Resolución sancionatoria N° 78078 de 2021

(30 NOVIEMBRE 2021) VERSIÓN PÚBLICA “Por la cual se impone una sanción y se imparten unas órdenes” Radicación 20-372071 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que mediante la Resolución No. 41459 del 24 de julio de 2020, expedida por el Director de Investigación de Protección de Datos Personales, se ordenó: “ARTÍCULO SEGUNDO: Remitir copia de la presente Resolución al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección con el fin de que determine si existe o no mérito para adelantar una actuación administrativa de carácter sancionatorio y, conforme a la decisión adoptada, se informe al Grupo de Trabajo de Hábeas Data lo pertinente”.

SEGUNDO: Que, entre otras consideraciones, en la Resolución No. 41459 del 24 de julio de 2020 se señaló: “(…) 6.1. Respecto de la autorización previa, expresa e informada otorgada por el titular y la solicitud de supresión de información personal. Frente a la posibilidad que tienen los titulares de solicitar la supresión de sus datos personales, el literal e) del artículo 8 de la Ley 1581 de 2012 establece lo siguiente: ‘Artículo 8°.

Derechos de los Titulares. El Titular de los datos personales tendrá los siguientes derechos: (…) e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución (…)’.

De igual modo dicha facultad se encuentra contenida en el artículo 2.2.2.25.4.3 del Decreto 1074 de 2015 de la siguiente manera: ‘Artículo 2.2.2.25.4.3. Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el tratamiento de los datos personales deberán adoptarse las medidas razonables para asegurar que los datos personales que reposan en las bases de datos sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento (…)’.

Al respecto, es oportuno señalar que los citados artículos establecen que los titulares pueden solicitar actualización, rectificación y supresión de su información personal cuando en el dato resulte, inexacto, incompleto, fraccionado, induzca a error o aquellos cuyo tratamiento este expresamente prohibido o no haya sido autorizado; pero siempre y cuando la Superintendencia de Industria y Comercio ‘haya determinado que en el tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley (la 1581 de 2012)’.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” Empero, la Corte Constitucional, en la sentencia que analizó la exequibilidad de la citada ley1, determinó que al fijar el legislador tales condiciones, limitó desproporcionadamente el ejercicio del derecho fundamental de hábeas data. (…) Por su parte, la Ley 1581 de 2012 desarrolló el artículo 15 de la Constitución Política, el cual consagró el derecho constitucional que tienen todas las personas a actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales; así como el derecho a la información consagrado en el artículo 20 de la misma.

(…) En el artículo 9 de la Ley 1581 del 2012, se establece lo relacionado a la autorización previa e informada por parte del titular de la información, la cual se encuentra ligada a que este cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, que resultan vitales para salvaguardar los derechos a la intimidad y al buen nombre (…) Por su parte, el literal b) del artículo 17 de la Ley 1581 de 2012, establece los deberes que le asisten a los responsables del tratamiento de la información respecto de la solicitud y conservación de copia de la respectiva autorización otorgada por los titulares para el tratamiento de sus datos personales.

(…) Ahora bien, en el caso bajo examen, se observa que el reclamante manifiesta que desde el mes de marzo del año 2019 recibe constantes mensajes de texto y llamadas por parte la sociedad Castor Editores S.A.S., a pesar de carecer de autorización para el manejo y tratamiento de sus datos personales, como consecuencia de ello, solicita que la sociedad investigada elimine de manera definitiva todos sus datos personales.

Al respecto, la sociedad Castor Editores S.A.S., manifestó que una vez revisada su base de datos encontró que el señor XXXXXXXXXXXXXXXXXXX está relacionado como referencia personal del señor xxxxxxxxxxxxxxxxxxxxxxxxxx como consta el documento denominado ‘solicitud de pedido’ y, sucesivamente, señalan que realizaron las gestiones en las bases de datos del área cartera y sistemas para la supresión de los datos personales del reclamante asociados a la cuenta No. xxxxx.

(…) Descendiendo al caso en particular, vislumbró esta Delegatura, en primer lugar, que los datos asociados al señor xxxxxxxxxxxxxxxxxxxxxxxxxx se encuentran depositados en el acápite de referencias personales del documento denominado solicitud de pedido, del que su lectura, se observa una carta de instrucciones en la que no consta autorización para el envío de mensajes de texto o llamadas aunado a que, dicho documento está signado por el señor xxxxxxxxxxxxxxxxxxxxxxxxxxxx, persona distinta al reclamante, en este sentido, no obra prueba de la autorización otorgada por el señor xxxxxxxxxxxxxxxxxxxxxxxxxxx para que la sociedad Castor Editores S.A.S. trate sus datos personales.

(ver consecutivo 19-2027635). Continuando con el análisis del legajo probatorio, observó este despacho que en el documento denominado ‘términos y condiciones’ (ver consecutivo 19-202763-5), en su cláusula décimo tercera media la siguiente autorización: ‘(…) el alcance de la autorización comprende la facultad para que el vendedor me envíe por medio de mensajes de texto, correos electrónicos o cualquier otro medio tecnológico, contenidos publicitarios, notificaciones, información del estado de cuenta, saldos, información sobre requerimiento de cuotas pendientes de pago (…)’, no obstante, el presente documento tampoco se encuentra firmado por el señor xxxxxxxxxxxxxxxxxxxxxxxxxxx, por ello, la citada autorización no es oponible al reclamante.

Por otro lado, esta Superintendencia le solicitó a la sociedad investigada bajo el consecutivo (19- 202763-4) que “En caso de ser procedente, acreditar prueba mediante la cual se demuestre que ustedes eliminaron, actualizaron o corrigieron la información del Titular de la información” frente a lo cual, dicha sociedad manifestó que realizó las gestiones para la HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” supresión de los datos personales del reclamante, sin embargo, no aportó prueba por la cual se evidencie que se eliminó la información a nombre del titular.

Expuesto todo lo anterior, tenemos que no se detalla en el acervo probatorio que la sociedad Castor Editores S.A.S. le fuera otorgada autorización previa, expresa e informada por parte del señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx para el tratamiento de sus datos personales, además, que no obra prueba por la cual se demuestre que la sociedad investigada haya eliminado la información de sus bases de datos, conforme a la solicitud realizada por parte del titular.

Por los argumentos mencionados, este Despacho concluye, que la sociedad Castor Editores S.A.S., realiza Tratamiento de los datos personales del titular sin el lleno de los requisitos impuestos por la Ley 1581 de 2012 y el Decreto 1074 de 2015, toda vez que la misma no demostró que el reclamante otorgó su autorización previa, expresa e informada para el tratamiento de sus datos personales en los términos del Decreto y la precita Ley, ya que dentro del expediente no reposa prueba alguna del consentimiento otorgado por el señor xxxxxxxxxxxxxxxxxxxxxxxxxx.

(…)”.

TERCERO: Que dentro de la actuación administrativa adelantada por el Grupo de Trabajo de Hábeas Data se recolectaron los elementos materiales de prueba que se enlistan a continuación: 3.1. Oficio 19-202763-00004 del 27 de septiembre de 2019, mediante el cual se requirió a la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) 1 para que se pronunciara sobre los hechos materia de la queja y aportara las pruebas que pretendiera hacer valer dentro del referido trámite. 3.2.

Comunicación presentada ante esta Superintendencia por la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.), radicada con el número 19-202763-00005 del 18 de octubre de 2019, al interior de la cual, en repuesta al requerimiento enunciado en el numeral 3.1. del presente acto administrativo, informó que, una vez revisada en la base de datos, el nombre, identificación, teléfono fijo y celular, dirección y correo electrónico reportados, encuentran que el señor xxxxxxxxxxxxxxxxxxxxxxxx está relacionado como referencia personal del señor xxxxxxxxxxxxxxxxxxxxxxxxx.

CUARTO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: (i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con los artículos 2.2.2.25.2.2. y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015 y;

(ii) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, se inició la presente investigación administrativa mediante la expedición de la Resolución No. 75858 del 26 de noviembre de 2020, por medio de la cual se formularon DOS (2) cargos a la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.), identificada con NIT 900.838.719-9.

La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

QUINTO: Que el representante legal de la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) dio respuesta a la formulación de cargos de la Resolución No. 75858 de 2020, a través de la comunicación con radicado 20-372071-00008 del 10 de diciembre de 2020 en la que señaló: 5.1. El señor xxxxxxxxxxxxxxxxxxxxxxxxxx, a través del contrato de compraventa No. xxxxxx suscrito el 3 de octubre de 2008, adquirió con la empresa un programa de auto-capacitación por la suma de $750.000, “(…) pagaderos en 10 cuotas mensuales y sucesivas por valor de 1 De acuerdo con el certificado de existencia y representación legal de la sociedad bajo NIT 900.838.719-9, consultado en el Registro único Empresarial y Social – RUES, “[p]or Acta No. 017 del 02 de noviembre de 2021 Asamblea De Accionistas,inscrito en esta Cámara de Comercio el 09 de noviembre de 2021 con el No. 20009 del Libro IX,cambio su nombre de CASTOR EDITORES S.A.S.. por el de SUMMIT ACADEMY S.A.S.” (Subrayado y resaltado fuera de texto) HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” SETENTA Y CINCO MIL PESOS ($75.000) entendidas desde el 2018-10-20 hasta el 2019-0720; documento en el cual se incluye el pagaré No. 23617”. 5.2.

En el contrato suscrito por el señor xxxxxxxxxxxxxxxxxxxxxxxxxx, se indica la referencia de tres personas, entre ellas, del señor xxxxxxxxxxxxxxxxxxxxxxxx como referencia personal. Respecto de estas referencias, la investigada indicó: “Cabe aclarar que las referencias nos posibilitan el contacto y recibir información para efectos de la aprobación crediticia con quien suscribe la obligación, lo anterior, bajo la autorización de tratamiento de datos firmada expresamente por el titular de la cuenta, el señor xxxxxxxxxxxxxxxxxxxxxxxxx”. 5.3.

En la cláusula décimo tercera del contrato firmado por el señor xxxxxxxxxxxxxxxxxxxxxxxx xxxxx está la autorización para el Tratamiento de datos personales. 5.4. El deudor presenta a la fecha mora en el pago de la obligación y al contactársele para cobrarle “(…) no atiende ante ninguna de las gestiones de contacto realizadas por CASTOR EDITORES, es por esta razón que se utilizaron las referencias, con la intención de lograr un puente de comunicación con el DEUDOR, y que dichas referencias nos permitieran el contacto de manera efectiva”. 5.5.

No se han utilizado las referencias para cobrar lo adeudado por el señor xxxxxxxxxxxxx xxxxxxxxxxxxxx sino como canal de comunicación con él, como se hizo con el señor xxxxxxxxxxxxxxxxxxxxxxxx. 5.6. Se eliminaron los datos del señor xxxxxxxxxxxxxxxxxxxxxxxxx tan pronto él solicitó la eliminación de su información en las bases de datos, respecto a lo cual se tiene la siguiente imagen: Imagen 1.

Tomada del expediente digital, consecutivo 8, página 7. 5.7. De acuerdo con lo ordenado en la Resolución No. 41459 de 2020, “(…) ya había procedido a la eliminación definitiva de nuestro sistema de los datos del señor xxxxxxxxxxxxxxx xxxxxxxxx, quien figuraba como referencia del señor xxxxxxxxxxxxxxxxxxxxxxxxxx, titular de la cuenta xxxxx, y solicitud número xxxxxx”.

SEXTO: Que este Despacho profirió la Resolución No. 25696 del 30 de abril de 2021, mediante la cual se incorporaron las pruebas obrantes en el expediente 20-372071 del consecutivo 1 al 8, con el valor probatorio que les corresponda, y las demás que sean allegadas debida y oportunamente al expediente, así como ordenó lo siguiente: “(…)  Designar un miembro del Grupo de Trabajo de Investigaciones Administrativas encargado de descargar la Resolución N° 41459 del 24 de julio de 2020 de radicado 19-202763.  Designar un miembro del Grupo de Trabajo de Investigaciones Administrativas encargado de descargar la respuesta radicada el 14 de agosto de 2020 de cumplimiento de la Resolución N° 41459 del 24 de julio de 2020 bajo radicado 19202763- -00015-0000 por parte de la sociedad CASTOR EDITORES S.A.S.  La sociedad CASTOR EDITORES S.A.S. deberá aportar las pruebas que considere necesarias para acreditar la fecha exacta en que se eliminaron los datos del denunciante de sus bases de datos”.

La Resolución No. 25696 de 2021 fue comunicada el 3 de mayo de 2021 a la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.), a través de su representante legal, como consta en la certificación con radicado 20-372071-00013 del 11 de mayo de 2021 de la Secretaria Ad-Hoc de esta Superintendencia. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes”

SÉPTIMO: Que la investigada a través de la comunicación con radicado 20-372071-00012 del 7 de mayo de 2021, radicó nuevamente escrito de descargos y aportó las pruebas decretadas en la Resolución No. 25696 de 2021. Sobre lo primero, este Despacho señala que la oportunidad legal para la presentación de descargos fue dentro de los 15 días hábiles siguientes a la notificación de la Resolución No. 75858 de 2020 “[p]or la cual se inicia una investigación administrativa y se formulan cargos”, respecto de la cual y dentro de la oportunidad legal, la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) elevó descargos a través de la comunicación con radicado 20-372071-00008 del 10 de diciembre de 2021.

Así, en razón a que con la comunicación con radicado 20-372071-00012 la investigada presentó nuevamente escrito de descargos, los argumentos expuesto en estos no se tendrán en cuenta en consideración a que no se presentaron dentro del término concedido en la Resolución No. 75858 de 2020 y se elevaron dentro de la etapa probatorio de esta actuación administrativa.

Sin embargo, con el objeto de esclarecer los hechos materia de investigación, sí se tendrán en cuenta las pruebas aportadas con la comunicación con radicado 20-372071-00012. En cuanto lo segundo, las pruebas aportadas por la investigada son las siguientes: 7.1 Registro de eliminación del 17 de octubre de 2020 de los datos del señor xxxxxxxxxxxxxxxx xxxxxxxxx.

Imagen 2. Tomada del expediente digital, consecutivo 12, página 3. 7.2 Pantallazo de no registro de la información del señor xxxxxxxxxxxxxxxxxxxxxxxx. Imagen 3. Tomada del expediente digital, consecutivo 12, página 4.

OCTAVO: Que, mediante la comunicación con radicado 20-372071-00016 del 30 de julio de 2021 se corrió traslado para alegatos de conclusión a la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.), la cual por conducto de su representante legal y a través de la HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” comunicación con radicado 20-372071-00018 del 13 de agosto de 2021 presentó alegatos de conclusión, en los que señala que “[n]o está de más ratificarnos en las pruebas y razones expuestas en la contestación de la RESOLUCIÓN NÚMERO 25696 DEL 30 ABRIL 2021, donde se inició una investigación administrativa y se formularon cargos”.

Sobre la ratificación de la investigada, es preciso reiterar lo ya señalado en el artículo séptimo en el sentido que el acto administrativo de formulación de cargos y de inicio de la actuación administrativa fue la Resolución No. 75858 de 2020 y no la Resolución No. 25696 de 2021, ya que con esta última se incorporaron pruebas y se decretaron otras.

Así, como se expresó, los argumentos expuestos en la comunicación con radicado 20-372071-00012 no serán tenidos en cuenta por este Despacho, aunque sí las pruebas que se aportaron con dicha comunicación. Los únicos descargos que se tendrán en cuenta, por cuanto se aportaron en la oportunidad legal, son los obrantes en la comunicación con radicado 20-372071-00008.

Así mismo, la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) en alegatos de conclusión, obrante en el radicado 20-372071-00016, reiteró argumentos que presentó en descargos con radicado 20-372071-0008 NOVENO: Que, previo a radicar alegatos de conclusión, la investigada solicitó acceso al expediente digital con la comunicación con radicado 20-372071-00017 del 31 de julio de 2021, a la cual se dio respuesta por esta entidad con la comunicación con radicado 20-372071-00019 del 20 de agosto de 2021 y en la que también se señaló que con el objeto de garantizar el derecho al debido proceso de la investigada, nuevamente se corría traslado para que presentara alegatos de conclusión, guardando silencio la investigada en esta oportunidad.

DÉCIMO: Que, un miembro del Grupo de Trabajo de Investigaciones Administrativas descargó del expediente 19-202763 la Resolución No. 41459 de 2020 y la comunicación con radicado 19-20276300015 y las radicó a esta actuación administrativa con el número 20-372071-00020.

DÉCIMO PRIMERO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO SEGUNDO: Análisis del caso 12.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20112, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del Tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración del (i) literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con los artículos 2.2.2.25.2.2. y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015 y;

(ii) literal a) 2 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y alegatos de conclusión, así como en el conjunto de pruebas allegadas al expediente. 12.2 Valoración probatoria y conclusiones A continuación, se realizará un análisis del cargo imputado a la investigada en la presente actuación, así como del acervo probatorio recaudado, para establecer si se presentó una infracción al Régimen de Protección de Datos Personales. 12.2.1 Respecto del deber solicitar y conservar la autorización previa, expresa e informada El artículo 15 de la Constitución Política establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa debe autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos Conforme con el principio de libertad consagrado en el literal c) del artículo 4 de la Ley 1581 de 2012, según el cual “[e]l Tratamiento solo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento (…)”, es claro que el Tratamiento de los datos personales solo puede ser autorizado voluntariamente por el Titular de estos para la finalidad específica. Sobre este principio, la Corte Constitucional en sentencia C-748 del 6 de octubre de 2011, por medio de la cual realizó el estudio de constitucionalidad del proyecto de ley estatutaria que posteriormente se convirtió en la Ley 1581 de 2012, señaló lo siguiente: “Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su ‘imagen informática’”.

(Se subraya fuera de texto) Este principio es desarrollado, entre otros, por el artículo 9 y el literal b) del artículo 17 de la Ley 1581 de 2012. El primero de ellos señala que “[s]in perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior”.

En el segundo se expresa que es deber de los Responsables del Tratamiento “[s]olicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”. Así, en virtud del principio de libertad, citado líneas atrás, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la Ley 1581 de 2012 y, además, el deber de solicitar y conservar copia de la autorización de Tratamiento otorgado por el mismo, dispuesto en el literal b) del artículo 17 del mismo compendio normativo.

Al respecto, la Corte Constitucional mediante la sentencia C-748 de 2011 expresó: HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” “En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación: (i) Solicitar y conservar la autorización para el tratamiento del dato –en los términos descritos previamente, lo que se ajusta plenamente al principio de libertad y consentimiento expreso del titular del dato ( )”. También, vale la pena precisar que la jurisprudencia constitucional, en la mentada sentencia, se refiere a las características de los datos personales al analizar la constitucionalidad del proyecto de ley de protección de datos personales, a saber: “i) Estar referidos a aspectos exclusivos y propios de una persona natural; ii) Permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) Su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita; iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación”, características que se adicionan al concepto de dato personal establecido en la Ley, consistente en un derecho de propiedad sobre este, que se radica en cabeza del Titular.

Así mismo, en sentencia T-987 de 2012, la Sala Novena de Revisión de la Corte Constitucional señaló: “La autorización será compatible con el derecho de hábeas data cuando la misma es idóneas para garantizar las facultades de conocimiento, actualización y rectificación, al igual que la cláusula general de libertad. Esto significa que sujeto concernido manifiesta su consentimiento de tratamiento del dato (i) para que sea consignado en una base o registro de datos particular e identificable; y (ii) para unas finalidades y usos que son expresos y puestos a consideración del Titular del dato, como condición previa para el otorgamiento de la autorización. Este requisito, por ende, implica que son violatorias del derecho de hábeas data de aquellas formas de recopilación de información personal que sean secretas o que se fundamentan en desnaturalizar o falsear la voluntad del sujeto concernido para la incorporación del dato personal”.

(Se subraya fuera de texto) Además de lo anterior, en el Decreto Único Reglamentario 1074 de 2015 se dispone lo siguiente: “Artículo 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales serán recolectados así como todas las finalidades específicas del Tratamiento para cuales se obtiene consentimiento.

(…). Artículo 2.2.2.25.2.4. Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (í) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.

Artículo 2.2.2.25.2.5. Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos”. (Se subraya fuera de texto) Preliminarmente esta Dirección encontró que en la copia de solicitud de pedido suscrita por el señor xxxxxxxxxxxxxxxxxxxxxxxxx, el señor xxxxxxxxxxxxxxxxxxxxxxx fue incluido como referencia personal, no encontrándose prueba alguna de autorización dada por este último para el Tratamiento de sus datos personales.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” Por su parte, la investigada en descargos expresó que, ante la falta de pago de la obligación, derivada del contrato de compraventa 23617 del 3 de octubre de 2018, por parte del señor xxxxxxx xxxxxxxxxxxxxxxxx y la dificultad en comunicarse con él para cobrarle lo adeudado, contactó a las referencias, entre ellas el señor xxxxxxxxxxxxxxxxxxxxxxxx, como puente de comunicación con el deudor y de ninguna manera para ejercer gestión de cobro con ellos.

Ahora bien, este Despacho evidencia en el documento de Solicitud de Pedido No. xxxxx3 del 3 de octubre de 2018 que el señor xxxxxxxxxxxxxxxxxxxxxxxxx adquirió unos productos de la empresa CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.), comprometiéndose a pagar la suma de $75.000 pesos en cada una de las 10 cuotas, y suministró dos referencias familiares y una personal de las cuales relacionó el nombre y el número de teléfono celular.

La referencia personal corresponde a la del denunciante, el señor xxxxxxxxxxxxxxxxxxxxxxx. A continuación, imagen de la Solicitud de Pedido No. xxxxxx: Imagen 4. Tomada del expediente digital, consecutivo 8, página 11. A su turno, este Despacho encuentra que la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) reconoce que contactó al Titular xxxxxxxxxxxxxxxxxxxxxxxxx con el objeto de lograr comunicarse con el deudor, señor xxxxxxxxxxxxxxxxxxxxxxxxxx, como se desprende de las siguientes afirmaciones que obran en descargos4: “(…) Dicho cobro se ha visto entorpecido por parte del señor xxxxxxxxxxxxxxxxxxxxxxxxx debido a que, a pesar de los intentos de contacto mediante llamadas, mensajes y correos electrónicos realizados en horas y días hábiles, y los cuales son medios permitidos legalmente.

Estos no han logrado ser efectivos debido a que el deudor no atiende ante ninguna de las gestiones de contacto realizadas por CASTOR EDITORES, es por esta razón que se utilizaron las referencias, con la intención de lograr un puente de comunicación con el DEUDOR, y que dichas referencias nos permitieran el contacto de manera efectiva. (…) CASTOR EDITORES conoce y respeta las buenas prácticas de cobro, por ende, nunca se utilizo (sic) una referencia para realizar el cobro de la deuda sino como un canal de comunicación con el señor xxxxxxxxxxxxxxxxxxxxxxxxx, y que por la renuencia de este nos vimos obligados a contactar al señor xxxxxxxxxxxxxxxxxxxxxxxx, persona que en dicho contacto tuvo una comunicación descortés con el asesor que lo contactó. (…) En calidad de acreedor, CASTOR EDITORES tiene la facultad de exigir y perseguir el pago con el cumplimiento de lo acordado por el deudor, y encontrándose en la imposibilidad de 3 Obrante en el expediente digital, consecutivo 8, página 11. 4 Obrante en el expediente digital, consecutivo 8, página 3.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” lograr contacto con el señor xxxxxxxxxxxxxxxxxxxxxxxxxxx se tomaron los datos de referencias para conseguir información que permitiera llegar al deudor”. (Resaltado y subrayado fuera de texto) Además, dentro del acervo probatorio se evidencia que el Titular fue llamado en 8 ocasiones al número de teléfono celular xxxxxxxxxxx, informado a la investigada por el deudor en el documento Solicitud de Pedido No. xxxxxx, en las siguientes fechas: 28 de enero de 2019, 11 de abril de 2019, 13 de junio de 2019, 19 de junio de 2019, 28 de junio de 2019, 15 de julio de 2019, 26 de julio de 2019 y 4 de octubre de 2019, como se visualiza en las siguientes evidencias de gestión de contacto aportadas por la investigada5: Imagen 5.

Tomada del expediente digital, consecutivo 8, página 4. Imagen 6. Tomada del expediente digital, consecutivo 8, página 5. Imagen 7. Tomada del expediente digital, consecutivo 8, página 6. 5 En el expediente digital, consecutivo 8. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” Imagen 8. Tomada del expediente digital, consecutivo 8, página 7.

Imagen 9. Tomada del expediente digital, consecutivo 8, página 9. De acuerdo con lo anterior, esta Dirección encuentra que la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) sometió a Tratamiento el número de teléfono celular del Titular al recolectarlo en calidad de referencia personal a través de la Solicitud de Pedido No. xxxxxx suscrita por el señor xxxxxxxxxxxxxxxxxxxxxxxxx, almacenarlo en sus bases de datos y contactarlo con la finalidad de localizar al deudor.

Es de señalar que el artículo 10 de la Ley 1581 de 2012 establece los casos en los cuales no es necesario contar con la autorización del Titular para el Tratamiento de sus datos personales. Dicho artículo dispone lo siguiente: “Artículo 10. Casos en que no se necesita la autorización. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.

Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley”. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” Para el caso concreto, nótese que el número de teléfono celular del Titular, el cual es un dato de naturaleza semiprivada6, no se subsume dentro de la excepción del literal b) de la anterior norma.

Así mismo, para el caso tampoco es aplicable ninguna de las excepciones previstas en los literales a), c), d) y e) del citado artículo 10. Por ello, la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) para el Tratamiento de la información personal del Titular xxxxxxxxxxxxxxx xxxxxxxxx, con la finalidad de contactarlo como puente de comunicación con el deudor, debió solicitarle su autorización previa, expresa e informada para que de forma directa y voluntaria diera su consentimiento para el Tratamiento de su información personal; no obstante, dentro del acervo probatorio no obra evidencia de dicha solicitud al Titular e incluso, solo se encuentra que los datos del Titular fueron suministrados por un tercero como se demuestra en los argumentos expuestos por la investigada en descargos7 y en la Solicitud de Pedido No. xxxxxx8.

En este punto, es necesario precisar que es deber de los Responsables realizar todos los actos tendientes a obtener la autorización para el Tratamiento de datos personales de los Titulares, a más tardar al momento de realizar la recolección de la información, independientemente del medio por el cual se recolecte y así mismo, conservar prueba de la autorización de conformidad con lo previsto en el 2.2.2.25.2.5 del Decreto Único 1074 de 2015.

Por su parte, la investigada señaló que “(…) a través de contrato de compraventa de bien mueble No. xxxxxx suscrito la fecha 03 de OCTUBRE de 2018 (…) está debidamente diligenciado y firmado establece en la cláusula DECIMA TERCERA (13) la Autorización y tratamiento de datos personales”, respecto a lo cual es necesario señalar que dicha autorización fue otorgada por el Titular xxxxxxxxxxxxxxxxxxxxxxxxxx única y exclusivamente para el Tratamiento de sus datos personales, no extendiéndose, de modo alguno, a las referencias familiares y personales consignadas en el documento Solicitud de Pedido No. xxxxx, ya que “[e]l Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular (…)” 9 y que los datos no pueden ser obtenidos sin la autorización previa de los Titulares en garantía del principio de libertad en materia de protección de datos personales.

Otro aspecto que es necesario invocar, es que de acuerdo con los argumentos expuestos en descargos y las imágenes 5, 6, 7, 8 y 9 relacionadas anteriormente, se evidencia que la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) con la finalidad de comunicarse con el deudor, no solo llamó al Titular xxxxxxxxxxxxxxxxxxxxxxxx sino que también llamó a las dos referencias familiares que obran en el documento Solicitud de Pedido No. xxxxxx, las Titulares xxxxxxxxxxxx y xxxxxxxxxxxxxxxxx, por lo cual este Despacho encuentra que el deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012 no solo fue vulnerado por la investigada respecto del denunciante sino también respecto de las dos antedichas Titulares.

En este orden de ideas, este Despacho encuentra demostrado el actuar negligente de la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) en el cumplimiento del deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con los artículos 2.2.2.25.2.2. y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, por lo cual se impondrá una sanción de orden pecuniaria en virtud del literal a) del artículo 23 de la Ley 1581 de 2012.

Adicionalmente, conforme a la facultad prevista en el literal e) del artículo 21 de la Ley 1582 de 2012, se impartirán unas órdenes administrativas tendientes a garantizar que la investigada cese el Tratamiento de datos personales de referencias personales y familiares en la gestión de cobro y/o de contacto para localizar o comunicarse con deudores. 12.2.2 Respecto del deber de garantizar el pleno ejercicio del derecho de hábeas data El literal a) del artículo 17 de la Ley 1581 de 2012, establece uno de los deberes que deben cumplir los Responsables del Tratamiento en los siguientes términos: “(…) 6 En consideración a las definiciones previstas en el artículo 3 de la Ley 1266 de 2008 y lo señalado sobre la materia por la Corte Constitucional a través de las sentencias C-1011 de 2008 y C-748 de 2011. 7 Obrante en el expediente digital, consecutivo 8, página 3. 8 Obrante en el expediente digital, consecutivo 8, página 11. 9 Literal c del artículo 4 de la Ley 1581 de 2012.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data”. En relación, la Corte Constitucional ha definido el derecho de hábeas data en los siguientes términos: “El derecho fundamental de hábeas data, es aquel que otorga la facultad al titular de datos personales, de exigir a las administradoras de datos personales el acceso, inclusión, exclusión, corrección, adición, actualización, y certificación de los datos, así como la limitación en las posibilidades de divulgación, publicación o cesión de los mismos, conforme a los principios que informan el proceso de administración de bases de datos”10.

(Negrilla fuera de texto) En este sentido, los deberes y derechos contenidos en la Ley 1581 de 2012, específicamente para el presente caso, es relevante mencionar los deberes que tienen los Responsables de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data. La Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realiza el análisis constitucional de la Ley Estatutaria 1581 de 2012 manifestó: “De conformidad con la jurisprudencia de esta Corporación, dentro de las prerrogativas – contenidos mínimos- que se desprenden de este derecho encontramos por lo menos las siguientes: (i) el derecho de las personas a conocer –acceso- la información que sobre ellas están recogidas en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información;

(ii) el derecho a incluir nuevos datos con el fin de se provea una imagen completa del titular; (iii) el derecho a actualizar la información, es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada y corregida, de tal manera que concuerde con la realidad;

(v) el derecho a excluir información de una base de datos, bien porque se está haciendo un uso indebido de ella, o por simple voluntad del titular –salvo las excepciones previstas en la normativa.” (Negrilla fuera de texto) Al respecto, debe precisar este Despacho, que tal como lo manifiesta la Corte Constitucional, el derecho de hábeas data, otorga la facultad al Titular de los datos personales de exigir el acceso, corrección, adición, actualización y eliminación de su información, por lo que resulta apenas claro, que los Responsables y Encargados del Tratamiento, deben proceder de conformidad, implementando las medidas y procedimientos correctos, dirigidos a la protección de los datos personales y su adecuado Tratamiento, garantizando al Titular de la información el libre acceso y el cumplimiento de las solicitudes que él mismo efectúe respecto de su información. En relación con lo anterior, y frente a la posibilidad que tienen los Titulares de eliminar la información que de ellos reposa en bases de datos, el literal a) del artículo 8 de la Ley 1581 de 2012 establece lo siguiente: “Artículo 8°.

Derecho de los Titulares. El Titular de los datos personales tendrá los siguientes derechos: (…) a) Conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado;

(…)”. Así mismo, el artículo 2.2.2.25.4.2 del Decreto Único Reglamentario 1074 de 2015 dispone lo siguiente: “ARTÍCULO 2.2.2.25.4.6. Revocatoria de la autorización y/o supresión del dato. Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.

La solicitud de supresión de la información y la revocatoria de la 10 Corte Constitucional, sentencia C-748/11, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en base de datos.

Responsable y encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada, vencido término legal respectivo, el responsable y/o el encargado, según el caso, no hubiera eliminado datos personales, Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión los datos personales.

Para estos efectos se aplicará el procedimiento descrito en el artículo de la Ley 1581 de 2012”. Preliminarmente este Despacho encontró que la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) no demostró que eliminó la información personal del Titular cuando él lo solicitó en llamada telefónica, respecto de lo cual la investigada en descargos11 expresó que una vez el Titular solicitó la supresión de su información personal, ello se llevó a cabo, y “(…) conforme a lo ordenado por su honorable despacho, bajo la resolución 41459 del 24 de julio de 2020, CASTOR EDITORES ya había procedido a la eliminación definitiva de nuestro sistema de los datos del señor xxxxxxxxxxxxxxxxxxxxxxxx, (…)”.

Ahora bien, dentro de la imagen 7 relacionada en el análisis del cargo anterior que corresponde a una de las evidencias de gestión de contacto aportadas por la investigada12, se encuentra que la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) llamó el 26 de julio de 2019 al Titular y se registra el siguiente texto: “xxxxxxxxxxxxxxxxxxxxxxxxxxx CONTESTA INDICA QUE NO TIENE NINGUN NUMERO DEL TT QUE LO SAQUEMOS DE LA BASE DE DATOS Y FINALIZA LLAMADA”.

(Subrayado fuera de texto) De acuerdo con ello, se evidencia que el 26 de julio de 2019 el denunciante solicitó la eliminación de su información personal, que para el caso es su número de teléfono celular, de las bases de datos de la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.); sin embargo, la investigada continuó con el Tratamiento de su información personal al contactarlo vía telefónica el 4 de octubre de 2019, como se visualiza en la imagen 8 y en la que para dicha fecha se registra que “(…) xxxxxxxxxxxxxxxxxxxxxxxxxxxx CONTESTA DISGUSTADO Y CUELGA LLAMADA”.

Además, se demuestra que la gestión interna de la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) para proceder a la eliminación de la información personal del Titular inició al tener conocimiento de la denuncia por él presentada ante esta Superintendencia, como se prueba con: (i) Como se señala en la Resolución No. 41549 del 202013 “(…) el 5 de septiembre de 2019 se presentó ante esta Superintendencia una solicitud de protección del derecho fundamental de habeas data, de acuerdo con las normas de protección de datos personales contenidas en la Ley 1581 de 2012”.

(ii) De la imagen 8 relacionada en el cargo anterior, se extrae el siguiente registro del 17 de octubre de 2019 realizado por la investigada dentro de sus procesos internos: “SOLICITO SU AMABLE COLABORACIÓN PARA QUE A PARTIR DE LA FECHA SE ELIMINE TOTALMENTE Y DE TODAS LAS BASES DE DATOS DE LA COMPAÑÍA LOS DATOS PERSONALES Y NÚMEROS DE CONTACTO RELACIONADOS A CONTINUACIÓN Y QUE SE ENCUENTRAN ASOCIADOS A LA CUENTA xxxxx – xxxxxxxxxxxx | xxxxxxxxxxxxxxxxxxxxxxxxxxxx, COMO REFERENCIA: xxxxxxxxxxxxxxxx xxxxxxxxx C.C. xxxxxxxxxxx LO ANTERIOR POR CUANTO EL PETICIONARIO HA DENUNCIADO ANTE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO EL USO DE SUS DATOS PERSONALES SIN AUTORIZACIóN (sic)”.

(Subrayado fuera de texto) Así las cosas, la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) no tomó acción para gestionar la supresión de los datos del Titular con la solicitud por él presentada vía telefónica en llamada del 26 de julio de 2019 sino hasta que él Titular presentó la denuncia ante esta entidad, de manera que la gestión interna en la compañía para adelantar la eliminación de los datos del Titular inició hasta el 17 de octubre de 2019, es decir, aproximadamente, 2 meses y 20 días después de la solicitud del Titular xxxxxxxxxxxxxxxxxxxxxxxx. 11 Obrante en el expediente digital, consecutivo 8, página 3. 12 Expediente digital, consecutivo 8. 13 Obrante en el consecutivo 20, página 5, folio 1.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” En todo caso, es preciso aclarar que con el antedicho registro del 17 de octubre de 2019 se demuestra que la investigada solicitó internamente que se procediera a la eliminación de los datos del Titular de las bases de datos; no obstante, con ello no acredita la fecha de eliminación real y efectiva de la información personal del Titular en sus bases de datos.

Por ello, este Despacho toma que para el 14 de agosto de 2020 la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) ya había eliminado todos los datos personales del Titular, toda vez que en cumplimiento de la orden impartida en la Resolución 41459 del 24 de julio de 2020, la investigada a través de comunicación con radicado 19-202763-00015 del 14 de agosto de 2020: (i) Informó lo siguiente: “Que, conforme a lo ordenado por su honorable despacho, bajo la resolución 41459 del 24 de julio de 2020, se procedió a la eliminación definitiva de nuestro sistema de los datos del señor xxxxxxxxxxxxxxxxxxxxxxxxx, quien figuraba como referencia del señor xxxxxxx xxxxxxxxxxxxxxxxxxxx, quien figura como titular de la cuenta xxxxxx, y solicitud número xxxxxx”14.

(ii) Aportó la siguiente imagen en la que se visualiza que en sus bases de datos no se encuentra la información personal del Titular: Imagen 10. Tomada del expediente digital, consecutivo 20, página 2. Así las cosas, esta Dirección encuentra demostrado que la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) no garantizó el derecho de hábeas data del Titular al desconocer la facultad que le asiste de solicitar la eliminación de información que de él se encuentre en bases de datos y que se proceda oportunamente con ello, por lo cual se evidencia el actuar negligente de la investigada en el cumplimiento del deber previsto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

Esto dará lugar a la imposición de una sanción pecuniaria de acuerdo con lo previsto en el literal a) del artículo 23 de la Ley 1581 de 2012.

DÉCIMO TERCERO: En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir la siguientes instrucción:  La sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) deberá, en la gestión de cobro y/o en el contacto para localizar o comunicarse con los deudores de la compañía, cesar el Tratamiento de datos personales de los Titulares de quienes haya obtenido su información personal a través de referencias personales y/o familiares sin su autorización previa, expresa e informada. 14 Expediente digital, consecutivo 20, página 3.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes”  La sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) deberá eliminar de sus bases de datos la información personal de las Titulares xxxxxxxxxxx y xxxxxxx xxxxxxx, quienes registran como referencias personales del señor xxxxxxxxxxxxxxxxxxxxx xxxxx, por cuanto no cuenta con autorización para el Tratamiento de sus datos personales.

De lo anteriormente ordenado la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO CUARTO: Imposición y graduación de la sanción 14.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, la Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)”.

(Se subraya fuera de texto) El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 15. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la Ley 152 de 1994. En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: 15 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” “ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV”. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibídem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional16 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”17. Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de 16 “Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…)”. (Negrita añadida) 17 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros18. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí solo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”19.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia20. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2321 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la 18 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 19 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 20 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 21Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 14.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”22. De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados23.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que:  La sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) para efectos de contactar al deudor de una obligación contraída con la compañía, llamó al número celular de las referencias familiares y personales informadas por el deudor en el documento Solicitud de Pedido No. xxxxxx, sin contar con la autorización previa, expresa e informada de estas referencias, por lo cual se impondrá una sanción pecuniaria equivalente a TRESCIENTAS 22 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 23 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada.

En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” CUARENTA (340) UNIDADES DE VALOR TRIBUTARIO - UVT24 por la vulneración del deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con los artículos 2.2.2.25.2.2. y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.  La sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) no eliminó la información personal del Titular cuando él solicitó su supresión sino tiempo después de que presentara denuncia ante esta entidad, no garantizando su derecho de hábeas data al no efectuar la eliminación en sus bases de datos en forma oportuna, por lo cual se impondrá una sanción pecuniaria equivalente a TRESCIENTAS CUARENTA (340) UNIDADES DE VALOR TRIBUTARIO - UVT por la vulneración del deber contemplado en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015. 14.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y: (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones.

DÉCIMO QUINTO: CONCLUSIÓN Se procederá a imponer una sanción e impartir una orden administrativa con fundamento en: (i) Se evidenció que la investigada desconoció abiertamente el cumplimiento de los deberes previstos en: (i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con los artículos 2.2.2.25.2.2. y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015 y;

(ii) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015. (ii) Se probó que un tercero suministró la información del Titular como referencia personal a la investigada, la cual reconoció que llamó al Titular con la finalidad de contactar al deudor ante la mora en el pago y la imposibilidad de comunicarse con él. (iii) Se demostró que la investigada sometió a Tratamiento el número de teléfono celular del Titular al recolectarlo en calidad de referencia personal, almacenarlo en sus bases de datos y usarlo para contactar al Titular con la finalidad de localizar al deudor.

(iv) Para el caso era necesario el consentimiento previo, expreso e informado del Titular para el Tratamiento de sus datos, con la finalidad de contactarlo como puente de comunicación con el deudor, no siendo aplicable ninguna de las excepciones del artículo 10 de la Ley 1581 de 2012 para que no se hubiese requerido la autorización. (v) Se acreditó que el Titular solicitó a la investigada la eliminación de sus datos personales de sus bases de datos el 26 de julio de 2019, no garantizando la investigada su derecho de hábeas data al abstenerse de la supresión y usando su número de teléfono celular para contactarlo como se evidencia en registro de llamada del 4 de octubre de 2019.

(vi) Se probó que la investigada inició el 17 de octubre de 2019 las gestiones internas para que se procediera a la eliminación de los datos personales del Titular; sin embargo, dichas gestiones no son prueba de la supresión real y efectiva de los datos del Titular en sus bases de datos, por lo cual se entiende que para el 14 de agosto de 2020 dando cumplimento a lo ordenado 24 Mediante Resolución 111 del 11 de diciembre de 2020 se fijó en $36.308 pesos el valor de la Unidad de Valor Tributario - UVT, que regirá durante el año 2021.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” en la Resolución No. 41459 de 2020 la investigada ya había suprimido la información personal del Titular. Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer la sanción correspondiente a VEINTICUATRO MILLONES SEISCIENTOS OCHENTA Y NUEVE MIL CUATROCIENTOS CUARENTA PESOS M/CTE ($ 24.689.440), equivalente a SEISCIENTAS OCHENTA (680) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación de (i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con los artículos 2.2.2.25.2.2. y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015 y;

(ii) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, a la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.), identificada con NIT 900.838.719-9.

DÉCIMO SEXTO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.), identificada con NIT 900.838.7199, esta Dirección ha concedido el acceso al presente expediente digital a esta 25, por intermedio de su representante legal principal vinculado al correo electrónico de notificación judicial de la sociedad, subgerencia@mysummitacademy.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (571) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.), identificada con NIT 900.838.719-9, de VEINTICUATRO MILLONES SEISCIENTOS OCHENTA Y NUEVE MIL CUATROCIENTOS CUARENTA PESOS M/CTE ($ 24.689.440), equivalente a SEISCIENTAS OCHENTA (680) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación de (i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con los artículos 2.2.2.25.2.2. y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015 y;

(ii) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual. 25 El acceso al expediente digital se informó mediante la comunicación con radicado 20-372071-00016 del 30 de julio de 2021. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes”

ARTÍCULO SEGUNDO: ORDENAR a la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.), identificada con NIT 900.838.719-9, que dentro del término de los QUINCE (15) DÍAS HÁBILES siguientes a la ejecutoria de la presente decisión, dé cumplimiento a las siguientes instrucciones:  La sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) deberá, en la gestión de cobro y/o en el contacto para localizar o comunicarse con los deudores de la compañía, cesar el Tratamiento de datos personales de los Titulares de quienes haya obtenido su información personal a través de referencias personales y/o familiares sin su autorización previa, expresa e informada.  La sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) deberá eliminar de sus bases de datos la información personal de las Titulares xxxxxxxxxxxx y xxxxxxxxx xxxxxxx, quienes registran como referencias personales del señor xxxxxxxxxxxxxxxxxxxxx xxxxx, por cuanto no cuenta con autorización para el Tratamiento de sus datos personales.

PARÁGRAFO PRIMERO: La sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.), identificada con NIT 900.838.719-9, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los CINCO (5) DÍAS hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.

Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la entidad sin ánimo de lucro.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.), identificada con NIT 900.838.719-9, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.), identificada con NIT 900.838.719-9, a través de su representante legal, entregándole copia de esta e informándole que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO CUARTO: COMUNICAR a al señor xxxxxxxxxxxxxxxxxxxxxxxxxx, identificado con cédula de ciudadanía No. xxxxxxxxxxxxx, el contenido de la presente decisión.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá, de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 30 NOVIEMBRE 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR SALAZAR MUÑOZ MUÑOZ Fecha: 2021.11.30 16:32:47 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LACA Revisó: AMVJ Aprobó: CESM “Por la cual se impone una sanción y se imparten unas órdenes” NOTIFICACIÓN: Empresa: CASTOR EDITORES S.A.S. (Hoy: SUMMIT ACADEMY S.A.S.) Identificación: NIT 900.838.719-9 Representante Legal: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Identificación: xxxxxxxxxxxxxxxxxx Dirección: Carrera 37 # 5 B3 - 85 Ciudad: Cali, Valle del Cauca Correo electrónico: subgerencia@mysummitacademy.com COMUNICACIÓN: Señor: xxxxxxxxxxxxxxxxxxxxxxxx Identificación: xxxxxxxxxxxxxxxxxxxxx Dirección: xxxxxxxxxxxxxxxxxxx Ciudad: xxxxxx Correo electrónico: xxxxxxxxxxxxxxxxxxxxxxxx HOJA Nº