Resolución sancionatoria N° 1264 de 2023

REPÚBLICA DE COLOMBIA (01 MARZO 2023) “Por la cual se impone una sanción y se imparten órdenes administrativas” VERSIÓN PÚBLICA Radicación: 20-44955 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los literales a) y b) del artículo 21 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que mediante denuncia radicada ante esta Superintendencia bajo el número 20449551, el Titular XXXXX.XXXXXX XXXXXX XXXX identificado con cédula de ciudadanía número XXXXXXX, puso en conocimiento de este Despacho que el CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL con Número de Identificación Tributaria 860.066.916-5 presuntamente habría llevado a cabo conductas vulneradoras del Régimen de Protección de Datos Personales.

SEGUNDO: Que en desarrollo de la etapa preliminar este Despacho, a través del Grupo de Trabajo de Investigaciones Administrativas de la Dirección de Investigación de Protección de Datos Personales, procedió a requerir al CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL, con Número de Identificación Tributaria 860.066.916-5, mediante requerimiento de información el 1 de mayo de 2020 radicado bajo lo número 20-44955-3, para que informara lo siguiente: “1.

Informe cuáles son los mecanismos implementados por ustedes para la recolección de la información personal de los residentes y/o copropietarios del CONJUNTO RESIDENCIAL BHC I PRIMER SECTOR. Allegue los formatos y/o documentos establecidos para la recolección, y mediante los cuales informa a los residentes y/o copropietarios las finalidades de la recolección y los derechos que les asisten en virtud de la autorización otorgada. 2.

Enuncie puntualmente qué tipo de información de los residentes y/o copropietarios del CONJUNTO RESIDENCIAL BHC I PRIMER SECTOR se encuentra almacenada en sus bases de datos. 3. Manifieste si cuentan con la autorización clara, expresa e informada de los residentes y/o copropietarios del CONJUNTO RESIDENCIAL BHC I PRIMER SECTOR para la recolección de sus datos personales (correo electrónico, teléfono, número de identificación, tarjeta de propiedad de vehículos, etc., Para el Tratamiento de sus datos personales.

En caso afirmativo, documente su respuesta mediante la copia de dichas autorizaciones. 4. Aporte prueba mediante la cual se informe a los Titulares de la recolección y los derechos que le asisten por virtud de la autorización otorgada. 5. Acredite que comunicó las finalidades por las cuales serían tratados los datos personales a la Titulares para el Tratamiento de sus datos personales. 6.

Sírvase aportar copia del aviso de privacidad desarrollado e implementado por ustedes. 7. Acredite los medios de difusión y la puesta en disposición del aviso de privacidad que establece el artículo 2.2.2.25.3.5 del Decreto Único Reglamentario 1074 de 2015. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 8.

¿Cuáles son las Políticas de Tratamiento implementadas por ustedes para el manejo de datos personales? Sírvase remitir a esta Superintendencia copia de las mismas. 9. Sírvase indicar cuáles son los canales dispuestos por ustedes para la atención de consultas y reclamos presentados por los Titulares de información. 10. Sírvase manifestar si cuentan con un manual o procedimientos para la atención de consultas y reclamos.

Remita copia del mismo. 11. Sírvase informar si el CONJUNTO RESIDENCIAL BHC I PRIMER SECTOR, cuenta con un sistema de video vigilancia para realizar el monitoreo de sus instalaciones. En caso afirmativo, indique: a. Cuántas cámaras de seguridad, de propiedad o gestión de la propiedad horizontal, están instaladas en el conjunto residencial, incluyendo zonas comunes y alrededores. b. Precise en qué ubicaciones de la edificación, incluyendo zonas comunes y alrededores, están instaladas las cámaras de seguridad. c. ¿Con qué medidas de seguridad protegen la información registrada en las cámaras de seguridad que tiene el edificio? d. ¿La información o datos personales registrados por las cámaras de seguridad son transmitida a un Encargado, según el numeral 5 del artículo 2.2.2.25.1.3 y el artículo 2.2.2.25.5.2 del Decreto Único Reglamentario 1074 de 2015? En caso afirmativo, ¿han celebrado contratos de transmisión de datos con el Encargado? Si han celebrado ese tipo de contratos allegue una copia del mismo a esta Superintendencia. e. ¿De qué manera obtienen la autorización para el tratamiento de información y datos personales recolectados por las cámaras de seguridad? ¿Cuentan con avisos de privacidad, según los artículos 2.2.2.25.3.2 y 2.2.2.25.3.3 del Decreto Único Reglamentario 1074 de 2015? Remita a esta Superintendencia copia de los avisos mencionados 12.

Sírvase aportar el certificado de existencia y representación legal de la copropiedad CONJUNTO RESIDENCIAL BHC I PRIMER SECTOR. 13. Remita copia de los reclamos, peticiones o consultas realizadas por el señor XXXXX.XXXXXX XXXXXX XXXX que versen sobre este asunto. En cada caso, sírvase remitir cada copia con su respectiva respuesta y la constancia de envío y recibo de la dicha respuesta.”1 TERCERO: Que, que el CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL con Número de Identificación Tributaria 860.066.916-5, a través de su representante legal, mediante comunicación de fecha 24 de noviembre de 20202, dio respuesta al citado requerimiento informando, entre otros aspectos, lo siguiente: 1. 2. 3. 4. 5. 6.

Manifestó que: “Frente a los mecanismos adoptados estos fueron las comunicaciones remitidas vía correo electrónico y físicas en donde se da a conocer a cada propietario de la unidad residencial (92 apartamentos y locales) lo concerniente al manejo de datos personales, junto a esta comunicación formatos para su diligenciamiento”3. Manifestó que: “Los datos solicitados por esta administración y con los que se ha ido creando la base de datos de la copropiedad son: Nombre, Identificación, Correo Electrónico, Teléfono y Firma” 4 Me permito informar que esta administración en varias oportunidades ha venido solicitando las autorizaciones correspondientes de los propietarios y/o residentes, sin embargo, la respuesta no ha sido del todo asertiva y oportuna por parte de la mayoría de las personas; en la actualidad contamos con la autorización expresa y soportada de (13) de los cuales adjunto copia de las autorizaciones recibidas a la fecha.” 5 Que junto a la respuesta adjuntó documento denominado “[Políticas de protección de datos personales conjunto residencial bch primer sector]” 6 Manifestó que: “me permito indicar que las finalidades están desarrolladas en las mismas políticas de datos” 7 Manifestó que: “En referencia a este punto, las mismas son desarrolladas en la política de datos adjunta” 8 1 Expediente digital.

Consecutivo número 3. Página 2. Folios 1 a 3. 2 Expediente digital. Consecutivo número 3. Página 2. Folios 1 a 3. 3 Expediente digital. Consecutivo número 5. Página 9. Folio 1. 4 Expediente digital. Consecutivo número 5. Página 9. Folio 1. 5 Expediente digital. Consecutivo número 5. Página 9. Folio 2. 6 Expediente digital. Consecutivo número 5.

Página 4. 7 Expediente digital. Consecutivo número 5. Página 9. Folio 2. 8 Expediente digital. Consecutivo número 5. Página 9. Folio 2. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 7. Que junto a la respuesta adjuntó documento denominado “correo envio políticas de datos” 9 8. Que junto a la respuesta adjuntó documento denominado “[Políticas de protección de datos personales conjunto residencial bch primer sector]” 10 9.

Manifestó que: “el medio para presentar consultas y/o reclamos es el correo electrónico del conjunto cresidencialbch@hotmail.com” 11 10. Manifestó que: “no existe un manual de procedimientos adicional a los puntos 18 y 19 de las políticas de datos” 12 11. Manifestó que: (a) cuenta con un total de 25 cámaras13;(b) Las cámaras se encuentran distribuidas de la siguiente manera: Exteriores: 12;

Áreas comunes (plazoletas. Parqueaderos):1314; (c) Las cámaras de seguridad son parte de la empresa de vigilancia, por lo cual solo la persona autorizada por la compañía puede tener acceso a las grabaciones.; (d) las grabaciones son guardadas por el sistema por un tiempo no mayor a 20 días y solo en caso de reclamación y/o solicitud, la persona designada por la compañía de vigilancia descarga el video correspondiente. 16; y (e) los avisos están instalados en las casetas de acceso al conjunto residencial.17 12.

Que junto a la respuesta adjuntó documento denominado “representación legal” 18 13. Que junto a la respuesta adjuntó documento denominado “XXXXXXXXXXX.” 19 CUARTO: Que, con base en los hechos anotados y de acuerdo con las pruebas recolectadas en la etapa preliminar de esta investigación, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, el día 16 de noviembre de 2021 se inició la presente investigación administrativa mediante la expedición de la Resolución No. 74058, por medio de la cual se formularon cargos al CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL por el presunto incumplimiento de las siguientes normas: (i) El literal k) del artículo 17 de La Ley 1581 de 2012, en concordancia con lo establecido en el artículo 4 literal g) de la misma Ley, y el Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.6.1.

(ii) EL literal j) del artículo 17 de La Ley 1581 de 2012, en concordancia con lo establecido por el literal e) del artículo 4 de la misma Ley. (iii) El literal k) del artículo 17 de La Ley 1581 de 2012, en concordancia con lo establecido el Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.6.2. numeral 3.

QUINTO: Que, la Resolución N°74058 del 16 de noviembre de 2021 le fue notificada mediante notificación por aviso N° 31250 a la investigada el 20 de diciembre de 2021, y comunicada al titular XXXXX.XXXXXX XXXXXX XXXX el 17 de noviembre de 2021, de conformidad con la certificación con número de radicado 20-44955- -14 de fecha de 30 de noviembre de 2021 expedida por la Secretaría General de esta Superintendencia.

SEXTO: Que mediante escrito radicado el 22 de noviembre de 2021 bajo número 20-44955- -11 y escrito radicado el 3 de diciembre de 2021, el Titular XXXXX.XXXXXX XXXXXX XXXX manifestó ante este Despacho su intención de intervenir en calidad de Tercero en la investigación.

SÉPTIMO: Que, mediante Resolución N°. 17290 de 31 de marzo de 2022, la Dirección de Investigaciones de Protección de Datos Personales: (i) Incorporó las pruebas obrantes en el expediente, con el valor legal que les correspondía. (ii) Reconoció como Tercero Interviniente en la Investigación Administrativa al señor XXXXX.XXXXXX XXXXXX XXXX Identificado con la cédula de ciudadanía No. XXXXXXX..

(iii) Declaró agotada la etapa probatoria de la actuación administrativa. 9 Expediente digital. Consecutivo número 5. Página 9. Folio 2. 10 Expediente digital. Consecutivo número 5. Página 4. 11 Expediente digital. Consecutivo número 5. Página 9. Folio 2. 12 Expediente digital. Consecutivo número 5. Página 9. Folio 3. 13 Expediente digital.

Consecutivo número 5. Página 9. Folio 3. 14 Expediente digital. Consecutivo número 5. Página 9. Folio 3. 15 Expediente digital. Consecutivo número 5. Página 9. Folio 3. 16 Expediente digital. Consecutivo número 5. Página 9. Folio 4. 17 Expediente digital. Consecutivo número 5. Página 9. Folio 4. 18 Expediente digital. Consecutivo número 5.

Página 5. 19 Expediente digital. Consecutivo número 5. Página 8. “Por la cual se impone una sanción y se imparten órdenes administrativas” (iv) HOJA Corrió traslado a la investigada, el CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL identificado con el NIT. 860.066.916-5 y al tercero interviniente el señor XXXXX.XXXXXX XXXXXX XXXX Identificado con la cédula de ciudadanía No. XXXXXXX.; para que las partes rindieran los respectivos alegatos de conclusión.

OCTAVO: Que la Resolución N°. 17290 de 31 de marzo de 2022 le fue comunicada el 4 de abril de 2022 al CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL y al titular XXXXX.XXXXXX XXXXXX XXXX, según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada con número 20-44955- -21 del 18 de abril de 2022.

NOVENO: Que la investigada mediante escrito radicado el 18 de abril de 2022 bajo número 2044955- -22 presentó los respectivos alegatos de conclusión, en donde indicó: “En mi calidad de representante legal y responsable del manejo de datos, respecto a la política de protección de datos personales de nuestros propietarios, arrendatarios, visitantes y proveedores, como de nuestros empleados para dar cumplimiento a la Ley 1581 de 2012, reconozco que por la confianza en pensar que nuestras POLÍTICAS DE PROTECCIÓN DE DATOS PERSONALES del CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR estaban bien elaboradas, me llevó a pensar que no era necesario ningún ajuste o complemento a las ya existentes, es decir que se cometió un error de apreciación humano. Con lo cual nunca fue mi intención de causar daño a un tercero, mucho menos de beneficiarme de ello.

Además, que estoy atenta a acatar todas las órdenes impartidas por la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO. En este momento me encuentro en el proceso de reestructurar y ajustar a la norma, las POLÍTICAS DE PROTECCIÓN DE DATOS PERSONALES del CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR de acuerdo a la ley 1581de 2012. De igual manera, me permito informar que por medio de correo certificado del cual adjunto soporte, se reitera el envío de la información solicitada en derecho de petición de marzo de 2020, por el señor XXXXX XXXXXX XXXXXX, quien a la fecha no ha dado autorización expresa para el uso de correo electrónico como medio de notificación. RECONOCIMIENTO EXPRESO DE LA INFRACCIÓN Por lo anterior y teniendo en cuenta el Capítulo II, Procedimientos y sanciones, artículo 24, literal f), reconozco de manera expresa y consiente la comisión de la infracción, respecto a los tres cargos formulados.”20 DÉCIMO: Que, mediante escritos presentados el 20 de abril de 2022 bajo radicados números 2044955- -23 y 20-44955- -24, el titular XXXXX.XXXXXX XXXXXX XXXX, desde su calidad de Tercero Interviniente, aportó a la investigación el siguiente documento:  Respuesta brindada por el CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL el 16 de abril de 2022 al derecho de petición presentado por el Titular el 2 de marzo de 202021.

DECIMO PRIMERO: Competencia de la Superintendencia de Industria y Comercio Que el artículo 19 de la Ley 1581 de 2012 ordena a la Superintendencia de Industria y Comercio (SIC), como autoridad de protección de datos personales, ejercer vigilancia “para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley”.

DECIMO SEGUNDO: Análisis del caso 12.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 201117, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: 20 Expediente digital. Consecutivo número 22. Página 5. Folio 1. 21 Expediente digital. Consecutivos números 23 y 24.

“Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por la reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de las siguientes disposiciones:  El literal k) del artículo 17 de La Ley 1581 de 2012, en concordancia con lo establecido en el artículo 4 literal g) de la misma Ley, y el Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.6.1.  EL literal j) del artículo 17 de La Ley 1581 de 2012, en concordancia con lo establecido por el literal e) del artículo 4 de la misma Ley.  El literal k) del artículo 17 de La Ley 1581 de 2012, en concordancia con lo establecido el Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.6.2. numeral 3.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de unas órdenes para lo cual se deberán tener en cuenta la denuncia presentada por el Titular, los requerimientos realizados por este Despacho, así como el conjunto de pruebas obrantes en el expediente. 12.2 Valoración probatoria 12.2.1 Respecto del deber de implementar y poner a disposición de los titulares las políticas de tratamiento El principio de transparencia definido en el literal e) del artículo 4 de la Ley 1581 de 2012 establece que los Responsables del Tratamiento están obligados a garantizarle al Titular, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.

El anterior principio se materializa, entre otros mecanismos jurídicos, a través de la Política de Tratamiento de Información Personal. Igualmente, dicho deber se enmarca dentro del literal k del artículo, disposición que señala lo siguiente: “k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;” Además, el inciso tercero del artículo 25 de la Ley 1581 de 2012 establece lo siguiente: Artículo 25.

Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. (…) Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes.

Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. Al respecto, el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015 señala que los Responsables del Tratamiento deberán (i) escribir sus políticas para el tratamiento de los datos personales; (ii) implementarlas en medio físico o electrónico, en un lenguaje claro y sencillo; y (iii) ser puestas en conocimiento de los Titulares.

El artículo también especifica la información que debe “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA incluir en la política, que en ningún caso debe ser inferior a lo establecido en dicha norma, de conformidad con el artículo 25 de la Ley 1581 de 2012. Cita la norma: “(…) Artículo 2.2.2.25.3.1. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas.

Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares. Dichas políticas deberán incluir, por lo menos, la siguiente información: 1. 2. 3. 4. 5. 6. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable.

Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. Derechos que le asisten como Titular. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos.

Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente Decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas. (…)”. En torno a este asunto, es importante señalar que: (1) la política de tratamiento es una herramienta que permite a los Titulares de la Información pedir, en cualquier tiempo, cuentas a los Responsables del Tratamiento, controlar el uso de sus datos personales y ejercer sus derechos de acceso, actualización, supresión y rectificación de sus datos personales y de revocatoria de la autorización. (2) Este documento debe ser transparente y de fácil acceso para los Titulares de la Información, ya sea por medio escrito22, formatos electrónicos23, medios verbales o cualquier otra tecnología disponible, siempre y cuando garantice y cumpla con el deber de informar al Titular de la Información, y estar redactados un lenguaje sencillo y claro.

El requisito de que el lenguaje sea claro y sencillo significa que, por ejemplo, la política sea comprensible para el tipo de personas a la que se dirige; esto reviste una importancia especial cuando se trata de niños, niñas o adolescentes, o personas con alguna discapacidad, o personas de la tercera edad, o personas que no hablen el idioma castellano, etc., razón por la cual, en una política de tratamiento se debe evitar, entre otras cosas, a: (i) contener un lenguaje o terminología de naturaleza excesivamente legal, técnica o especializada; e (ii) incluir ambigüedades, oraciones y estructuras lingüísticas complejas.

(3) Los Responsables del Tratamiento deberán poner en conocimiento al Titular de la Información, a más tardar al momento de la recolección de los datos personales, la política de tratamiento de información personal. La reunión de estos elementos permiten garantizar “el ámbito de protección del derecho de habeas data”24, pues resultan oponibles al sujeto obligado en los procesos de recolección, tratamiento, circulación y disposición final de datos, así como también permite garantizar a los Titulares el pleno y efectivo ejercicio del derecho de habeas data a través de la implementación y puesta en marcha, a su vez, de los principios que rigen el tratamiento de los datos personales mediante herramientas claramente definidas y los procedimientos para su implementación. 22 Por ejemplo: medios impresos, anuncios impresos, formularios, etc. 23 Electrónicamente - en mensajes de texto; en los sitios web; en correos electrónicos; en aplicaciones móviles. 24 Corte Constitucional, sentencia C-748 de 2011, M.P. María Victoria Calle Correa.

“Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA Retomado el caso particular, se encuentra que a través de la Resolución N°74058 del 16 de noviembre de 2021 este Despacho encontró: “Por lo tanto, en principio, el documento “[Políticas de protección de datos personales conjunto residencial bch primer sector]”, no cumple con los requisitos mínimos que establece el Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.3.1. inciso segundo, numerales 1, 2, 3, 4,y 5, y en consecuencia es dable concluir de manera preliminar que la organización de propiedad horizontal CONJUNTO RESIDENCIAL BCH – PRIMER SECTOR, Implementó una política que no cumple con los requisitos mínimos establecidos por la normatividad relativa a la Protección de Datos Personales en materia de desarrollo de Políticas de Tratamiento de la Información; situación que desconoce lo establecido en el literal K) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 25 inciso 3 de la misma Ley y el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.”25 En cuanto al acervo probatorio este Despacho observa lo siguiente: 1.

En la denuncia presentada por el titular el 24 de febrero de 2020 se indicó: “El día 21 de febrero de 2020 se publica en la cartelera el contrato firmado entre el CONJUNTO RESIDENCIAL BCH- PRIMER SECTOR – y la señora Xxxx xxxxxxxx Xxxxxxxxx (….) Lo que me llama la atención es la CLAUSULA

12. POLITICAS DE PROTECCION DE DATOS PERSONALES, en la cual manifiesta que el contratante cuenta con políticas de tratamiento de datos personales. Esto a la fecha no es cierto y el CONTRATISTA está siendo llevado a un error que puede reclamar y manifestar causal para la terminación del contrato y reclamar la correspondiente indemnización. Mi afirmación la sustento en el informe anual presentado por la señora Revisora fiscal el día 30 de marzo de 2019 en el literal “0” donde dice: Dar alcance a lo establecido en la Ley 1581 de 2012, con relación al manual de políticas, manejo y custodia de la información (bases de datos físicas, digitales y videos) que se operan de propietarios, residentes y terceros que ingresan a la copropiedad.

(Adjunto copia de dicho informe) Luego en sus informes de Revisoría Fiscal durante el año 2019 y comienzos de 2020 manifiesta lo mismo en sus cuatro informes los cuales adjunto.” 26 Además, el Titular aportó los siguientes documentos para sustentar la denuncia:  Copia del contrato de Prestación de servicios para la elaboración de licitación de modernización de ascensores No 001 de 202027, en el cual se indica: “CLÁUSULA

12. POLÍTICAS DE PROTECCIÓN DE DATOS PERSONALES: En el estricto cumplimiento de la normatividad en protección de datos personales, como es la Ley 1581 de 2012. Como sus Decretos reglamentarios, EL CONTRATANTE manifiesta que cuenta con políticas de tratamiento de datos personales, así mismo que toda la información de EL CONTRATISTA es recopilada y mantenida de acuerdo a los requerimientos de dicha normativa, así mismo, EL CONTRATISTA manifiesta que fue informado, y en consecuencia conoce y acepta cumplir las políticas de protección de datos de EL CONTRATANTE y que, en consecuencia conoce y acepta cumplir las políticas de protección de datos de EL CONTRATANTE y que, en consecuencia tratará la información entregada, de acuerdo a dichas políticas y a las garantías y libertades reconocidas por la Constitución y la Ley, en materia de Habeas Data.

La violación por parte de EL CONTRATISTA de lo establecido en las políticas de protección de datos personales de EL CONTRATANTE, se configurará una causal para la terminación unilateral del contrato con la correspondiente indemnización de perjuicios, si hay lugar a ella” 28  Dictamen e informe del Revisor Fiscal presentado el 30 de marzo de 2019 a la asamblea general de copropietarios29, dentro del cual se establece: “De igual manera, incluyo en este informe algunas de las cuestiones claves de auditoría – CCA, que en este caso corresponde las cuestiones claves identificadas durante el ejercicio de la revisoría. Las cuales he evidenciado e informado a la Administración y al Consejo de Administración y que a la fecha de presentación de 25 Resolución N°74058 del 16 de noviembre de 2021.

Folio 7. 26 Expediente digital. Consecutivo número 1. Página 1. Folio 1. 27 Expediente digital. Consecutivo número 1. Página 1. Folios 3 a 8. 28 Expediente digital. Consecutivo número 1. Página 1. Folio 7. 29 Expediente digital. Consecutivo número 1. Página 1. Folios 9 a 11. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA este informe no se le ha dado alcance para que no generé un riesgo económico y responsabilidad solidaria por parte de la Copropiedad con sus propietarios, residentes y terceros: (…) o. Dar alcance a lo establecido en la Ley 1581 de 2012, con relación al manual de políticas, manejo y custodia de la información (bases de datos físicas, digitales y videos) que se operan de propietarios, residentes y terceros que ingresan a la copropiedad” 30  Informe de Revisoría Fiscal de fecha de 19 de junio de 201931, dentro del cual se señala: “5.

Ley 1581 – Bases de datos Se le reitera a la Administración y al Consejo de Administración que se está en riesgo de generar sanciones económicas por el no cumplimiento de la Ley 1581 y la (sic) Decreto 090 de 2018, en cuanto a la fijación y socialización de las políticas de tratamiento de datos personales, la correcta custodia de las bases de datos automatizadas y físicas que tiene el conjunto y el manejo de imágenes recopiladas con las cámaras de seguridad. ” 32  Informe de Revisoría Fiscal de fecha de 27 de septiembre de 201933, dentro del cual se menciona: “3.

Ley 1581 – Bases de datos (Reiterativo) Recomendación: Dar alcance a la Ley 1581 y al Decreto 090 de 2018, a la mayor brevedad. Elaborar las políticas de tratamiento de datos personales y la correcta custodia de las bases de datos automatizadas y físicas. Las políticas también deben contemplar el manejo de las imágenes de las cámaras. Tener en cuenta que las entidades de vigilancia y control ya están sancionando económicamente.” 34  Informe de Revisoría Fiscal de fecha de 5 de noviembre de 201935, dentro del cual se indica: “4.

Ley 1581 – Bases de datos (Reiterativo) Recomendación: Dar alcance a la Ley 1581 y al Decreto 090 de 2018, a la mayor brevedad. Elaborar las políticas de tratamiento de datos personales y la correcta custodia de las bases de datos automatizadas y físicas. Las políticas también deben contemplar el manejo de las imágenes de las cámaras. Tener en cuenta que las entidades de vigilancia y control ya están sancionando económicamente.” 36  Informe de Revisoría Fiscal de fecha de 9 de enero 202037, dentro del cual se establece: “2 Habeas Data La Administración debe entregar las políticas para socializarlas con la comunidad.

Al igual que el anterior punto, el no cumplimiento de esta Ley 1581 y Decreto 090 de 2018, está poniendo al conjunto de pagar sanciones.”38 2. Mediante Oficio de radicado No. 20-44955- -3 del 6 de noviembre de 2020, esta Dirección le solicitó al CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL, lo siguiente: “[…] 8. ¿Cuáles son las Políticas de Tratamiento implementadas por ustedes para el manejo de datos personales? Sírvase remitir a esta Superintendencia copia de las mismas.”39 30 Expediente digital.

Consecutivo número 1. Página 1. Folios 10 a 11. 31 Expediente digital. Consecutivo número 1. Página 1. Folios 12 a 15. 32 Expediente digital. Consecutivo número 1. Página 1. Folio 13. 33 Expediente digital. Consecutivo número 1. Página 1. Folios 16 a 22. 34 Expediente digital. Consecutivo número 1. Página 1. Folio 18. 35 Expediente digital.

Consecutivo número 1. Página 1. Folios 23 a 26. 36 Expediente digital. Consecutivo número 1. Página 1. Folio 26. 37 Expediente digital. Consecutivo número 1. Página 1. Folios 27 a 29. 38 Expediente digital. Consecutivo número 1. Página 1. Folio 29. 39 Expediente digital. Consecutivo número 3. Página 2. Folio 2. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 3.

El anterior requerimiento fue respondido por el CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL, a través de comunicación del 24 de noviembre de 2020 radicada bajo el No. 20-44955- -5 mediante la cual informó lo siguiente: “En referencia a este punto, me permito adjuntar las políticas de tratamiento de datos.” 40 Además, la propiedad horizontal aportó varios documentos, entre los que se evidencian los siguientes:  Documento denominado “[Políticas de protección de datos personales conjunto residencial bch primer sector]” 41.  Copia del correo electrónico que fue enviado a los copropietarios en donde se adjuntaba la Política de Tratamiento de la Información, como se evidencia a continuación42:  La Primera edición del Periódico de la Copropiedad de fecha del 26 de octubre de 2020, en donde se me informa a los copropietarios lo siguiente43: 4.

Por último en el escrito de alegatos de conclusión presentado el 18 de abril de 2022 bajo número 20-44955- -22 la copropiedad admitió: “En mi calidad de representante legal y responsable del manejo de datos, respecto a la política de protección de datos personales de nuestros propietarios, arrendatarios, 40 Expediente digital. Consecutivo número 5.

Página 9. Folio 2. 41 Expediente digital. Consecutivo número 5. Página 4. 42 Expediente digital. Consecutivo número 5. Página 7. 43 Expediente digital. Consecutivo número 5. Página 10. Folio 1. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA visitantes y proveedores, como de nuestros empleados para dar cumplimiento a la Ley 1581 de 2012, reconozco que por la confianza en pensar que nuestras POLÍTICAS DE PROTECCIÓN DE DATOS PERSONALES del CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR estaban bien elaboradas, me llevó a pensar que no era necesario ningún ajuste o complemento a las ya existentes, es decir que se cometió un error de apreciación humano. Con lo cual nunca fue mi intención de causar daño a un tercero, mucho menos de beneficiarme de ello.

Además, que estoy atenta a acatar todas las órdenes impartidas por la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO. En este momento me encuentro en el proceso de reestructurar y ajustar a la norma, las POLÍTICAS DE PROTECCIÓN DE DATOS PERSONALES del CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR de acuerdo a la ley 1581de 2012.” 44 De conformidad con lo anterior, esta Dirección concluye lo siguiente: 1.

El CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL cuenta con una política de tratamiento de información personal, denominada “[Políticas de protección de datos personales conjunto residencial bch primer sector]” 45. 2. La política de tratamiento de información personal de la propiedad horizontal entró en vigencia el 24 de marzo de 202046 y fue comunicada a los copropietarios el 23 de octubre de 2020 vía correo electrónico47. 3.

De acuerdo al análisis realizado por este Despacho mediante Resolución N°74058 del 16 de noviembre de 2021 “el documento “[Políticas de protección de datos personales conjunto residencial bch primer sector]”, no cumple con los requisitos mínimos que establece el Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.3.1.”48 4. La propiedad horizontal reconoció que fue “un error de apreciación humano”, el hecho de que la política de tratamiento de información personal implementada no cumpliera con todos los criterios establecidos en artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015 En ese orden de ideas, este Despacho evidencia que antes del 2020 la sociedad no contaba con una Política de Tratamiento de datos y aunque la misma se implementó con posterioridad al inicio de la presenten actuación administrativa, el documento no cumple en su totalidad con lo establecido en la Ley 1581 de 2012 ni en el Decreto 1074 de 2015.

Por lo tanto, se contempla la necesidad de impartir una orden administrativa tendiente a que la copropiedad adecue su Política de tratamiento de Datos de acuerdo con las disposiciones legales, en aras de dar cumplimiento a los numerales 1, 2, 3, 4, y 5 inciso segundo del artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015, en el siguiente sentido:  Se indique de manera precisa los datos de identificación del Responsable del Tratamiento, a saber: razón social, domicilio, dirección, correo electrónico, teléfono de contacto.  Se establezca el tipo de Tratamiento –manual o automatizado- al cual serán sometidos los Datos de los Titulares.  Se determine quién es la persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el Dato y revocar la Autorización.  Se indique cual es el procedimiento para que los titulares de la información puedan ejercer sus derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización.  Se establezca el período de vigencia de la Base de Datos.

Por lo anterior, este Despacho procederá a impartir la orden correspondiente a la propiedad horizontal. 12.2.2 Respecto del deber de tramitar las consultas y reclamos formulados por los Titulares de la Información en los términos señalados por la Ley 44 Expediente digital. Consecutivo número 22. Página 5. Folio 1. 45 Expediente digital. Consecutivo número 5.

Página 4. 46 Expediente digital. Consecutivo número 5. Página 4. Folio 4. 47 Expediente digital. Consecutivo número 5. Página 7. 48 Resolución N°74058 del 16 de noviembre de 2021. Folio 7. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA El literal j) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley; (…) Artículo 4. Principios para el tratamiento de datos personales.

En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) e) Principio de transparencia: En el Tratamiento debe garantizarse el derecho del Titular a obtener del Responsable del Tratamiento o del Encargado del Tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan;

Retomado el caso particular, se encuentra que a través de la Resolución N°74058 del 16 de noviembre de 2021 este Despacho encontró: “esta Dirección encuentra que en la respuesta suministrada por la organización de propiedad horizontal CONJUNTO RESIDENCIAL BCH – PRIMER SECTOR fechada del 23 de noviembre de 202026 se acepta el conocimiento de petición radicada por el Titular XXXXX.XXXXXX XXXXXX XXXX el día 2 de marzo de 2020 y al mismo tiempo aduce no haber dado respuesta a dicha petición por cuanto “al no existir autorización del peticionario para el envío de la respuesta y a la ausencia de este en las instalaciones del apartamento en el cual habita, desde que inicio(sic) la pandemia, ha sido imposible entregar la respuesta al señor XXXX.”.

Al punto, este Despacho encuentra infundado el argumento alegado por la organización investigada para no dar respuesta a la petición, ya que, no se encuentra en el documento que soporta la petición realizada por el Titular XXXXX.XXXXXX XXXXXX XXXX un aparte que establezca de manera expresa la negación de allegar la respuesta a la dirección física que se expone en la misma petición, por otro lado, este Despacho tampoco encuentra acreditado el argumento esgrimido por la investigada relativo a la imposibilidad de contestar la petición del Titular, principalmente por el hecho de que la contestación se pudo allegar al domicilio del Titular por medio del servicio de mensajería nacional.

Por lo expuesto, se concluye preliminarmente que la organización de propiedad horizontal CONJUNTO RESIDENCIAL BCH – PRIMER SECTOR presuntamente incumplió su deber de tramitar las consultas y reclamos formulados por los Titulares de la Información en los términos señalados por el régimen de protección de Datos Personales, dicho deber se encuentra consignado en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido por el literal e) del artículo 4 de la misma Ley.”49 En cuanto al acervo probatorio este Despacho observa lo siguiente: 1.

En la denuncia presentada por el titular el 24 de febrero de 2020 se indicó: “El día 21 de febrero de 2020 se publica en la cartelera el contrato firmado entre el CONJUNTO RESIDENCIAL BCH- PRIMER SECTOR – y la señora Xxxx xxxxxxxx Xxxxxxxxx (….) Lo que me llama la atención es la CLAUSULA

12. POLITICAS DE PROTECCION DE DATOS PERSONALES, en la cual manifiesta que el contratante cuenta con políticas de tratamiento de datos personales. Esto a la fecha no es cierto y el CONTRATISTA está siendo llevado a un error que puede reclamar y manifestar causal para la terminación del contrato y reclamar la correspondiente indemnización.” 50 49 Resolución N°74058 del 16 de noviembre de 2021.

Folio 8. 50 Expediente digital. Consecutivo número 1. Página 1. Folio 1. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 2. Mediante Oficio de radicado No. 20-44955- -3 del 6 de noviembre de 2020, esta Dirección le solicitó al CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL, lo siguiente: “[…] 13.

Remita copia de los reclamos, peticiones o consultas realizadas por el señor XXXXX.XXXXXX XXXXXX XXXX que versen sobre este asunto. En cada caso, sírvase remitir cada copia con su respectiva respuesta y la constancia de envío y recibo de la dicha respuesta.”51 3. El anterior requerimiento fue respondido por el CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL, a través de comunicación del 24 de noviembre de 2020 radicada bajo el No. 20-44955- -5 mediante la cual informó lo siguiente: “En atención a esta solcito, adjunto copia de la petición realizada por el señor XXXXX XXXX el día 15 de abril, en su calidad de arrendatario del inmueble xxx de la torre Sur, es preci so señalar que la respuesta fue elaborad oportunamente por esta administración, pero al no existir autorización del peticionario para el envío de la respuesta y a la ausenci a de este en las instalaciones del apartamento en el cual habita, desde que inicio la pandemia, ha sido imposible entregar la respuesta al señor XXXX..” 52 Además, la propiedad horizontal aportó varios documentos, entre los que se evidencian los siguientes:  Copia del derecho de petición presentando por el Titular ante el CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL de fecha de 2 de marzo de 202053:  Copia de la respuesta brindada al Titular por el CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL 54. 4.

El Titular XXXXX.XXXXXX XXXXXX XXXX, desde su calidad de Tercero Interviniente, mediante escritos presentados el 20 de abril de 2022 bajo radicados números 20-44955- -23 y 20-44955- -24, el titular, aportó el siguiente documento:  La Respuesta brindada por el CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL el 16 de abril de 2022 al derecho de petición presentado por el Titular el 2 de marzo de 202055. 5.

Por último en el escrito de alegatos de conclusión presentado el 18 de abril de 2022 bajo número 20-44955- -22 la copropiedad admitió: “RECONOCIMIENTO EXPRESO DE LA INFRACCIÓN Por lo anterior y teniendo en cuenta el Capítulo II, Procedimientos y sanciones, artículo 24, literal f), reconozco de manera expresa y consiente la comisión de la infracción, respecto a los tres cargos formulados.”56 De conformidad con lo anterior, esta Dirección concluye lo siguiente: 1.

El Titular XXXXX.XXXXXX XXXXXX XXXX presentó un derecho de petición el 2 de marzo de 202057ante el CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL. 2. El CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL dio respuesta al Titular el 16 de abril de 202258, es decir, más de 2 años después de la presentación del reclamo, sin tomar en cuenta los plazos establecidos en la norma.

Al respecto, este Despacho considera pertinente resaltar que el deber establecido en el literal j) del artículo 17 de la Ley 1581 de 2012 es claro y las consultas y reclamos formulados por los Titulares 51 Expediente digital. Consecutivo número 3. Página 2. Folio 3. 52 Expediente digital. Consecutivo número 5. Página 9. Folio 4. 53 Expediente digital.

Consecutivo número 5. Página 12. 54 Expediente digital. Consecutivo número 5. Página 8. 55 Expediente digital. Consecutivos números 23 y 24. 56 Expediente digital. Consecutivo número 22. Página 5. Folio 1. 57 Expediente digital. Consecutivo número 5. Página 12. 58 Expediente digital. Consecutivo número 23. Página 2. Folio 1. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA de la Información deben ser tramitados en los términos señalados por la Ley, en concreto, de acuerdo a lo establecido en los artículos 14 y 15 de la Ley 1581 de 2012, los cuales mencionan: “Artículo 14.

Consultas. Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en cualquier base de datos, sea esta del sector público o privado. El Responsable del Tratamiento o Encargado del Tratamiento deberán suministrar a estos toda la información contenida en el registro individual o que esté vinculada con la identificación del Titular.

La consulta se formulará por el medio habilitado por el Responsable del Tratamiento o Encargado del Tratamiento, siempre y cuando se pueda mantener prueba de esta. La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término. Parágrafo.

Las disposiciones contenidas en leyes especiales o los reglamentos expedidos por el Gobierno Nacional podrán establecer términos inferiores, atendiendo a la naturaleza del dato personal. Artículo 15. Reclamos. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1.

El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.

Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.

Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.

Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.” En ese sentido, tomando en cuenta que norma establece un plazo de diez (10) días hábiles para dar respuesta a las consultas, y de quince (15) días hábiles para dar respuesta a los reclamos, este Despacho evidencia un incumplimiento al deber establecido en el literal j) del artículo 17 de la Ley 1581 de 2012, por cuanto la sociedad no respeto los plazos establecidos en la Ley, y dio respuesta al Titular más de 2 años después de la presentación del reclamo.

Por su parte, si bien la investigada argumenta que “la respuesta fue elaborada oportunamente por esta administración, pero al no existir autorización del peticionario para el envío de la respuesta y a la ausencia de este en las instalaciones del apartamento en el cual habita, desde que inicio la pandemia, ha sido imposible entregar la respuesta al señor XXXX.” 59, este Despacho considera pertinente reiterar lo indicado en la Resolución N°74058 del 16 de noviembre de 2021 relativo a que la propiedad horizontal podía haber allegado la contestación “al domicilio del Titular por medio del servicio de mensajería nacional” 60.

Por lo anterior, no es de recibido el argumento expuesto por la investigada. 59 Expediente digital. Consecutivo número 5. Página 9. Folio 4. 60 Resolución N°74058 del 16 de noviembre de 2021. Folio 8. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA En conclusión, este Despacho encuentra probado que el CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL incumplió su deber de tramitar las consultas y reclamos formulados por los Titulares de la Información en los términos señalados por la Ley contenido en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido por el literal e) del artículo 4 de la misma Ley.

Por ende, se procederá a impartir la sanción correspondiente. 12.2.3 Respecto del deber de adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley 1581 de 2012 y, en especial, para la atención de consultas y reclamos El literal k) del artículo 17 de la Ley 1581 de 2012 prevé un deber fundamental para los Responsables de la Información, el cual establece: “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;

(…)” (Resaltado fuera del texto). Decreto Único Reglamentario 1074 de 2015 “Artículo 2.2.2.25.6.2. Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2.25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio.

Dichas políticas deberán garantizar: (…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. (Subraya fuera de texto original). Respecto de este deber, la Corte Constitucional en sentencia C 748 del 2011 dispuso que: “En el título VI, “DE LOS DEBERES DE LOS RESPONSABLES Y ENCARGADOS DEL TRATAMIENTO DEL DATO”, el legislador enlistó en preceptos separados los deberes de los responsables y de los encargados del tratamiento.

Los deberes enumerados, en términos generales, buscan garantizar el pleno ejercicio del derecho al habeas data por parte de los titulares, como los principios de la administración de datos personales analizados en otro capítulo de esta providencia. Estos deberes hacen referencia, según el sujeto concernido, a lo siguiente: En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación: (…) (vi) Tramitar las consultas y reclamos, hecho que lo obliga a dar a conocer al encargado esas eventualidades para que éste incluya la información correspondiente en la base de datos, con anotaciones que permitan identificar fácilmente el estado de la información, es decir, para que siempre se encuentre actualizada -literales j) y l), e igualmente adoptar reglamentos claros para que el titular del dato pueda hacer exigible sus derechos a consultar y reclamar literal k).” (Negrilla fuera del texto original) Retomado el caso particular, se encuentra que a través de la Resolución N°74058 del 16 de noviembre de 2021 este Despacho encontró: “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA “Al respecto, y en atención a la manifestación de la organización de propiedad horizontal CONJUNTO RESIDENCIAL BCH – PRIMER SECTOR, en la que aseguró: “a la fecha no existe un manual de procedimientos adicional a los puntos 18 y 19 de las políticas de datos”, esta Dirección revisó lo señalado por la investigada, encontrando que los numerales referidos no hacen relación a procedimiento(s) desarrollado(s) con el propósito de atender consultas y reclamos concernientes al Tratamiento de la Información Personal, por lo tanto, esta Superintendencia encuentra de manera preliminar que el documento de Manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley y en especial, para la atención de consultas y reclamos, no fue aportado por parte de la organización de propiedad horizontal CONJUNTO RESIDENCIAL BCH – PRIMER SECTOR, al no encontrarse en el Expediente un documento que refiera a un Manual interno para la atención de peticiones, quejas y reclamos que desarrolle los procesos internos implementados por la organización con el objeto de atender dicho fin.

Por lo expuesto, se concluye preliminarmente que la organización de propiedad horizontal CONJUNTO RESIDENCIAL BCH – PRIMER SECTOR presuntamente incumplió su deber de adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley, y en especial, para la atención de consultas y reclamos, conforme lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido el Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.6.2. numeral 3.”61 En cuanto al acervo probatorio este Despacho observa lo siguiente: 1.

Mediante Oficio de radicado No. 20-44955- -3 del 6 de noviembre de 2020, esta Dirección le solicitó al CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL, lo siguiente: “[…]10. Sírvase manifestar si cuentan con un manual o procedimientos para la atención de consultas y reclamos. Remita copia del mismo.”62 2. El anterior requerimiento fue respondido por el CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL, a través de comunicación del 24 de noviembre de 2020 radicada bajo el No. 20-44955- -5 mediante la cual informó lo siguiente: “Sobre este punto, me permito informar que a la fecha no existe un manual de procedimientos adicional a los puntos 18 y 19 de las políticas de datos, a continuación relacionados. 18.

El Conjunto Residencial BCH Primer Sector, incorporará a sus procesos los mecanismos para que los titulares de datos personales que administra puedan conocer, actualizar, rectificar y suprimir sus Datos Personales, así como para revocar la autorización que para su utilización tales titulares han otorgado, siempre que tal revocación informe al ordenamiento jurídico proceda, es decir, siempre que con la revocación de la Autorización no se vulnere un deber legal o contractual.

Igualmente, los procedimientos previstos por la Copropiedad preverán la divulgación de la presente política y de sus modificaciones en forma adecuada y oportuna. 19. Los procedimientos se ajustarán de tal forma que las consultas o reclamos de los titulares sean atendidos en forma clara, sencilla y oportuna, y en todo caso, en un término que no podrá superar el previsto en la normatividad vigente.

La Entidad velará por la suficiencia y claridad de las respuestas a tales consultas o reclamos. Adicionalmente, en los procedimientos internos la Entidad adoptará medidas de seguridad con el fin de: (a) evitar el daño, pérdida, alteración, hurto o destrucción de los datos personales, lo cual implica velar por la correcta operación de los procesos operativos y tecnológicos relacionados con esta materia;

(b) prevenir el uso, acceso o tratamiento no autorizado de los mismos, para lo cual se preverán niveles de acceso y circulación restringida de dicha información; y (c) incorporar los criterios de seguridad de los datos personales como parte integral de la adquisición, desarrollo y mantenimiento de los sistemas de información” 63 3. Por último en el escrito de alegatos de conclusión presentado el 18 de abril de 2022 bajo número 20-44955- -22 la copropiedad admitió: 61 Resolución N°74058 del 16 de noviembre de 2021.

Folio 9. 62 Expediente digital. Consecutivo número 3. Página 2. Folio 2. 63 Expediente digital. Consecutivo número 5. Página 9. Folio 3. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA “RECONOCIMIENTO EXPRESO DE LA INFRACCIÓN Por lo anterior y teniendo en cuenta el Capítulo II, Procedimientos y sanciones, artículo 24, literal f), reconozco de manera expresa y consiente la comisión de la infracción, respecto a los tres cargos formulados.”64 De conformidad con lo anterior, esta Dirección concluye que el CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL respecto al procedimiento para la atención de las quejas y reclamos solo cuenta con lo que se establece en la Política de Tratamiento de datos, lo cual resulta insuficiente y muy poco claro.

Al respecto, es importante que la copropiedad entienda que el Manual interno para la atención de consultas y reclamos, es un documento aparte de la Política de Tratamiento de datos, por cuanto el mismo recopila el procedimiento interno establecido por el Responsable del tratamiento para dar trámite a las consultas y los reclamos que interpongan los Titulares de la información y en ese sentido, es fundamental para garantizar el derecho de habeas data de los titulares a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos.

Para el desarrollo del Manual, el Responsable del Tratamiento debe tener presente los artículos 14 y 15 de la Ley 1581 de 2012 y lo establecido en el Decreto Único Reglamentario 1074 de 2015. En conclusión, este Despacho, evidencia que el CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL no cuenta con un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley 1581 de 2012 y, en especial, para la atención de consultas y reclamos, y en ese sentido está incumpliendo el deber contenido en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido el Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.6.2. numeral 3.

Por lo tanto, este Despacho procederá a impartir una orden a la propiedad horizontal para que desarrolle e implemente un manual para la atención de consultas y reclamos, en el cual se señalen los procedimientos internos establecidos para tramitar los requerimientos realizados por los Titulares de los Datos.

DÉCIMO TERCERO: Órdenes administrativas En este orden de ideas y una vez efectuado el análisis del conjunto de pruebas obrantes en el expediente esta Dirección considera necesario impartir, las siguientes instrucciones: 1. El CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL deberá adecuar su Política de tratamiento de Datos de acuerdo con las disposiciones legales establecidas en la Ley 1581 de 2012 y en el Decreto 1074 de 2015 en el siguiente sentido:  Indicar de manera precisa los datos de identificación del Responsable del Tratamiento, a saber: razón social, domicilio, dirección, correo electrónico, teléfono de contacto.  establecer el tipo de Tratamiento –manual o automatizado- al cual serán sometidos los Datos de los Titulares.  Determinar quién es la persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el Dato y revocar la Autorización.  Indicar cual es el procedimiento para que los titulares de la información puedan ejercer sus derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización.  Establecer el período de vigencia de la Base de Datos. 2.

El CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL deberá desarrollar e implementar un manual para la atención de consultas y reclamos, en el cual se señalen los procedimientos internos establecidos para tramitar los requerimientos realizados por los Titulares de los Datos conforme a lo señalado en la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015. 64 Expediente digital.

Consecutivo número 22. Página 5. Folio 1. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA De lo anteriormente ordenado el Responsable del Tratamiento de Datos personales deberá remitir a este Despacho las acciones correctivas adoptadas, dentro de los 40 días hábiles siguientes a la ejecutoria del presente acto administrativo. 13.1 Respecto de la Responsabilidad de los Administradores en materia de Datos Personales.

El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.

La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.

En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.

En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas.

Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la ley 222 de 1995 65 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”66 (Subrayado fuera del texto original) Nótese que el artículo 2467 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que 65 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” 66 Crf. Numeral 2 del artículo 23 de la ley 222 de 1995 67 El texto completo del artículo 24 de la 222 de 1995 dice lo siguiente: “Artículo

24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así:

ARTICULO 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten. En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador.

De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia. En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar.

Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades ante dichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.

“Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”68.

En este sentido, es de suma importancia resaltar la responsabilidad jurídica y económica, que radica no sólo en las personas jurídicas, sino también en cabeza de sus administradores, de suerte que este Despacho es enfático en aclarar que los mismos deben obrar con profesionalismo y diligencia en su gestión para tratamiento de datos personales.

En virtud de todo lo anterior, EXHORTAMOS al representante legal del CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL para que adopte medidas pertinentes, útiles, efectivas y verificables con miras a: 1. Aplicar el principio de responsabilidad demostrada, con miras a garantizar frente a los titulares el derecho a conocer, actualizar y rectificar los datos que de ellos se esté realizando Tratamiento se encuentren debidamente documentadas observando las orientaciones de la principio de responsabilidad demostrada (accountability)”69. 2.

Respetar y garantizar los derechos de los titulares de los datos. 3. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4. Demostrar, en los casos que se requiera, que los procedimientos adecuados al interior de la entidad se apliquen en debida forma. 5. Hacer efectivo el pleno respeto del derecho fundamental a la protección de datos de las personas.

DÉCIMO CUARTO: Imposición y graduación de la sanción 14.1. Faculad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, la Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán 68 Crf.

Parte inicial del artículo 24 de la ley 222 de 1995 69 El texto puede consultarse en: http://www.sic.gov.co/noticias/guia-para-la-implementacion-del-principio-de-responsabilidad-demostrada “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2023 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 Por una otra, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional70 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que 70 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA ella no resulta excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad71 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 23 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad72”. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia73.

La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2374 de la misma ley. Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 14.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de esta Dirección, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

La norma, pues, hace una distinción entre el daño concretado y el peligro o riesgo a los intereses jurídicos tutelados por 71 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 72 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. 73 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 74 Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.

“Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA la Ley 1581 de 2012, entre otros, la protección del derecho fundamental a la protección de datos personales. Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad75” De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados76.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que la investigada puso en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012 por cuanto omitió dar una respuesta oportuna a la reclamación presentada por el Titular el 2 de marzo de 2020.

Así las cosas, como sanción frente al cargo segundo relacionado con el deber de tramitar las consultas y reclamos formulados por los Titulares de la Información en los términos señalados por la Ley, esta Dirección impondrá, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de DOS MILLONES QUINIENTOS CUARENTA Y CUATRO MIL SETECIENTOS VEINTE PESOS M/CTE ($2.544.720) equivalente a SESENTA (60) Unidades de Valor Tributario (UVT)77, por la vulneración del deber establecido en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido por el literal e) del artículo 4 de la misma Ley. 14.1.2 Reconocimiento o aceptación de la infracción El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 se aplicará toda vez que la investigada se allanó al cargo segundo mediante el escrito de descargos radicado bajo el número 20-44955- -22 del 18 de abril de 2022 manifestando lo siguiente: “RECONOCIMIENTO EXPRESO DE LA INFRACCIÓN Por lo anterior y teniendo en cuenta el Capítulo II, Procedimientos y sanciones, artículo 24, literal f), reconozco de manera expresa y consiente la comisión de la infracción, respecto a los tres cargos formulados.”78 75 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 76 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” 77 Mediante Resolución 1264 de 2022 se fijó en $42.412 pesos el valor de la Unidad de Valor Tributario - UVT, que regirá durante el año 2023. 78 Expediente digital.

Consecutivo número 22. Página 5. Folio 1. “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA En consecuencia, esta Dirección procederá a reducir la sanción impuesta así: Frente al segundo cargo reducir la sanción impuesta de DOS MILLONES QUINIENTOS CUARENTA Y CUATRO MIL SETECIENTOS VEINTE PESOS M/CTE ($2.544.720) equivalente a SESENTA (60) Unidades de Valor Tributario (UVT), a un valor de UN MILLÓN DOSCIENTOS SETENTA Y DOS MIL TRESCIENTOS SESENTA PESOS M/CTE ($1.272.360) correspondientes a TREINTA (30) Unidades de Valor Tributario (UVT). 14.1.3 Otros criterios de graduación Por último, se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, y (iv) no hubo renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio.

DÉCIMO QUINTO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente al CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL, con el correo electrónico de notificación judicial cresidencialbch@hotmail.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 20-44955. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto este Despacho,

RESUELVE

ARTÍCULO PRIMERO

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria al CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL, identificado con Nit. 860.066.916-5 de UN MILLÓN DOSCIENTOS SETENTA Y DOS MIL TRESCIENTOS SESENTA PESOS M/CTE ($1.272.360) correspondientes a TREINTA (30) Unidades de Valor Tributario (UVT), por el incumplimiento a lo dispuesto en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido por el literal e) del artículo 4 de la misma Ley.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR al CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL, identificado con NIT 860.066.916-5, para que, en su calidad de responsable del Tratamiento, cumpla con las siguientes órdenes: “Por la cual se impone una sanción y se imparten órdenes administrativas” HOJA 1. El CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL deberá adecuar su Política de tratamiento de Datos de acuerdo con las disposiciones legales establecidas en la Ley 1581 de 2012 y en el Decreto 1074 de 2015 en el siguiente sentido:  Indicar de manera precisa los datos de identificación del Responsable del Tratamiento, a saber: razón social, domicilio, dirección, correo electrónico, teléfono de contacto.  establecer el tipo de Tratamiento –manual o automatizado- al cual serán sometidos los Datos de los Titulares.  Determinar quién es la persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el Dato y revocar la Autorización.  Indicar cuál es el procedimiento para que los titulares de la información puedan ejercer sus derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización.  Establecer el período de vigencia de la Base de Datos. 2.

El CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL deberá desarrollar e implementar un manual para la atención de consultas y reclamos, en el cual se señalen los procedimientos internos establecidos para tramitar los requerimientos realizados por los Titulares de los Datos conforme a lo señalado en la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO PRIMERO: el CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL, identificado con el NIT 860.066.916-5, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los CINCO (5) DÍAS hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.

Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará al CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL, identificado con el NIT 860.066.916-5, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución al CONJUNTO RESIDENCIAL B.C.H. PRIMER SECTOR – PROPIEDAD HORIZONTAL, identificado con NIT 860.066.916-5, a través de su representante legal, entregándole copia de esta Resolución e informándole que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO CUARTO: NOTIFICAR personalmente el contenido de la presente resolución al Titular XXXXX.XXXXXX XXXXXX XXXX, identificado con cédula de ciudadanía número XXXXXXX., en calidad de Tercero interviniente, entregándole copia de esta Resolución e informándole que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co HOJA “Por la cual se impone una sanción y se imparten órdenes administrativas” - Sede Alterna: Avenida Carrera 7 # 31A-36 pisos 3 y 3 A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 01 MARZO 2023 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUNOZ SALAZAR MUNOZ Fecha: 2023.03.01 14:17:31 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LCAF Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: CONJUNTO RESIDENCIAL B.C.H. PROPIEDAD HORIZONTAL N.I.T. 860.066.916-5 XXXXX.XXXXXX XXXXXX XXXX C.C. XXXXXXX. cresidencialbch@hotmail.com Carrera 30 No. 26 - 31 Bogotá D.C. NOTIFICACIÓN: Señor: Identificación: Dirección: Ciudad: Correo electrónico: XXXXX.XXXXXX XXXXXX XXXX C.C. No. XXXXXXX.

XXXXX.XXXXXX XXXXXX XXXXXXXX XXXXXXXX. XXXXXXXXXXXXXXX. PRIMER SECTOR –