Apelación 23484 de 2021 — SIC

(Diciembre 30 de 2021) “Por la cual se resuelve un recurso de apelación” Radicado: 19-134202 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 7 del artículo 16 del Decreto 4886 de 2011 y,

CONSIDERANDO

PRIMERO. Que mediante la Resolución No. 23484 del 22 de abril de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la entidad sin ánimo de lucro FUNDACIÓN EDUCACIONAL RUPERTO AGUILERA LEÓN, identificada con Nit. 860.521.552-1, de DIEZ MILLONES OCHOCIENTOS NOVENTA Y DOS MIL CUATROCIENTOS PESOS M/CTE ($ 10.892.400), equivalente a TRESCIENTAS (300) UNIDADES DE VALOR TRIBUTARIO – UVT, al encontrarse demostrado su actuar negligente en el cumplimiento de lo dispuesto en el: i) literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la misma ley y el literal e) del artículo 4 ejúsdem, y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015;

(ii) literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4) de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; (iii) literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 ibídem; (vi) literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015, el inciso 2 del artículo 2.2.2.25.6.1. y el inciso 2 del artículo 2.2.2.25.2.8 ejúsdem y;

(v) literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 19 de la misma ley y el literal f) del artículo 21 ejúsdem. Adicionalmente, se impartieron unas órdenes administrativas a la entidad sin ánimo de lucro FUNDACIÓN EDUCACIONAL RUPERTO AGUILERA LEÓN tendientes a garantizar el cumplimiento del Régimen General de Protección de Datos Personales y evitar que se vulnere el derecho de hábeas data de los Titulares de la información. De igual manera, se impartió el siguiente exhorto al representante legal de la citada entidad: “EXHORTAR al señor GERMÁN HERNANDO PINZÓN PINZÓN, identificado con C.C. No. 3.102.698, en calidad de representante legal de la entidad sin ánimo de lucro FUNDACIÓN EDUCACIONAL RUPERTO AGUILERA LEÓN, identificada con el Nit. 860.521.552-1, para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales, especialmente los de transparencia, finalidad, libertad, seguridad y legalidad. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data”.

HOJA Nº, 2 “Por la cual se resuelve un recurso de apelación”

SEGUNDO. Que mediante la comunicación con radicado 19-134202-00020 del 11 de mayo de 20211, por conducto de su representante legal la FUNDACIÓN EDUCACIONAL RUPERTO AGUILERA LEÓN interpuso recurso de reposición y en subsidio de apelación a la Resolución No. 23484 de 2021, a fin de que se revoque la Resolución No. 23484 de 2021 y se amplíe el término para dar cumplimiento a la implementación de la política y procedimiento de protección de datos.

Los argumentos expuestos por la recurrente son los siguientes: 1. Alega que los oficios 19-1342020 del 14 de junio del 2019 y 19-134202-00000 del 14 de junio de 2019 nunca fueron recibidos, debido a que fueron remitidos al correo electrónico xxxxxxxxxxxxxxxxxxxxx que ha estado inactivo o sin uso por más de 5 años. Agrega que los correos electrónicos destinados para el recibo de toda información son xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx y xxxxxxxxxxxxxxxxxxxxxxxxx. 2.

Expresa que el oficio con radicado 19-134202-00001 del 3 de marzo de 2020 fue entregado el 7 de mayo de 2020 y no como se señala en el acto administrativo recurrido, el 12 de marzo de 2020, como se evidencia en la guía No. RA251511091CO y el oficio en el que a puño y letra de la secretaria del colegio se indica que la fecha de recibido es el 7 de mayo de 2020.

Añade que en razón a ello, la respuesta del 13 de mayo de 2020 fue oportuna. 3. Arguye que los únicos datos personales que maneja obran en el libro de matrículas y no utiliza base de datos alguna, así como tampoco manejaba bases de datos con anterioridad a marzo de 2020. Al respecto, señala que, ““La Superintendencia nunca nos preguntó si la FUNDACION RUPERTO AGUILERA, manejaba bases de datos antes del año 2020, solo se limitó a pedirnos nuestras POLITICAS Y PROCEDIMIENTOS DE PROTECCION DE DATOS, razón por la cual le enviamos la implementación que estábamos adelantando en virtud a la base de datos que estábamos elaborando de los estudiantes, padres y acudientes por razón de la virtualidad ordenada por el gobierno nacional, como consecuencia de la pandemia”. 4.

Expresa que sus ingresos mensuales son en promedio de $24.000.000 y el patrimonio es fruto de la donación que efectuó́ el fundador de la recurrente hace más de 40 años. 5. Manifiesta que en el acto recurrido en el considerando décimo en análisis del caso, respecto del primer cargo, por la vulneración del literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la misma ley ( ), el ítem (ii) se basa en supuestos de una posible vulneración y toda duda se debe resolver en favor del investigado.

Agrega que también es un supuesto de este Despacho “( ) que por nuestro objeto social es altamente probable que manejemos bases de datos ( )”. 6. Aclara que la política de protección de datos personales del 20 de marzo de 2020 se creó por la necesidad generada por la pandemia de crear grupos de WhatsApp y así, el manejo de los números de teléfono y correos de los estudiantes, ya que con anterioridad “( ) todas las comunicaciones se realizaban con circulares y citaciones por escrito a estudiantes, padres de familia y acudientes ( )”, aportando imágenes para demostrar esto último.

TERCERO. Que mediante la Resolución Nº 47522 del 29 de julio de 2021 la Dirección de Investigación de Protección de Datos Personales decidió lo siguiente: ARTÍCULO PRIMERO: MODIFICAR el artículo primero de la parte resolutiva de la Resolución No. 23484 de 2021 por las razones expuestas en la parte motiva de este acto administrativo, el cual quedará así: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la entidad sin ánimo de lucro FUNDACIÓN EDUCACIONAL RUPERTO AGUILERA LEÓN, identificada con Nit. 860.521.552-1, de SEIS MILLONES NOVECIENTOS TREINTA Y CUATRO MIL OCHOCIENTOS VEINTIOCHO PESOS M/CTE ($ 6.934.828), equivalente a CIENTO NOVENTA Y UN (191) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación de lo dispuesto en el: i) literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la misma ley y el literal e) del artículo 4 ejúsdem, y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015;

(ii) literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4) de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; (iii) literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 ibídem; (vi) literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015, el inciso 2 del artículo 2.2.2.25.6.1. y el inciso 2 del artículo 2.2.2.25.2.8 ejúsdem y;

(v) Reiterada con las comunicaciones con radicados 19-134202-00021 del 11 de mayo de 2021 y 19-134202-00022 del 12 de mayo de 2021. HOJA Nº, 3 “Por la cual se resuelve un recurso de apelación” literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 19 de la misma ley y el literal f) del artículo 21 ejúsdem. PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2.

El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria. Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual”.

ARTÍCULO SEGUNDO: ACLARAR que las demás disposiciones de la Resolución No. 23484 de 2021, no sufren modificación alguna. ARTÍCULO TERCERO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.

CUARTO. Que mediante la comunicación con radicado 19-134202-00037 por conducto de su representante legal la FUNDACIÓN EDUCACIONAL RUPERTO AGUILERA LEÓN presentó un nuevo documento rotulado recurso de apelación en donde, “(…) me permito ratificar los motivos de inconformidad que presenté en el recurso de reposición, el cual fue enviado a su Despacho en apelación para lo cual reitero que esta es una Fundación cuyo objeto es proporcionar educación a un buen número de jóvenes de ia región de escasos recursos y le solicito comedidamente que al proferir su decisión tenga en cuenta lo siguiente: 1.- Como lo anote anteriormente el objeto principal de la FUNDACIÓN es impartir educación. 2.- La Fundación no recibe aportes ni subsidios de ninguna entidad oficial. 3.- Por prestar servicios de educación de jóvenes de estratos 1, 2 y 3 las matrículas y pensiones son muy reducidas. 4.- La Fundación no tiene en el momento otras fuentes de ingresos. 5.- En el momento tiene acreencias por impuesto de Industria y Comercio, Impuesto Predial y créditos extrabancarios por más de $ 350.000.000. 6.- De imponerse esta multa se agravará la situación económica de la Fundación poniéndola en peligro de liquidación. 7.- Reiteramos que la Fundación NO maneja datos como cualquier ente comercial. 8.- La Fundación está implementando las recomendaciones de la Superintendencia sobre el particular 9. -ES importante aclara que, aunque e n nuestro certificado d e existencia y representación legal se encuentre un objeto social amplio, nuestra única actividad es la educación a través del Instituto Comercial Ruperto Aguilera León. 10.-Que la Fundación Educacional Ruperto Aguilera León hasta antes del 20 de Marzo de 2020 no cuenta con datos electrónicos a los que pueda dar un mal uso. 11.-Que si hemos violado alguna norma no hemos tenido la intensión de hacerlo. 12.- Con la pandemia nuestro número de alumnos se disminuyo de forma importante, por tanto, nuestros ingresos de igual manera.

Y no contamos con recursos económicos para el pago de una sanción tan alta, o disminuirla de forma que sea posible pagarla. Por lo anterior rogamos revocar la sanción pecuniaria”.

QUINTO. Que de acuerdo con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho procede a resolver los recursos de apelación interpuesto contra la Resolución No. 23484 del 22 de abril de 2021, de acuerdo con las siguientes: HOJA Nº, 4 “Por la cual se resuelve un recurso de apelación” CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES El artículo 16 del Decreto 4886 de 26 de diciembre de 2011 2 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destacan las siguientes: “( ) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así́ como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo.

( )”.

2. DEL REGISTRO NACIONAL DE BASES DE DATOS (RNBD). Según el artículo 25 de la Ley 1581 de 2012, el Registro Nacional de Bases de Datos (RNBD) “es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país” de “libre consulta para los ciudadanos”. En otras palabras, el RNBD es una herramienta que materializa la transparencia porque de manera abierta y libre permite que cualquier ciudadano consulte la información sobre todas las bases de datos inscritas en el mismo.

Dicho registro es administrado por la Superintendencia y Comercio y para efectuar el mismo, según el precitado artículo, “los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes.

Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley.” El Decreto 1074 de 2015 reglamentó el RNBD así como los términos y condiciones de inscripción. El Decreto 090 del 18 de enero de 2018 modificó el artículo 2.2.2.26.1.2. y estableció los sujetos obligados a llevar a cabo la inscripción de sus bases de datos.

Adicionalmente, definió los plazos y el periodo durante cual los Responsables obligados debían inscribir todas las bases de datos y cargar la Política de Tratamiento de Datos Personales. En el caso bajo estudio, la Política de Tratamiento de Datos Personales de la FUNDACIÓN EDUCACIONAL RUPERTO AGUILERA LEÓN no se encuentra cargada en el Registro Nacional de Bases de Datos – RNBD, toda vez que la recurrente no ha inscrito ninguna de sus bases de datos en este registro.

Téngase en cuenta que una de las formas de poner en conocimiento de los Titulares la Política de Tratamiento de Datos Personales es a través del RNBD al encontrarse cargada en él. Lo anterior, de acuerdo con la información consultada por este Despacho: Consulta realizada el 28 de diciembre del 2021 en https://rnbd.sic.gov.co/sisi/consultaTitulares/consultas/ Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones.

HOJA Nº, 5 “Por la cual se resuelve un recurso de apelación”

3. LA RECURRENTE RESPONDIÓ DE MANERA EXTEMPORANEA EL SEGUNDO REQUERIMIENTO DE INFORMACIÓN DE ESTA ENTIDAD La recurrente en su escrito de apelación afirma que, “La Superintendencia de Industria y Comercio requiere a la FUNDACION EDUCACIONAL RUPERTO AGUILERA LEON mediante los oficios 19 – 1342020 del 14 de junio del 2019 y 19- 134202- 00000 del 14 de junio de 2019 los cuales fueron enviados al correo xxxxxxxxxxxxxxxxxxxxx, el cual esta inactivo o sin uso desde hace cinco (5) años o mas, y de ese tiempo a la fecha, toda la información se recibe en los correos xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, o xxxxxxxxxxxxxxxxxxxxxxxxxx, por lo tanto, reiteramos, nunca recibimos los mencionados oficios, pero nos comprometemos a que, dentro de los siguientes 10 días hábiles contados a partir de la fecha corregiremos ante la Cámara de Comercio o buscaremos la forma de volver a activar dicho correo”.

Agrega que respecto del oficio con radicado 19-134202-00001 del 3 de marzo de 2020, este fue remitido con la guía No. RA251511091CO y fue entregado el 7 de mayo de 2020 como puede evidenciarse en el oficio con la letra de la secretaria del colegio, por lo cual la respuesta del 13 de mayo de 2020 se efectuó dentro del término legal e incluso, se envió nuevamente el 11 de agosto de 2020 por solicitud de la Superintendencia de Industria y Comercio.

Este Despacho no está de acuerdo con los argumentos de la sociedad recurrente por los siguientes motivos. • Del requerimiento con radicado 19-134202-00000 del 14 de junio de 2019 De acuerdo con la información que tenía la Dirección de Investigación de Protección de Datos Personales, en junio del 2019 la entidad remitió un requerimiento bajo radicado 19-134202-00000 a la FUNDACIÓN EDUCACIONAL RUPERTO AGUILERA LEÓN. Dicho requerimiento fue remitido al correo electrónico xxxxxxxxxxxxxxxxxxxxx, en consideración a que para la fecha de su envío tal correo electrónico era el dispuesto para notificaciones judiciales en el certificado de existencia y representación legal de la recurrente.

En el acto administrativo recurrido se deja consignada dicha información de la siguiente manera3: Hoja 17 de la Resolución 23484 de 2021. HOJA Nº, 6 “Por la cual se resuelve un recurso de apelación” Más aún, la Dirección consultó el 3 de junio y 9 de julio de 2021 el certificado de existencia y representación legal de la FUNDACIÓN EDUCACIONAL RUPERTO AGUILERA LEÓN, evidenciando que la recurrente no ha actualizado el email para notificaciones judiciales, a pesar de haber manifestado que el correo electrónico xxxxxxxxxxxxxxxxxxxxx “( ) esta (sic) inactivo o sin uso desde hace cinco (5) años o mas (sic) ( )” y que “( ) dentro de los siguientes 10 días hábiles contados a partir de la fecha corregiremos ante la Cámara de Comercio o buscaremos la forma de volver a activar dicho correo ( )”.

Por último, en la última renovación de la matrícula mercantil, 30 de marzo de 2021, no efectuaron la actualización del correo electrónico. Téngase presente que al obrar el correo electrónico xxxxxxxxxxxxxxxxxxxxx en el registro mercantil implica que toda entidad, no solo esta Superintendencia, puede contactar a la FUNDACIÓN EDUCACIONAL RUPERTO AGUILERA LEÓN por comunicación a dicho email.

Si dicha entidad es negligente en actualizar la información, la misma debe asumir las consecuencias de sus omisiones y no alegar su negligencia en su beneficio. • Del requerimiento con radicado 19-134202-00001 del 3 de marzo de 2020 Ante la ausencia de respuesta por parte de la recurrente al primer requerimiento, esta autoridad remitió un segundo requerimiento, con radicado 19-134202-00001 del 3 de marzo de 2020: HOJA Nº, 7 “Por la cual se resuelve un recurso de apelación” Primero, de acuerdo con la guía No. RA251511091CO emitida por SERVICIOS POSTALES NACIONALES S.A. 4-72, visible en el anexo a la comunicación con radicado 19-134202- 00026 del 25 de junio de 2021, el requerimiento 19-134202-00001 del 3 de marzo de 2020 fue entregado a la FUNDACIÓN EDUCACIONAL RUPERTO AGUILERA LEÓN el 12 de marzo de 2020.

Imagen del sistema de trámites obtenida el 28 de diciembre de 2021 Segundo, la recurrente remite una imagen del correo electrónico de envío de respuesta al requerimiento, demostrando que lo atendió el 13 de mayo de 2020 remitiéndolo a la dirección de correo electrónico contactenos@sic.gov.co. Tomada del anexo a la comunicación con radicado 19-134202-00008 Tercero, como lo puso de presente la Dirección, en el acto administrativo recurrido se cometió una imprecisión respecto a la fecha de vencimiento para dar respuesta al antedicho requerimiento de esta Superintendencia. En virtud de la Resolución No. 11792 del 16 de marzo de 2020 de esta entidad “por la cual se suspenden términos en los trámites administrativos que adelanta la Superintendencia de Industria y Comercio”, se suspendieron los términos del 17 de marzo al 31 de marzo de 2020.

Posteriormente, con la Resolución No. 12169 del 31 de marzo de 2020 “por la cual se dictan medidas para garantizar el debido proceso administrativo y la efectiva prestación del servicio de la y Ecológica decretado por el Gobierno Nacional”, reanudó los términos para, entre otros, las actuaciones administrativas de naturaleza no sancionatoria que puedan adelantarse por los medios virtuales y tecnológicos de esta Superintendencia4.

En consideración a que el requerimiento con radicado 19-134202-00001 fechado del 3 de marzo de 2020 correspondió a una solicitud de esta Dirección en desarrollo de sus funciones5, no era una El parágrafo segundo del artículo 1 de la Resolución Nº 12169 del 31 de marzo de 2020 afirma lo siguiente: “PARÁGRAFO SEGUNDO: Se excluyen del presente artículo aquellas actuaciones administrativas de carácter no sancionatorio y/o aquellas propias de la función asesora prevista en el ordenamiento legal, que permitan su gestión a través los medios electrónicos dispuestos por esta Superintendencia, con excepción de los trámites de solicitud de renovación de signos distintivos y el pago de las tasas de mantenimiento de Nuevas Creaciones, los cuales continuarán suspendidos en los términos del presente artículo”.

“ARTÍCULO 21. FUNCIONES. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: a) Velar por el cumplimiento de la legislación en materia de protección de datos personales; ( ) HOJA Nº, 8 “Por la cual se resuelve un recurso de apelación” actuación administrativa de carácter sancionatorio y podía gestionarse por los medios tecnológicos y virtuales de esta Superintendencia como lo es la recepción de comunicaciones al correo electrónico contactenos@sic.gov.co, los términos para que la recurrente lo respondiera se reanudaran el primero de abril de 2020.

En ese orden de ideas, al contabilizarse el término desde el 13 de marzo de 2020, es decir desde el día siguiente a la entrega del requerimiento, y con suspensión de términos del 17 al 31 de marzo de 2020, la FUNDACIÓN EDUCACIONAL RUPERTO AGUILERA LEÓN debió responder el mentado requerimiento hasta el 6 de abril de 2020. Pese al citado error, la recurrente presentó de manera extemporánea la respuesta el día 13 de mayo de 2020.

De acuerdo con lo anterior, este Despacho confirma que dentro de esta actuación administrativa está claramente demostrado que la FUNDACIÓN EDUCACIONAL RUPERTO AGUILERA LEÓN atendió extemporáneamente el requerimiento 19-134202-00001 del 3 de marzo de 2020, lo cual implicó que desconociera el cumplimiento del deber previsto en literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 19 de la misma ley y el literal f) del artículo 21 ejúsdem.

4. LOS RESPONSABLES DEL TRATAMIENTO TIENEN LA CARGA PROBAR EL CUMPLIMIENTO DE SUS DEBERES LEGALES La regulación colombiana sobre Tratamiento de datos impone al Responsable del Tratamiento el deber demostrar que ha adoptado medidas efectivas para cumplir la ley (Deber de Responsabilidad demostrada). Esto se deriva de lo expresamente señalado en el Decreto 1377 de 20136que ordena lo siguiente: “Artículo 26.

Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto (…)”. (Destacamos y subrayamos). Sobre este punto, en la Sentencia C-32 del 18 de febrero de 2021 la Corte Constitucional reiteró lo anterior en los siguientes términos: “219.

El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013. El artículo 26 de esa normativa determina que los responsables del tratamiento de datos personales deberán demostrar, a petición de la Superintendencia de Industria y Comercio, entidad que obra como autoridad colombiana de protección de datos, que han implementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas.

(…) “El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho al habeas data, en especial, la vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal.” (…) “el principio de responsabilidad demostrada no se opone a la Constitución sino que, antes bien, es desarrollo propio de la eficacia del derecho al habeas data.

(…) “. (Destacamos) Adicionalmente, de la lectura de la Ley Estatutaria 1581 de 2012 y sus decretos reglamentarios se advierten las siguientes cargas probatoria: • Acreditar prueba de la autorización del Titular del dato7. • Demostrar que se informó lo que ordena el parágrafo del artículo 12 de dicha ley • Suministrar una descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso8. f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.

( )”. Incorporado en el Decreto 1074 de 2015 Cfr. Literal b) del artículo 17 de la Ley 1581 de 2012 Artículo 4 del Decreto 1377 de 2013. HOJA Nº, 9 “Por la cual se resuelve un recurso de apelación” • Documentar los procedimientos para el tratamiento, conservación y supresión de los datos personales de conformidad con las disposiciones aplicables a la materia de que se trate9. • Desarrollar sus políticas para el tratamiento de los datos personales y velar porque los encargados del tratamiento den cabal cumplimiento a las mismas10. • Conservar el modelo del aviso de privacidad que utilicen para cumplir con el deber que tienen de dar a conocer a los titulares la existencia de políticas del tratamiento de la información y la forma de acceder a las mismas, mientras se traten datos personales conforme al mismo y perduren las obligaciones que de este se deriven11. • Adoptar las medidas razonables para asegurar que los datos personales que reposan en las bases de datos sean precisos y suficientes y, cuando así lo solicite el titular o cuando el responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento12.

En el presente caso, no estamos frente a una investigación mediante la cual se esté estableciendo la eventual responsabilidad penal de una persona. Bajo estas premisas, la recurrente estaba en el deber de demostrarle a esta Superintendencia de Industria y Comercio el cumplimiento de los deberes transgredidos. Esto es, aquellos establecidos en la Resolución Nº 34675 del 2 de julio de 2020, por medio de la cual se formularon los siguientes cargos a la recurrente: I. II.

III. IV. V. El presunto incumplimiento del deber de adoptar una Política de Tratamiento de Datos Personales de acuerdo con lo previsto en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la misma ley, en concordancia con el literal e) del artículo 4 ejúsdem, y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015.

La presunta vulneración al deber que la investigada ostenta en su condición de Por la cual se incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de Responsable del Tratamiento de desarrollar e implementar un manual de Políticas de Seguridad de otras conformidad con el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4) de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.

La presunta vulneración al deber que le asiste a la entidad sin ánimo de lucro investigada en su condición de Responsable del Tratamiento de adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos, contemplado en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 ibídem.

La presunta vulneración al deber que le asiste a la entidad sin ánimo de lucro investigada en su condición de Responsable del Tratamiento de desarrollar e implementar un procedimiento para la recolección, almacenamiento, uso circulación y supresión de la información, de conformidad con lo previsto en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015, el inciso 2 del artículo 2.2.2.25.6.1. y el inciso 2 del artículo 2.2.2.25.2.8 ejúsdem.

La presunta contravención por parte de la investigada en su condición de Responsable del Tratamiento del deber de atender los requerimientos de la autoridad de protección de datos personales, consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 19 de la misma ley y el literal f) del artículo 21.

5. DE LA FACULTAD LEGAL DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO PARA EMITIR ÓRDENES Como es sabido, el artículo 19 de la Ley Estatutaria 1581 de 2012, le otorgó competencia a esta entidad, a través de la Delegatura para la Protección de Datos Personales, para ejercer: “(…) la vigilancia necesaria para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.” Asimismo, el artículo 21 determina las funciones que debe cumplir la Superintendencia de Industria y Comercio, en virtud de la competencia conferida por el artículo 19 mencionado: Artículo 11 del Decreto 1377 de 2013.

Artículo 13 del Decreto 1377 de 2013. Artículo 16 del Decreto 1377 de 2013. Artículo 22 del Decreto 1377 de 2013. HOJA Nº,10 “Por la cual se resuelve un recurso de apelación” “ARTÍCULO 21. FUNCIONES. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: a. “Velar por el cumplimiento de la legislación en materia de protección de datos [sic] personales; b. “Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas [sic] data.

Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos [sic], la rectificación, actualización o supresión de los mismos; (…) e. “Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley;”.

(Destacamos). Visto lo anterior, existen expresas y suficientes facultades legales para que esta autoridad pueda impartir órdenes o instrucciones con miras a proteger el derecho al debido tratamiento de los datos personales. No sobra traer a colación que, el artículo 21 fue declarado exequible por la Corte Constitucional mediante la Sentencia C-748 de 2011, la cual en su numeral 2.20.3, expresa: “Esta disposición enlista las funciones que ejercerá la nueva Delegatura de protección de datos personales.

Al estudiar las funciones a ella asignadas, encuentra esta Sala que todas corresponden y despliegan los estándares internacionales establecidos sobre la autoridad de vigilancia. En efecto, desarrollan las funciones de vigilancia del cumplimiento de la normativa, de investigación y sanción por su incumplimiento, de vigilancia de la transferencia internacional de datos y de promoción de la protección de datos.” Así, la ley colombiana faculta a la Superintendencia de Industria y Comercio no solo para emitir órdenes o instrucciones sino para exigir el debido Tratamiento de los Datos personales.

Por eso, emitir una orden es un acto respetuoso del marco legal. Finalmente, y no menos importante, de la lectura del artículo 23 de la Ley Estatutaria 1581 de 2012 se puede constatar que las órdenes no son sanciones: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: “a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;” Dado lo anterior, para la emisión de una orden no es necesario observar las pautas del procedimiento administrativo sancionatorio a que se refiere el artículo 47 y siguientes de la ley 1437 de 2011.

En suma, las órdenes no son sanciones sino medidas necesarias para, entre otras, hacer efectivo el derecho al debido tratamiento de datos personales o para que los Responsables del Tratamiento y Encargados del Tratamiento cumplan correctamente lo previsto en la regulación con miras a garantizar el debido tratamiento de los datos personales y el respeto de los derechos de los Titulares HOJA Nº,11 “Por la cual se resuelve un recurso de apelación” de los datos.

Por ende, son consistentes con la regulación de tratamiento de datos personales las órdenes emitidas mediante la resolución recurrida.

6. DEL TRATAMIENTO DE DATOS PERSONALES EN EL SECTOR DE LA EDUCACIÓN La Superintendencia de Industria y Comercio ha realizado esfuerzos para orientar a las instituciones educativas y a los padres y representantes legales de los niños, niñas y adolescentes acerca del derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar su información personal, especialmente en el marco de las actividades del sector educativo, tanto publico como privado.

Y, también, el adecuado tratamiento de los mismos, de acuerdo con la normatividad vigente, particularmente el artículo 15 de la Constitución Política y la Ley Estatutaria 1581 de 2015. La Ley 115 de 1994 define las distintas etapas del ciclo educativo. La educación se clasifica inicialmente en educación formal e informal. Según el artículo 10 de la citada Ley, la educación formal se define como “aquella que se imparte en establecimientos educativos aprobados, en una secuencia regular de ciclos lectivos, con sujeción a pautas curriculares progresivas, y conducente a grados y títulos”.

Por su parte, la educación básica es aquella con una duración de nueve (9) grados que se desarrollará en dos ciclos: La educación básica primaria de cinco (5) grados y la educación básica secundaria de cuatro (4) grados. Según el artículo 19 “La educación básica obligatoria corresponde a la identificada en el artículo 356 de la Constitución Política como educación primaria y secundaria; comprende nueve (9) grados y se estructurará en torno a un currículo común, conformado por las áreas fundamentales del conocimiento y de la actividad humana”.

Ahora bien, la educación media tiene una duración de dos (2) grados y según el artículo 27 de la citada norma “constituye la culminación, consolidación y avance en el logro de los niveles anteriores y comprende dos grados, el décimo (10o) y el undécimo (11o). Tiene como fin la comprensión de las ideas y los valores universales y la preparación para el ingreso del educando a la educación superior y al trabajo”.

Con esto en mente, desde el momento en que el menor, representado por su padres o acudientes, acude a los centros educativos (públicos o privados) para obtener un cupo escolar a través de un proceso de inscripción o matrícula, hasta el momento en que el alumno finaliza sus estudios en dicho centro educativo (bien para continuarlo en otro centro educativo o en una institución de educación personal, o bien para dedicarse a otro tipo de actividades), se requiere el Tratamiento de datos personales, tanto del alumno como de su familia, seres cercanos o allegados.

Por ejemplo, es una práctica común en todas las instituciones educativas que en el momento en que los futuros alumnos van a adelantar los trámites necesarios para ser admitidos, se les soliciten algunos datos personales a través de formularios especiales creados por cada institución para el efecto. En términos generales, la información que es materia de tratamiento en un Centro Educativo y que es recolectada al momento de diligenciarse el formulario de inscripción o matrícula, es la siguiente: • • • • • • • • • • • • • • • Nombre y apellido del alumno Identificación del alumno Edad (fecha de nacimiento) del alumno Dirección y teléfono de residencia Nombre y apellido de los padres, representantes o acudientes autorizados Fecha de nacimiento Identificación Dirección y teléfono de residencia Actividad laboral o profesional, incluyendo certificados laborales Dirección y teléfono del lugar de trabajo Dirección de correo electrónico Composición del núcleo familiar (nombre y edad de los hermanos) Antecedentes académicos relevantes del alumno Antecedentes médicos o clínicos relevantes del alumno Antecedentes psicológicos relevantes del alumno. Bajo dicho entendido, en los formularios donde se solicita la información para la obtención del cupo escolar, se recomienda incluir un texto claro y didáctico en el que se informe, por lo menos: I. Qué tipo de información se va a recolectar;

HOJA Nº,12 “Por la cual se resuelve un recurso de apelación” II. III. IV. V. VI. VII. El uso o finalidad específico que el centro educativo considera darle a esa información; El acceso que personal del centro educativo o terceros autorizados por la ley pueden tener a esa información; La posibilidad acorde con la ley de transferir esa información – entre otros – a otros centros educativos, autoridades y encargados del tratamiento ubicados en el territorio nacional o en un lugar en el extranjero;

Los casos en que la información personal recolectada puede ser suprimida definitivamente de los archivos o bases de datos del centro educativo; Los derechos que les asisten; y La forma como pueden acceder a las políticas de Tratamiento de la información adoptadas por este. Por último, se le recuerda a la recurrente que la Superintendencia de Industria y Comercio tiene a su disposición la Guía para el tratamiento de Datos personales para el sector de la educación pública y privada13.

En ella, también puede consultar recomendaciones sobre: i) El manejo del expediente académico y, ii) lo referente a ayudas financieras o “becas” escolares.

7. LA LEY 1581 ES APLICABLE A LA FUNDACIÓN EDUCACIONAL RUPERTO AGUILERA LEÓN PORQUE REALIZAN UN TRATAMIENTO DE DATOS PERSONALES EN EL TERRITORIO DE LA REPÚBLICA DE COLOMBIA La recurrente expresa que no maneja bases de datos y con lo único que cuenta es con libros de matrículas, enfatizando que antes del 20 de marzo de 2020 no tenía bases de datos y, en consecuencia, tampoco políticas de protección de datos personales.

Añade que, en dicha fecha, por la pandemia se vio la necesidad de recurrir a la virtualidad y ello conllevó a la creación de grupos de WhatsApp para lo que se requieren números de celular de estudiantes, padres de familia y acudientes, así como correos electrónicos, lo cual implicó la adopción de unas políticas y procedimientos para la protección de datos personales.

A su vez, aduce que las políticas en materia de protección de datos personales remitidas a esta entidad corresponden a las que se estaban implementando y que la Superintendencia nunca preguntó si se manejaban bases de datos. Por su parte, el artículo 15 de la Constitución Política Colombiana establece el Derecho Fundamental al debido Tratamiento de Datos personales, de la siguiente manera: “Todas las personas tienen (…) derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas.

En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución ( )”. (Énfasis añadido). La Ley Estatutaria 1581 de 2012, por su parte, establece en su artículo 3 las siguientes definiciones: “Artículo 3°. Definiciones. Para los efectos de la presente ley, se entiende por: a) Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales; b) Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento; c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables; d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento; e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;

El texto completo del documento puede https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Publicaciones/Guia_datos_educacion_publica_nov27.pdf consultarse en: HOJA Nº,13 “Por la cual se resuelve un recurso de apelación” f) Titular: Persona natural cuyos datos personales sean objeto de Tratamiento; g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.

(Destacamos). Nótese como para la Constitución de la República de Colombia y la ley es importante la recolección y el Tratamiento de Datos sin que sea relevante si la misma se realiza mediante mecanismos manuales, automatizados o si se recurre al uso de tecnologías conocidas o por conocer para dicho efecto. Por tanto, lo determinante es que la recolección o el tratamiento de datos no se haga de cualquier manera sino respetando la libertad y demás garantías establecidas en la misma.

Con esto en mente, el significado legal de Tratamiento tiene varias características: • En primer lugar, es omnicomprensiva porque incluye toda actividad, operación o conjunto de operaciones sobre Datos personales. Además, no se limita a los ejemplos enunciativos del citado concepto legal, sino que, abarca cualquier otro que involucre directa o indirectamente el uso, almacenamiento o circulación de Datos personales.

Sobre este punto, la Corte Constitucional señaló en el numeral 2.5.9. de la Sentencia C-748 de 2011 que, “lo que se pretende con este proyecto es que todas las operaciones o conjunto de operaciones con los datos personales quede regulada por las disposiciones del proyecto de ley en mención, con las salvedades que serán analizadas en otro apartado de esta providencia”.

(Destacamos). • En segundo lugar, la operación o conjunto de operaciones sobre Datos personales puede ser realizada directa o indirectamente por una o varias personas de forma tal que, en un Tratamiento de Datos personales pueden existir varios Responsables o corresponsables. Debe precisarse que, no es necesario que todas las etapas del Tratamiento las realice una misma empresa u organismo.

Puede ser un Tratamiento diseñado por una organización en la que se divide el trabajo para alcanzar ciertos objetivos, pero, al final, unos y otros son Responsables y corresponsables del Tratamiento de Datos personales. • En tercer lugar, la regulación sobre Tratamiento de Datos Personales debe aplicarse al margen de los procedimientos, metodologías o tecnologías que se utilicen para recolectar, usar o tratar ese tipo de información. La ley colombiana permite el uso de tecnologías para Tratar Datos pero, al mismo tiempo, exige que se haga de manera respetuosa del ordenamiento jurídico.

Quienes crean, diseñan o usan “innovaciones tecnológicas” deben cumplir todas las normas sobre tratamiento de datos personales Así las cosas, la Ley Estatutaria 1581 de 2012 es aplicable, entre otras, cuando: a. El Tratamiento lo realiza el Responsable o Encargado, domiciliados o no en territorio colombiano, que directa o indirectamente, a través de cualquier medio o procedimiento, físico o electrónico, recolecta, usa, almacena o trata Datos personales en el territorio de la República de Colombia.

Las anteriores hipótesis son ejemplos de “Tratamiento de Datos personales efectuado en territorio colombiano” a que se refiere la parte primera del mencionado artículo 2. b. El Responsable o el Encargado no está domiciliado en la República de Colombia ni realiza Tratamiento de Datos dentro del territorio colombiano. Pero, existen normas o tratados internacionales que los obliga a cumplir la regulación colombiana.

En el caso bajo estudio, la FUNDACIÓN EDUCACIONAL RUPERTO AGUILERA LEÓN está inmersa en lo establecido en el literal a) toda vez que realiza un Tratamiento de Datos personales en el territorio colombiano de, entre otros, de menores de edad. Lo anterior, toda vez que respecto de los libros de matriculas14 aportados por la recurrente del año 1998 de los estudiantes de pre-escolar, primaria y bachillerato, se encuentra que la FUNDACIÓN EDUCACIONAL RUPERTO AGUILERA LEÓN recolecta y almacena, desde ese entonces, los siguientes Datos personales de menores de edad: (i) Nombre (ii) Número de identificación Anexos a la comunicación con radicado 19-134202-00027 del 30 de junio de 2021.

HOJA Nº,14 “Por la cual se resuelve un recurso de apelación” (iii) Lugar y fecha de nacimiento (iv) Edad (v) Instituciones educativas en las que curso previamente estudios. Así mismo, de los padres y acudientes recolecta los siguientes Datos personales: (i) Nombre de los padres (ii) Dirección y teléfono de los padres (iii) Nombre del acudiente (iv) Dirección y teléfono del acudiente Como evidencia de lo anterior, se toma una imagen de una página del libro de matrículas de bachillerato, en la que se visualiza que estos datos son recolectados por la recurrente desde 199815: Esto, además, da cuenta que la recurrente sí ha realizado un Tratamiento de Datos personales con anterioridad al 20 de marzo del 2020.

En suma, el Tratamiento de Datos Personales que realiza FUNDACIÓN EDUCACIONAL RUPERTO AGUILERA LEÓN está cobijado dentro del ámbito de aplicación de la Ley Estatutaria 1581 de 2012 porque realiza Tratamiento de datos personales al, entre otras recolectar datos en el proceso de matrículas.

8. DEL TRATAMIENTO ADOLESCENTES DE DATOS PERSONALES DE LOS NIÑOS, NIÑAS Y Como es sabido, cada día aumenta el uso de servicios digitales, portales web, redes sociales y aplicaciones tecnológicas por parte de los niños, niñas y adolescentes (en adelante NNA). Los NNA son personas altamente influenciadas por la tecnología, internet y las redes sociales.

Los menores de edad tienen acceso a internet a través de celulares, tabletas y computadores. La aparición de las redes sociales, los juegos en línea y los espacios de aprendizaje en internet, han abierto nuevos escenarios de interacción para los niños, niñas y adolescentes. Lo que estos desconocen, es que cuando se accede a páginas en internet, de forma casi automática, se recaban Datos que permiten a los portales de internet y a terceros, saber quién ha accedido; en qué ubicación se encuentra; qué tipo de información consume; entre otros.

Así las cosas, los Datos personales de niños, niñas y adolescentes son recolectados, usados y tratados por empresas, personas y entidades públicas ubicadas en diferentes partes del mundo. Adicionalmente, los menores de edad comparten su información personal ignorando los peligros a los que se exponen al suministrar sus Datos y la información de terceros (amigos; compañeros de Tomada del Libro de Matrículas Bachillerato 1998 anexo a la comunicación con radicado 19- 134202-00027 del 30 de junio de 2021.

HOJA Nº,15 “Por la cual se resuelve un recurso de apelación” colegio; su familia, entre otros) en plataformas web de manera indiscriminada. Nombres; apellidos; fotos; videos; comentarios; la edad; los gustos y preferencias; Datos como correo electrónico; entre otros, son compartidos por los menores de edad sin pensar que estos hacen parte de su información personal y privada, que hace parte de su identidad digital.

Tampoco tienen presente que una vez difunde su información en internet perderán control de la misma. Lo que se hace en internet deja huella y una vez se pone información en la red se pierde control sobre la misma porque puede ser recolectada y usada por terceros. Igualmente, cada vez que los NNA se registran en las redes sociales, en páginas de internet, aplicaciones o en las páginas de juegos en línea, están creando una identidad digital a partir de sus Datos personales.

Progresivamente han venido aumentado los casos que evidencian los riesgos y peligros a que se ven expuestos las NNA que interactúan en las redes sociales digitales y otros canales digitales. Esas redes y tecnologías, por sí solas no son el problema, pero, infortunadamente, algunas personas han encontrado en las mismas un escenario perfecto para realizar conductas indebidas.

El acoso sexual “grooming”; el acoso online “ciberbullying”; los chantajes; la pornografía; las amenazas e invasiones de su privacidad están al orden del día. La Organización para la Cooperación y el Desarrollo Económico (OCDE) estableció los “principios para un entorno digital seguro y beneficioso para los niños”16 en donde pone de presente que, entre otras, las organizaciones públicas y privadas que desempeñan un papel activo en el establecimiento de políticas y prácticas o en la prestación de servicios para los niños en el entorno digital, deben: a) Defender el interés superior del niño como consideración primordial; e b) Identificar cómo se pueden proteger y respetar los derechos de los niños en el entorno digital y tomar las medidas adecuadas para hacerlo.

Adicionalmente, señala la OCDE que se deben tomar medidas para ayudar a los niños a darse cuenta de los beneficios y disfrutar de aquellos en el entorno digital al: • Apoyar a los padres, tutores y cuidadores en su papel fundamental de evaluar y minimizar los riesgos a daños y optimizar los beneficios para sus hijos tanto en línea como fuera de línea; • Asegurar que los niños y sus padres, tutores y cuidadores sean conscientes de sus derechos en el entorno digital y establecer mecanismos accesibles para hacer cumplir dichos derechos, incluidos los mecanismos de denuncia u otros recursos legales; • Apoyar a los niños y a sus padres, tutores y cuidadores para que comprendan: o los derechos de los niños como Titulares de información; y o la forma en que se recopilan, tratan, comparten y utilizan los Datos personales de los niños; • Defender y respetar el derecho de los niños a expresar libremente sus opiniones y su capacidad, según corresponda teniendo en cuenta su edad y madurez, para participar en los asuntos que les afecten en el entorno digital; • Dar a conocer a los niños, así como a sus padres, tutores y cuidadores, los servicios legales, psicosociales o terapéuticos disponibles para los niños que requieran asistencia como resultado de actividades o acciones en el entorno digital, y facilitar el acceso a estos; y • Desarrollar mecanismos para generar consciencia a los niños, padres, tutores y cuidadores de las prácticas comerciales en línea que puedan causar daños a los niños.

En línea con lo anterior, y dentro del marco de sus competencias legales como Autoridad de Protección de Datos Personales, la Superintendencia de Industria y Comercio (SIC) está facultada para ejercer “la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley”17.

9. DATOS PERSONALES DE NIÑOS, NIÑAS Y ADOLESCENTES. SUJETOS DE ESPECIAL PROTECCIÓN CONSTITUCIONAL Dada la importancia de los niños, niñas y adolescentes (NNA), a continuación, nos referiremos a sus derechos en la Constitución de la República de Colombia y en la Ley 1098 de 2006 (Código de la Infancia y la Adolescencia) así como a los derechos de los NNA frente al Tratamiento de sus Datos personales y la Autorización que exige la ley para que la recolección de sus Datos sea lícita.

Cfr. OECD (2021). Recommendation of the https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0389 Cfr. Artículo 19 de la Ley Estatutaria 1581 de 2012 Council on Children in the Digital Environment. En: HOJA Nº,16 “Por la cual se resuelve un recurso de apelación” A. LOS DERECHOS DE LOS NIÑOS, NIÑAS Y ADOLESCENTES EN NUESTRA CONSTITUCIÓN POLÍTICA Y EN LA LEY 1098 DE 2006 (CÓDIGO DE LA INFANCIA Y LA ADOLESCENCIA) Conviene empezar por referir lo establecido en el artículo 44 de Constitución Política de Colombia, donde se da prevalencia a la protección de los niños, niñas y adolescentes, quienes son sujetos que gozan de una protección reforzada por parte del Estado, señalando específicamente que: “Son derechos fundamentales de los niños: la vida, la integridad física, la salud y la seguridad social, la alimentación equilibrada, su nombre y nacionalidad, tener una familia y no ser separados de ella, el cuidado y amor, la educación y la cultura, la recreación y la libre expresión de su opinión. Serán protegidos contra toda forma de abandono, violencia física o moral, secuestro, venta, abuso sexual, explotación laboral o económica y trabajos riesgosos.

Gozarán también de los demás derechos consagrados en la Constitución, en las leyes y en los tratados internacionales ratificados por Colombia. La familia, la sociedad y el Estado tienen la obligación de asistir y proteger al niño para garantizar su desarrollo armónico e integral y el ejercicio pleno de sus derechos. Cualquier persona puede exigir de la autoridad competente su cumplimiento y la sanción de los infractores.

Los derechos de los niños prevalecen sobre los derechos de los demás”. (Destacamos). Dentro de la normatividad colombiana se acoge y desarrolla el principio de protección integral, en virtud del cual se establece un conjunto de derechos y garantías encaminados a proteger los derechos de los niños, niñas y adolescentes (NNA) como sujetos que gozan de protección especial de acuerdo con lo establecido en el artículo 44 mencionado.

Y, entre otras, establece el deber del Estado de protegerlos ante cualquier acción que afecte sus derechos a la intimidad y al buen nombre. En este sentido el Código de la Infancia y la Adolescencia18 en su artículo 7, adopta el principio de la protección integral así: “Protección Integral. Se entiende por protección integral de los niños, niñas y adolescentes el reconocimiento como sujetos de derechos, la garantía y cumplimiento de los mismos, la prevención de su amenaza o vulneración y la seguridad de su restablecimiento inmediato en desarrollo del principio del interés superior.

La protección integral se materializa en el conjunto de políticas, planes, programas y acciones que se ejecuten en los ámbitos nacional, departamental, distrital y municipal con la correspondiente asignación de recursos financieros, físicos y humanos”. Este principio es el parámetro fundamental para las acciones de protección a cargo de la familia, la sociedad y el Estado, así como las garantías a favor de los niños, niñas y adolescentes, entre las que están aquellas encaminadas a garantizar el goce efectivo del derecho a la intimidad y el respeto de su dignidad humana, dispuesto en el artículo 33 de Ley 1098 de 2006 (Código de la Infancia y la Adolescencia): “Derecho a la Intimidad.

Los niños, las niñas y los adolescentes tienen derecho a la intimidad personal, mediante la protección contra toda injerencia arbitraria o ilegal en su vida privada, la de su familia, domicilio y correspondencia. Así mismo, serán protegidos contra toda conducta, acción o circunstancia que afecte su dignidad”. B. SEGÚN LA LEY COLOMBIANA, LOS NIÑOS, NIÑAS Y ADOLESCENTES SON LOS MENORES DE DIECIOCHO (18) AÑOS Sobre este punto, es pertinente recordar lo establecido por el artículo 3 de la Ley 1098 de 2006: “Sujetos titulares de derechos.

Para todos los efectos de esta ley son sujetos titulares de derechos todas las personas menores de 18 años. Sin perjuicio de lo establecido en el artículo 34 del Código Civil, se entiende por niño o niña las personas entre los 0 y los 12 años, y por adolescente las personas entre 12 y 18 años de edad”. (Destacamos). Diario Oficial No. 46.446 de 8 de noviembre de 2006 HOJA Nº,17 “Por la cual se resuelve un recurso de apelación” Esta disposición debe ser concordada con la norma prevista en el artículo 28 del Código Civil colombiano, el cual se refiere al significado de las palabras así: “Las palabras de la ley se entenderán en su sentido natural y obvio, según el uso general de las mismas palabras; pero cuando el legislador las haya definido expresamente para ciertas materias, se les dará en éstas su significado legal”.

(Énfasis añadido). Al realizar un análisis conjunto y sistemático de las normas mencionadas ha sido el legislador el que determinó lo que debe entenderse por menor de edad (niño, niña y/o adolescente). C. DE LA AUTORIZACIÓN PARA RECOLECTAR Y TRATAR LÍCITAMENTE LOS DATOS PERSONALES DE NIÑOS, NIÑAS Y ADOLESCENTES El artículo 15 de la Constitución Política Nacional, establece que “en la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”.

Esta norma fue reglamentada por la Ley Estatutaria 1581 de 2012 que no solo define como “Tratamiento” cualquier actividad que se realice con Datos personales sino que en el artículo 19 determina que, “La Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos [sic] personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.” El Título III de la Ley 1581 de 2012, incluye dentro de la categoría especial de Datos personales, los de los niños, niñas y adolescentes, señalando expresamente en su artículo 7: “En el Tratamiento se asegurará el respeto a los derechos prevalentes de los niños, niñas y adolescentes.

Queda proscrito el Tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública (…)”. (Énfasis añadido). En este punto resulta necesario traer a colación las consideraciones iniciales realizadas por la Corte Constitucional en la Sentencia C-748 de 2011 al examinar la constitucionalidad del artículo mencionado: “2.9.3.4.

El examen de constitucionalidad del artículo 7 A la luz de lo expuesto precedentemente, esta Corporación considera que el principio del interés superior de los niños, las niñas y adolescentes se concreta, en el caso particular, en el establecimiento de condiciones que permitan garantizar los derechos de los menores de 18 años en la sociedad de la Información y el Conocimiento, dentro de la cual se encuentran las herramientas de Internet y redes sociales.

Se concluye entonces, ante la evidencia del entorno inmediato que rodea el proceso de crecimiento y desarrollo de los niños, las niñas y los adolescentes en el aspecto físico, mental y emocional; y la urgencia del reconocimiento de su dignidad humana, que todos los actores involucrados en el aseguramiento y efectividad de los derechos de los menores de 18 años deben cumplir con sus responsabilidades en la protección de los mismos, concretamente, en la salvaguarda de sus datos personales”.

(Subrayado fuera del texto). El artículo 9, por su parte, recalca lo siguiente en relación con la Autorización del Titular, “Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior” Por su parte, el Decreto 1074 de 2015 precisa: “Artículo 2.2.2.25.2.9.

Requisitos especiales para el tratamiento [sic] de datos [sic] personales de niños, niñas y adolescentes. El Tratamiento de datos [sic] personales de niños, niñas y adolescentes está prohibido, excepto cuando se trate de datos [sic] de naturaleza pública, de conformidad con lo establecido en el artículo 7 de la Ley 1581 de 2012 y cuando dicho Tratamiento cumpla con los siguientes parámetros y requisitos: HOJA Nº,18 “Por la cual se resuelve un recurso de apelación” 1.

Que responda y respete el interior superior de los niños, niñas y adolescentes. 2. Que se asegure el respeto de sus derechos fundamentales. Cumplidos los anteriores requisitos, el representante legal del niño, niña o adolescente otorgará la autorización previo ejercicio del menor de su derecho a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto.

Todo responsable y encargado involucrado en el tratamiento de los datos personales de niños, niñas y adolescentes, deberá velar por el uso adecuado de los mismos. Para este fin deberán aplicarse los principios y obligaciones establecidos en la Ley 1581 de 2012 y presente capítulo. La familia y la sociedad deben velar porque los responsables [sic] y encargados [sic] del tratamiento [sic] de los datos [sic] personales de los menores de edad cumplan las obligaciones establecidas en la Ley 1581 de 2012 y el presente capítulo”.

(Énfasis añadido). La Corte Constitucional mediante la Sentencia T-260 de 2012 señaló: “La afectación de los derechos fundamentales en redes sociales ( ) puede generarse en el momento en el cual el usuario se registra en la red escogida, durante su participación en la plataforma, e incluso en el momento en que decide dejar de utilizar el servicio.

En el estudio sobre la privacidad de los datos personales y la seguridad de la información en las redes sociales on line, realizado por el Instituto Nacional de Tecnologías de la Comunicación Agencia Española de Protección de Datos- se señala que el primer momento crítico se sitúa al momento del registro del usuario y la configuración del perfil, pues este incidirá en el derecho a la intimidad y en el honor y la honra en caso de que el usuario no establezca adecuadamente su perfil de privacidad en el momento del registro, ya sea por desconocimiento o porque la red no disponga de estas opciones de configuración. Los derechos de los usuarios pueden verse afectados además con la publicación de contenidos e información en la plataforma –fotos, videos, mensaje, estados, comentarios a publicaciones de amigos-, “pues los alcances sobre la privacidad de los mismos pueden tener un alcance mayor al que consideró el usuario en un primer momento, ya que estas plataformas disponen de potentes herramientas de intercambio de información, de capacidad de procesamiento y de análisis de la información facilitada por los usuarios”.

En el caso en particular de los menores de edad los riesgos están íntimamente relacionados con lo siguiente: los niños y niñas tienen la posibilidad de acceder en las redes sociales a contenidos de carácter inapropiado para su edad; los menores tienen la posibilidad de iniciar contacto on line, e incluso físicamente con usuarios malintencionados; existe proliferación de la información personal gráfica de los menores, ya sea publicada por ellos mismos o por terceros con desconocimiento de los riesgos a los cuales pueden ser expuestos.

Las anteriores circunstancias pueden exponer a los niños y niñas, en caso de no acceder al mundo de las redes sociales con el debido acompañamiento de los padres a situaciones como abusos, discriminación, pornografía y otros que pueden incidir de manera negativa en su crecimiento y desarrollo armónico e integral. Tales riesgos pueden ser evitados si se tiene conocimiento acerca del funcionamiento y las políticas de privacidad de los diferentes sitios en línea, en especial de las redes sociales.

De allí que en el caso específico de los menores de edad, en especial niños y niñas, el acceso a las redes sociales debe darse con el acompañamiento de los padre o personales responsables de su cuidado, a fin de que éstos sean consientes de que si bien en mundo de la información y la tecnología implica un sinnúmero de beneficios para su desarrollo, al mismo tiempo genera una serie de riesgos que se pueden evitar con un correcto manejo de la información y con una adecuada interacción con los demás miembros de la red”.

Asimismo, la misma corporación en la Sentencia T-620 de 2019 determinó en relación con los menores de edad (entiéndase el significado establecido en el Código de la Infancia y la Adolescencia): “Entonces, la labor periodística no puede ser utilizada para publicar contenido de manera irresponsable, que revele datos íntimos de menores de edad sin la autorización previa de su titular y sus representantes legales, pues por su situación de indefensión, vulnerabilidad y debilidad, los niños, niñas y adolescentes deben ser especialmente protegidos por la familia, la sociedad y el Estado”.

(Énfasis añadido). HOJA Nº,19 “Por la cual se resuelve un recurso de apelación” De acuerdo con todo lo anterior se concluye que, el Tratamiento de los Datos personales de los menores de edad responde al interés constitucional de los mismos. Los niños, niñas y adolescentes son Titulares del Derecho Fundamental de Habeas Data y del debido Tratamiento de sus Datos personales.

La Autorización para el Tratamiento de esa información debe ser otorgada por el representante legal del niño, niña o adolescente, tal como lo señala el artículo 12 del Decreto 1377 de 2013. 10. PROPORCIONALIDAD Y RAZONABILIDAD EN LA SANCIÓN ADMINISTRATIVA Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe, sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.

Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”19. A lo largo de la presente actuación administrativa se logró demostrar que la recurrente vulneró los deberes establecidos en las siguientes normas: i. ii. iii. iv.

Literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la misma ley y el literal e) del artículo 4 ejúsdem, y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015; Literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4) de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015;

Literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 ibídem; (vi) literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015, el inciso 2 del artículo 2.2.2.25.6.1. y el inciso 2 del artículo 2.2.2.25.2.8 ejúsdem y;

Literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 19 de la misma ley y el literal f) del artículo 21 ejúsdem. Ahora, el artículo 23 de la Ley Estatutaria1581 de 2012 establece las sanciones que puede importar esta Superintendencia de Industria y Comercio a los Responsables y Encargados del Tratamiento. Revisado el expediente y el contenido de la resolución recurrida, se encuentra entonces que, “(…) los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y;

(iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho. El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones”. (Destacamos). Más aún, la Dirección de Investigación de Protección de Datos Personales por medio de la Resolución Nº 47522 del 29 de julio de 202120 redujo la multa inicial en los siguientes términos: Corte Constitucional, sentencia C-818 del de agosto de https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 2005.

MP. Dr. Rodrigo Escobar Gil. En: HOJA Nº,20 “Por la cual se resuelve un recurso de apelación” Entonces, la sanción impuesta, tiene como objetivo que la investigada en el futuro no incurra en violaciones al derecho de hábeas data de los Titulares de la información y, en su defecto, cumpla a cabalidad con las disposiciones de la Ley Estatutaria 1581 de 2012 y demás normas que rigen el sistema de protección de datos personales en Colombia.

Finalmente, resulta pertinente resaltar lo siguiente: 1. La multa de SEIS MILLONES NOVECIENTOS TREINTA Y CUATRO MIL OCHOCIENTOS VEINTIOCHO PESOS M/CTE ($ 6.934.828), equivale al 0,38% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). 2. El monto de dicha sanción es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia de esta actuación administrativa.

Así como del incumplimiento de los deberes impuestos por la Ley Estatutaria 1581 de 2012 a los Responsables del Tratamiento de los Datos personales. 3. La Resolución recurrida fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular y en particular los mandatos legales señalados. 4.

Las sanciones que se imponen dentro de esta clase de procesos no tienen como fin reparar los daños o perjuicios causados a los Titulares por incumplir la regulación sobre tratamiento de datos personales. Es decir, las normas que protegen el derecho de habeas data o protección de datos personales no se refieren a la responsabilidad civil de los Responsables del Tratamiento de Datos. 5.

La vulneración del derecho de habeas data o la protección de datos personales no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.

Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”21. No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia22. Así las cosas, recalcamos, la violación de Derechos Humanos Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos. Artículo de la Carta Democrática Interamericana la http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm cual se puede consultar en: HOJA Nº,21 “Por la cual se resuelve un recurso de apelación” es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general.

Aunque las razones anteriores son suficientes para confirmar la Resolución No. 23484 del 22 de abril de 2021, esta Delegatura considera pertinente destacar lo siguiente respecto de la Responsabilidad Personal de los Administradores en el Tratamiento de Datos Personales.

11. DE LA RESPONSABILIDAD DE LOS TRATAMIENTO DE DATOS PERSONALES ADMINISTRADORES EN MATERIA DE El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. De aquí́ se desprende la exigencia de obtener resultados positivos y concretos del conjunto de disposiciones mencionadas.

En este caso en particular, del derecho constitucional a la protección de datos previsto en el artículo 15 superior. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el artículo 2 continúa ordenando a las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Las normas que hablan de la protección de datos en el sentido que se estudia, deben ser interpretadas de manera armónica con el ordenamiento jurídico del cual hacen parte y sobre todo con su Constitución Política. Así, su artículo 333 establece que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.

Este “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa. En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.

Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el “fin justifica los medios”. En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no sólo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.

El bien común a que se refiere el precitado artículo 333 mencionado, exige que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas. Es por eso por lo que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley.

Ahora, según el artículo 22 de la ley 222 de 1995 23 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma concordante.

Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”. (Destacamos). En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado.

Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal con la efectividad y rigurosidad requeridas. Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” HOJA Nº,22 “Por la cual se resuelve un recurso de apelación” Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto.

No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumplimiento en todas las actividades que realiza su empresa u organización. El artículo 24 24 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”25.

Las disposiciones referidas, prevén unos elementos de juicio ciertos, (i) el alto nivel de responsabilidad jurídica y económica en cabeza de os administradores, y (ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el tratamiento de datos personales. 12. CONCLUSIONES Sin perjuicio de lo establecido, no se accederá́ a las pretensiones de la recurrente, por, entre otras, las siguientes razones: • La FUNDACIÓN EDUCACIONAL RUPERTO AGUILERA LEÓN realiza un Tratamiento de Datos personales regulado por la Ley 1581 de 2012 toda vez que recolecta y almacena este tipo de información desde 1998 en los libros de matrículas, incluida información de menores de edad. • La FUNDACIÓN EDUCACIONAL RUPERTO AGUILERA LEÓN atendió de forma extemporánea el requerimiento 19-134202-00001 del 3 de marzo de 2020, lo cual implicó que desconociera el cumplimiento del deber previsto en literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 19 de la misma ley y el literal f) del artículo 21 ejúsdem. • En el transcurso de esta actuación administrativa la recurrente estaba en el deber de demostrarle a esta Superintendencia de Industria y Comercio el cumplimiento de los deberes transgredidos.

Esto es, aquellos establecidos en la Resolución Nº 34675 del 2 de julio de 2020. • La multa inicial fue reducida mediante la Resolución Nº 47522 del 29 de julio de 2021 a SEIS MILLONES NOVECIENTOS TREINTA Y CUATRO MIL OCHOCIENTOS VEINTIOCHO PESOS M/CTE ($ 6.934.828). Dicho monto equivale al 0,38% del máximo legal permitido (2000 salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012). • Desde el momento en que el menor de edad, representado por sus representantes legales, acuden a los centros educativos (públicos o privados) para obtener un cupo escolar a través de un proceso de inscripción o matrícula, hasta la fecha en que el alumno finaliza sus estudios en dicho centro educativo se realiza Tratamiento de datos personales, tanto del alumno como de su familia, seres cercanos o allegados. • El Tratamiento de los Datos personales de los menores de edad responde al interés constitucional de los mismos.

Los niños, niñas y adolescentes son Titulares del Derecho Fundamental de Habeas Data y del debido Tratamiento de sus Datos personales. La Autorización para el Tratamiento de esa información debe ser otorgada por el representante legal del niño, niña o adolescente, tal como lo señala el artículo 12 del Decreto 1377 de 2013. Dado lo anterior, este Despacho procederá a confirmar la Resolución No. 23484 del 22 de abril de 2021.

El texto completo del artículo 24 de la ley 222 de 1995 dice lo siguiente: “Artículo

24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten.

En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato socia1 que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.” Parte inicial del artículo 24 de la ley 222 de 1995.

HOJA Nº,23 “Por la cual se resuelve un recurso de apelación”

SEXTO. De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará en su totalidad, la Resolución No. 23484 del 22 de abril de 2021 En mérito de lo expuesto, este Despacho

RESUELVE

PRIMERO. CONFIRMAR la Resolución No. 23484 del 22 de abril de 2021, en los términos que fue modificada mediante la Resolución Nº 47522 del 29 de julio de 2021, de conformidad con lo expuesto en la parte motiva del presente acto administrativo.

SEGUNDO. NOTIFICAR personalmente el contenido de la presente resolución a la FUNDACIÓN EDUCACIONAL RUPERTO AGUILERA LEÓN. Identificada con Nit. 860.521.552-1, a través de su representante legal o apoderado o quien haga sus veces, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.

TERCERO. Informar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., diciembre 30 de 2021 El Superintendente Delegado para la Protección de Datos Personales NELSON Firmado digitalmente por REMOLINA REMOLINA NELSON ANGARITA 2021.12.30 ANGARITA Fecha: 19:33:52 -05'00' NELSON REMOLINA ANGARITA ALC HOJA Nº,24 “Por la cual se resuelve un recurso de apelación” Notificación Investigada: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico26: FUNDACIÓN EDUCACIONAL RUPERTO AGUILERA LEÓN Nit: 860.521.552 – 1 German Hernando Pinzon Pinzon C.C 3.102.698 Calle 2 # 2 – 36 NEMOCÓN / CUNDINAMARCA xxxxxxxxxxxxxxxxxxxxxxxxxx y xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Correos electrónicos para notificación indicados en el escrito de recurso de apelación con radicado 19-134202-00037.

Resolución sancionatoria N° 23484 de 2021

CONSIDERANDO

RESUELVE