” del Manual de Políticas y Procedimientos de Protección de Datos Personales, respecto de quien es la personal o área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el Dato y revocar la Autorización. Es ilegible la información consignada en el Manual de Políticas y Procedimientos, respecto del procedimiento para que los Titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la Autorización. Es ilegible la información contenida en el aparte “Los Responsables” respecto de los canales o medios para que los Titulares ejerzan sus derechos.

La Política no informa el periodo de vigencia de la Base de Datos”. Los Responsables del tratamiento de datos personales, están llamados a cumplir todos y cada uno de los deberes relacionados en el ya citado artículo 17 de la Ley 1581 de 2012, respecto del literal k) VERSIÓN ÙNICA “Por la cual se impone una sanción y se imparte una orden” antes citado, la Política de Tratamiento de la Información debe estar acorde con las normas que la regulan, bajo esta premisa, este Despacho respecto del Cargo Tercero le ordenará a la CÁMARA DE COMERCIO realizar las actividades pertinentes para que sean subsanadas, si aún no lo han hecho.

7. POTESTAD SANCIONATORIA DE PROPORCIONALIDAD DE LA SANCIÓN • Aplicación del artículo 49 de la Ley 1955 de 2019. LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO. El artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: SMLV = Multa en UVT UVT vigente 2021 La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional13.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994. • Potestad Sancionadora de esta Superintendencia. Frente al procedimiento para imponer las sanciones, el artículo 22 de la Ley 1581 de 2012 señaló: “ARTÍCULO 22.

TRÁMITE. La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes”. Respecto de la “Potestad sancionatoria” que ejerce la administración, la Corte Constitucional ha señalado: Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA “El poder sancionador estatal ha sido definido como “un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medio punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.

Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre toros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcionalidad a la falta o infracción administrativa que se busca sancionar.

(v) La independencia de la sanción penal; esto significa que la sanción se puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal.”14 En el mismo sentido, y en relación con los principios15 señalados, dicha corporación por medio de la sentencia C-948 de 2002 manifestó: “En la doctrina[36] 16 se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.

Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta[37]17), de proporcionalidad o el denominado non bis in ídem”.

Ahora, al hacer referencia al principio de legalidad en materia de protección del derecho de habeas data, la Corte Constitucional mediante Sentencia C-1011 de 2008, manifestó: “Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.

Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas[203]”18. De esta manera, no puede la administración sobrepasar los límites que le impone el legislador al momento de aplicar una sanción, es decir, que la conducta que está siendo investigada debe tener una connotación sancionable por mandato legal.

En este punto es relevante el principio de tipicidad, el cual no es otra cosa que “la exigencia de una descripción específica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras”19.

Sobre el citado principio de tipicidad, la Corte Constitucional mediante Sentencia C-748 de 2011 sostuvo: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Corte Constitucional. Sentencia C-748 de 2011 “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA. La aplicabilidad general de los principios previstos en el artículo 3° del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales.

Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa, entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”. Laverde A. JUAN MANUEL. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Bogotá Colombia Segunda Edición 2018.p. 51 [36] Juan Alfonso Santamaría Pastor.

Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. [37] Ver Ramón Parada Vásquez. Derecho Administrativo. Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas. Su control administrativo y jurisdiccional”.

Arandazi. Madrid. 1996. [203] Sentencia C-406 de 2004. Sentencias C-827 de 2001 y C-343 de 2006. VERSIÓN ÙNICA “Por la cual se impone una sanción y se imparte una orden” Entonces, es suficiente desconocer cualquiera de las disposiciones contempladas en la Ley 1581 de 2012, para que se pueda ejercer su potestad sancionatoria, eso sí, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el derecho fundamental de habeas data.

Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables o Encargados del tratamiento de la información. Debe este Despacho precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen una cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad.

Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 22 y siguientes de la Ley 1581 de 2012, son una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley; tienen como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

La vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”20. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia 21.

De conformidad con lo anteriormente indicado, este Despacho procederá a determinar la sanción a imponer y la graduación de la misma. • Imposición de la Sanción al caso concreto. Los artículos 23 y 24 de la Ley 1581 de 2012, establecen las sanciones que podrá imponer esta entidad, así como los criterios en que éstas deberán ser graduadas, veamos:

ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.

ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio;

Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo de la Carta Democrática Interamericana en:http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm la cual se puede consultar “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.

De acuerdo con las consideraciones anteriormente hechas y de lo establecido en el literal a) del citado artículo 24, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012, para la imposición de una sanción. Para el caso que nos ocupa, quedó demostrado que la CÁMARA DE COMERCIO, vulneró los deberes contemplados en la Ley 1581 de 2012 razón por la que considera el Despacho procedente imponer una sanción de carácter pecuniario, como se indica a continuación: i) El literal b) del artículo 17, en concordancia con el literal c) del artículo 4º y artículo 9º de la Ley 1581 de 2012 y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; en la medida que respecto de los formularios (i) Asesorías Jurídicas Especializadas, (ii) Competitividad y Proyectos – Coordinación de Gestión Internacional, (iii) Acompañamiento Cultura Digital y (iv) Diseño de Paquetes y Diseño de Experiencias, la CÁMARA DE COMERCIO no solicitó la autorización de los titulares para el tratamiento de los datos personales recolectados.

Como consecuencia se impondrá la sanción pecuniaria de OCHENTA Y TRES MILLONES QUINIENTOS OCHO MIL CUATROSCIENTOS PESOS M/CTE ($83.508.400), equivalente a 2.300 Unidades de Valor Tributario (UVT) ii) El literal c) del artículo 17, en concordancia con el literal b) del artículo 4º, artículo 8º y artículo 12 de la Ley 1581 de 2012 y, el inciso primero del artículo 2.2.2.25.2.2. y artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015; en la medida que respecto de los formularios (i) Asesorías Jurídicas Especializadas, (ii) Competitividad y Proyectos – Coordinación de Gestión Internacional, (iii) Acompañamiento Cultura Digital, (iv) Diseño de Paquetes y Diseño de Experiencias y (v) Módulo PQRS la CÁMARA DE COMERCIO no informa al Titular de manera clara y expresa la finalidad de la recolección de los datos personales, como tampoco los derechos que le asiste.} Como consecuencia se impondrá la sanción pecuniaria de OCHENTA Y TRES MILLONES QUINIENTOS OCHO MIL CUATROSCIENTOS PESOS M/CTE ($83.508.400), equivalente a 2.300 Unidades de Valor Tributario (UVT) iii) El literal k) del artículo 17, en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y los artículos 2.2.2.25.3.1. y 2.2.2.25.3.6. del Decreto Único Reglamentario 1074 de 2015; en la medida que la Política de Tratamiento de la Información no contiene todos los requisitos señalados en la norma.

Como consecuencia se impartirá una orden para que la CÁMARA DE COMERCIO, respecto de las siguientes observaciones, realice las actividades necesarias tendientes para subsanarlas, si aún no lo ha hecho: “En el caso analizado, observa este Despacho que si bien la CÁMARA DE COMERCIO DE VILLAVICENCIO tiene una Política de Tratamiento de la Información, esta no contiene todos los requisitos señalados en el artículo 2.2.2.25.3.1. y 2.2.2.25.3.6. del Decreto Único Reglamentario 1074 de 2015, pues se encontró que: 1. 2. 3. 4. 5. 6. 7. 8.

La Política no informa el periodo de vigencia de la Base de Datos”. “Por la cual se impone una sanción y se imparte una orden” • VERSIÓN ÙNICA Graduación de la Sanción Impuesta. El ya citado artículo 24 de la Ley 1581 de 2012, enumera los criterios que debe tener en cuenta la administración para la imposición de una sanción de carácter pecuniario.

Al respecto, la Corte Constitucional en sentencia C – 748 de 2011, manifestó que, de dichos criterios, los relacionados en los literales a), b), c), d) y e) corresponden a los de agravación, determinando que únicamente el criterio relacionado en el literal f) será el de atenuación. Respecto de los citados criterios de dosificación de la sanción, el apoderado de la CÁMARA DE COMERCIO manifestó: (i) Si bien el Despacho llegare a considerar un daño o peligro, este es muy inferior a una conducta por la no total inobservancia o no aplicación del RGPDP.

La investigación se desprende de algunos hallazgos que, en su gran mayoría, son cumplimientos parciales o interpretaciones subjetivas del investigador que fueron aclaradas en el presente escrito. Así mismo, la CCV se encuentra trabajando en la implementación de procesos adecuados para cumplir cabalmente con el RGPDP. (ii) Respecto del beneficio económico, es importante señalar que las presuntas infracciones no generan ningún lucro para la CCV, ya que el tratamiento de datos personales por parte de la CCV se desprende de sus funciones legales.

(iii) En relación con la reincidencia, cabe resaltar que la CCV nunca ha sido investigada por infracciones al RGPDP, tampoco se han presentado incidentes de seguridad ni quejas ni reclamos por parte de los titulares, que no hayan sido resultas, su actuar siempre ha sido acorde a la ley y las normas, nunca ha tenido intención alguna de omitir sus obligaciones legales y mucho menos actuar de mala fe para ocasionar daños a la Administración Pública.

(iv) La CCV nunca ha actuado y nunca actuará con grado de resistencia, negativa u obstrucción a la acción investigadora o de supervisión de la SIC, ni de ninguna autoridad. (v) En la presente investigación no existe renuencia o desacato en el cumplimiento de las órdenes impartidas por la autoridad competente. (vi) Ahora bien, como ya se mencionó en el presente escrito de descargos, la CCV hizo reconocimiento o aceptación expresa de la infracción, materializando en la falta de manera parcial frente a los aspectos establecidos parcial de algunos aspectos encontrados antes del decreto de pruebas.

Razón por la cual debe tenerse en cuenta este atenuante al momento de dosificar la sanción. Adicionalmente afirma que, “[e]s un hecho notorio que la economía nacional se encuentra en una crisis profunda derivada de las medidas sanitarias impuestas por el Gobierno Nacional para mitigar el impacto del contagio del virus COVID-19, especialmente en la región el Meta, que además se ha visto afectada en los últimos años por cierres prolongados de la vía Bogotá – Villavicencio de la cual depende, en gran parte, el desarrollo económico de la región. Para el año 2020, se ha visto afectadas, aquellas que tienen que ver con pagos o aportes de empresarios matriculados.

Por un lado, aquellos que se han visto obligados a cerrar sus establecimientos de comercio y empresas de manera definitiva, por otro, aquellos que se han visto obligados a reestructurar sus empresas o reducir sus presupuestos”. Indica igualmente que, “sí el Despacho considera imponer una sanción a la CCV, deberá considerar que la graduación de la sanción tendrá que tener como referencia, los ingresos considerados como “recursos privados”, los cuales se refieren a los que NO provienen de los pagos por concepto de derechos y tarifas establecidos en favor de la entidad para el manejo de Registros Públicos.

En efecto, el ejercicio de funciones públicas en las condiciones previstas en la ley implica que estos tienen el carácter de recursos públicos”. Pues bien, este Despacho para la imposición de la sanción tuvo en cuenta lo establecido en el literal a) del artículo 24 de la Ley 1581 de 2012, en la medida que, como se dijo, basta que la conducta o conductas investigadas hayan puesto en peligro los intereses jurídicos protegidos por la Ley.

Cuando el Responsable del tratamiento no cumple con los deberes que le impone la Ley, vulnera el derecho de habeas data protegido por la Ley 1581 de 2012. En lo que tiene que ver con los criterios señalados en los literales b), c) d) y e) del artículo 24 de la Ley 1581 de 2012 no fueron tenidos en cuenta debido a que dentro de la investigación realizada (i) no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción Investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

“Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA Sobre el criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 se aplicará toda vez que la CÁMARA DE COMERCIO. en calidad de Responsable, en el escrito de descargos22 reconoce expresamente que, respecto de los formularios relacionados anteriormente, (i) no solicitó autorización del titular para el tratamiento de los datos personales (ii) no informó la finalidad de la recolección y los derechos que le asisten al titular por virtud de la autorización otorgada.

Como consecuencia, este Despacho reducirá en un 50% del valor de la sanción impuesta a la CÁMARA DE COMERCIO en cada uno de los cargos, en los siguientes términos: i) El literal b) del artículo 17, en concordancia con el literal c) del artículo 4º y artículo 9º de la Ley 1581 de 2012 y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; en la medida que respecto de los formularios (i) Asesorías Jurídicas Especializadas, (ii) Competitividad y Proyectos – Coordinación de Gestión Internacional, (iii) Acompañamiento Cultura Digital y (iv) Diseño de Paquetes y Diseño de Experiencias, la CÁMARA DE COMERCIO no solicitó la autorización de los titulares para el tratamiento de los datos personales recolectados.

Como consecuencia se impondrá una sanción pecuniaria de CUARENTA Y UN MILLONES SETECIENTOS CINCUENTA Y CUATRO MIL DOSCIENTOS PESOS M/CTE ($41.754.200), equivalentes a 1.150 Unidades de Valor Tributario UVT. ii) El literal c) del artículo 17, en concordancia con el literal b) del artículo 4º, artículo 8º y artículo 12 de la Ley 1581 de 2012 y, el inciso primero del artículo 2.2.2.25.2.2. y artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015; en la medida que respecto de los formularios (i) Asesorías Jurídicas Especializadas, (ii) Competitividad y Proyectos – Coordinación de Gestión Internacional, (iii) Acompañamiento Cultura Digital, (iv) Diseño de Paquetes y Diseño de Experiencias y (v) Módulo PQRS la CÁMARA DE COMERCIO no informa al Titular de manera clara y expresa la finalidad de la recolección de los datos personales, como tampoco los derechos que le asiste.

8. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) EN EL TRATAMIENTO DE DATOS PERSONALES. La regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad. Por el contrario, debe ser real y demostrable.

Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante23”. Adicionalmente, es importante resaltar que los responsables o encargados del tratamiento de los datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.

En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los titulares de los datos.

En virtud de lo anterior, el Decreto 1074 de 2015, reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2.2.2.25.6.124 del citado Decreto, establece que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Actuación registrada en el sistema de trámites bajo el número 20-210753-18 del 4 de enero de 2021 Cfr. Corte Constitucional, sentencia T-227 de 2003.

El texto completo del artículo 2.2.2.25.6.1 del Decreto 1074 de 2015 establece: “Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplircon las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”. Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

A su vez, el artículo 2.2.2.25.6.2 del Decreto 1074 de 2015, exige que los responsables del tratamiento de datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación.”25 Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada26(accountability)27”.

El término “accountability”28, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente. Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1.

Diseñar y activar un programa integral de gestión de datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2. Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales.

El principio de responsabilidad demostrada –accountability- demanda implementar acciones de diversa naturaleza 29 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. El mismo, exige que los responsables y encargados del tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia.

Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales. El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales.

El éxito del mismo, dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recol ectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta de las medidas de seguridad apropiadas evidencia sobre la implementación efectiva El texto completo del artículo 2.2.2.25.6.2. del Decreto 1074 de 2015 señala: “Políticas internas efectivas.

En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.

La adopción de mecanismos internos para poner en práctica estas polít icas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”.

El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf “El término “accountability” puede ser traducido por rendición de cuentas. Esta voz inglesa, que, en su uso cotidiano, significa ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el término accountability puede ser traducido por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” Recuperado de https://www.fundeu.es/recomendacion/rendicionde-cuentas-ynorendimientomejor-que-accountability-1470/ el 22 de abril de 2019.

Cfr. Grupo de trabajo de protección de datos del artículo 29. Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimism o involucran procesos y procedimientos con características propias en atención al objetivo que persiguen.

“Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos. Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas.

Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales”30.

(Énfasis añadido) El principio de responsabilidad demostrada, busca que los mandatos constitucionales y legales sobre tratamiento de datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los titulares de los datos personales y ii) una gestión respetuosa de los derechos humanos. Manifiesta el apoderado de la CÁMARA DE COMERCIO, en el escrito de descargos respecto de la Responsabilidad Demostrada, que “[l]a CCV, en gran medida, cumple con lo dispuesto en el RGPDP y ha tomado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y el Decreto 1377 de 2013 de manera proporcional a su naturaleza jurídica, la naturaleza de los datos personales objeto de tratamiento, el tipo de tratamiento que realiza y los riesgos que el referido tratamiento puede causar sobre los titulares”.

Sustenta lo anteriormente indicado, en los siguientes términos: 1. Su naturaleza jurídica. Debido a su naturaleza jurídica, como entidad de carácter corporativo, gremial y sin ánimo de lucro la CCV toma medidas apropiadas y efectivas para el cumplimiento del RGPDP y lo realiza en pleno desarrollo de sus funciones legales. La CCV NO realiza el tratamiento de datos personales por fuera de las disposiciones legales que establecen sus funciones.

En efecto, la CCV cuenta con procedimientos que permiten a los titulares desarrollar su derecho constitucional para conocer, actualizar y rectificar las informaciones que sobre ellos reposan en sus bases de datos. (realiza un recuento de los anexos allegados con el escrito de descargos) 2. La naturaleza jurídica de los datos personales que trata.

Los datos personales que son objeto de tratamiento por parte de la CCV, son, en su gran mayoría, datos de carácter público, correspondiente a aquellos relativos al registro público encomendado por la ley. Así mismo, se trata de datos personales que son tratados en ejercicio de ciertas funciones públicas. 3. El tipo de tratamiento. El tipo de tratamiento que la CCV realiza sobre los datos personales se circunscribe a desarrollar las funciones que por ley le corresponden, es decir, a efectos de registro público y promoción empresarial (Decreto 2042 de 2014). 4.

Los riesgos potenciales que el tratamiento pueda causar sobre los derechos de los titulares. Se aclara que la CCV, en principio, no trata datos personales de carácter sensible no de menores de edad. Además, los datos personales que trata son de carácter público y/o en ejercicio de sus funciones legalmente asignadas. Igualmente indicó que, “[d]esde el mes de agosto de 2020 la CCV se encuentra en proceso de implementación de medidas tendientes a dar cabal cumplimiento a las disposiciones del RGPDP, tal y como podrá comprobar el Despacho en el Anexo No. 14 y el Anexo No. 15.

Así mismo, ha Cfr. Red Iberoamericana de Protección de Datos. Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.

“Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA desarrollado charlas sin costo y seminarios, no solo para sus propios funcionarios, sino para el público general en materia de datos personales” Pues bien, el ya citado artículo 2.2.2.25.6.2 del Decreto 1074 de 2015, establece “la verificación de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley (…)”, en este orden de ideas, este Despacho no tendrá en cuenta este criterio para la graduación de la sanción impuesta en el presente acto administrativo.

A lo largo de la presente actuación administrativa, ha indicado el Despacho que la CÁMARA DE COMERCIO vulneró los deberes que como Responsables en el tratamiento de datos personales está llamada a cumplir. Tal y como se indicó en el aparte pertinente, los formularios formularios (i) Asesorías Jurídicas Especializadas, (ii) Competitividad y Proyectos – Coordinación de Gestión Internacional, (iii) Acompañamiento Cultura Digital, (iv) Diseño de Paquetes y Diseño de Experiencias y (v) Módulo PQRS, no corresponden a la función registral que realiza la CÁMARA DE COMERCIO, sino a las actividades propias de la entidad, por lo que, estaba en la obligación de solicitar de los titulares de la información la autorización para el tratamiento así como informar respecto de la finalidad de dicho tratamiento.

De acuerdo con lo informado por el apoderado de la CÁMARA DE COMERCIO si bien la entidad realizó la implementación de medidas efectivas para la protección de los datos personales, ésta sólo tuvo ocurrencia cuando la presente actuación administrativa ya había iniciado, situación que no la exonera del cumplimiento de los deberes establecidos en la Ley 1581 de 2012, en su calidad de Responsable del tratamiento.

La multiplicidad de mecanismos implementados debe servir para que todos los aspectos previstos en la norma como una obligación, se cumplan de manera eficiente y eficaz, lo cual no fue lo que resultó demostrado en el presente caso. De conformidad con lo anteriormente indicado, este Despacho no tendrá en cuenta lo dispuesto en el parágrafo del artículo 2.2.2.25.6.2 del Decreto 1074 de 2015, para la graduación de la sanción impuesta. 9.

CONCLUSIONES. a) La nulidad de un acto administrativo sólo puede ser declarada por la jurisdicción de lo contencioso administrativo, conforme a la competencia dada por la Ley. b) En la presente actuación administrativa, no hubo violación a ninguna de las garantías del debido proceso. c) Las Cámaras de Comercio son entidades de carácter privado que por expresa disposición de la ley cumplen funciones de carácter administrativo, a través de la descentralización por colaboración. Son entidades que no se integran a la organización pública en ninguno de sus niveles. d) No todas las funciones que realizan las cámaras de comercio corresponden al ejercicio de funciones públicas, pues estas se limitan primordialmente a las registrales, que son las que involucran el ejercicio de una función del estado. e) La CÁMARA DE COMERCIO respecto de los formularios evaluados (i) Asesorías Jurídicas Especializadas, (ii) Competitividad y Proyectos – Coordinación de Gestión Internacional, (iii) Acompañamiento Cultura Digital, (iv) Diseño de Paquetes y Diseño de Experiencias y (v) Módulo PQRS, en la medida que no están desarrollando la función registral, están en la obligación de cumplir con los deberes relacionados en los literales b) y c) del artículo 17 de la Ley 1581 de 2012 y sus normas reglamentarias, sin que puedan ser exceptuadas de acuerdo con lo dispuesto el artículo 10 de la citada Ley. f) Este Despacho aplicó el literal f) del artículo 24 de la Ley 1581 de 2012, y redujo el valor de la multa inicialmente impuesta en un 50%. g) Respecto del literal k) del artículo 17 de la Ley 1581 de 2012, se procederá a impartir una orden con el fin que sean subsanadas las observaciones realizadas en el acto administrativo “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA que formuló los cargos, respecto del documento que contiene la Política de Tratamiento de la Información de la CÁMARA DE COMERCIO, si aún no lo han hecho. h) La implementación de medidas en materia de protección de datos personales por parte de la CÁMARA DE COMERCIO, posterior al incumplimiento de los deberes que dio origen a la presente actuación administrativa, no la exonera de responsabilidad, por lo que no se tuvo en cuenta lo dispuesto en el parágrafo del artículo 2.2.2.25.6.2 del Decreto 1074 de 2015.

DÉCIMOCUARTO: Que, en virtud de la situación actual, teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la CÁMARA DE COMERCIO, deberá: (i) Enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando: número de radicado, nombre completo de la persona que va a consultar el expediente, número de identificación y correo electrónico autorizado;

(ii) Una vez reciba respuesta positiva respecto de la solicitud de acceso, la entidad debe registrarse en servicios en línea link https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo link posteriormente al registro puede consultar el expediente de manera digital. No obstante, en aras de garantizar los derechos de defensa y contradicción de la investigada, en el caso en que la misma considere necesario el acceso del expediente en físico, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá. Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.

En mérito de lo expuesto, este Despacho.

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la CÁMARA DE COMERCIO DE VILLAVICENCIO, identificada con el Nit.892.000.102-1 de OCHENTA Y TRES MILLONES QUINIENTOS OCHO MIL CUATROCIENTOS PESOS MCTE ($83.508.400) equivalentes a 2.300 UVT Unidad de Valor Tributario, por la vulneración de lo dispuesto en las normas que se relacionan a continuación, respecto de los formularios (i) Asesorías Jurídicas Especializadas, (ii) Competitividad y Proyectos – Coordinación de Gestión Internacional, (iii) Acompañamiento Cultura Digital, (iv) Diseño de Paquetes y Diseño de Experiencias y (v) Módulo PQRS, así: i. El literal b) del artículo 17, en concordancia con el literal c) del artículo 4º y artículo 9º de la Ley 1581 de 2012 y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 ii.

El literal c) del artículo 17, en concordancia con el literal b) del artículo 4º, artículo 8º y artículo 12 de la Ley 1581 de 2012 y, el inciso primero del artículo 2.2.2.25.2.2. y artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR a la CÁMARA DE COMERCIO DE VILLAVICENCIO, identificada con el Nit.892.000.102-1 que realice, si no lo ha hecho, las actividades necesarias para subsanar las observaciones que hizo este Despacho respecto al documento que contiene la Política de Tratamiento de la Información relacionadas en el numeral 7 del presente acto “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÙNICA administrativo, de conformidad con lo establecido en el literal k) del artículo 17, en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012, y los artículos 2.2.2.25.3.1 y 2.2.2.25.3.6 del Decreto 1074 de 2015.

PARÁGRAFO PRIMERO: La CÁMARA DE COMERCIO DE VILLAVICENCIO, identificada con el Nit.892.000.102-1, deberá acreditar el cumplimiento de lo ordenado en los artículos segundo y tercero ante esta Superintendencia dentro de los veinte (20) días hábiles siguientes notificación del presente acto administrativo.

PARÁGRAFO SEGUNDO. El incumplimiento de lo ordenado en el presente acto administrativo hará a la CÁMARA DE COMERCIO DE VILLAVICENCIO, acreedora de las sanciones previstas en la Ley.

ARTÍCULO TERCERO: Notificar personalmente el contenido de la presente resolución a CÁMARA DE COMERCIO DE VILLAVICENCIO, identificada con Nit. 892.000.102-1 a través de su representante legal o quien haga sus veces, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C.,28 JUNIO DE 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR SALAZAR MUÑOZ MUÑOZ Fecha: 2021.06.28 11:15:54 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: NTL Revisó: CESM Aprobó: CESM NOTIFICACIÓN: Investigada: Entidad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: CÁMARA DE COMERCIO DE VILLAVICENCIO Nit.:892.000.102-1 MARLY PAOLA TRUJILLO RIVEROS C.C. 1.121.841.542 Avenida 40 No. 24 A – 71 Villavicencio (Meta) presidencia@ccv.org.co Apoderado Especial: Identificación: Tarjeta Profesional: Dirección: Ciudad: Correo Electrónico: JUAN LUIS PÉREZ ESCOBAR C.C. 1.067.858.166 222.772 del C.S. de la J Carrera 16 No. 85 – 66 Apartamento 203 Bogotá D.C. juan.perez@lois.com.co

Resolución sancionatoria N° 39514 de 2021

CONSIDERANDO

ARTÍCULO

ARTÍCULO

ARTÍCULO

RESUELVE