Sanción 18327 de 2021 — SIC

(31 MARZO 2021) “Por la cual se impone una sanción administrativa y se imparte una orden” Radicación 19-102326 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL, identificada con Nit.830.034.525-2, por lo que decidió iniciar investigación administrativa en consideración al siguiente hecho narrado por la señora XXXXXXXXXXXXX XXXXXXX1: •Manifiesta que el EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL desde el año 2015 – 2016 cuenta con cámaras de seguridad y registro fotográfico a los visitantes sin contar con la autorización para el tratamiento de datos personales según lo señalado en la Ley 1581 de 2012, por lo que considera que ha sido vulnerada su privacidad.

SEGUNDO: Que, con base en lo anotado, se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: (i) (ii) (iii) (iv) El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y los artículos 5, 6 y 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y los artículos 2.2.2.25.2.3, 2.2.2.25.2.4 y 2.2.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015;

El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; El literal d) del artículo 17 en concordancia con los literales g) y h) del artículo 4 de la Ley 1581 de 2012;

El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 2.2.2.25.2.1 y 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015. El día 24 de agosto de 2020, se inició la presente investigación administrativa mediante la expedición de la Resolución 495202 por medio de la cual se formularon 4 (cuatro) cargos a la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL, identificada con Nit. 830.034.525-2.

TERCERO: Que la Resolución 49520 del 24 de agosto de 2020 fue notificada mediante Aviso No. 21242 a la señora VIVIAN ROCIO CASTIBLANCO RICCI, en representación de la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL el día 8 de septiembre de 2020, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, radicada bajo el número 19-102326- -14 del 24 de septiembre de 2020. 1 Este hecho se encuentra en la denuncia radicada bajo el número 19-102326- -00000-000 del 6 de mayo de 2019.

Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se inicia una investigación administrativa y se formulan cargos”, radicada bajo el número 19-102326-7. HOJA N, “Por la cual se impone una sanción administrativa y se imparte una orden”

CUARTO: Que, una vez vencido el término concedido en la Resolución 49520 del 24 de agosto de 2020, a la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL para que rindiera los respectivos descargos y aportara las pruebas que pretendiera hacer valer en la presente investigación, de quince (15) días hábiles, esta guardó silencio.

QUINTO: Que mediante Resolución 74973 del 24 de noviembre de 20203, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente número 19-102326, con el valor legal que les corresponda, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

SEXTO: Que la Resolución 74973 del 24 de noviembre de 2020 le fue comunicada el 25 de noviembre de 2020, a la señora VIVIAN ROCIO CASTIBLANCO RICCI, en representación de la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL, según consta en la certificación expedida por la Secretaría General Ad- Hoc de esta Superintendencia, radicada bajo el número 19-102326- -18 del 14 de diciembre de 2020.

SÉPTIMO: Que, una vez vencido el término de diez (10) días hábiles, concedido en la Resolución 74973 del 24 de noviembre de 2020 para que presentara los respectivos alegatos de conclusión, la investigada guardó silencio.

OCTAVO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

NOVENO: Análisis del caso 9.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20114, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: i) El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y los artículos 5, 6 y 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y los artículos 2.2.2.25.2.3, 2.2.2.25.2.4 y 2.2.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015, que contempla el deber que le asiste al responsable del tratamiento de solicitar y conservar la respectiva autorización otorgada por el titular. ii) El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, que contempla el deber que le asiste al responsable de informar al Titular sobre las finalidades del Tratamiento al que serán sometidos sus datos personales. iii) El literal d) del artículo 17 en concordancia con los literales g) y h) del artículo 4 de la Ley 1581 de 2012, que contempla el deber que le asiste al responsable de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. iv) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se incorporan pruebas y se corre traslado para alegar”, radicada bajo el Número 19-102326-15 Corte Constitucional, Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljub.

HOJA N, “Por la cual se impone una sanción administrativa y se imparte una orden” 2.2.2.25.2.1 y 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015, que contempla el deber que le asiste al responsable de adoptar una política de Tratamiento de la Información; (ii) un manual interno de políticas y procedimiento documentado para la atención de quejas y reclamos;

(iii) un manual interno de políticas y procedimientos que describa los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, en donde se señalen las finalidades para las cuales la información es recolectada; y (iv) un manual de políticas de seguridad de la información. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por la denunciante, el acta denominada “DILIGENCIA DE VISITA DE INSPECCIÓN RESPOSABLE DEL TRATAMIENTO DE BASES DE DATOS PERSONALES”, radicada bajo el número 19102326- -00005-0001 del 26 de junio de 2019, el informe de visita de inspección radicado bajo el número 19-102326- -00006-0001 del 25 de junio de 2019, así como el conjunto de pruebas allegadas al expediente 19-102326. 9.2 Valoración probatoria y conclusiones 9.2.1 Del deber de solicitar y conservar la respectiva autorización otorgada por el titular.

Para referirse a este cargo, es necesario, en primer lugar, aludir al artículo 15 de la Constitución Política: “ARTÍCULO 15. Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”.

Dicha norma establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos. Al respecto, la Corte Constitucional ha señalado lo siguiente: “Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su “imagen informática5” Los principios rectores, además, deben confluir en cuanto a su aplicación con los deberes y derechos contenidos en la ley 1581 de 2012, específicamente en el presente caso, es relevante mencionar los deberes que tienen los Responsables de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

Igualmente, es importante indicar que en virtud del principio de libertad, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la Ley 1581 de 2012 y, además, el deber de solicitar y conservar copia de la autorización de Tratamiento otorgada por el mismo, Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP Jorge Ignacio Pretelt Chaljub HOJA N, “Por la cual se impone una sanción administrativa y se imparte una orden” dispuesto en el literal b) del artículo 17 de la ley mencionada, normatividad transcrita anteriormente.

Ley 1581 de 2012 “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

(…) ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; (…) ARTÍCULO 5°. DATOS SENSIBLES. Para los propósitos de la presente ley, se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos.

ARTÍCULO 6 °. TRATAMIENTO DE DATOS SENSIBLES. Se prohíbe el Tratamiento de datos sensibles, excepto cuando: a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización; b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado.

En estos eventos, los representantes legales deberán otorgar su autorización; c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad.

En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular; d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial; e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares.

(…) HOJA N, “Por la cual se impone una sanción administrativa y se imparte una orden”

ARTÍCULO

9. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. DECRETO ÚNICO REGLAMENTARIO 1074 DE 2015 “Artículo 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Artículo 2.2.2.25.2.3. De la autorización para el tratamiento de datos personales sensibles. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Artículo 2.2.2.25.2.4. Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9° de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.

(…) “Artículo 2.2.2.25.2.9. Requisitos especiales para el Tratamiento de Datos Personales de niños, niñas y adolescentes. El Tratamiento de datos personales de niños, niñas y adolescentes está prohibido, excepto cuando se trate de datos de naturaleza pública, de conformidad con lo establecido en el artículo 7o de la Ley 1581 de 2012 y cuando dicho Tratamiento cumpla con los siguientes parámetros y requisitos: 1.

Que responda y respete el interés superior de los niños, niñas y adolescentes. 2. Que se asegure el respeto de sus derechos fundamentales. Cumplidos los anteriores requisitos, el representante legal del niño, niña o adolescente otorgará la autorización previo ejercicio del menor de su derecho a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto.

Todo responsable y encargado involucrado en el tratamiento de los datos personales de niños, niñas y adolescentes, deberá velar por el uso adecuado de los mismos. Para este fin deberán aplicarse los principios y obligaciones establecidos en la Ley 1581 de 2012 y el presente capítulo. La familia y la sociedad deben velar porque los responsables y encargados del tratamiento de los datos personales de los menores de edad cumplan las obligaciones establecidas en la Ley 1581 de 2012 y el presente capítulo.” Una vez mencionada la normatividad aplicable al caso concreto, es necesario aludir a los hechos de la presente investigación administrativa: Sobre el particular, se evidencia que la presente investigación se originó con la denuncia presentada por la señora XXXXXXXXXXXXX XXXXXXX, quien puso en conocimiento ante esta Superintendencia mediante radicado No.19-102326- -00000-000 del 6 de mayo de 2019, que la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL, estaba incumpliendo presuntamente las normas sobre protección de datos personales, en razón al siguiente hecho: HOJA N, “Por la cual se impone una sanción administrativa y se imparte una orden” Manifiesta que el EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL desde el año 2015 – 2016 cuenta con cámaras de seguridad y registro fotográfico a los visitantes sin contar con la autorización para el tratamiento de datos personales según lo señalado en la Ley 1581 de 2012, por lo que considera que ha sido vulnerada su privacidad.

De conformidad con lo expuesto, y en aras de verificar el cumplimiento de las disposiciones contenidas en el Régimen General de Protección de Datos Personales, Ley 1581 de 2012, esta Superintendencia realizó diligencia de visita de inspección en el Edificio Los Nogales P.H, ubicado en la Calle 64 C No. 72 A – 02 en Bogotá D.C, la cual fue atendida por la señora VIVIAN ROCIO CASTIBLANCO RICCI (administradora de la copropiedad) y por el señor XXXXXXXXXXXXX XXXXXXX (guarda de Seguridad del edificio en comento), hallazgos que quedaron consignados en el acta denominada “DILIGENCIA DE VISITA DE INSPECCIÓN RESPOSABLE DEL TRATAMIENTO DE BASES DE DATOS PERSONALES” radicada bajo el número 19-102326- -00005-0001 del 26 de junio de 2019, los cuales se citarán más adelante.

En consecuencia, una vez agotadas las averiguaciones preliminares dispuestas en el artículo 47 6 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho inició investigación administrativa de carácter sancionatorio mediante la Resolución 49520 del 24 de agosto de 20207,y sustentó este cargo en las siguientes consideraciones: Frente a la diligencia de visita de inspección efectuada en el Edificio Los Nogales P.H el día 26 de junio de 20198, esta Dirección señaló: “SEGUNDO: Que el día 25 de junio de 2019, esta Dirección efectuó una diligencia de inspección al EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL, identificado con Nit. 830.034.525-2, ubicado en la Calle 64 C N° 72 A – 02 de la ciudad de Bogotá D.C., para realizar las verificaciones preliminares que correspondan al cumplimiento de las facultades de inspección y vigilancia contempladas en los artículos 19 y 21 de la Ley 1581 de 2012, con el fin de recopilar y/o requerir toda la información necesaria en aras de comprobar el cumplimiento de los deberes y requisitos establecidos en la Ley 1581 de 2012, aunado a la indagación y verificación de los hechos manifestados en la queja elevada por la Señora XXXXXXXXXXXXX XXXXXXX.

TERCERO: Que con fundamento en los resultados arrojados por la vista de inspección llevada a cabo por este Despacho, la documentación recolectada en desarrollo de la etapa de indagación preliminar y los testimonios recaudados se pudo establecer que: 3.1. De acuerdo a la recepción del testimonio del señor XXXXXXXXXXXXX XXXXXXX XXXXXX, Guarda de Seguridad del EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL a quien se le indagó por la autorización para el Tratamiento de los Datos Personales de los titulares al momento de realizar el registro de los visitantes y residentes para el ingreso a las instalaciones de la copropiedad, manifestó no contar con un formato o modelo para solicitar la autorización de los titulares al ingreso y explico que el registro de ingreso se hace de forma computarizada y a través del libro de registro de visitantes.

Sobre el procedimiento señalado lo describió de la siguiente manera: “la persona se anuncia a través del citófono que se encuentra en la entrada del edificio, luego se procede a notificar al residente del apartamento al cual pretende ingresar el visitante y si se autoriza el ingreso se procede a solicitarle su número de cedula de ciudadanía, nombre y apellido, parentesco y se toma la fotografía, así mismo se registra en el libro de visitantes” (…) Este Despacho encontró en el desarrollo de la visita administrativa que no se solicita autorización de los titulares (residentes y/o visitantes) para la recolección de datos personales recolectados a través “ARTÍCULO

47. PROCEDIMIENTO ADMINISTRATIVO SANCIONATORIO. Los procedimientos administrativos de carácter sancionatorio no regulados por leyes especiales o por el Código Disciplinario Único se sujetarán a las disposiciones de esta Parte Primera del Código. Los preceptos de este Código se aplicarán también en lo no previsto por dichas leyes. Las actuaciones administrativas de naturaleza sancionatoria podrán iniciarse de oficio o por solicitud de cualquier persona.

Esta información se encuentra en el acta denominada “DILIGENCIA DE VISITA DE INSPECCIÓN RESPOSABLE DEL TRATAMIENTO DE BASES DE DATOS PERSONALES” radicado bajo el número 19-102326- -00005-0001 del 26 de junio de 2019. HOJA N, “Por la cual se impone una sanción administrativa y se imparte una orden” del registro de ingreso a las instalaciones de la copropiedad, por lo que se tiene que, presuntamente, el EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL está recolectando información de naturaleza privada de los residentes y visitantes sin contar con su autorización previa y expresa, adicionalmente sin informar las finalidades para las cuales será utilizada su información personal…” Ahora bien, concretamente respecto del cargo indicó: “Preliminarmente este Despacho encontró que el EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL, no solicita autorización de los titulares para la recolección de datos personales recolectados a través del registro para el ingreso a las instalaciones de la copropiedad la cual se realiza por el sistema de telecitofonía por computador SAFETY HOME, por medio del cual, de acuerdo con las declaraciones del Guarda de Seguridad y de la Administradora y Representante Legal de la copropiedad y lo evidenciado por este Despacho, ingresan los datos personales como nombre completo, tipo de documento, numero de documento de identidad y adicionalmente se realiza captura fotográfica del visitante, sin que en ningún momento se solicite o se cuente con la autorización previa y expresa para el tratamiento de datos personales.

Así mismo se encontró que el EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL, realiza la recolección de datos personales de los residentes (entre los que se encuentran datos personales de menores de edad) y propietarios de la copropiedad a través de la Circular de la Administración del edificio con el asunto “Actualización Registro Residentes” (folio 33), mediante la cual solicitan el registro de información en el formato “Registro de Residentes” (folio 34), sin solicitar ni contar con la autorización expresa de los residentes y propietarios para el tratamiento de sus datos personales”.

(Negrita y Subrayado fuera del texto original) En este punto, es menester señalar que debido a que no se presentaron los correspondientes descargos ni alegatos de conclusión, para adoptar una decisión que en derecho corresponda, se tendrán en cuenta las pruebas recaudadas en la etapa preliminar, sobre estas bases se analizarán cada uno de los documentos que reposan en el plenario.

Al respecto, es primordial precisar que el derecho de defensa en materia administrativa se traduce en la facultad que tiene el administrado para conocer la actuación o proceso administrativo que se le adelante, e impugnar o contradecir las pruebas y las providencias que le sean adversas a sus intereses. La administración debe garantizar al ciudadano interesado tal derecho y cualquier actuación que desconozca dicha garantía es contraria a la Constitución. Es así, como esta Dirección garantizó y respetó el debido proceso de la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL, así como sus derechos de defensa y contradicción mediante el otorgamiento de los términos legalmente establecidos en cada una de las etapas de la investigación, sin embargo, la investigada guardó silencio.

Sobre el particular, es necesario traer a colación la Sentencia T-987 de 2012, de la Sala Novena de Revisión de la Corte Constitucional, en la cual se señaló: “la autorización será compatible con el derecho al hábeas data cuando la misma es idónea para garantizar las facultades de conocimiento, actualización y rectificación, al igual que la cláusula general de libertad.

Esto significa que el sujeto concernido manifiesta su consentimiento de tratamiento del dato personal (i) para que sea consignado en una base o registro de datos particular e identificable; y (ii) para unas finalidades y usos que son expresos y puestos a consideración del titular del dato, como condición previa para el otorgamiento de la autorización. Este requisito, por ende, implica que son violatorias del derecho hábeas data aquellas formas de recopilación de información personal que sean secretas o que se fundamenten en desnaturalizar o falsear la voluntad del sujeto concernido para la incorporación del dato personal9”.

(Subrayado fuera del texto original) En este contexto, el derecho al habeas data se concreta en la facultad del Titular de la información de decidir, voluntariamente, que la información sobre sí mismo sea sometida a Tratamiento por parte de terceros. Por ello mismo, es imperioso reiterar que en el literal c) del artículo 4 de la Ley 1581 de 2012 se señala que “El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en Cfr. Corte Constitucional, Sentencia T-987 de 2012. M. P. Luis Ernesto Vargas Silva. HOJA N, “Por la cual se impone una sanción administrativa y se imparte una orden” ausencia de mandato legal o judicial que releve el consentimiento.” (Negrita y Subrayado fuera del texto original) En desarrollo de tal principio, el literal b) del artículo 17 de la referida ley (citado en la parte inicial del presente cargo), establece el deber de los responsables de solicitar y conservar, copia de la respectiva autorización otorgada por el titular.

Dejando claro lo anterior, para el caso concreto, es necesario traer a colación uno de los hallazgos evidenciados por esta Dirección en el acta denominada: “DILIGENCIA DE VISITA DE INSPECCIÓN RESPOSABLE DEL TRATAMIENTO DE BASES DE DATOS PERSONALES10”, veamos: “(…) se da inicio a la presente entrevista contextualizando sobre el propósito de la presente diligencia y preguntándole al señor XXX si se tiene dispuesto algún formato para que las personas autoricen el tratamiento de sus datos, al momento en que registran al ingreso a las instalaciones de la copropiedad.

Al respecto manifestó que el registro se maneja de forma computarizada y a través del libro, sin embargo informa que no cuenta con algún modelo para tomar la autorización de los Titulares al momento de hacer el ingreso” (Subrayado y Negrita y fuera del texto original) De acuerdo con lo expuesto, en primer lugar, es imperioso determinar cuales son los datos personales que la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL ejerce el tratamiento, y en ese sentido, es importante aludir a las siguientes definiciones dispuestas por el artículo 3 de la Ley 1581 de 2012: “ARTÍCULO 3o.

DEFINICIONES. Para los efectos de la presente ley, se entiende por: a) Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales; b) Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento; c) Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables; d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento; e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos; f) Titular: Persona natural cuyos datos personales sean objeto de Tratamiento; g) Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.” (Subrayado y Negrita fuera del texto original) De conformidad con las definiciones transcritas, es evidente que los datos personales de los residentes recaudados por la propiedad horizontal denominada EDIFICIO LOS NOGALES PROPIEDAD HORIZONTAL, se encuentran bajo el ámbito de aplicación de la Ley 1581 de 2012, pues se cumplen con las características mencionadas anteriormente, particularmente la señalada en el literal c).

Por su parte, este Despacho además evidencia que la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL realiza el tratamiento de datos clasificados como sensibles, de acuerdo con lo establecido en el artículo 5 de la Ley 1581 de 2012, veamos: “aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen derechos y garantías de Esta acta se encuentra radicada bajo el número 19-102326- -00005-0001 del 26 de junio de 2019.

HOJA N, “Por la cual se impone una sanción administrativa y se imparte una orden” partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos”. (Destacado fuera del texto original) Así pues, la anterior afirmación encuentra su fundamento en lo informado por el señor XXXXXXXXXXXXX XXXXXXX en la visita de inspección11 referida “… se le solicita al entrevistado que realice un resumen del procedimiento que adelanta para recolectar la información de los Titulares.

Por su parte el entrevistado manifestó que la persona se anuncia a través del citófono que se encuentra que la entrada del edificio, luego se procede a notificar al residente del apartamento el cual pretende ingresar al visitante y si se autoriza el ingreso se procede, a solicitarle su número de cédula de ciudadanía, nombre y apellido, parentesco y se toma la fotografía, así mismo se registra en el libro de visitantes”.

(Subrayado y Negrita fuera del texto original) Dejando claro que la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL efectúa el tratamiento de datos sensibles, es menester señalar que dicho Tratamiento debe estar rodeado de especial cuidado y diligencia en su recolección, uso, seguridad o cualquier otra actividad que se realice con los mismos.

En efecto, la Corte Constitucional, tal y como lo señaló en la sentencia C-748 de 2011, exige responsabilidad reforzada por parte de los Responsables y Encargados, en la medida que, “como se trata de casos exceptuados y que, por tanto, pueden generar altos riesgos en términos de vulneración del habeas data, la intimidad e incluso la dignidad de los titulares de los datos, los agentes que realizan en estos casos el tratamiento tiene una responsabilidad reforzada que se traduce en una exigencia mayor en términos de cumplimiento de los principios del artículo 4 y los deberes del título VI”.

Por ende, los datos sensibles deben ser objeto de mayores medidas de seguridad, confidencialidad, circulación restringida y uso limitado. Ahora bien, respecto del tratamiento de datos efectuado a los niños, niñas y adolescentes, en el informe de visita de inspección radicado bajo el número 19-102326- -00006-0001 del 25 de junio de 2019, quedó plasmado lo siguiente: “El EDIFICIO LOS NOGALES P.H. no realiza un adecuado tratamiento de los datos personales de los niños, niñas y adolescentes, desatendiendo los principios y obligaciones establecidas en la Ley 1581 de 2012 y su Decreto Reglamentario 1074 de 2015, toda vez que la autorización para el tratamiento de datos personales no es acorde a lo señalado en el artículo 2.2.2.25.2.9. del Decreto enunciado”.

En consideración a lo expuesto, es importante mencionar la normatividad alusiva a este tipo de sujetos de especial protección constitucional y legal, y la importancia que reviste para le legislador estatutario regular este tipo de tratamiento. El objeto de la Ley 1581 de 2012, por medio de la cual se dictan disposiciones generales para la protección de datos personales, es “desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos (…)”12.

Tal derecho constitucional a conocer, actualizar y rectificar la información recopilada en bases de datos es lo que se conoce con el nombre de derecho a la protección de datos personales y se encuentra establecido en el artículo 15 de la Constitución Política, que señala lo siguiente: “Artículo 15. Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar.

De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en los bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución.” A su vez, el literal e) del artículo 3 de la Ley 1581 de 2012 definió al Responsable del Tratamiento como aquella “(p)persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos”.

En adición, el artículo 7 de la Ley 1581 de 2012 consagró clara y expresamente que “queda proscrito el Tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de La cual se encuentra documentada en el acta denominada “DILIGENCIA DE VISITA DE INSPECCIÓN RESPOSABLE DEL TRATAMIENTO DE BASES DE DATOS PERSONALES” radicada bajo el número 19-102326- -00005-0001 del 26 de junio de 2019.

Artículo 1 de la Ley Estatutaria 1581 de 2012. HOJA N 10, “Por la cual se impone una sanción administrativa y se imparte una orden” naturaleza pública”. Así lo analizó la Corte en la sentencia C-748 de 2011, mediante la cual se realizó el estudio de constitucionalidad de la Ley Estatutaria, basada en la calidad de sujetos de especial protección constitucional que tienen en el ordenamiento jurídico colombiano los niños, las niñas y adolescentes, fundada en el artículo 44 superior que establece lo siguiente: “Artículo 44.

Son derechos fundamentales de los niños: la vida, la integridad física, la salud y la seguridad social, la alimentación equilibrada, su nombre y nacionalidad, tener una familia y no ser separados de ella, el cuidado y amor, la educación y la cultura, la recreación y la libre expresión de su opinión. Serán protegidos contra toda forma de abandono, violencia física o moral, secuestro, venta, abuso sexual, explotación laboral o económica y trabajos riesgosos.

Gozarán también de los demás derechos consagrados en la Constitución, en las leyes y en los tratados internacionales ratificados por Colombia. La familia, la sociedad y el Estado tienen la obligación de asistir y proteger al niño para garantizar su desarrollo armónico e integral y el ejercicio pleno de sus derechos. Cualquier persona puede exigir de la autoridad competente su cumplimiento y la sanción de los infractores.

Los derechos de los niños prevalecen sobre los derechos de los demás.” (Subraya y negrilla fuera del texto original) Adicionalmente, y en concordancia con el citado artículo constitucional, en el marco internacional se consagra el principio del interés superior de los menores de edad. Frente al alcance y aplicación de este principio, la Corte hizo referencia a los convenios y tratados internacionales acogidos por Colombia que constituyen el marco legal internacional sobre el cuidado de los menores de edad, en la sentencia C-748 de 2011, sobre el particular, el Alto Tribunal Constitucional manifestó, que: “El principio del interés superior del menor de dieciocho años, consagrado en distintos convenios de derechos humanos, se encuentra establecido expresamente en el artículo 8° del Código de la Infancia y la Adolescencia, así “(…) Se entiende por interés superior del niño, niña y adolescente, el imperativo que obliga a todas las personas a garantizar la satisfacción integral y simultánea de todos sus Derechos Humanos, que son universales, prevalentes e interdependientes”.

Por otra parte, el artículo 25 de este mismo Código, siguiendo el precepto superior de la prevalencia de los derechos de los menores de 18 años sobre los demás, estableció: “(…) En todo acto, decisión o medida administrativa, judicial o de cualquier naturaleza que deba adoptarse en relación con los niños, las niñas y los adolescentes, prevalecerán los derechos de estos, en especial si existe conflicto entre sus derechos fundamentales con los de cualquier otra persona (…)”.

Por lo anterior y en armonía con la reiterada posición de la Corte, en Colombia los niños, las niñas y adolescentes son sujetos de especial protección; razón por la cual, tanto la sociedad como el Estado deben garantizar el amparo y defensa de sus derechos. La Corte continuó su análisis haciendo énfasis en lo siguiente: “La calidad de sujetos de especial protección constitucional de los menores de dieciocho años tiene su fundamento en la situación de vulnerabilidad e indefensión en la que se encuentran, pues su desarrollo físico, mental y emocional está en proceso de alcanzar la madurez requerida para la toma de decisiones y participación autónoma dentro de la sociedad.

El grado de vulnerabilidad e indefensión tiene diferentes grados y se da a partir de todos los procesos de interacción que los menores de 18 años deben realizar en su entorno físico y social para el desarrollo de su personalidad.” “Por lo anterior, el Estado, la sociedad y la familia deben brindar una protección especial en todos los ámbitos de la vida de los niños, niñas y adolescentes, en aras de garantizar su desarrollo armónico e integral.” Ahora bien, el precepto consagrado en el literal b) del artículo 17 de la Ley 1581 de 2012 hace referencia al deber de solicitar y conservar, en las condiciones previstas en la citada ley, copia de la respectiva autorización otorgada por el Titular, dicho precepto se armoniza con el principio de libertad, contenido en el literal c) del artículo 4 de la misma disposición, normatividad que a su vez ha sido objeto de especial atención por parte de la Corte Constitucional, tal como quedó reflejado en la Sentencia C-748 de 2011, así: “El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. HOJA N 11, “Por la cual se impone una sanción administrativa y se imparte una orden” Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no es bases de datos.

También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente. El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad.

En efecto, el ser humano goza de la garantía de determinar qué datos quiere que sean conocidos y tiene el derecho a determinar lo que podría denominarse su “imagen informática”. De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular.

En decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría referirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez.” A su turno, los artículos 7 y 9 de la Ley Estatutaria en cita disponen lo siguiente: “ARTÍCULO 7o.

DERECHOS DE LOS NIÑOS, NIÑAS Y ADOLESCENTES. En el Tratamiento se asegurará el respeto a los derechos prevalentes de los niños, niñas y adolescentes. Queda proscrito el Tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública. Es tarea del Estado y las entidades educativas de todo tipo proveer información y capacitar a los representantes legales y tutores sobre los eventuales riesgos a los que se enfrentan los niños, niñas y adolescentes respecto del Tratamiento indebido de sus datos personales, y proveer de conocimiento acerca del uso responsable y seguro por parte de niños, niñas y adolescentes de sus datos personales, su derecho a la privacidad y protección de su información personal y la de los demás. El Gobierno Nacional reglamentará la materia, dentro de los seis (6) meses siguientes a la promulgación de esta ley.” “ARTÍCULO 9o.

AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.” Igualmente, es importante indicar que en virtud del principio de libertad, citado en líneas precedentes, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la Ley 1581 de 2012 y, además, el deber de solicitar y conservar copia de la autorización de Tratamiento otorgada por el mismo, según lo dispuesto en el literal b) del artículo 17 del mismo compendio normativo.

De lo anterior, vale la pena precisar que la jurisprudencia constitucional, en la mencionada sentencia, se refiere a las características de los datos personales al analizar la constitucionalidad del proyecto de ley de protección de datos personales, a saber: “i) Estar referidos a aspectos exclusivos y propios de una persona natural; ii) Permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) Su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita; iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación”, características que se adicionan al concepto de dato personal establecido en la Ley, consistente en un derecho de propiedad sobre este, que se radica en cabeza del titular.

Posteriormente, en el ejercicio de la potestad reglamentaria constitucionalmente atribuida, el Gobierno Nacional, por medio del Decreto 1074 de 2015 señaló que los responsables del tratamiento de datos personales deben adoptar procedimientos para obtener de parte del Titular la autorización para cualquier operación o conjunto de operaciones sobre los mismos, así: HOJA N 12, “Por la cual se impone una sanción administrativa y se imparte una orden” Decreto Único Reglamentario 1074 de 2015 “ARTÍCULO 2.2.2.25.2.2.

Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento.” Así mismo, a través de este decreto, el Gobierno Nacional estableció unos requisitos especiales para el tratamiento de datos personales de niños, niñas y adolescentes: “ARTÍCULO 2.2.2.25.2.9. Requisitos especiales para el tratamiento de datos personales de niños, niñas y adolescentes.

El Tratamiento de datos personales de niños, niñas y adolescentes está prohibido, excepto cuando se trate de datos de naturaleza pública, de conformidad con lo establecido en el artículo 7 de la Ley 1581 de 2012 y cuando dicho Tratamiento cumpla con los siguientes parámetros y requisitos: 1. Que responda y respete el interés superior de los niños, niñas y adolescentes. 2.

Que se asegure el respeto de sus derechos fundamentales. Cumplidos los anteriores requisitos, el representante legal del niño, niña o adolescente otorgará la autorización previo ejercicio del menor de su derecho a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto. Todo responsable y encargado involucrado en el tratamiento de los datos personales de niños, niñas y adolescentes, deberá velar por el uso adecuado de los mismos.

Para este fin deberán aplicarse los principios y obligaciones establecidos en la Ley 1581 de 2012 y el presente capítulo. La familia y la sociedad deben velar porque los responsables y encargados del tratamiento de los datos personales de los menores de edad cumplan las obligaciones establecidas en la Ley 1581 de 2012 y el presente capítulo.” En virtud de las consideraciones citadas, es palmario que los hallazgos encontrados en la diligencia de visita de inspección realizada en el Edificio Los Nogales P.H el día 26 de junio de 201913 por esta Dirección, demuestran el incumplimiento al literal b) del artículo 17 de la Ley 1581 de 2012, pues no se evidenció que la investigada cuente con un formato o mecanismo idóneo para solicitar la autorización previa, expresa e informada de los residentes de la propiedad horizontal en comento.

Abonado a lo expuesto, también fue demostrado que la investigada realiza el tratamiento de datos sensibles y frente a menores de edad, sin la correspondiente autorización previa, lo que reviste una importancia mayor para el cargo que nos ocupa, pues la ley estatutaria ha dispuesto de medidas especiales para la protección de dichos datos personales.

En suma, es palmario que la propiedad horizontal denominada EDIFICIO LOS NOGALES PROPIEDAD HORIZONTAL incumplió los deberes que le asisten en calidad de responsable del tratamiento de datos, al no contar con los mecanismos idóneos para solicitar y recaudar la autorización previa, expresa e informada de los residentes de la propiedad horizontal referida, vulnerando de esta manera el derecho de libertad y consentimiento expreso de los mismos.

Acta denominada: “DILIGENCIA DE VISITA DE INSPECCIÓN RESPOSABLE DEL TRATAMIENTO DE BASES DE DATOS PERSONALES” radicada bajo el número 19-102326- -00005-0001 del 26 de junio de 2019. HOJA N 13, “Por la cual se impone una sanción administrativa y se imparte una orden” Dado lo anterior, es claro que para que la investigada pueda realizar el tratamiento de los datos de los residentes de la propiedad horizontal EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL, debe contar con la correspondiente autorización; sin embargo, no obra prueba en el plenario, y tampoco fue allegada en esta instancia documental alguna encaminada a desvirtuar el cargo que nos ocupa.

El anterior incumplimiento, reviste una importancia significativa, debido a que uno de los pilares fundamentales de la regulación en materia de protección de datos personales, es la exigencia de contar con la autorización previa, expresa e informada del Titular, ya que esta, es la expresión de la voluntad inequívoca otorgada por el mismo para que sus datos personales sean recolectados, ingresen a la base de datos y se utilicen para los fines que fueron autorizados.

Por lo expuesto, respecto del cargo bajo estudio, encuentra este Despacho procedente impartir una orden administrativa a la propiedad horizontal denominada EDIFICIO LOS NOGALES PROPIEDAD HORIZONTAL consistente en: (i) implementar procedimientos efectivos para cumplir con el deber que le asiste de solicitar y conservar prueba de la autorización previa, expresa, e informada de los titulares de la información y;

Así mismo, encuentra este Despacho procedente imponer la sanción correspondiente a tres millones trece mil quinientos sesenta y cuatro pesos M/CTE ($ 3.013.564), equivalente a ochenta y tres (83) Unidades de Valor Tributario (UVT) al demostrarse la infracción de lo dispuesto en el literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y los artículos 5, 6 y 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y los artículos 2.2.2.25.2.3, 2.2.2.25.2.4 y 2.2.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015, por parte de la propiedad horizontal EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL. 9.2.2 Del deber de informar al Titular sobre la finalidad de la recolección y los derechos que le asisten por la autorización otorgada.

En referencia al principio de finalidad, este se traduce en el deber de informar al Titular lo que se pretende hacer con su información y se encuentra contenido en el artículo 12 de la Ley 1581 de 2012, así: Ley 1581 de 2012 “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;” “ARTÍCULO 4o.

PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular;

“Artículo 12. Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo”; Decreto Único Reglamentario 1074 de 2015 HOJA N 14, “Por la cual se impone una sanción administrativa y se imparte una orden” “Artículo 2.2.2.25.2.2.

Autorización. El responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento (…)”.

Como puede observarse, el principio de finalidad, que se encuentra íntimamente ligado al principio de libertad, impone unos límites al tratamiento de los datos que están siendo administrados por el Responsable; dichos límites se derivan de la naturaleza de la información y del uso que se dará a los datos recolectados. En palabras de la Corte Constitucional “(…) Tanto el acopio, el procesamiento y la divulgación de datos personales, debe obedecer a una finalidad constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista (…).14 Dicho principio se hace efectivo al momento en que se solicita autorización al Titular, pues es allí en que se cumple el término máximo para informarle al Titular los fines de la recolección de su información, ya que como lo dispuso el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015 “El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”.

Abordando estos aspectos la Corte Constitucional en Sentencia C-748 de 2011, expuso lo siguiente: “(…) La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos. Sin embargo, debe hacerse algunas precisiones. Por una parte, los datos personales deben ser con un propósito específico y explícito.

En este sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos.

Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad autorizada. Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato.

Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular. Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales n exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas (…)”.

Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb. HOJA N 15, “Por la cual se impone una sanción administrativa y se imparte una orden” Manifiesta que el EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL desde el año 2015 – 2016 cuenta con cámaras de seguridad y registro fotográfico a los visitantes sin contar con la autorización para el tratamiento de datos personales según lo señalado en la Ley 1581 de 2012, por lo que considera que ha sido vulnerada su privacidad.

De conformidad con lo expuesto, esta Superintendencia realizó diligencia de visita de inspección en el Edificio Los Nogales P.H, ubicado en la Calle 64 C No. 72 A – 02 en Bogotá D.C, la cual fue atendida por la señora VIVIAN ROCIO CASTIBLANCO RICCI (administradora de la copropiedad) y por el señor XXXXXXXXXXXXX XXXXXXX (guarda de Seguridad del edificio en comento), hallazgos que quedaron consignados en el acta denominada “DILIGENCIA DE VISITA DE INSPECCIÓN RESPOSABLE DEL TRATAMIENTO DE BASES DE DATOS PERSONALES” radicada bajo el número 19-102326- -00005-0001 del 26 de junio de 2019, los cuales se citarán más adelante.

En consecuencia, una vez agotadas las averiguaciones preliminares dispuestas en el artículo 47 15 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho inició investigación administrativa de carácter sancionatorio mediante la Resolución 49520 del 24 de agosto de 202016,y sustentó este cargo en las siguientes consideraciones: Frente a la diligencia de visita de inspección efectuada en el Edificio Los Nogales P.H el día 26 de junio de 201917, esta Dirección señaló: “Este Despacho encontró en el desarrollo de la visita administrativa que no se solicita autorización de los titulares (residentes y/o visitantes) para la recolección de datos personales recolectados a través del registro de ingreso a las instalaciones de la copropiedad, por lo que se tiene que, presuntamente, el EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL está recolectando información de naturaleza privada de los residentes y visitantes sin contar con su autorización previa y expresa, adicionalmente sin informar las finalidades para las cuales será utilizada su información personal”.

Ahora bien, concretamente respecto del cargo indicó: “Se evidenció que los titulares de la información (visitantes) a quienes se les realiza el procedimiento de registro para ingreso a la copropiedad a través del sistema de telecitofonía por computador y/o libro registro de visitantes (folios 2 y 3) y los titulares de la información (residentes y/o propietarios) a quienes se les solicito el diligenciamiento del formato para el registro de datos para la implementación del sistema de telecitofonía por computador (folio 30) y el formato “Registro de Residentes” (folio 34) y por los cuales recolectan sus datos personales de carácter privado sin que se informe el tratamiento al cual serán sometidos, es decir que no se tiene en cuenta lo contemplado en el artículo 12 de la Ley 1581 de 2012, en donde al momento de solicitar información al titular se debe solicitar su autorización e informar (i) el tratamiento al cual serán sometidos sus datos personales y su finalidad;

(ii) el carácter facultativo de las respuestas a las preguntas cuando versen sobre datos sensibles; (iii) los derechos que le asisten como titular; y (iv) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento. Por lo indicado, en el momento en que se solicita información al titular se le debe informar: (i) el Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo (ii) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes (iii) los derechos que le asisten como titular y;

(iv) la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. Con base en lo indicado se evidenció que el EDIFICIO LOS NOGALES - PROPIEDAD “ARTÍCULO

Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado. Concluidas las averiguaciones preliminares, si fuere del caso, formulará cargos mediante acto administrativo (…)” Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se inicia una investigación administrativa y se formulan cargos”, radicada bajo el número 19-102326-7. 17 La información transcrita fue extraída del Acta denominada: “DILIGENCIA DE VISITA DE INSPECCIÓN RESPOSABLE DEL TRATAMIENTO DE BASES DE DATOS PERSONALES” radicada bajo el número 19-102326- -00005-0001 del 26 de junio de 2019.

HOJA N 16, “Por la cual se impone una sanción administrativa y se imparte una orden” HORIZONTAL no solicita autorización alguna para el tratamiento de datos, por parte de las personas que entregan sus datos personales a través del procedimiento de registro para el ingreso a la copropiedad ya sea por el sistema de telecitofonía por computador o registro en el libro de visitantes y los residentes y propietarios a través de los formatos dispuestos por la administración del Edificio para el registro de datos, este Despacho advierte un presunto incumplimiento al deber contenido en el presente cargo toda vez que la sociedad (sic) EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL no aportó prueba que diera cuenta que efectivamente informa las Finalidades de la recolección a los Titulares de la información”.

En este punto, es menester señalar que debido a que no se presentaron los correspondientes descargos ni alegatos de conclusión, para adoptar una decisión que en derecho corresponda, se tendrán en cuenta las pruebas recaudadas en la etapa preliminar, sobre estas bases se analizarán cada uno de los documentos que reposan en el plenario. Al respecto, es primordial precisar que el derecho de defensa en materia administrativa se traduce en la facultad que tiene el administrado para conocer la actuación o proceso administrativo que se le adelante, e impugnar o contradecir las pruebas y las providencias que le sean adversas a sus intereses.

La administración debe garantizar al ciudadano interesado tal derecho y cualquier actuación que desconozca dicha garantía es contraria a la Constitución. Es así, como esta Dirección garantizó y respetó el debido proceso de la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL, así como sus derechos de defensa y contradicción mediante el otorgamiento de los términos legalmente establecidos en cada una de las etapas de la investigación, sin embargo, la investigada guardó silencio.

Dejando claro lo anterior, para el caso concreto, es necesario traer a colación uno de los hallazgos evidenciados por esta Dirección en el documento denominado: “INFORME VISITA DE INSPECCIÓN” 18, veamos: “Una vez el guarda de seguridad ha efectuado el registro en el sistema se procede con la toma del registro fotográfico del visitante. Es importante mencionar que no se le informa a la persona sobre la finalidad de la recolección de sus datos personales ni del registro fotográfico”.

(Subrayado y Negrita fuera del texto original) De acuerdo con lo expuesto, tal como se explicó en el anterior cargo por autorización, una vez mencionado el artículo 3 de la Ley 1581 de 2012 “DEFINICIONES”, se evidenció que los datos personales sobre los cuales la propiedad horizontal denominada EDIFICIO LOS NOGALES PROPIEDAD HORIZONTAL realiza el tratamiento, se encuentran bajo el amparo de la ley en mención, donde es importante aludir al literal c) del artículo referido el cual establece: “Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables;”, para concluir válidamente que esta definición abarca los datos personales tratados por la copropiedad en comento.

Así pues, esta Dirección también pudo evidenciar que la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL realiza el tratamiento de datos sensibles y sobre niños, niñas y adolescentes, lo que reviste una importancia mayor, ya que dicho tratamiento tiene una protección especial por parte del legislador estatutario.

Ahora bien, sobre el particular tal como fue explicado en el cargo anterior, quedó debidamente probado con los documentos denominados: “DILIGENCIA DE VISITA DE INSPECCIÓN RESPOSABLE DEL TRATAMIENTO DE BASES DE DATOS PERSONALES”19 y el “INFORME VISITA DE INSPECCIÓN”20, que la propiedad horizontal denominada EDIFICIO LOS NOGALES PROPIEDAD HORIZONTAL no cuenta con un formato a partir del cual sea posible recaudar la autorización previa de los residentes, y en ese sentido, no informa sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, motivo por el cual el cargo bajo análisis será objeto de sanción. 18 Este informe se encuentra radicado bajo el número 19-102326- -00006-0001 del 26 de junio de 2019. 19 Acta radicada bajo el número 19-102326- -00005-0001 del 26 de junio de 2019.

Este informe se encuentra radicado bajo el número 19-102326- -00006-0001 del 26 de junio de 2019. HOJA N 17, “Por la cual se impone una sanción administrativa y se imparte una orden” En este contexto, es claro que con el material probatorio obrante en el plenario no se vislumbra que la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL informe la finalidad de la recolección de los datos personales, y los derechos que le asisten a los residentes de la copropiedad en virtud de la autorización otorgada.

Por lo expuesto, encuentra este Despacho procedente impartir una orden administrativa consistente en: Ordenar a la propiedad horizontal denominada EDIFICIO LOS NOGALES PROPIEDAD HORIZONTAL, identificada con el Nit.830.034.525-2, implementar procedimientos efectivos para cumplir con el deber de informar debidamente a los residentes sobre la finalidad de la recolección y los derechos que le asisten en virtud de la autorización otorgada.

Por lo expuesto, encuentra este Despacho procedente imponer la sanción correspondiente a tres millones trece mil quinientos sesenta y cuatro pesos M/CTE ($ 3.013.564), equivalente a ochenta y tres (83) Unidades de Valor Tributario (UVT), al demostrarse la infracción de lo dispuesto en el literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, por parte de la propiedad horizontal denominada EDIFICIO LOS NOGALES PROPIEDAD HORIZONTAL. 9.2.3 Del deber de conservar la información bajo las condiciones de seguridad Ley 1581 de 2012 “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

Artículo 4. Principios para el Tratamiento de Datos Personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma.” Una vez mencionada la normatividad aplicable al caso concreto, es necesario aludir a los hechos de la presente investigación administrativa: Sobre el particular, se evidencia que la presente investigación se originó con la denuncia presentada por la señora XXXXXXXXXXXXX XXXXXXX, quien puso en conocimiento ante esta Superintendencia mediante radicado No.19-102326- -00000-000 del 6 de mayo de 2019, que la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL, estaba incumpliendo presuntamente las normas sobre protección de datos personales, en razón al HOJA N 18, “Por la cual se impone una sanción administrativa y se imparte una orden” siguiente hecho: Manifiesta que el EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL desde el año 2015 – 2016 cuenta con cámaras de seguridad y registro fotográfico a los visitantes sin contar con la autorización para el tratamiento de datos personales según lo señalado en la Ley 1581 de 2012, por lo que considera que ha sido vulnerada su privacidad.

En consecuencia, una vez agotadas las averiguaciones preliminares dispuestas en el artículo 47 21 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho inició investigación administrativa de carácter sancionatorio mediante la Resolución 49520 del 24 de agosto de 202022,y sustentó este cargo en las siguientes consideraciones: Frente a la diligencia de visita de inspección efectuada en el Edificio Los Nogales P.H el día 26 de junio de 201923, esta Dirección señaló: “al indagarse por un manual documentado enfocado en la seguridad de la información, indicó que de contar con dicho procedimiento se encontraría en poder de la administración de la copropiedad.

(…) En la inspección efectuada al equipo de cómputo ubicado en la recepción del edificio, se encontró que el usuario del sistema operativo se encuentra restringido, permitiendo únicamente el acceso al programa de registro de visitantes, el equipo no cuenta con acceso a la red, no cuenta con software antivirus ni bloqueo de puertos USB. Sin embargo se evidencio que en el menú principal del sistema de telecitofonía se encuentra una opción “Avanzado”, mediante la cual se puede acceder a la información de los residentes y datos de los vehículos registrados por cada apartamento de la copropiedad.

Por tanto, este Despacho evidencia que el EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL no conserva la información bajo las condiciones de seguridad necesarias que mitiguen el riesgo de adulteración, perdida, pérdida, consulta, uso o acceso no autorizado o fraudulento, según lo establece el literal d) del artículo 17 de la Ley 1581 de 2012”.

Ahora bien, concretamente respecto del cargo indicó: “En lo relacionado con el cumplimiento de este deber, se encontró que el EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL cuenta con un equipo de cómputo ubicado en la recepción de la copropiedad, en el que se encuentra instalado el sistema de telecitofonía por computador SAFETY HOME, software que es operado por tres (3) guardas de seguridad en sus respectivos turnos y cada uno de ellos cuenta con usuario y contraseña; en dicho equipo de cómputo se encuentra almacenada la información de los residentes, menores de edad y propietarios, y según lo manifestado por la administradora del EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL en su declaración (folio 5), los guardas de seguridad no tienen acceso a los datos de los residentes, sin embargo en la inspección ocular realizada por este Despacho se evidenció que en dicho software cuenta con una opción de “menú avanzado” con tres (3) perfiles habilitados (Administrador, Soporte Técnico y “ARTÍCULO

Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado. Concluidas las averiguaciones preliminares, si fuere del caso, formulará cargos mediante acto administrativo (…)” Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se inicia una investigación administrativa y se formulan cargos”, radicada bajo el número 19-102326-7. 23 Esta información se encuentra en el acta denominada “DILIGENCIA DE VISITA DE INSPECCIÓN RESPOSABLE DEL TRATAMIENTO DE BASES DE DATOS PERSONALES” radicado bajo el número 19-102326- -00005-0001 del 26 de junio de 2019.

HOJA N 19, “Por la cual se impone una sanción administrativa y se imparte una orden” Citofonía) mediante el cual se puede acceder a la información de los residentes de cada apartamento como el nombre, nombre de los visitantes y datos de los vehículos registrados para cada apartamento. Como parte de la inspección también se validaron las condiciones de seguridad básicas en el equipo de cómputo ubicado en la recepción de la copropiedad y se observa que no existe bloqueo para la utilización de puertos USB, no cuenta con software antivirus instalado y no existen copias de seguridad de la información allí almacenada.

Igualmente se estableció que dentro del contrato suscrito entre la copropiedad y la empresa de seguridad encargada de la prestación de los servicios de vigilancia y seguridad privada en el edificio, no se incluyen cláusulas de confidencialidad respecto al tratamiento de la información a la que tienen acceso los guardas de seguridad en virtud de las labores desempeñadas.

Respecto al presente cargo, este Despacho encuentra que el EDIFICIO LOS NOGALES PROPIEDAD HORIZONTAL, presuntamente pudo haber incumplido el Régimen General de Protección de Datos respecto de su obligación de contar con las medidas de seguridad y mecanismos necesarias para proteger los datos personales tratados bajo su custodia o posesión. Existe entonces un deber del Responsable de implementar controles de seguridad conforme al tipo de base de datos que se trate -física o automatizada-, de tal manera que permita garantizar los estándares mínimos de protección consagrados en la Ley 1581 de 2012”.

Dejando claro lo anterior, para el caso concreto, es necesario traer a colación uno de los hallazgos evidenciados por esta Dirección en el documento denominado: “INFORME VISITA DE INSPECCIÓN” 24, veamos: “Se realizó inspección del equipo de cómputo de la recepción, encontrando que el usuario del sistema operativo está restringido, permitiendo únicamente el acceso al programa de registro de visitantes, el equipo no cuenta con conexión a red, para la instalación de programas solicita clave de administrador.

El referido equipo no cuenta con un software antivirus, ni tiene bloqueo de puertos USB…” (Subrayado y Negrita fuera del texto original) De acuerdo con lo expuesto, tal como se explicó en los cargos anteriores, una vez mencionado el artículo 3 de la Ley 1581 de 2012 “DEFINICIONES”, se evidenció que los datos personales sobre los cuales la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL realiza el tratamiento, se encuentran bajo el amparo de la ley en mención, donde es importante aludir al literal c) del artículo referido el cual establece: “Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables;”, para concluir válidamente que esta definición abarca los datos personales tratados por la copropiedad en comento.

Así pues, esta Dirección también pudo evidenciar que la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL realiza el tratamiento de datos sensibles y sobre niños, niñas y adolescentes, lo que reviste una importancia significativa, ya que dicho 24 Este informe se encuentra radicado bajo el número 19-102326- -00006-0001 del 26 de junio de 2019.

HOJA N 20, “Por la cual se impone una sanción administrativa y se imparte una orden” tratamiento tiene una protección especial por parte del legislador estatutario, y en ese sentido, el principio de seguridad cobra una relevancia mayor, pues en razón a esa protección especial también es imperativo reforzar las medidas técnicas, humanas y administrativas necesarias con el fin de garantizar la seguridad de todos los datos personales de la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL.

De esta forma, de acuerdo con los hallazgos evidenciados en la visita realizada por esta Superintendencia, radicada bajo el número 19-102326- -00005-0001 del 26 de junio de 2019, es claro que la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL no cuenta con un mecanismo idóneo que permita conservar la información manejada por esta copropiedad, bajo las condiciones de seguridad necesarias que permitan impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, haciendo énfasis que tampoco fue aportada prueba al plenario que desvirtué el presente incumplimiento.

Abonado a lo anterior, dichos hallazgos son un potencial riesgo para la seguridad de los datos personales, los cuales pueden generar un incidente de seguridad, además, no existen restricciones para el acceso de la información de la copropiedad, donde se pueda controlar de una manera efectiva los datos personales de los residentes. En este contexto, es palmario que la Autoridad de Protección de Datos ha encontrado que el deber que le asiste a la investigada como responsable del tratamiento, es de garantizar la seguridad de la información, el cual se debe materializar en la implementación de procedimientos documentados que garanticen el cumplimiento del literal d) del artículo 17 de la Ley 1581 de 2012.

Así las cosas, es válido afirmar que en el presente caso se vulneró el principio de seguridad dispuesto en el literal g) del artículo 4 de la Ley 1581 de 2012, pues no se establecen cuáles son las medidas técnicas, humanas y administrativas que son necesarias para otorgar seguridad a los registros y datos personales de los residentes del conjunto en mención. Por lo expuesto, encuentra este Despacho procedente imponer la sanción correspondiente a tres millones trece mil quinientos sesenta y cuatro pesos M/CTE ($ 3.013.564), equivalente a ochenta y tres (83) Unidades de Valor Tributario (UVT), al demostrarse la infracción de lo dispuesto en el literal d) del artículo 17 en concordancia con los literales g) y h) del artículo 4 de la Ley 1581 de 2012, por parte de la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL. 9.2.4 Del deber de adoptar una política de tratamiento de Datos Personales Ley 1581 de 2012 “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos.

Decreto Único Reglamentario 1074 de 2015 “Artículo 2.2.2.25.2.1. Recolección de los datos personales. En desarrollo de los principios de finalidad y libertad, la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos conforme a la normatividad vigente.

Salvo en los casos expresamente previstos en la ley, no se podrán recolectar datos personales sin autorización del Titular A solicitud de la Superintendencia de Industria y Comercio, los Responsables deberán proveer una descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso.

HOJA N 21, “Por la cual se impone una sanción administrativa y se imparte una orden” “Artículo 2.2.2.25.3.1. Políticas de Tratamiento de la Información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas.

Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares. Dichas políticas deberán incluir, por lo menos, la siguiente información: 1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. 2.

Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. 3. Derechos que le asisten como Titular. 4. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. 5.

Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. 6. Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas.

Una vez mencionada la normatividad aplicable al caso concreto, es necesario aludir a los hechos de la presente investigación administrativa: Sobre el particular, se evidencia que la presente investigación se originó con la denuncia presentada por la señora XXXXXXXXXXXXX XXXXXXX, quien puso en conocimiento ante esta Superintendencia mediante radicado No.19-102326- -00000-000 del 6 de mayo de 2019, que la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL, estaba incumpliendo presuntamente las normas sobre protección de datos personales, en razón al siguiente hecho: Manifiesta que el EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL desde el año 2015 – 2016 cuenta con cámaras de seguridad y registro fotográfico a los visitantes sin contar con la autorización para el tratamiento de datos personales según lo señalado en la Ley 1581 de 2012, por lo que considera que ha sido vulnerada su privacidad.

En consecuencia, una vez agotadas las averiguaciones preliminares dispuestas en el artículo 47 25 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho inició investigación administrativa de carácter sancionatorio mediante la Resolución 49520 del 24 de agosto de 202026,y sustentó este cargo en las siguientes consideraciones: Frente a la diligencia de visita de inspección efectuada en el Edificio Los Nogales P.H el día 26 de “ARTÍCULO

HOJA N 22, “Por la cual se impone una sanción administrativa y se imparte una orden” junio de 201927, esta Dirección señaló: “Manifestó no conocer sobre la existencia de una Política de Tratamiento de Datos Personales implementada en la copropiedad, indicó además no conocer sobre los avisos de privacidad o documento publicado por el cual se informe a los residentes y visitantes sobre la grabación y monitoreo a través del sistema de videovigilancia; al indagarse por un manual documentado enfocado en la seguridad de la información, indicó que de contar con dicho procedimiento se encontraría en poder de la administración de la copropiedad.

(…) Al preguntarle sobre la existencia de una Política para el Tratamiento de los Datos Personales de la copropiedad, respondió: “estamos en el proceso de plan de gestión de seguridad y seguridad en el trabajo y nos están haciendo recomendaciones, pero todavía no hemos llegado al tema de los datos”, manifiesta además que si conoce sobre la obligación de la protección de datos en las copropiedades.

Respecto de los avisos de privacidad visibles, manifestó que los avisos se encuentran ubicados en cada torre y que el aviso correspondiente a la cartelera principal de la copropiedad se retira y se vuelve a poner “de acuerdo con las necesidades”. Frente a si la copropiedad cuenta con un procedimiento para la atención de peticiones de los titulares, señaló contar con él y puso de presente un formato para el diligenciamiento de dichas peticiones y respecto del procedimiento menciono contar con un plazo de ocho (8) días hábiles para dar respuesta a las solicitudes.

Se observó que el EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL en la fecha en que se adelantó la visita de inspección no contaba con: i) una Política de Tratamiento de Datos Personales; ii) un manual interno de políticas que garantice el adecuado cumplimiento de la Ley 1581 de 2012, ni que garantice la adecuada atención de consultas y reclamos; iii) un manual de procedimientos utilizado para la recolección, almacenamiento, uso, circulación y supresión de información, en donde se describan las finalidades para las cuales la información es recolectada”.

Ahora bien, concretamente respecto del cargo indicó: “Nótese como la disposición normativa previamente citada hace referencia expresa a la necesidad y deber de toda organización que trate información personal cuente con unos procedimientos para la recolección, almacenamiento, uso, circulación y supresión de información, con el fin de que a lo largo del ciclo de vida del dato se garanticen y respeten los preceptos legales que van desde la recolección de la información hasta la disposición final de la misma, de tal suerte que no se empleen medios engañosos o fraudulentos para recolectar y tratar los datos personales y que siempre se utilicen para las finalidades que fueron autorizadas en su momento por el Titular, en el entendido de que la información se utilice únicamente para la finalidad que fue informada, lo que adicionalmente implica la supresión segura de la información y la correspondiente documentación de este procedimiento.

Conforme a lo indicado y según lo manifestado por la Administradora y Representante Legal del EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL, para el momento de la diligencia de visita administrativa llevada a cabo el 25 de junio de 2019, la copropiedad no contaba con: i) una Política de Tratamiento de la Información, (ii) un manual de interno de políticas y procedimiento documentado para la atención de quejas y reclamos, ni (iii) interno de políticas y procedimientos que describa los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, en donde se señalen las finalidades para las cuales la información es recolectada, así como tampoco (iv) tiene documentado un manual de políticas de seguridad de la información”.

En este punto, es menester señalar que debido a que no se presentaron los correspondientes descargos ni alegatos de conclusión, para adoptar una decisión que en derecho corresponda, se tendrán en cuenta las pruebas recaudadas en la etapa preliminar, sobre estas bases se analizarán cada uno de los documentos que reposan en el plenario. Esta información se encuentra en el acta denominada “DILIGENCIA DE VISITA DE INSPECCIÓN RESPOSABLE DEL TRATAMIENTO DE BASES DE DATOS PERSONALES” radicado bajo el número 19-102326- -00005-0001 del 26 de junio de 2019.

HOJA N 23, “Por la cual se impone una sanción administrativa y se imparte una orden” Al respecto, es primordial precisar que el derecho de defensa en materia administrativa se traduce en la facultad que tiene el administrado para conocer la actuación o proceso administrativo que se le adelante, e impugnar o contradecir las pruebas y las providencias que le sean adversas a sus intereses.

Dejando claro lo anterior, para el caso concreto, es necesario traer a colación uno de los hallazgos evidenciados por esta Dirección en el acta denominada “DILIGENCIA DE VISITA DE INSPECCIÓN RESPOSABLE DEL TRATAMIENTO DE BASES DE DATOS PERSONALES”, radicada bajo el número 19-102326- -00005-0001 del 26 de junio de 2019. 0005-0001 del 26 de junio de 2019, veamos: “Igualmente manifestó que no cuenta con una Política de Tratamiento de la información y que sólo tienen unos formularios donde los residentes autorizan el tratamiento de la información. Pero menciona que si conoce de la obligación de construir una política para el tratamiento de los datos” (…) Se pregunta ¿si conoce de alguna petición de supresión o actualización de datos? Al respecto informó que no conoce de alguna petición en ese sentido.

A continuación, se pregunta sobre el manual de seguridad. Al respecto manifestó, que este tema esta implementado a través del manual de convivencia pero que está sujeto a aprobación (…)” En virtud de lo expuesto, esta Dirección puede concluir válidamente que la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL, incumplió lo siguiente: En primer lugar, es evidente que la propiedad horizontal denominada EDIFICIO LOS NOGALES PROPIEDAD HORIZONTAL no cuenta con un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de las disposiciones establecidas en la Ley 1581 de 2012, infringiendo el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la misma ley y el literal e) del artículo 4 ejúsdem, y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015.

En segundo lugar, quedó demostrado que la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL no cuenta con un manual interno de políticas y procedimientos documentado para la atención de quejas y reclamos de conformidad con lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012. En tercer lugar, no se vislumbra un manual de procedimientos para la recolección, tratamiento, circulación, y supresión de la información de acuerdo con lo consagrado en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.2.1 del Decreto 1074 de 2015.

En cuarto lugar, es palmario que no se evidencia la implementación efectiva y apropiada de las medidas de seguridad por parte de la copropiedad en comento, a través de la documentación de procesos donde se describan las medidas humanas técnicas y administrativas adoptadas por el Responsable del Tratamiento, ya que, para el caso particular no cuenta con un manual de Políticas de seguridad, incumpliendo el literal k) del artículo 17 de la Ley 1581 de 2012.

Así las cosas, es válido afirmar que con el material probatorio obrante en el plenario no se vislumbra que la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL haya adoptado cada uno de los manuales internos de políticas y procedimientos nombrados anteriormente, en cumplimiento de la Ley 1581 de 2012. HOJA N 24, “Por la cual se impone una sanción administrativa y se imparte una orden” De conformidad con lo expuesto, es evidente que la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL no adoptó una Política de Tratamiento de la Información ni un manual de procedimientos para la recolección, tratamiento, circulación, y supresión de la información de acuerdo con lo consagrado en el literal k) del artículo 17 de la Ley 1581 de 2012.

En virtud de lo señalado anteriormente, esta Superintendencia impartirá las siguientes órdenes administrativas: 1. Ordenar a la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL adoptar una política de Tratamiento de Datos Personales para garantizar el adecuado cumplimiento de las disposiciones establecidas en la Ley 1581 de 2012, en cumplimiento del literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la misma ley y el literal e) del artículo 4 ejúsdem, y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015. 2.

Ordenar a la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL adoptar un manual interno de políticas y procedimientos documentado para la atención de quejas y reclamos, de conformidad con lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con los artículos 14 y 15 de la ley en cita. 3.

Ordenar a la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL adoptar un manual de procedimientos para la recolección, tratamiento, circulación, y supresión de la información de acuerdo con lo consagrado en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.2.1 del Decreto 1074 de 2015. 4.

Ordenar a la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL desarrollar y documentar un manual interno de Políticas de seguridad, a través del cual se describan de manera detallada las medidas de seguridad para el Tratamiento de los datos personales, determinando cómo se efectuará el almacenamiento de la información en sus bases de datos y especificando las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad en la custodia de la información personal a cargo de la propiedad horizontal en comento, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, incluyendo archivos físicos, digitales y magnéticos, de conformidad literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4) de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.

Así mismo, este Despacho encuentra procedente imponer la sanción correspondiente a tres millones trece mil quinientos sesenta y cuatro pesos M/CTE ($ 3.013.564), equivalente a ochenta y tres (83) Unidades de Valor Tributario (UVT), al demostrarse la infracción de lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 2.2.2.25.2.1 y 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015, por parte de la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL.

DÉCIMO: Que el parágrafo del artículo 2 de la Ley 1581 de 201228 señala que los principios sobre protección de datos serán aplicables a todas las bases de datos incluidas las exceptuadas en el mismo artículo, de ahí que es procedente solicitar a la investigada que garantice el cumplimiento del principio de responsabilidad demostrada desarrollado en el artículo 2.2.2.25.6.1 y subsiguiente del Decreto Único Reglamentario 1074 de 201529.

Ley 1581 de 2012, artículo 2: “Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. (…)

PARÁGRAFO. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal. En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley.” Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.6.1: Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. HOJA N 25, “Por la cual se impone una sanción administrativa y se imparte una orden” Al respecto, es oportuno resaltar lo conceptuado en la Resolución No. 83882 del 15 de noviembre de 2018, emanada del Despacho del Superintendente Delegado Para la Protección de Datos Personales, respecto de la responsabilidad de los administradores, acto administrativo en el que se señaló lo siguiente: “(…) Responsabilidad de los administradores en materia de tratamiento de datos personales.

El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.

La efectividad de los derechos humanos es un asunta de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.

En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.

En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas.

Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la ley 222 de 1995 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias” (subrayamos) (…) Nótese que el artículo 24 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”. 4.

Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas. HOJA N 26, “Por la cual se impone una sanción administrativa y se imparte una orden”

DÉCIMO PRIMERO: En este orden de ideas, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, a esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente Ley (…)”, esta instancia procederá a impartir las siguientes instrucciones: 11.1 Ordenar a la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL implementar procedimientos efectivos para cumplir con el deber que le asiste de solicitar y conservar prueba de la autorización previa, expresa, e informada de los titulares de la información y;

(ii) deberá cesar el tratamiento de los datos personales de aquellos titulares frente a los cuales no haya obtenido autorización, de conformidad con lo establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, y con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto único Reglamentario 1074 de 2015. 11.2 Ordenar a la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL, identificada con el Nit.830.034.525-2, implementar procedimientos efectivos para cumplir con el deber de informar debidamente a los residentes sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.

Adicionalmente deberá cesar el tratamiento de los datos personales de aquellos titulares frente a los cuales no haya informado acerca de la correspondiente finalidad, de conformidad con lo establecido en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la misma ley, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. 11.3 Ordenar a la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL adoptar una política de Tratamiento de Datos Personales para garantizar el adecuado cumplimiento de las disposiciones establecidas en la Ley 1581 de 2012, en cumplimiento del literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la misma ley y el literal e) del artículo 4 ejúsdem, y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015. 11.4 Ordenar a la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL adoptar un manual interno de políticas y procedimientos documentado para la atención de quejas y reclamos, de conformidad con lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con los artículos 14 y 15 de la ley en cita. 11.5 Ordenar a la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL adoptar un manual de procedimientos para la recolección, tratamiento, circulación, y supresión de la información de acuerdo con lo consagrado en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.2.1 del Decreto 1074 de 2015. 11.6 Ordenar a la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL desarrollar y documentar un manual interno de Políticas de seguridad, a través del cual se describan de manera detallada las medidas de seguridad para el Tratamiento de los datos personales, determinando cómo se efectuará el almacenamiento de la información en sus bases de datos y especificando las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad en la custodia de la información personal a cargo de la propiedad horizontal en comento, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, incluyendo archivos físicos, digitales y magnéticos, de conformidad literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4) de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.

DÉCIMO SEGUNDO: Imposición y graduación de la sanción 12.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: HOJA N 27, “Por la cual se impone una sanción administrativa y se imparte una orden” “ARTÍCULO 23.

SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 30.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. HOJA N 28, “Por la cual se impone una sanción administrativa y se imparte una orden” De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional31 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”32 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros33. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. HOJA N 29, “Por la cual se impone una sanción administrativa y se imparte una orden” conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad.

Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”34.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia35. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2336 de la misma ley.

Así mismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 12.1.2 Literal a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la ley Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva..” HOJA N 30, “Por la cual se impone una sanción administrativa y se imparte una orden” De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”37 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados38.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la copropiedad, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado la infracción al: (i) (ii) (iii) (iv) El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y los artículos 5, 6 y 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y los artículos 2.2.2.25.2.3, 2.2.2.25.2.4 y 2.2.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015;

El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 2.2.2.25.2.1 y 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015. De acuerdo con lo anterior, es claro que la investigada vulneró los deberes que tienen los responsables del tratamiento de datos personales, por tal razón se impondrá el monto de doce millones cincuenta y cuatro mil doscientos cincuenta y seis pesos M/CTE ($ 12.054.256) equivalente a trescientos treinta y dos (332) UVT Unidad de Valor Tributario. 12.1.3 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” HOJA N 31, “Por la cual se impone una sanción administrativa y se imparte una orden” de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones.

DÉCIMO TERCERO: CONCLUSIÓN Se procederá a imponer una sanción por las siguientes razones: Se comprobó que la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL, infringió abiertamente las normas sobre protección de datos personales por lo siguiente: 1. No dispone de un formato o mecanismo idóneo para solicitar la autorización previa, expresa e informada de los residentes de la propiedad horizontal en comento. 2.

No informa a los propietarios de la propiedad horizontal referida acerca de la finalidad de la recolección y los derechos que le asisten por la autorización otorgada. 3. Quedo debidamente probado que la propiedad horizontal referida no cuenta con un mecanismo idóneo que permita conservar la información manejada por esta copropiedad, bajo las condiciones de seguridad necesarias que permitan impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. 4.

No cuenta con una política de Tratamiento de la Información y con un manual interno de políticas y procedimientos que describa los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información. Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer la sanción correspondiente a doce millones cincuenta y cuatro mil doscientos cincuenta y seis pesos M/CTE ($ 12.054.256) equivalente a trescientos treinta y dos (332) UVT Unidad de Valor Tributario, a la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL, por la violación a la siguiente normatividad: (i) El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y los artículos 5, 6 y 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y los artículos 2.2.2.25.2.3, 2.2.2.25.2.4 y 2.2.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015;

El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 2.2.2.25.2.1 y 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015. (ii) (iii) (iv)

DÉCIMO CUARTO: Que en virtud de la situación actual, teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL deberá: (i) (ii) Enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando: número de radicado, nombre completo de la persona que va a consultar el expediente, número de identificación y correo electrónico autorizado;

Una vez reciba respuesta positiva respecto de la solicitud de acceso, la investigada debe registrarse en servicios en línea link HOJA N 32, “Por la cual se impone una sanción administrativa y se imparte una orden” https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo link posteriormente al registro puede consultar el expediente de manera digital.

No obstante, en aras de garantizar los derechos de defensa y contradicción de la investigada, en el caso en que la misma considere necesario el acceso del expediente en físico, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá. Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.

En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL, identificada con Nit.830.034.525-2 de doce millones cincuenta y cuatro mil doscientos cincuenta y seis pesos M/CTE ($ 12.054.256) equivalente a trescientos treinta y dos (332) UVT Unidad de Valor Tributario, por la violación a lo dispuesto en la siguiente normatividad: (i) (ii) (iii) (iv) El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y los artículos 5, 6 y 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y los artículos 2.2.2.25.2.3, 2.2.2.25.2.4 y 2.2.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015;

El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 2.2.2.25.2.1 y 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: Impartir una orden administrativa a la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL, identificada con Nit.830.034.525-2, en los siguientes términos: “11.1 Ordenar a la propiedad horizontal denominada EDIFICIO LOS NOGALES PROPIEDAD HORIZONTAL implementar procedimientos efectivos para cumplir con el deber que le asiste de solicitar y conservar prueba de la autorización previa, expresa, e informada de los titulares de la información y;

(ii) deberá cesar el tratamiento de los datos personales de aquellos titulares frente a los cuales no haya obtenido autorización, de conformidad con lo establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, y con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto único Reglamentario 1074 de 2015. 11.2 Ordenar a la propiedad horizontal denominada EDIFICIO LOS NOGALES PROPIEDAD HORIZONTAL, identificada con el Nit.830.034.525-2, implementar procedimientos efectivos para cumplir con el deber de informar debidamente a los residentes y propietarios sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.

HOJA N 33, “Por la cual se impone una sanción administrativa y se imparte una orden” Adicionalmente deberá cesar el tratamiento de los datos personales de aquellos titulares frente a los cuales no haya informado acerca de la correspondiente finalidad, de conformidad con lo establecido en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la misma ley, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. 11.3 Ordenar a la propiedad horizontal denominada EDIFICIO LOS NOGALES PROPIEDAD HORIZONTAL adoptar una política de Tratamiento de Datos Personales para garantizar el adecuado cumplimiento de las disposiciones establecidas en la Ley 1581 de 2012, en cumplimiento del literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la misma ley y el literal e) del artículo 4 ejúsdem, y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015. 11.4 Ordenar a la propiedad horizontal denominada EDIFICIO LOS NOGALES PROPIEDAD HORIZONTAL adoptar un manual interno de políticas y procedimientos documentado para la atención de quejas y reclamos, de conformidad con lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con los artículos 14 y 15 de la ley en cita. 11.5 Ordenar a la propiedad horizontal denominada EDIFICIO LOS NOGALES PROPIEDAD HORIZONTAL adoptar un manual de procedimientos para la recolección, tratamiento, circulación, y supresión de la información de acuerdo con lo consagrado en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.2.1 del Decreto 1074 de 2015. 11.6 Ordenar a la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL desarrollar y documentar un manual interno de Políticas de seguridad, a través del cual se describan de manera detallada las medidas de seguridad para el Tratamiento de los datos personales, determinando cómo se efectuará el almacenamiento de la información en sus bases de datos y especificando las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad en la custodia de la información personal a cargo de la propiedad horizontal en comento, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, incluyendo archivos físicos, digitales y magnéticos, de conformidad literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4) de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015”.

PARÁGRAFO PRIMERO: Para el cumplimiento de la anterior orden la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL, identificada con Nit.830.034.525-2, cuenta con sesenta (60) días hábiles.

PARÁGRAFO SEGUNDO: La propiedad horizontal denominada EDIFICIO LOS NOGALES PROPIEDAD HORIZONTAL, identificada con Nit.830.034.525-2, deberá acreditar el cumplimiento de lo ordenado en el anterior artículo ante esta Superintendencia dentro de los diez (10) días hábiles siguientes a la ejecutoria de la presente decisión, aportando toda la documentación implementada donde se acredite la orden aquí impartida.

PARÁGRAFO TERCERO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL, identificada con Nit.830.034.525-2, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: Notificar personalmente el contenido de la presente resolución a la propiedad horizontal denominada EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL, identificada con Nit.830.034.525-2, a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación. HOJA N 34, “Por la cual se impone una sanción administrativa y se imparte una orden”

ARTÍCULO CUARTO: Comunicar a la señora XXXXXXXXXXXXX XXXXXXX, el contenido de la presente resolución.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 31 MARZO 2021 El Director de Investigación de Protección de Datos Personales, Firmado digitalmente por ENRIQUE SALAZAR CARLOS ENRIQUE CARLOS MUÑOZ SALAZAR MUÑOZ Fecha: 2021.03.31 12:27:25 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: DAD Revisó: LMRZ Aprobó: CESM HOJA N 35, “Por la cual se impone una sanción administrativa y se imparte una orden” NOTIFICACIÓN: Investigada: Investigada: EDIFICIO LOS NOGALES - PROPIEDAD HORIZONTAL Identificación: Nit. 830.034.525-2 Representante legal: VIVIAN ROCIO CASTIBLANCO RICCI Identificación: C.C. No. XXXXXXXX Correo electrónico: XXXXXXXXXXXXX XXX Dirección: Calle 64 C N° 72 A - 02 Ciudad: Bogotá D.C COMUNICACIÓN: Señora: XXXXXXXXXXXXX XXXXXXX Identificación: C.C. XXXXXXXX Correo electrónico: XXXXXXXXXXXXX

Resolución sancionatoria N° 18327 de 2021

CONSIDERANDO

ARTÍCULO

RESUELVE