(17 SEPTIEMBRE 2020) “Por la cual se impone una sanción y se imparte una orden” Radicación 18-132007 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y
CONSIDERANDO
PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la propiedad horizontal denominada CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL, identificada con Nit.900.546.074-3, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos narrados por la señora XXX XXXX XXXXX XXXXXXXXXX: 1.1 Asegura que en varias ocasiones ha presentado peticiones dirigidas a la administración con el fin de obtener información y documentos que le interesan como propietaria y residente, inclusive, ante la negativa por parte de la administración para atender dichas solicitudes, ha instaurado acciones de Tutela en busca de proteger su derecho fundamental de petición. 1.2 Manifiesta que, el día 8 de abril de 2018 y con la colaboración de los miembros del Consejo de Administración, los señores XXXXXX y XXXXX dieron a conocer a toda la comunidad oficios de la denunciante, los cuales según ellos fueron reproducidos masivamente para conocimiento de todos porque con ellos la suscrita les impedía realizar la labor administrativa. 1.3 Así mismo, manifiesta que la falta de cuidado con la información vulnera los derechos asociados a la protección de datos debido a que, en primer lugar jamás fue informada formalmente sobre los fines para los cuales fue recolectada, y en segundo lugar, los datos de la denunciante y comunicaciones, entre otras, fueron utilizados para causar humillaciones públicas a ella, despojándola de su intimidad, privacidad y buen nombre; finalmente, advierte que toda su información personal fue entregada a terceros, de manera indiscriminada y sin autorización alguna. 1.4 Por último, asevera que la administración de la propiedad horizontal denominada CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL y el Consejo de Administración de la misma copropiedad como coadministradores, han incumplido la Ley 1581 de 2012.
SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: i) ii) iii) iv) El Literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9, de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.
El literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal f) y g) del artículo 4 de la ley en cita. El Literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. Los artículos 2.2.2.25.3.2 y 2.2.2.25.3.3 del Decreto Único Reglamentario 1074 de 2015 en concordancia con el literal e) del artículo 4 de la Ley 1581 de 2012.
“Por la cual se impone una sanción y se imparte una orden” v) HOJA N 2, El Literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1 ejúsdem. El día 8 de marzo de 2019, se inició la presente investigación administrativa mediante la expedición de la Resolución 55661 por medio de la cual se formularon 5 (cinco) cargos a la propiedad horizontal denominada CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL, identificada con Nit.900.546.074-3.
En este punto, es importante precisar que debido a que, en la Resolución de formulación de cargos referida, se cometió un yerro en el número de identificación del sujeto investigado, el NIT fue corregido mediante la Resolución 19226 del 4 de junio de 2019, como se explicará más adelante en este proveído.
TERCERO: Que la Resolución 5566 del 8 de marzo de 2019 fue notificada personalmente a la señora DIANA MILENA SANABRIA PATARROYO, en representación de la propiedad horizontal denominada CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL el 14 de marzo de 2019, según consta en la certificación expedida por la Secretaria General Ad-hoc de esta Superintendencia, radicada bajo el número 18-132007- -12 del 6 de mayo de 2019.
CUARTO: Que mediante escrito radicado bajo el número 18-132007- -00011-0001 del 5 de abril de 2019, la representante legal de la propiedad horizontal denominada CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL, dio respuesta a la formulación de cargos en los siguientes términos: 4.1 Frente al primer cargo afirma que “Mediante comunicación con radicado 18-132007-000040001, recibida en esa entidad el pasado 22 de noviembre de 2018, por medio de la cual el conjunto dio respuesta al requerimiento de su despacho de copias de algunos documentos e información acerca del tratamiento de datos personales, también se adjuntó el Manual de Política de tratamiento de datos personales que adoptó el Conjunto Residencial Plazuelas de Santa Ana P.H, desde el año 2016, en cumplimiento de la Ley 1581 de 2012.
Allí se pueden establecer los mecanismos, protocolos y procedimientos mediante los cuales se hace efectivo el tratamiento de los datos de los residentes del conjunto, y se establecen los parámetros especiales y generales a tener en cuenta para la protección de los mismos”. Igualmente, señala que “(…) la Copropiedad no había tramitado recaudado de manera directa, ninguna información personal de residentes, propietarios o visitantes en base de datos, ni mucho menos se está divulgando ninguna información personal de la señora denunciante XXX XXXX XXXXX XXXXXXXXXX XXXXX (…) Es pertinente aclarar, que la afirmación que sustenta este cargo no tiene ningún aval probatorio, ya que como bien se puede observar las frases que se reproducen en negrillas y con resaltado, en especial las de.
“pedir nombres apellidos del propietario o arrendatario, números de celular, torre, número de apartamento como información de los residentes, para establecer, y controlar quienes ingresen al conjunto” fueron descontextualizadas de lo que se afirmó en escrito del 22 de noviembre de 2018, tal y como puede leerse”. En este mismo sentido precisa que: “(…) dentro del escrito de respuesta al requerimiento (presentado el 22 de noviembre de 2018), se indicó que por consenso general se había acordado en forma verbal que se iban a pedir los nombres del propietario y arrendatario, número de celular, torre y apartamentos para controlar a quienes ingresaran al conjunto, para implementar controles de seguridad, pero nunca se afirmó que se hubiesen realizado dichas gestiones, por el contrario durante todo el escrito de respuesta a dicho requerimiento se negó que se hubiesen recaudado informaciones y mucho menos personales de los propietarios, residentes o visitantes de la copropiedad.
Por ende, las frases que fueron presentadas en el pliego de cargos entre comillas, se presentan por el despacho de una manera descontextualizada y por ende se encuentran alejadas de su significado real, y por ende el despacho no puede imputar el cargo relacionado con éste acápite, basado en afirmaciones Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se inicia una investigación administrativa y se formulan cargos”, radicada bajo el número 18-132007-5.
“Por la cual se impone una sanción y se imparte una orden” HOJA N 3, reproducidas porque fueron alejadas de su contexto, por ende vulneran el debido proceso y el derecho de defensa protegidos por nuestra Constitución Nacional”. 4.2 Por otra parte, expresa que para demostrar que no ha vulnerado los derechos fundamentales al buen nombre, la honra y la intimidad de la denunciante, adjunta copia del fallo de tutela de segunda Instancia proferido por el Juzgado Quinto (5) Civil del Circuito de Bogotá, dentro de la acción de tutela con radicado No. 2018-1036 01 contra la Administración y Consejo de Administración del Conjunto Residencial Plazuelas de Santa Ana, “(…) donde en forma específica en las páginas 7 y 8, se refiere a los derechos al buen nombre, la honra y la intimidad de la señora XXX XXXX XXXXX XXXXX, que también fueron denunciados ante su despacho y que se reproduce así: “Si bien se evidencia las manifestaciones aportadas por quienes afirman asistieron al sorteo de parqueaderos, comentarios donde mencionan que señalaron cosas respecto a la accionante, no obra prueba que soporte que se dijo y en qué condiciones ellos menoscaba la adecuada consideración de la persona, así como tampoco existe trazabilidad que conecten a los declarantes con el hecho pretendido, por lo tanto, al no existir elementos suficientes no es posible amparar el derecho reclamado” Así mismo, informa que “(…) con ocasión a las reiteradas peticiones presentadas a la administración por la denunciante XXX XXXX XXXXX XX, en la que realizando afirmaciones desobligantes en contra de los miembros del Consejo de administración, solicitada los estados de cartera e información privada de los demás residentes del conjunto, y ante la negativa de ésta administración a entregar la información personal de los residentes y propietarios solicitada, procedió a instaurar acción de tutela que se surtió en el Juzgado 22 Penal Municipal de Bogotá-Función Control de Garantías de Bogotá con Radicado 11001408802220170012700 de XXX XXXX XXXXX XXXXXXXXXX contra Administración del Conjunto Residencial Plazuelas de Santa Ana, quien el día 17 de octubre de 2017 resolvió la tutela negándola, en la que en un acápite pertinente para los hechos que se investigan se pronunció así:”Examinado el fondo de la cuestión planteada, encuentra esta judicatura respecto a la información del estado de cuenta de la cartera de cada apartamento, que no existe obligación alguna de parte de la entidad accionada para acceder a lo pedido, pues la información requerida se encuentra amparada por la garantía fundamental del habeas data.
Esto es, se trata de una información relativa a la vida personal de los propietarios de los apartamentos referidos en la petición, la cual se encuentra amparada por la reserva y sólo puede ser levantada por voluntad de su titular o por orden judicial si existen motivos suficientes para ellos cuando está autorizado por la ley”. Para concluir este punto expresa: “(…) le asiste razón al accionado cuando en su respuesta menciona que no es posible dar la información precitada, pues de ser así, tendría que darla a conocer a toda la comunidad, lo que atentaría con el derecho a la intimidad de los copropietarios del Conjunto según lo manifestado y reiterado en la contestación a la acción de tutela.
Ante la impugnación del fallo proferido, por parte de la señora XXX XXXX XXXXX XXXXXX, en la tutela relacionada en el párrafo anterior, el juez de segunda instancia (34 Penal del Circuito con Función de Conocimiento de Bogotá), aseveró en los numerales 3.10 y 312 (…)” De acuerdo con lo anterior, concluye: “(…) se debe tener por probado, que en efecto la administración del Conjunto Residencial Plazuelas de Santa Ana P.H, no vulnera el derecho a la intimidad y a la protección de los datos personales de los residentes del conjunto.
Por lo expresado con anterioridad, se demuestra que no se han transgredido los deberes consagrados en las normas relacionadas en el cargo imputado”. 4.3 Frente al segundo cargo señala que: “Deberá tenerse en cuenta, que junto con la contestación al requerimiento realizado por el despacho, el día 22 de noviembre de 2018, se procedió a adjuntar el Manual de Política de tratamiento de datos personales que adoptó el Conjunto Residencial Plazuelas de Santa Ana P.H, desde el año 2016, en cumplimiento de la Ley 1581 de 2012.
Allí se pueden establecer los mecanismos, protocolos y procedimientos mediante los cuales se hace efectivo el tratamiento de los datos de los residentes del conjunto, y se establecen los parámetros especiales y generales a tener en cuenta para la protección de los mismos”. Continúa su defensa manifestando que “(…) tal y como se informó en respuesta al requerimiento, el Conjunto Residencial Plazuelas de Santa Ana, informó que no tiene ninguna documentación, TAMPOCO BASE DE DATOS, con información personal al respecto de sus propietarios, residentes o visitantes.
Al afirmarse en el cargo que el Conjunto no señaló cuales son las medidas de seguridad (sic) implementada por la organización para el almacenamiento de la información en sus bases de datos, de los propietarios y residentes de le propiedad horizontal, por lo (sic) tanto estaría transgrediendo la ley, habiéndose entregado los documentos requeridos resulta el cargo a todas luces incoherente e irracional, ya que dentro del manual “Por la cual se impone una sanción y se imparte una orden” HOJA N 4, aportado se estableció lo que se echa de menos en el cargo.
Para efectos de probar lo anunciado me permito transcribir lo que se tiene previsto al respecto: VI ÁREA RESPONSABLE CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA P.H, designa a la Administración de la copropiedad para que en adelante asuma, en adición a sus otras funciones, la de garantizar la protección de datos personales a los Titulares y darles trámite oportuno a sus solicitudes.
Para tales efectos, el titular de los datos personales podrá enviar su petición, queja o reclamo al correo electrónico: admon.santana@yahoo.com.co” Igualmente, afirma que “(…) en respuesta al requerimiento presentada (sic) ante su despacho el día 22 de noviembre de 2018, también se informó que la empresa de vigilancia colaboraba a la administración con (sic) el “proyección, implementación y control, supervisión y medidas preventivas a tomar sugerencias y recomendaciones a cada uno de los residentes” También se manifestó con relación a las medidas se seguridad para el tratamiento de datos personales que la administradora tiene una “disponibilidad oficial y contractual de los días lunes, viernes y sábado de 7 am a 11 am y miércoles de 4 a 8, para cualquier inquietud, queja, reclamos, además está permanentemente la recepcionista durante las 24 horas en disposición, para atender toda la información y atención personal de los residentes.
Es de pleno conocimiento por todos los residentes que cuentan con el correo electrónico, atención personalizada los días 31 del mes y buzón de sugerencias y reclamos (sic) medios absolutamente suficientes y con los cuales no se han tenido ningún inconveniente a la fecha, como (sic) medio canales y medios de comunicación con los residentes en cuanto a sus quejas y reclamos y demás sugerencias, sin ser manejo de información personal de cada uno de los residentes, sino información general por su seguridad” Por lo anteriormente expuesto, y como quiera (sic) que la copropiedad denunciada no ha transgredido los deberes consagrados en el cargo imputado, le solicito se sirva declararlo no probado”. 4.4 Frente al tercer cargo, señala que: “(…) Se fundamenta probatoriamente el cargo, en la respuesta presentada por el Conjunto residencial al requerimiento realizado el 01 de noviembre de 2018 que fue contestado el 22 de noviembre de 2018 en el que se (sic) afirmo que: “El Conjunto cuenta con los manuales y políticas de seguridad de tratamientos que están a cargo de la empresa de vigilancia con la cual contratamos la seguridad del conjunto.
Son ellos de su proyección, implantación y control, supervisión y medidas preventivas a tomar por sugerencias y recomendaciones a cada uno de los residentes. Conforme a su solicitud a éste punto: se adjunta manual de políticas de datos personales, NO SE TIENE UNA BASE DE DATOS CON ESE TIPO DE INFORMACIÓN” Así mismo, expresa que “(…) junto con la contestación al requerimiento realizado por el despacho, el día 22 de noviembre de 2018, se procedió a adjuntar el Manual de Política de tratamiento de datos personales que adoptó el Conjunto Residencial Plazuelas de Santa Ana P.H, desde el año 2016, en cumplimiento de la Ley 1581 de 2012.
En ese Manual se pueden establecer los mecanismos, protocolos y procedimientos mediante los cuales se hace efectivo el tratamiento de los datos de los residentes del conjunto, y se establecen los parámetros especiales y generales a tener en cuenta para la protección de los mismos”. Ahora bien, deberá tenerse en cuenta que la copropiedad investigada no es una entidad en la que constantemente se reciban informaciones de terceros o de los residentes, la copropiedad es una persona jurídica sin ánimo de lucro que ha sido constituida para administrar los bienes comunes y procurar la existencia, seguridad y conservación de los mismos.
Por lo anteriormente expuesto, no se han transgredido los deberes consagrados en el cargo imputado”. 4.5 Frente al cuarto cargo indica que: “El conjunto Residencial si tiene implementado el aviso de privacidad, para el efecto en la recepción de la copropiedad, en la cartelera del Conjunto y en la pared de la entrada de la oficina de administración se encuentra publicado el “AVISO DE PRIVACIDAD” donde se avisa la existencia de las políticas de tratamiento de datos y la forma de acceder a ellas, y demás requisitos que exige la Ley, tales como nombre del Conjunto, tratamiento al que serán sometidos los datos, finalidad del mismo, etc, copias y fotografías del cual se allegan con éste escrito Por lo anteriormente expuesto, no se han transgredido los deberes consagrados en el cargo imputado”. 4.6 Frente al quinto cargo, afirma que “(…)Tal y como se ha reiterado a lo largo del presente escrito de descargos, se reitera que junto con la contestación al requerimiento realizado por el despacho, el día 22 de “Por la cual se impone una sanción y se imparte una orden” HOJA N 5, noviembre de 2018, se procedió a adjuntar el Manual de Política de tratamiento de datos personales que adoptó el Conjunto Residencial Plazuelas de Santa Ana P.H, desde el año 2016, en cumplimiento de la Ley 1581 de 2012.Allí se pueden establecer los mecanismos, protocolos y procedimientos mediante los cuales se hace efectivo el tratamiento de los datos de los residentes del conjunto, y se establecen los parámetros especiales y generales a tener en cuenta para la protección de los mismos.
Allí se cuenta con un acápite especifico donde se establece lo atinente a la atención de quejas, reclamos (P.Q.R) peticiones quejas y reclamos y quien es la persona encargada de atenderlos, también se prevé la forma para los (sic) procedimiento para recolección y almacenamiento de la información y demás que exige la Ley”. Así mismo, expresa que “(…) complementando lo contenido en el manual anexo, los derechos de petición y reclamos se contestan por la administración en forma oportuna, de conformidad a lo establecido en la Ley 675 de 2001, para lo cual se han tenido en cuenta no sólo los términos consagrados en el Código Contencioso Administrativo, sino también lo dispuesto en el manual, las jurisprudencias emitidas por la Honorable Corte Constitucional en fallos de tutela y demás que obran en el internet para conocimiento público.
Ahora bien, en la contestación al requerimiento del despacho se contestó por escrito el 22 de noviembre de 2018 que la administradora tiene “disponibilidad oficial y contractual de los días lunes, viernes y sábado de 7 am a 11 am y miércoles de 4 a 8, para cualquier inquietud, queja, reclamos, además está permanentemente la recepcionista durante las 24 horas en disposición para atender toda la información y atención personal de los residentes.
Es de pleno conocimiento por todos los residentes que cuentan con el correo electrónico, atención personalizada los días 31 del mes y buzón de sugerencias y reclamos (sic) medios absolutamente suficientes y con los cuales no se (sic) han tenido ningún inconveniente a la fecha, como medio canales y medios de comunicación con los residentes en cuanto a sus quejas y reclamos y demás sugerencias, sin ser manejo de información personal de cada uno de los residentes, sino información general por su seguridad” Con relación a las demás normas descritas en el cargo imputado, como es evidente que la copropiedad que representó (sic) no ha recolectado información o datos personales en ninguna base de datos, se informa a su despacho que procederá a cumplir la Ley y hacer las diligencias pertinentes a la mayor brevedad para que una vez recaudada la información sea protegida en cumplimiento a la ley.
Tal y como se informó en respuesta al requerimiento efectuado por su despacho, el Conjunto Residencial Plazuelas de Santa Ana, no tiene ninguna documentación, TAMPOCO BASE DE DATOS, con información personal al respecto. En consideración a lo anterior, concluye que “(…) no se han transgredido los deberes consagrados en el cargo (sic) imputado No se debe olvidar que los datos que reposan en la Oficina de Registro de Instrumentos Públicos de Bogotá, y que son de acceso (sic) públicos, son datos públicos para toda la ciudadanía, ya que es el documento esencial para conocer la situación jurídica de los inmuebles.
Además es claro, que son públicos entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas y los relativos al estado civil de las personas”.
QUINTO: Que mediante Resolución 19226 del 4 de junio de 20192, esta Dirección decidió corregir los artículos PRIMERO y SEGUNDO de la parte resolutiva de la Resolución 5566 del 8 de marzo de 2019 (por medio de la cual se inició una investigación administrativa y se formulan cargos), debido a que se evidenció un yerro en el número de identificación del sujeto investigado.
SEXTO: Que la Resolución 19226 del 4 de junio de 2019 fue comunicada a la señora DIANA MILENA SANABRIA PATARROYO, en representación de la propiedad horizontal denominada CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL, el 5 de junio de 2019, según consta en la certificación expedida por la Secretaria General Ad-hoc de esta Superintendencia, radicada bajo el número 18-132007- -19 del 10 de julio de 2019.
SÉPTIMO: Que mediante Resolución 19769 del 6 de junio de 20193, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente del número 18-132007, folios 1 al 93, con el valor 2 Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se corrige un acto administrativo de formulación de cargos”, radicada bajo el número 18-132007-13.
Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se incorporan pruebas y se corre traslado para alegar”, radicada bajo el Número. 18-132007-15. “Por la cual se impone una sanción y se imparte una orden” HOJA N 6, legal que les corresponda, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.
OCTAVO: Que la Resolución 19769 del 6 de junio de 2019 le fue comunicada el 7 de junio de 2019 a la señora DIANA MILENA SANABRIA PATARROYO, en representación de la propiedad horizontal denominada CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL, según consta en la certificación expedida por la Secretaría General Ad- Hoc de esta Superintendencia, radicada bajo el número 18-132007- -20 del 10 de julio de 2019.
NOVENO: Que, mediante escrito radicado bajo el número 18-132007- -00017-0001 del 19 de junio de 2019 la investigada presentó sus alegatos de conclusión, a través de los cuales manifestó lo siguiente: 9.1 En primer lugar, realiza un recuento de los antecedentes de la presente investigación, para posteriormente afirmar que: “Una vez dictado el pliego de cargos procedí de manera oportuna a presentar mi escrito de descargos, en los que se realizó un análisis y un pronunciamiento puntual sobre cada uno de ellos, argumentos de los que me ratifico.
Al respecto el despacho deberá tener en cuenta, todos y cada uno de los argumentos esbozados en el escrito de descargos, junto con los documentos allegados en forma oportuna para ser valorados como pruebas. En reiteradas oportunidades he manifestado que en la copropiedad no existe ninguna información concerniente o relacionada con la señora XXX XXXX XXXXX XX, ni de ningún otro copropietario, que tenga el carácter privado que esté ligada a su intimidad y que toque temas susceptibles de discriminación, como orientación sexual, religiosa, étnica, entre otros.
Para los efectos correspondientes, es claro para la copropiedad que en la Sentencia C-1011 de 2008 se establecieron diversos criterios para clasificar la información en pública, semiprivada, privada y reservada, así:”. Para tal fin, cita un aparte de esta sentencia y a continuación expresa que: “Para efectos de probar que no es cierto que la copropiedad entrega información de los copropietarios que vulnere la Ley 1581 de 2012, tal y como fue aseverado en la queja presentada, También me permití allegar a su despacho con los descargos, copias de las sentencias de Tutela, proferidas por autoridad judicial, en la que consta la actuación de la administración ante las diversas peticiones de XXX XXXX XXXXX XXXXXX.
Ahora bien, deberá tenerse en cuenta al momento de tomar una decisión, al respecto de la vulneración o no de las normas citadas en el pliego de cargos, que dentro del escrito de respuesta al requerimiento (presentado el 22 de noviembre de 2018), se indicó que por consenso general se había acortado en forma verbal que se iban a pedir los nombres del propietario y arrendatario, número de celular, torre y apartamento para controlar a quienes ingresaran al conjunto, para implementar controles de seguridad, pero nunca se afirmó que se hubiesen realizado dichas gestiones, por el contrario durante todo el escrito de respuesta a dicho requerimiento se negó que se hubiesen recaudado informaciones y mucho menos “información personal” de los propietarios, residentes o visitantes de la copropiedad”. 9.2 Así mismo indica que: “Téngase en cuenta además, que dentro de los argumentos planteados en escrito de descargos se indicó que existieron frases que se reprodujeron en negrillas y con resaltado, como las de: “pedir nombres apellidos del propietario o arrendatario, números de celular, torre, número de apartamento como información de los residentes, para establecer y controlar quienes ingresen al conjunto” que fueron descontextualizadas de lo que se afirmó en escrito del 22 de noviembre de 2018, cuestión que así planteada vulnera el debido proceso y derecho de defensa de la copropiedad investigada y que están protegidos por mandato de la Constitución Nacional”. 9.3 Por otra parte expresa que: “deberá observarse, que junto con los descargos se allegaron documentos tales como el Manual de Política de Tratamiento de datos personales, el Formato del censo poblacional diligenciados por la señora XXX XXXX XXXXX XXXXXXXX, copia del Aviso de Privacidad de tratamiento de datos personales y fotografías donde consta su publicación, entre otros”. 9.4 En consideración a lo anterior, concluye que “debido a que el CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA P.H, tiene implementado un Manual de Política de tratamiento de la información, un procedimiento para la atención de peticiones quejas y reclamos, tiene implementado un Aviso de privacidad de tratamiento de la información el cual se encuentra anunciado en un lugar público y además ha contribuido con la presente actuación administrativa, aportando documentos y pruebas atinentes a lo investigado y no es una entidad que en forma constante reciba informaciones de terceros o de los residentes, aunado a que es una persona jurídica sin ánimo de lucro que ha sido constituida para administrar los bienes comunes y “Por la cual se impone una sanción y se imparte una orden” HOJA N 7, procurar la existencia, seguridad y conservación de los mismos, se puede concluir que no ha vulnerado las normas que fueron relacionadas en el pliego de cargos.
Teniendo en cuenta los argumentos esbozados, le solicito muy respetuosamente se sirva declarar no probados los cargos imputados y por ende no imponer sanción alguna en contra de la copropiedad investigada y archivar las diligencias”.
DÉCIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.
DÉCIMO PRIMERO: Análisis del caso 11.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20114, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: i) El Literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9, de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, que contempla el deber que le asiste al responsable del tratamiento de solicitar y conservar la respectiva autorización otorgada por el titular. ii) El literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal f) y g) del artículo 4 de la ley en cita, que contempla el deber que le asiste al responsable del tratamiento de contar con las medidas de seguridad para el Tratamiento de los datos personales. iii) El Literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, que contempla el deber que le asiste al responsable del tratamiento de desarrollar e implementar un manual de Políticas de seguridad. iv) Los artículos 2.2.2.25.3.2 y 2.2.2.25.3.3 del Decreto Único Reglamentario 1074 de 2015 en concordancia con el literal e) del artículo 4 de la Ley 1581 de 2012, que contempla el deber que le asiste al responsable del tratamiento de desarrollar e implementar el aviso de privacidad. v) El Literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1 ejúsdem, que contempla el deber que le asiste al responsable del tratamiento de desarrollar e implementar un procedimiento para la recolección, tratamiento, circulación, y supresión de la información. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por la denunciante, así como las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y alegatos de conclusión, y el conjunto de pruebas allegadas al expediente.
Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). “Por la cual se impone una sanción y se imparte una orden” HOJA N 8, 11.2 Valoración probatoria y conclusiones 11.2.1 Consideraciones Preliminares: Previo a referirse a cada uno de los cargos objeto de investigación, es necesario señalar lo siguiente: La investigada indica que “no existe ninguna información concerniente o relacionada con la señora XXX XXXX XXXXX XXXX, ni de ningún otro copropietario, que tenga el carácter privado que esté ligada a su intimidad y que toque temas susceptibles de discriminación, como orientación sexual, religiosa, étnica, entre otros”.
Al respecto, es importante precisar que, si bien la sociedad investigada hace referencia a que en la presente investigación no se acreditó el tratamiento de datos considerados sensibles, conforme a la regulación del artículo 5 de la Ley 1581 de 2012; esta situación no exime del cumplimiento de las obligaciones que en virtud del tratamiento realizado sobre la información de los residentes y copropietarios, le asiste al CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA, en su calidad de Responsable del tratamiento, los cuales serán analizados en esta decisión. Así pues, es necesario aclarar que lo que se reprocha en el caso bajo estudio, es que la investigada haya incumplido los preceptos dispuestos en la Ley 1581 de 2012, en especial los siguientes:1) El deber de solicitar y conservar la respectiva autorización otorgada por el titular; 2) el deber de contar con las medidas de seguridad para el Tratamiento de los datos personales; 3) el deber de implementar un Manual de Políticas de seguridad; 4) el deber de desarrollar e implementar el aviso de privacidad; y 5) el deber de implementar un Manual de procedimiento para la recolección, tratamiento, circulación, y supresión de la información. Por lo anteriormente descrito, se procederá a efectuar un análisis particular de los cargos objeto de investigación, para determinar si se incumplieron o no los deberes como responsable del tratamiento, por parte de la propiedad horizontal CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA. 11.2.2 Del deber de solicitar y conservar la respectiva autorización otorgada por el titular.
Para referirse a este cargo, es necesario, en primer lugar, aludir al artículo 15 de la Constitución Política: “ARTÍCULO 15. Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”.
Dicha norma establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos. Al respecto, la Corte Constitucional ha señalado lo siguiente: “ Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular.
Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.
El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su “imagen informática5” Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP Jorge Ignacio Pretelt Chaljub “Por la cual se impone una sanción y se imparte una orden” HOJA N 9, Los principios rectores, además, deben confluir en cuanto a su aplicación con los deberes y derechos contenidos en la ley 1581 de 2012, específicamente en el presente caso, es relevante mencionar los deberes que tienen los Responsables de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
Igualmente, es importante indicar que en virtud del principio de libertad, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la ley 1581 de 2012 y, además, el deber de solicitar y conservar copia de la autorización de Tratamiento otorgada por el mismo, dispuesto en el literal b) del artículo 17 de la ley mencionada, normatividad transcrita anteriormente.
Ley 1581 de 2012 “ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;
(…) ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.
Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; (…) Decreto Único Reglamentario 1074 de 2015 “ARTÍCULO 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.
Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.
Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento”. Ahora bien, encuentra esta Dirección que la presente investigación se originó con la denuncia presentada por la señora XXX XXXX XXXXX XXXXXXXXXXXXXX, quien puso en conocimiento “Por la cual se impone una sanción y se imparte una orden” HOJA N 10, ante esta Superintendencia mediante radicado 18-132007- -00000-0000 del 30 de abril de 2018, que la propiedad horizontal denominada CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL, estaba incumpliendo, presuntamente las normas sobre protección de datos personales.
En consecuencia, este Despacho formuló cargos mediante la Resolución 5566 del 8 de marzo de 20196 y sustentó este cargo en las siguientes consideraciones: La Coordinación del Grupo de Trabajo de Investigaciones Administrativas, mediante oficio radicado bajo el número 18-132007- -3-1 del 1 de noviembre de 2018, requirió a la Propiedad Horizontal CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL, con el fin de que aportara la autorización de la Titular XXX XXXX XXXXX XXXXXXXXXX para el uso de sus datos personales en los siguientes términos: “(…) 1.Sírvase allegar copia de la autorización otorgada por La Titular XXX XXXX XXXXX XXXXXXXXXX para el uso de sus datos personales.
(…) 5. Manifieste si cuentan con la autorización clara, expresa e informada de los Titulares para el Tratamiento de sus datos personales”. En respuesta al anterior requerimiento, mediante radicado bajo el número 18-132007- -00004-0001 del 22 de noviembre de 2018, la investigada entre otras cosas manifestó: “ (…)No es cierto que se (sic) haya tomado los datos personales de la titular XXX XXXX XXXXX XXXXXXXXXX, como tampoco reposa una base de datos personales de ningún residente hasta la fecha, si bien es cierto que, se están en proyecto de recaudar las firmas de todos los residentes, para la aceptación de un control de seguridad, la titular XXX XXXX XXXXX XXXXXXXXXX, no ha aceptado, ni pedido, ni firmar la aceptación del trámite alguno, como se enteró del proyecto simplemente procedió a denunciar, faltando a la verdad ante su entidad, manifestando que se están usando los datos personales, cuando ella no ha suministrado ninguna información personal hasta la fecha, que esté ligada a su intimidad y que toque temas susceptibles de discriminación, como orientación sexual, religiosa, étnica, entre otros es eso es falsedad…” Posteriormente, en la parte motiva de la Resolución 5566 del 8 de marzo de 2019, respecto del cargo que nos ocupa fue señalado lo siguiente: “Al respecto, mediante respuesta aportada a este Despacho bajo radicado No. 18-132007-00004 del 22 de noviembre de 2018, la propiedad horizontal manifestó que "( ) se acordó como por consenso general de manera verbal, como medidas de choque, pedir nombre apellidos del propietario o arrendatario, números de celular; torre, número de apartamento como información de los residentes, para establecer y controlar quienes ingresan al conjunto ( ), así mismo, la investigada precisó "( ) No existe, ni se tiene, una base de datos con este tipo de información, eso es una distorsión de la realidad por parte de la señora XXX XXXX XXXXX, (…) Por lo tanto no se tiene ninguna documentación. TAMPOCO BASE DE DATOS, con información personal al respecto, puesto que, solo como tramite inicial, se está en proyecto de recolección de firmas de los residentes para que acepten si quieren dicha implementación, para después realizar el trámite respectivo, y con el cumplimiento de todos los requisitos del decreto 1377 de 2013 ( )".
De acuerdo con lo anterior, esta Dirección concluyó: “que la Propiedad Horizontal CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA tiene una base de datos donde ha venido recolectando datos personales que no son de carácter público razón por la cual debía obtener la autorización para el Tratamiento de dicha información. Sin embargo, en la etapa preliminar, la sociedad no acreditó a este Despacho que cuenta con la autorización de los Titulares para el Tratamiento de sus datos personales Así las cosas, este Despacho encuentra que la Propiedad Horizontal CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA presuntamente no cuenta con la autorización de los Titulares de la información, razón por la cual se formulará el presente cargo”.
(Subrayado y Negrita fuera del texto original) Ahora bien, la investigada como argumentos de defensa en el escrito de descargos, reiteró lo dicho en la comunicación radicada bajo el número 18-132007- -00004-0001 del 22 de noviembre de 2018, Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se inicia una investigación administrativa y se formulan cargos”, radicada bajo el número 18-132007-5.
“Por la cual se impone una sanción y se imparte una orden” HOJA N 11, agregando que no ha tramitado ni recaudado de manera directa, ninguna información personal de residentes, propietarios o visitantes en base de datos y, tampoco ha divulgado ninguna información personal de la denunciante. Conforme a lo señalado por la investigada, esta Dirección observa en relación con el cargo que nos ocupa, que en la presente actuación administrativa no se acreditó el tratamiento de datos personales, por parte de la copropiedad CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL que permitan establecer el surgimiento del deber contemplado en el literal b) del artículo 17 de la Ley 1581 de 2012.
En concordancia con lo anterior, y remitiéndonos al material probatorio allegado por la investigada, el Despacho encuentra adicionalmente que el CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL, cuenta con un formato dispuesto para la obtención de la autorización de los titulares al momento de la recolección de sus datos personales, documento denominado “CENSO POBLACIONAL”, como se cita a continuación: Conforme a lo expuesto, se evidencia que en efecto la investigada, cuenta con mecanismos para el cumplimiento del deber de obtener la autorización previa, expresa e informada de los titulares del dato, tal como lo exige el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9, de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.
Así las cosas, debido a que en la investigación administrativa adelantada por este Despacho, no se evidenció el indebido tratamiento de datos por parte de la propiedad horizontal CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA, sumado a que la investigada aportó el documento referido mediante el cual se obtiene el consentimiento previo, expreso e informado; se procederá a desestimar el cargo en estudio y en consecuencia se ordenará su archivo. 11.2.2 Del deber de contar con las medidas de seguridad para el Tratamiento de los datos personales.
“Por la cual se impone una sanción y se imparte una orden” HOJA N 12, Para empezar, es necesario recordar que el responsable tiene el deber de tratar la información que se encuentra almacenada en su base de datos bajo medidas de seguridad idóneas, que garantice la custodia de los datos personales que tiene a su cargo, y en ese sentido le es imperativo el cumplimiento de los preceptos dispuestos en la Ley 1581 de 2012, que dispone lo siguiente: Ley 1581 de 2012 “ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
“ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;
Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley; g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
(…)” Sobre el particular, se observa que de acuerdo con lo señalado en la Resolución 5566 del 8 de marzo de 20197, el presente cargo se fundamentó en que “se requirió a la Propiedad Horizontal CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA y en respuesta aportada a este Despacho bajo el radicado No. 18-132007-00004 del 22 de noviembre de 2018, manifestó “(…)No existe, ninguna información concerniente, o relacionada con la señora, XXX XXXX XXXXX X, que tenga el carácter privado, que esté ligada a su intimidad y que toque temas susceptibles de discriminación, como orientación sexual, religiosa, étnica, entre otros.
NO EXISTE, NI SE TIENE, UNA BASE DE DATOS CON ESTE TIPO DE INFORMACIÓN DE ELLA. Decreto 1377 del 27 de junio de 2013” En consideración con lo anterior, este Despacho concluyó que “la Propiedad Horizontal CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA presuntamente no señaló cuáles son las medidas de seguridad (sic) implementada por la organización para el almacenamiento de la información en sus bases de datos, de los propietarios y residentes de la propiedad horizontal, por lo tanto, estaría transgrediendo el deber contenido en el presente cargo”.
Ahora bien, de conformidad con el material probatorio obrante en el plenario, este Despacho encuentra que no hay elementos de juicio suficientes, que permitan determinar la vulneración del precepto normativo contemplado en el literal d) del artículo 17 de la Ley 1581 de 2012 “Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;”, ya que no se acreditó un hecho del cual se pueda colegir que efectivamente no se conservaron los datos personales bajo las condiciones de seguridad, tal como lo prevé la norma referida.
Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se inicia una investigación administrativa y se formulan cargos”, radicada bajo el número 18-132007-5. HOJA N 13, “Por la cual se impone una sanción y se imparte una orden” Así pues, al no existir pieza probatoria que demuestre la violación de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 de la ley en cita, se ordenará el archivo del presente cargo. 11.2.3 Del deber de desarrollar e implementar un manual de Políticas de seguridad El literal k) del artículo 17 de la ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: “ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;
(…)” De igual forma, el artículo 4 de la ley en mención prevé los principios para el tratamiento de datos, dentro de los cuales se encuentra el de seguridad, veamos: “ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
Igualmente, conforme al principio de legalidad en materia de datos personales, cualquier forma de tratamiento de información personal desde su recolección hasta su disposición final se encuentra orientada por las normas contenidas no solamente en la Ley 1581 de 2012 sino también en la normatividad que sobre la materia se ha expedido, la cual, para el caso en particular es el Decreto Único Reglamentario 1074 de 2015, específicamente el artículo 2.2.2.25.6.1., veamos: “Artículo 2.2.2.25.6.1.
Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: (…) En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” Sobre el particular, se tiene que según la Resolución 5566 del 8 de marzo de 2019,8 el presente cargo se fundamenta en que “este Despacho requirió a la investigada bajo el radicado No. 18- 132007-3 el 1 de noviembre de 2018. para que remitiera copia del manual de seguridad, sin embargo, la Propiedad Horizontal CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA en respuesta aportada bajo el radicado 18-132007-00004 del 22 de noviembre de 2018 manifestó que "El Conjunto cuenta con los manuales y políticas de seguridad de tratamientos están a cargo de la empresa de vigilancia con la cual contratamos toda la seguridad del conjunto, son ellos de su proyección, implantación y control, supervisión y medidas preventivas a tomar más por sugerencias y recomendaciones a cada uno de los residentes.
Conforme a su solicitud a este punto: se adjunta el manual de políticas de datos personales. NO SE TIENE, UNA BASE DE DATOS CON ESTE TIPO DE INFORMACIÓN" Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se inicia una investigación administrativa y se formulan cargos”, radicada bajo el número 18-132007-5.
“Por la cual se impone una sanción y se imparte una orden” HOJA N 14, De lo anterior, y una vez revisado la documentación aportada por la investigada, no se pudo evidenciar que cuenta con el manual de seguridad de la información, por lo tanto, este Despacho encuentra que la Propiedad Horizontal CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA presuntamente estaría vulnerando el presente cargo”.
Ahora bien, la investigada como argumentos de defensa en el escrito de descargos radicado bajo el No. 18-132007- -00011-0001 del 5 de abril de 2019, afirma que: “en la respuesta presentada por el Conjunto residencial al requerimiento realizado el 01 de noviembre de 2018 que fue contestado el 22 de noviembre de 2018 en el que se (sic) afirmo que: “El Conjunto cuenta con los manuales y políticas de seguridad de tratamientos que están a cargo de la empresa de vigilancia con la cual contratamos la seguridad del conjunto.
Son ellos de su proyección, implantación y control, supervisión y medidas preventivas a tomar por sugerencias y recomendaciones a cada uno de los residentes. Conforme a su solicitud a éste punto: se adjunta manual de políticas de datos personales, NO SE TIENE UNA BASE DE DATOS CON ESE TIPO DE INFORMACIÓN” Igualmente, señala que en esa respuesta del 22 de noviembre de 2018, adjuntó el Manual de Políticas de Tratamiento de datos personales que adoptó el Conjunto Residencial en comento, desde el año 2016, en donde se establecen los mecanismos, protocolos y procedimientos mediante los cuales se hace efectivo el tratamiento de los datos de los residentes del conjunto, así como los parámetros especiales y generales a tener en cuenta para la protección de los mismos, de acuerdo a los parámetros dispuestos en la Ley 1581 de 2012.
Para analizar este argumento planteado, es necesario analizar el documento aportado por la investigada en las averiguaciones preliminares bajo radicado No. 18-132007- -0004-0001 del 22 de noviembre de 2018, y en el escrito de descargos en mención, denominado: “POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA P.H.”, en el cual se evidencia lo siguiente: “6.
Principio de seguridad: la información, objeto del tratamiento, por parte (sic) de CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA P.H, se manejará con las medidas humanas, técnicas y administrativas necesarias para otorgar seguridad de los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Entre otras, las medidas de seguridad adoptadas incluyen, pero no se limitan a: •Establecer de (sic) cláusulas de confidencialidad contractual con los empleados que van más allá de la duración misma del contrato. •Implementar (sic) procesos de seguridad para verificar la identidad de las personas que acceden a la información ya sea de manera física o electrónica. •Monitorear periódicamente actividades sospechosas y mantenimiento físico y electrónico de las bases de datos. •Restringir el acceso a las bases de datos, solo al personal autorizado”.
Al respecto, es necesario destacar que el fragmento citado, es el único que hace referencia al principio de seguridad de dicha política, enlistando las diferentes medidas adoptadas por la investigada; sin embargo, no se visualiza un Manual Interno de Políticas y Procedimientos para garantizar el adecuado cumplimiento de la Ley 1581 de 2012, exigido por el literal k) del artículo 17 de la ley en comento, y dichas medidas se encuentran de manera general e incompleta.
En consideración a lo anterior, no se evidencia la implementación efectiva y apropiada de las medidas de seguridad por parte del CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL, a través de la documentación de procesos donde se describan las medidas humanas técnicas y administrativas adoptadas por el Responsable del Tratamiento.
Igualmente, se pudo comprobar que la investigada no cumplió con lo estipulado en el artículo 2.2.2.25.6.1. del Decreto 1074 de 2015 “Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo(…)”, y tal como se explicó anteriormente, no se demostró ante esta Superintendencia la implementación de medidas apropiadas y efectivas, para cumplir a cabalidad las obligaciones dispuestas en la Ley 1581 de 2012, ya que, para el caso particular el CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL no cuenta con un manual de Políticas de seguridad.
“Por la cual se impone una sanción y se imparte una orden” HOJA N 15, Así mismo, es válido afirmar que en el presente caso se vulneró el principio de seguridad dispuesto en el literal g) del artículo 4 de la Ley 1581 de 2012, pues no se establecen cuáles son las medidas técnicas, humanas y administrativas que son necesarias para otorgar seguridad a los registros y datos personales de los residentes y propietarios del conjunto en mención. Por otra parte, indica que: “deberá tenerse en cuenta que la copropiedad investigada no es una entidad en la que constantemente se reciban informaciones de terceros o de los residentes, la copropiedad es una persona jurídica sin ánimo de lucro que ha sido constituida para administrar los bienes comunes y procurar la existencia, seguridad y conservación de los mismos”, y que en consecuencia no se han transgredido los deberes consagrados en el cargo imputado, a lo cual es necesario señalar: Al margen de la frecuencia con que la investigada reciba información personal, dicho aspecto no cobra relevancia respecto del deber que le asiste de observar los preceptos dispuestos en la Ley 1581 de 2012 y en el Decreto 1074 de 2015, y en tal sentido, cualquier tratamiento9 que realice a los datos personales de los residentes y propietarios debe contar con un manual de políticas de seguridad.
En suma, esta Dirección evidencia que los argumentos expuestos por la investigada no guardan relación con el objeto del cargo, pues el objeto del mismo es determinar si el CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL adoptó un manual interno de políticas y procedimientos para garantizar el cumplimiento de la Ley 1581 de 2012.
Es menester recalcar que el documento correspondiente al Manual de Políticas de seguridad, tampoco fue aportado en los escritos de descargos y alegatos de conclusión, por tanto, al no haber una prueba que desvirtúe el presente cargo, el mismo será objeto de sanción y de orden administrativa. Por lo expuesto, en esta instancia se ratifica lo señalado en la formulación de cargos, al comprobarse que efectivamente no se encuentra el Manual de procedimientos, en donde se pueda evidenciar la implementación de las medidas de seguridad aludidas en la política de tratamiento de datos personales de la investigada.
Así pues, en razón a que se encuentra debidamente probado el incumplimiento al literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, se impondrá una sanción pecuniaria y se impartirá una orden administrativa consistente en: desarrollar y documentar un manual interno de Políticas de seguridad, a través del cual se describan de manera detallada las medidas de seguridad para el Tratamiento de los datos personales, determinando cómo se efectuará el almacenamiento de la información en sus bases de datos y especificando las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad en la custodia de la información personal a cargo de la propiedad horizontal CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, incluyendo archivos físicos, digitales y magnéticos.
Por lo expuesto, respecto de este cargo, encuentra el Despacho procedente imponer la sanción correspondiente a un millón treinta y dos mil seiscientos tres pesos M/CTE ($1.032.603), equivalente a veintinueve (29) Unidades de Valor Tributario (UVT), al demostrarse la infracción de lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, por parte del CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL. 11.2.4 Del deber de desarrollar e implementar el aviso de privacidad.
En primer lugar, es necesario manifestar que el responsable tiene el deber de tratar la información que se encuentra almacenada en su base de datos bajo las medidas mínimas establecidas por el Régimen de General de Protección de datos personales, pues así lo dispuso la Ley 1581 de 2012 cuando señaló en su artículo 25 inciso tercero que “ las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones 9 “Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.
Crf Ley 1581 de 2012, artículo 3), literal g). “Por la cual se impone una sanción y se imparte una orden” HOJA N 16, correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley”, disposición que, igualmente refuerza la hipótesis esgrimida entorno a que mediante la política de tratamiento se pretende cimentar los pilares de protección al derecho.
En este sentido, es menester hacer referencia al artículo 4 de la ley en mención, específicamente al principio de transparencia, veamos: “ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) e) Principio de transparencia: En el Tratamiento debe garantizarse el derecho del Titular a obtener del Responsable del Tratamiento o del Encargado del Tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan;
Sin perjuicio de lo anterior, el Decreto Único Reglamentario 1074 de 2015 otorgó la posibilidad para que en caso en que no sea posible poner a disposición del Titular las Políticas de Tratamiento de la información, los responsables pueden informar por medio de un aviso de privacidad sobre la existencia de tales políticas y la forma de acceder a las mismas, de manera oportuna y en todo caso a más tardar al momento de la recolección de datos personales, siempre y cuando se observen los requisitos del artículo antes citado.
Sobre el particular, se tiene que el Decreto 1074 de 2015 es el que reglamenta los requisitos que debe contener el aviso de privacidad, como a continuación se transcribe: Decreto Único Reglamentario 1074 de 2015 ” Artículo 2.2.2.25.3.2. Aviso de privacidad. En los casos en los que no sea posible poner a disposición del Titular las políticas de tratamiento de la información, los responsables deberán informar por medio de un aviso de privacidad al titular sobre la existencia de tales políticas y la forma de acceder a las mismas, de manera oportuna y en todo caso a más tardar al momento de la recolección de los datos personales”.
(Subrayado fuera del texto original) Por su parte, el artículo 2.2.2.25.3.3 del Decreto referido determinó la información mínima que debe contener el aviso de privacidad, veamos: “ARTÍCULO 2.2.2.25.3.3. Contenido mínimo del Aviso de Privacidad. El aviso de privacidad, como mínimo, deberá contener la siguiente información: ” 1. Nombre o razón social y datos de contacto del responsable del tratamiento. 2.
El Tratamiento al cual serán sometidos los datos y la finalidad del mismo. 3. Los derechos que le asisten al titular. 4. Los mecanismos dispuestos por el responsable para que el titular conozca la política de Tratamiento de la información y los cambios sustanciales que se produzcan en ella o en el Aviso de Privacidad correspondiente. En todos los casos, debe informar al Titular cómo acceder o consultar la política de Tratamiento de información. No obstante, lo anterior, cuando se recolecten datos personales sensibles, el aviso de privacidad deberá señalar expresamente el carácter facultativo de la respuesta a las preguntas que versen sobre este tipo de datos.
En todo caso, la divulgación del Aviso de Privacidad no eximirá al Responsable de la obligación de dar a conocer a los titulares la política de tratamiento de la información, de conformidad con lo establecido en este capítulo”. Ahora bien, para el caso concreto se tiene que, en el curso de las averiguaciones preliminares de la presente investigación, el Grupo de Trabajo de Investigaciones Administrativas de esta Dirección, requirió mediante escrito radicado bajo el No. 18-132007- -3-1 del 1 de noviembre de 2018 a la propiedad horizontal CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL, para que allegará dentro de otras cosas “los medios de difusión y la puesta en disposición del aviso de privacidad que establece la Ley 1581 de 2012”.
“Por la cual se impone una sanción y se imparte una orden” HOJA N 17, En respuesta al anterior requerimiento, respecto del cargo que nos ocupa, mediante escrito radicado bajo el número 18-132007-00004-0001 del 22 de noviembre de 2018, la investigada contestó: “(…) y los medios de publicidad acerca de la privacidad, se establecerían una vez se acepte y autoricen por asamblea y recauden los datos personales se establecerá los medios de difusión conforme a lo ordenado por (sic) ley 1581 de 2012 y el decreto 133 de 2013…” Los anteriores hechos dieron mérito a la expedición de la Resolución 5566 del 8 de marzo de 201910, por medio de la cual se inició la presente investigación administrativa, y dentro de la parte considerativa fue señalado: “mediante oficio No. 18-132007-3 se requirió a la Propiedad Horizontal CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA para que aportara copia del aviso de privacidad desarrollado e implementado por la organización, y, en respuesta bajo el radicado No. 18-132007-00004 del 22 de noviembre de 2018, manifestó que "( ) Por lo tanto. aun no se tienen ninguna documentación al respecto, puesto que, solo como trámite inicial, se está en el proyecto de la recaudación de las firmas de los residentes para saber si. aceptan o no dicha implementación. Una vez se haya realizado esta gestión en su totalidad, se elaborará un acta y publicación por carteleras, del control de privacidad y su desarrollo de la implementación y se procederá a recaudar la información personal de cada uno de los residentes, previamente con él, cumplimiento de la Ley (sic) 11581 de 2012, y con su firma de autorización".
Ahora bien, la investigada respecto de este cargo afirma: “El conjunto Residencial si tiene implementado el aviso de privacidad, para el efecto en la recepción de la copropiedad, en la cartelera del Conjunto y en la pared de la entrada de la oficina de administración se encuentra publicado el “AVISO DE PRIVACIDAD” donde se avisa la existencia de las políticas de tratamiento de datos y la forma de acceder a ellas, y demás requisitos que exige la Ley, tales como nombre del Conjunto, tratamiento al que serán sometidos los datos, finalidad del mismo, etc, copias y fotografías del cual se allegan con éste escrito11”.
Por lo anteriormente expuesto, considera que no se ha transgredido los deberes consagrados en el cargo imputado. De acuerdo con el argumento expuesto, es necesario hacer las siguientes consideraciones: Una vez revisada las imágenes aportadas como anexos al escrito de descargos, se evidencia que efectivamente la investigada si implementó el aviso de privacidad, cumpliendo de esta manera los parámetros dispuestos en el Decreto Único Reglamentario 1074 de 2015 y en la Ley 1581 de 2012.
En este sentido, teniendo en cuenta que el aviso de privacidad es un deber subsidiario que solo surge cuando no sea posible poner a disposición de los titulares la Política de Tratamiento de la información, y que en la presente investigación fue demostrado que el correspondiente aviso fue implementado, tal como fue señalado anteriormente, cumpliéndose de esta manera los artículos 2.2.2.25.3.2 y 2.2.2.25.3.3 del Decreto Único Reglamentario 1074 de 2015 en concordancia con el literal e) del artículo 4 de la Ley 1581 de 2012, se prescindirá de imponer una sanción pecuniaria, y en consecuencia, se desestimará el presente cargo. 11.2.5 Del deber de desarrollar e implementar un procedimiento para la recolección, tratamiento, circulación, y supresión de la información El literal k) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: “Artículo 17.
Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos (…)” Decreto Único Reglamentario 1074 de 2015 “Por la cual se inicia una investigación administrativa y se formulan cargos”, radicada bajo el número 18-132007-5. 11 Este argumento expuesto por la investigada se encuentra en el escrito de descargos radicado bajo el número 18-132007- -00011-0001 del 5 de abril de 2019 (Página 6).
“Por la cual se impone una sanción y se imparte una orden” HOJA N 18, “ARTÍCULO 2.2.2.25.2.1. Recolección de los datos personales. En desarrollo de los principios de finalidad y libertad, la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos conforme a la normatividad vigente.
Salvo en los casos expresamente previstos en la ley, no se podrán recolectar datos personales sin autorización del Titular. A solicitud de la Superintendencia de Industria y Comercio, los Responsables deberán proveer una descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso.
No se podrán utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales…” (Subrayado y Negrita fuera del texto original) “Artículo 2.2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: (…) 1.
La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso”.
(Subrayado y Negrita fuera del texto original) Sobre el particular, se tiene que según la Resolución 5566 del 8 de marzo de 201912 el presente cargo se fundamenta en que “mediante la comunicación radicada con el No. 18-132007-00004 del 22 de noviembre de 2018 la investigada manifestó que “Al punto Décimo: Se cuenta con el manual de políticas de datos personales, NO EXISTE, NI SE TIENE, UNA BASE DE DATOS CON ESTE TIPO DE INFORMACIÓN, conforme a su solicitud a este punto: Se adjunta el manual de Políticas de datos personales.
No se tiene, una base de datos con este tipo de información" En relación con lo anterior, la investigada al no contar con un manual que "describa los procedimientos usados para la recolección, almacenamiento, uso. circulación y supresión de información”, presuntamente estaría transgrediendo lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1. ejúsdem”.
Al respecto la investigada en sus argumentos de defensa señala: “Tal y como se ha reiterado a lo largo del presente escrito de descargos, se reitera que junto con la contestación al requerimiento realizado por el despacho, el día 22 de noviembre de 2018, se procedió a adjuntar el Manual de Política de tratamiento de datos personales que adoptó el Conjunto Residencial Plazuelas de Santa Ana P.H, desde el año 2016, en cumplimiento de la Ley 1581 de 2012.Allí se pueden establecer los mecanismos, protocolos y procedimientos mediante los cuales se hace efectivo el tratamiento de los datos de los residentes del conjunto, y se establecen los parámetros especiales y generales a tener en cuenta para la protección de los mismos”.
De acuerdo con lo anterior, esta Dirección evidencia que en el documento denominado “POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA P.H.”, allegado mediante la comunicación No. 18-132007- -0004-0001 del 22 de Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se inicia una investigación administrativa y se formulan cargos”, radicada bajo el número 18-132007-5.
“Por la cual se impone una sanción y se imparte una orden” HOJA N 19, noviembre de 2018, y como anexos al escrito de descargos, no se encuentra un manual interno que contemple los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de la información; así como tampoco contempla la descripción de las finalidades para las cuales esta información es recolectada, y una explicación sobre la relevancia de los datos personales en cada caso.
En consecuencia, no se demostró ante esta Superintendencia el cumplimiento de los requisitos previstos en el artículo 2.2.2.25.6.1 del Decreto 1074 de 2015. Igualmente indica que en esta “POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA P.H.”, “se cuenta con un acápite especifico donde se establece lo atinente a la atención de quejas, reclamos (P.Q.R) peticiones quejas y reclamos y quien es la persona encargada de atenderlos, también se prevé la forma para los (sic) procedimiento para recolección y almacenamiento de la información y demás que exige la Ley”.
En este punto también pone de presente los diferentes canales y horarios para atención de los residentes de la copropiedad. De acuerdo con lo expuesto, es evidente que a lo que hace referencia la investigada es a los canales que están disponibles para la atención de quejas, reclamos y demás sugerencias de los residentes, pero el cargo que nos ocupa tiene por objeto determinar si el CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL cuenta con el manual interno de procedimientos para la recolección, tratamiento, circulación, y supresión de la información; por tanto, este argumento no está llamado a prosperar y en ese sentido no desvirtúa el cargo bajo estudio.
Así pues, se aclara que el contener un acápite en la “POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA P.H.” relacionado con la atención de quejas, reclamos y peticiones, y establecer sus canales físicos y virtuales a través de los cuales se puede obtener respuesta a estas, hace parte de los requisitos que debe contener la política de tratamiento de la información, pero no es el único, con ello significa que aparte de cumplirse con este requisito, se debe implementar un manual de procedimientos para la recolección, tratamiento, circulación, y supresión de la información, donde todos ellos están en la obligación de cumplirse, por tanto, este hecho queda desestimado.
En este punto es importante anotar, que en el caso bajo estudio no se encuentran los procedimientos que describan el ciclo del dato, lo que demuestra una vez más el incumplimiento a los preceptos dispuestos en la Ley 1581 de 2012. Finalmente, teniendo en cuenta que se encuentra debidamente probado el incumplimiento al literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1 ejúsdem, se impondrá una sanción pecuniaria y se impartirá una orden administrativa consistente en desarrollar e implementar un manual que contenga un procedimiento para la recolección, tratamiento, circulación, y supresión de la información. Por lo expuesto, respecto de este cargo, encuentra este Despacho procedente imponer la sanción correspondiente a un millón treinta y dos mil seiscientos tres pesos M/CTE ($1.032.603), equivalente a veintinueve (29) Unidades de Valor Tributario (UVT), al demostrarse la infracción de lo dispuesto en el Literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1 ejúsdem, por parte del CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL.
DÉCIMO SEGUNDO: Que el parágrafo del artículo 2 de la Ley 1581 de 2012 13 señala que los principios sobre protección de datos serán aplicables a todas las bases de datos incluidas las exceptuadas en el mismo artículo, de ahí que es procedente solicitar a la investigada que garantice Ley 1581 de 2012, artículo 2: “Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registr ados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.
(…)
PARÁGRAFO. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el pre sente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal. En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley.” “Por la cual se impone una sanción y se imparte una orden” HOJA N 20, el cumplimiento del principio de responsabilidad demostrada desarrollado en el artículo 2.2.2.25.6.1 y subsiguiente del Decreto Único Reglamentario 1074 de 201514.
Al respecto, es oportuno resaltar lo conceptuado en la Resolución 83882 del 15 de noviembre de 2018, emanada del Despacho del Superintendente Delegado Para la Protección de Datos Personales, respecto de la responsabilidad de los administradores, acto administrativo en el que se señaló lo siguiente: “(…) Responsabilidad de los administradores en materia de tratamiento de datos personales.
El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.
La efectividad de los derechos humanos es un asunta de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.
Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.
En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.
En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas.
Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la ley 222 de 1995 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.
Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias” (subrayamos) (…) Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.6.1: Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de un a micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas. HOJA N 21, “Por la cual se impone una sanción y se imparte una orden” Nótese que el artículo 24 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.
Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”.
DÉCIMO TERCERO: En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta instancia procederá a impartir las siguientes instrucciones: 13.1 En cumplimiento de lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, deberá desarrollar y documentar un manual interno de Políticas de seguridad, a través del cual se describan de manera detallada las medidas de seguridad para el Tratamiento de los datos personales, determinando cómo se efectuará el almacenamiento de la información en sus bases de datos y especificando las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad en la custodia de la información personal a cargo de la propiedad horizontal CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, incluyendo archivos físicos, digitales y magnéticos. 13.2 En cumplimiento de lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1 ejúsdem, deberá desarrollar e implementar un manual que contenga un procedimiento para la recolección, tratamiento, circulación, y supresión de la información. De lo anteriormente ordenado la propiedad horizontal CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL, deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.
DÉCIMO CUARTO: Imposición y graduación de la sanción 14.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
HOJA N 22, “Por la cual se impone una sanción y se imparte una orden” (…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 15.
Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.
En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.
En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.
Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: Multa en UVT De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional16 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.
Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.
Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) HOJA N 23, “Por la cual se impone una sanción y se imparte una orden” razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad” 17 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros18. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”19.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia20. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2321 de la misma ley.
Así mismo, el artículo 24 de la Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 19 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 20 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 21Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: “Por la cual se impone una sanción y se imparte una orden” HOJA N 24, norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 14.1.2 Literal a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”22 a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva..” 22 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.
Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción y se imparte una orden” HOJA N 25, De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados23.
También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado la infracción al: i) El Literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. ii) El Literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1 ejúsdem.
De acuerdo con lo anterior, es claro que la investigada vulneró los deberes que tiene los responsables del tratamiento de datos personales, por tal razón se impondrá el monto de dos millones sesenta y cinco mil doscientos seis pesos M/CTE ($2.065.206) equivalente a cincuenta y ocho (58) unidades de Valor Tributario (UVT). 14.1.3 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008, no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.
El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones.
DÉCIMO QUINTO: CONCLUSIÓN Se procederá a imponer una sanción por las siguientes razones: Se comprobó que la propiedad horizontal denominada CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL, infringió abiertamente las normas sobre protección de datos personales, en tanto, i) no cuenta con un Manual de Políticas de Seguridad; y ii) no ha implementado un manual donde se encuentre un procedimiento para la recolección, tratamiento, circulación, y supresión de la información. 23 Ley 1581 de 2012 “Artículo 23.
La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada.
En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” “Por la cual se impone una sanción y se imparte una orden” HOJA N 26, Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer la sanción correspondiente a dos millones sesenta y cinco mil doscientos seis pesos M/CTE ($2.065.206), equivalente a cincuenta y ocho (58) unidades de Valor Tributario (UVT) al CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL, por la violación a la siguiente normatividad: i) El Literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. ii) El Literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1 ejúsdem.
DÉCIMO SEXTO: Que en virtud de la situación actual, teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la propiedad horizontal denominada CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL debe: (i) (ii) Enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando: número de radicado, nombre completo de la persona que va a consultar el expediente, número de identificación y correo electrónico autorizado;
Una vez reciba respuesta positiva respecto de la solicitud de acceso, la sociedad debe registrarse en servicios en línea link https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo link posteriormente al registro puede consultar el expediente de manera digital. No obstante, en aras de garantizar los derechos de defensa y contradicción de la sociedad investigada, en el caso en que la misma considere necesario el acceso del expediente en físico, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá. Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.
En mérito de lo expuesto, este Despacho,
RESUELVE
ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a la propiedad horizontal denominada CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL identificada con el Nit.900.546.074-3 de dos millones sesenta y cinco mil doscientos seis pesos M/CTE ($2.065.206) equivalente a cincuenta y ocho (58) unidades de Valor Tributario (UVT), por la violación a lo dispuesto en la siguiente normatividad: i) El Literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. ii) El Literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1 ejúsdem.
PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. “Por la cual se impone una sanción y se imparte una orden” HOJA N 27, 899999090-2.
El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria. Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO SEGUNDO: Ordenar a la propiedad horizontal denominada CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL identificada con el Nit.900.546.074-3 que: “13.1 En cumplimiento de lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, deberá desarrollar y documentar un manual interno de Políticas de seguridad, a través del cual se describan de manera detallada las medidas de seguridad para el Tratamiento de los datos personales, determinando cómo se efectuará el almacenamiento de la información en sus bases de datos y especificando las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad en la custodia de la información personal a cargo de la propiedad horizontal CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, incluyendo archivos físicos, digitales y magnéticos. 13.2 En cumplimiento de lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1 ejúsdem, deberá desarrollar e implementar un manual que contenga un procedimiento para la recolección, tratamiento, circulación, y supresión de la información”.
PARÁGRAFO PRIMERO: La propiedad horizontal denominada CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL identificada con el Nit.900.546.074-3, deberá acreditar el cumplimiento de lo ordenado en el anterior artículo ante esta Superintendencia dentro de los noventa (90) días hábiles siguientes a la ejecutoria de la presente decisión, aportando el respectivo documento donde se acredite la orden aquí impartida.
PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la propiedad horizontal denominada CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL, acreedora de las sanciones previstas en la ley.
ARTÍCULO TERCERO: Notificar personalmente el contenido de la presente resolución a la propiedad horizontal denominada CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL identificada con el Nit.900.546.074-3 a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.
ARTÍCULO CUARTO: Comunicar a la señora XXX XXXX XXXXX XXXXXXXXXX identificada con la C.C XXX XXXX XXXX, el contenido de la presente resolución.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 17 SEPTIEMBRE 2020 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR MUÑOZ Firmado digitalmente por CARLOS ENRIQUE SALAZAR MUÑOZ Fecha: 2020.09.17 12:44:31 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: DAD Revisó: LMRZ Aprobó: CESM “Por la cual se impone una sanción y se imparte una orden” HOJA N 28, NOTIFICACIÓN: Investigada: Propiedad Horizontal: CONJUNTO RESIDENCIAL PLAZUELAS DE SANTA ANA PROPIEDAD HORIZONTAL Identificación: Nit.900.546.074-3 Representante Legal: DIANA MILENA SANABRIA PATARROYO Identificación: C.C 1.024.473.676 Correo electrónico: admon.santana@yahoo.com.co Dirección: Calle 48 Sur No. 87-06 Ciudad: Bogotá D.C COMUNICACIÓN: Señora: XXX XXXX XXXXX XXXXXXXXXX Identificación: C.C. No. XXXXXXXXXX Dirección: XXXXXXXXXXXXXXXXXXXXXXXXXX Ciudad: XXXXXXXX XXX Correo electrónico: XXXXXXXXXXXXXXXXXXXX