Resolución sancionatoria N° 49350 de 2022

(28 JULIO 2022) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación 17-328842 VERSIÓN ÚNICA EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, mediante Resolución N° 83874 del 30 de diciembre de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la sociedad STARK GYM S.A.S, identificada con Nit. 900.965.267-5, de SETENTA Y NUEVE MILLONES OCHOCIENTOS SETENTA Y SIETE MIL SEISCIENTOS PESOS M/CTE ($ 79.877.600), equivalente a DOS MIL DOSCIENTAS UNIDADES DE VALOR TRIBUTARIO VIGENTES (2200 UVT), por el incumplimiento de los deberos establecidos en: (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, como también con el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015.

(ii) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la misma ley. (iii) El literal d) del artículo 17 de la Ley 1581 del 2012, en concordancia con lo literales g) y h) del artículo 4 de la misma Ley. De igual forma se impartieron las siguientes órdenes: (i) La sociedad STARK GYM S.A.S deberá documentar e implementar un procedimiento para recolectar la autorización de los Titulares de los datos personales e informarles la finalidad o finalidades de su tratamiento y los demás datos a que se refiere el artículo 12 de la Ley 1581 del 2012 a más tardar al momento de recolectarlos y para todos sus titulares (afiliado, trabajadores proveedores, etc.).

(ii) Documentar e implementar las siguientes políticas: a) Una POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN, mediante la cual se implementen medidas técnicas, administrativas y humanas para asegurar la confidencialidad, integridad y disponibilidad de la información de carácter personal que trata el responsable. b) Ajustar la política de tratamiento de la información de conformidad a los requisitos mínimos exigidos mediante le artículo 2.2.2.25.3.1. del Decreto 1074 de 2015. c) Implementar las medidas necesarias para informar las finalidades y los requisitos dispuestos en el artículo 12 de la Ley 1581 de 2012 a todos los titulares que ingresen a las instalaciones de la sociedad, que se recolectaran datos personales en virtud del sistema de videovigilancia. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” (iii) Implementar las medidas técnicas, administrativas y humanas para asegurar la confidencialidad, integridad y disponibilidad de la información en los dispositivos o equipos d computo donde se alojen bases de datos con información personal de los titulares.

SEGUNDO: Que la Resolución N° 83874 del 30 de diciembre de 2021 fue notificada a la sociedad mediante aviso 388 del 11 de enero de 2022 y a su apoderado de forma electrónica el 4 de enero de 2022, según consta en certificación de la Secretaría General Ad-hoc, visible en el expediente con radicado N°17-328842- -30 del 20 de enero de 2022.

TERCERO: Que mediante comunicación recibida el 24 de enero de 2021, con número de radicado 17-328842- -30, la sociedad STARK GYM S.A.S, a través de su representante legal interpuso recurso de reposición y en subsidio de apelación contra la resolución aludida, manifestando lo siguiente: 3.1. Respecto a la perdida de competencia de la facultad sancionatoria.

Manifestó que, la facultad sancionatoria de este Despacho caducó de acuerdo con lo dispuesto en el artículo 52 del CPACA, toda vez que indicó que “(…) la valoración respecto de la ocurrencia del fenómeno de la caducidad debe realizarse en concreto respecto del marco temporal en el que cada una de estas conductas, hechos omisiones se haya desplegado, siendo claro que, en virtud de lo anterior, en este caso el Despacho habría perdido sus facultades sancionatorias en relación con varias de ellas”.

Respecto del deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, la investigada indicó que “(…)se trata de un hecho concreto acaecido en un periodo de tiempo igualmente específico. Para el presente caso, según el reporte del 10 de noviembre de 2017 de INCOCREDITO, los incidentes de seguridad descritos ocurrieron con varios comercios que usaban la pasarela EN LÍNEA PAGOS, en el periodo comprendido entre el 1 de enero al 31 de agosto de 2017”.

Además, señaló que no existe en el expediente hechos distintos al incidente de seguridad antes señalado, y que por tal motivo la esta Dirección habría perdido la facultad sancionatoria toda vez que la conducta reprochada finalizó el 25 de septiembre de 2017. De otra parte, con relación al deber de conservar y solicitar copia de la respectiva autorización otorgada por el Titular, la sociedad recurrente manifestó que este Despacho se basó en conductas distintas a las referidas en la resolución mediante la cual se formulan cargos y se inicia la presente investigación, pues indicó que la sociedad STARK GYM S.A.S. que: “(…) el Acto que impone la sanción incluye dentro de sus consideraciones, no sólo las conductas ya aceptadas por mi Representada, sino la valoración de unos aspectos adicionales que, de hecho, lo que evidencian es que mi Poderdante ha desplegado acciones orientadas justamente a subsanar los aspectos que dieron lugar a que se considerara que estaba infringiendo lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, razón por la cual NO pueden ser utilizados en esta actuación para generar una especie de prolongación de las facultades sancionatorias de la SIC.

En efecto, una cosa es la imputación de cargos en la que se cuestiona la omisión en el cumplimiento del deber de solicitar copia de la respectiva autorización otorgada por el Titular y otra muy diferente afirmar, como lo hace el Despacho en el Acto sancionador, que la manera en que ahora el investigado está adelantando el cumplimiento de ese deber presenta algunas falencias u oportunidades Se trata de conductas diferentes pues en una se cuestionaba la omisión en el cumplimiento del deber y en la otra lo que se afirma es que la forma en la que el investigado está cumpliendo el deber presenta algunas deficiencias.

En tal sentido, el marco temporal de una y otra son sustancialmente diferentes(…) Por su parte el acto sancionador inicia por explicar que mi Representada aceptó la comisión de tal conducta, con lo cual es esa precisamente la conducta que debió ser analizada por la Entidad y lo cierto es que la misma, al tenor de lo que se encuentra acreditado en el expediente, finalizó durante el mismo mes de septiembre de 2017.

Tan es así, que el análisis del Despacho en el Acto sancionador hace referencia es a unas falencias en la obtención de la copia de la autorización expresa que no es lo mismo que la omisión referida en la formulación de cargos”. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” Ahora bien, acerca del deber de informar a los titulares la finalidad del tratamiento, y de adoptar una política de tratamiento de la información la sociedad investigada señaló nuevamente que este Despacho se basó en consideraciones distintas a las acusadas en el acto administrativo que da inició a la presente investigación, puesto que los hechos que dieron origen finalizaron en septiembre de 2017 y por lo tanto “(…) el análisis del Despacho ya no hace referencia a una omisión sino a unas falencias en el cumplimiento del deber”.

Finalmente, la sancionada manifestó “(…) el análisis del Despacho podría haber planteado que algunas de las conductas serían valoradas como de tracto sucesivo. Sin embargo, lo cierto es que, a la luz de la evidencia aportada NO todas las conductas analizadas en el expediente de la referencia podrían ser objeto de tal afirmación, tal como ocurre en el caso de lo relacionado con el incidente de seguridad o vulnerabilidad ocurrida en la plataforma de pagos durante el año 2017, la cual, como se encuentra demostrado CESÓ en dicho año y, en esa medida, no puede ser prolongada de manera ficticia en el tiempo para efectos de sancionar a mi Representada por la misma”. 3.2.

Respecto al principio de necesidad de la sanción. Trayendo a colación un pronunciamiento del Consejo de Estado, la sociedad STARK GYM S.A.S. manifestó que este Despacho debe valorar el criterio de necesidad de la imposición de la sanción puesto que las decisiones de la administración deben estar enmarcadas dentro de los “(…) criterios de proporcionalidad y razonabilidad que legitimen el poder sancionador.

Que, por tanto, no todo error origina sanción, y que, si se genera, la sanción debe ser graduada proporcionalmente (…)”. De esta manera la investigada señala que la investigada no debería tener ninguna sanción toda vez que demostró dentro de la presente investigación lo siguiente:  Que el incidente de seguridad no ocurrió dentro de los sistemas de la investigada, sino directamente en la pasarela de pagos.  Que la investigada, luego del incidente procedió inmediatamente a realizar el cambio de la pasarela de pagos y “(…) desde hace ya casi dos (2) años, utiliza la plataforma denominada PayU”.  Que “(…) que el informe entregado a esa Dirección por parte del LIF, calificó el sitio web de mi Representada como “libre de amenazas”, después de haber hecho una revisión con 65 aplicativos analizadores diferentes, encontrando que el sistema contaba con las medidas de protección necesarias para garantizar la integridad de la información (…)”  Que “(…) la mayoría de los contratos de los empleados -muchos de ellos aportados en el momento de la inspección- contaban con cláusulas de confidencialidad en el manejo de la información y actualmente se han implementado y se están implementando estas cláusulas en todos los contratos del personal”.  Que la investigada reportó a tiempo el incidente de seguridad ante la superintendencia de industria y comercio.  Que “(…) ocasión de la visita efectuada en septiembre del año 2017, y en virtud del mentado incidente, mi Representada adoptó toda una serie de medidas de seguridad físicas y en materia de software, que se encuentran documentadas en el expediente, para efectos de robustecer todos los mecanismos de protección de la información”,. y para el efecto, señaló que dichas afirmaciones se comprueban con el informe IQ INFORMATION QUALITY, que obra en el expediente.  Que la sociedad STARK GYM S.A.S. contaba en su momento con una política de privacidad y protección de datos la cual ha sido actualizada y se encuentra en la página web. 3.3 Respecto a los principios de proporcionalidad y razonabilidad en la imposición de la sanción. La sociedad STARK GYM S.A.S. consideró que la sanción impuesta es desproporcionada y reiteran que la afectación de los titulares no superó el 3% de su base de usuarios, para la época en que ocurrieron los hechos ya habían implementado medidas para la protección de datos personales, y adicionalmente no obtuvieron ningún beneficio económico.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” Además, agregó que, de acuerdo con el informe realizado por el contador, la compañía presentó una reducción de ingresos resultado de los incidentes ocurridos en el año 2017.

De igual manera, en dicho informe se indicó “(…) las cifras que representan la afectación sufrida por mi Poderdante con ocasión de la Pandemia evidenciando una afectación de ingresos, resultado por pandemia COVID19 año 2020 comparado con 2019 en un -67% (…)”. Finalmente, señaló que: “(…) Mi Representada no tiene antecedentes relacionados con sanciones asociadas a este tipo de conductas y esto NO fue considerado para efectos de la tasación de la sanción. - STARK GYM ha prestado a la SIC toda la colaboración necesaria para el desarrollo de sus labores, fue la primera en poner en conocimiento de la administración el incidente y ha atendido todos los llamados de la administración con absoluta diligencia. - Las infracciones reconocidas no son producto de omisiones dolosas o gravemente culposas, frente a los parámetros de la norma aplicable y desde la época del incidente tan solo se han presentado 8 quejas relacionadas con temas de pagos, las cuales se han atendido en un 100% de manera satisfactoria para los clientes, sin que se haya detectado algún incidente de percance asociado a la seguridad de la información, y que constituyen apenas el 0,08% del universo de transacciones que realiza mi Representada en el ejercicio de su negocio”. 3.4.

Solicitan se revoque la Resolución 83874 del 30 de diciembre de 2021.

CUARTO: Que, el procedimiento, oportunidad y requisitos para la interposición del recurso de reposición se encuentra contemplado en los artículos 74 al 82 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, los cuales disponen lo siguiente: “Artículo 74. Recursos contra los activos administrativos. Por regla general, contra los actos definitivos procederán los siguientes recursos. 1.

El de reposición, ante quien expidió la decisión para que la aclare, modifique, adicione o revoque…” 2. El de apelación, para ante el inmediato superior administrativo o funcional con el mismo propósito. No habrá apelación de las decisiones de los Ministros, Directores de Departamento Administrativo, superintendentes y representantes legales de las entidades descentralizadas ni de los directores u organismos superiores de los órganos constitucionales autónomos.

Tampoco serán apelables aquellas decisiones proferidas por los representantes legales y jefes superiores de las entidades y organismos del nivel territorial. “Artículo 76. Oportunidad y presentación. Los recursos de reposición y apelación deberán interponerse por escrito en la diligencia de notificación personal, o dentro de los diez (10) días siguientes a ella, o a la notificación por a viso, o al vencimiento del término de publicación, según el caso.

Los recursos contra los actos presuntos podrán interponerse en cualquier tiempo, salvo en el evento en que se haya acudido ante el juez…” “Artículo 77 Requisitos. Por regla general los recursos se interpondrán por escrito que no requiere de presentación personal si quien lo presenta ha sido reconocido en la actuación. Igualmente, podrán presentarse por medios electrónicos.

Los recursos deberán reunir, además, los siguientes requisitos: 1. Interponerse dentro del plazo legal, por el interesado o su representante o apoderado debidamente constituido. 2. Sustentarse con expresión concreta de los motivos de inconformidad. 3. Solicitar y aportar las pruebas que se pretende hacer valer. 4. Indicar el nombre y la dirección del recurrente, así como la dirección electrónica si desea “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” ser notificado por este medio.(…)”1 QUINTO: Que, con base en las citadas normas, este Despacho concluye que se encuentran reunidos los requisitos necesarios para estudiar de fondo el recurso de reposición recibido para el caso en concreto previstos en el artículo 77 de la Ley 1437 de 2011, por cuanto: 5.1 El recurso fue interpuesto por STARK GYM S.A.S. dentro del término legal en virtud de lo dispuesto en el artículo 76 de la Ley 1437 de 2011, a través de correo electrónico del 24 de enero de 2022 con radicación 17-328842—00031 y la sociedad recurrente fue notificada mediante aviso N° 388 del 11 de enero de 2022, conforme a la certificación expedida por la Secretaría General de esta Superintendencia bajo radicación 17-328842—00030 del 20 de enero de 2022. 5.2.

El mencionado recurso sustentó los motivos de inconformidad en contra del acto administrativo impugnado que se señalan en el numeral TERCERO del presente acto. 5.3. De igual manera, la sociedad recurrente aportó pruebas que pretenden sean valoradas en esta instancia. 5.4. Por último, la recurrente en su escrito indicó con claridad sus datos de identificación y la dirección en donde recibirá notificaciones.

SEXTO: Competencia de la Superintendencia de Industria y Comercio El artículo 17 de la Ley 1266 de 2008, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley y sus normas complementarias.

SÉPTIMO: ANÁLISIS DEL CASO 7.1 Respecto a la perdida de competencia de la facultad sancionatoria El recurrente argumentó que la facultad sancionatoria de este Despacho caducó de acuerdo con lo dispuesto en el artículo 52 del CPACA, toda vez que “(…)la ocurrencia del fenómeno de la caducidad debe realizarse en concreto respecto del marco temporal en el que cada una de estas conductas, hechos omisiones se haya desplegado, siendo claro que, en virtud de lo anterior, en este caso el Despacho habría perdido sus facultades sancionatorias en relación con varias de ellas”.

Con base en lo anterior, es pertinente citar el artículo 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, el cual dispone lo siguiente: “ARTÍCULO

52. CADUCIDAD DE LA FACULTAD SANCIONATORIA. Salvo lo dispuesto en leyes especiales, la facultad que tienen las autoridades para imponer sanciones, caduca a los tres (3) años de ocurrido el hecho, la conducta u omisión que pudiere ocasionarlas, término dentro del cual el acto administrativo que impone la sanción debe haber sido expedido y notificado.

Dicho acto sancionatorio es diferente de los actos que resuelven los recursos, los cuales deberán ser decididos, so pena de pérdida de competencia, en un término de un (1) año contado a partir de su debida y oportuna interposición. (…) Cuando se trate de un hecho o conducta continuada, este término se contará desde el día siguiente a aquel en que cesó la infracción y/o la ejecución”.

De igual manera, es relevante traer a colación apartes de un pronunciamiento del Consejo de Estado de la materia2: “(…) "En relación con el primer extremo, el artículo 38 del Decreto 01 de 1984, aplicable a la actuación objeto de estudio, establece que la caducidad se configura al cabo de tres (3) años de haberse producido el acto que pueda ocasionar la sanción, esto es la ejecución de la conducta contraria al ordenamiento superior y que constituya falta sancionable de acuerdo con el principio de legalidad.

Ley 1437 de 2011 “Por la cual se expide el Código de Procedimiento Administrativo y de lo Contencioso Administrativo” Consejo de Estado. Sección Quinta. Sentencia del 08 de febrero de 2018. Exp. 25000232400020080004502. M.P. Rocío Araujo Oñate. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” Lo anterior no representa mayor dificultad en el evento de investigarse una única conducta de ejecución instantánea, esto, aquella que se consuma en el momento mismo de su realización, como tampoco en aquellos casos en que se trate de una conducta permanente o continuada, en relación con la cual el Consejo de Estado ha sostenido que el término de caducidad para imponer la sanción "comienza a contar se a partir de la fecha en la cual cesa dicha conducta.

De allí que en los demás casos, dicho plazo se contabilizará en la forma establecida por el articulo 38 del CCA, esto es, desde que el hecho se produce". En relación con la conducta reiterada, consistente en la incursión en varias actuaciones homogéneas, esto es, la repetición de un mismo comportamiento contrario a la norma, la caducidad opera en forma independiente y autónoma en relación con cada una de las conductas y la contabilización del término debe realizarse a partir del momento en que cada hecho se produce, sin que sea dable entender la reiteración como un hecho único que permita tomar como extremo inicial el último de los actos que dan lugar al adelantamiento del procedimiento sancionatorio" (Resaltado fuera del texto) De acuerdo con lo expuesto, es claro que, si las conductas por las cuales se inicia una investigación administrativa son continuadas, la caducidad de la facultad sancionatoria se empieza a contar desde la fecha en que cesa, en este caso las conductas que originaron los incumplimientos al Régimen General de Protección de datos personales.

Ahora bien, la recurrente afirma que la conducta que originó la presente investigación solo radica en el incidente de seguridad ocasionado por la clonación de las tarjetas de crédito de algunos titulares, al parecer en la pasarela de pagos, y que dicha conducta cesó el 25 de septiembre de 2017, fecha en la cual la sociedad STARK GYM S.A.S. realizó el cambió de la pasarela de pagos.

Al respecto, es necesario indicar que, si bien es cierto que por motivo del incidente de seguridad antes mencionado, esta Superintendencia decide iniciar una indagación preliminar y con ello realizar una visita de inspección para la verificación del cumplimiento del Régimen General de Protección de Datos Personales adoptado por la investigada, esto no quiere decir que dicho incidente sea el único hecho por el cual se inicia la presente investigación administrativa, pues tal y como se indicó en la Resolución N° 73553 del 13 de diciembre de 2019, en la diligencia de inspección se evidenciaron una serie de conductas que permitieron a este Despacho determinar el presunto incumplimiento de la sociedad a los deberes que ostenta en su calidad de Responsable de la información. por lo tanto, continuación serán analizadas las conductas de cada uno de los cargos. 7.1.1 Deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento Con relación a la sanción impuesta por este Despacho por el incumplimiento de la sociedad STARK GYM S.A.S. al deber contemplado en el literal d) del artículo 17 de la Ley 1581 de 2012, la investigada señaló que “(…)se trata de un hecho concreto acaecido en un periodo de tiempo igualmente específico.

Para el presente caso, según el reporte del 10 de noviembre de 2017 de INCOCREDITO, los incidentes de seguridad descritos ocurrieron con varios comercios que usaban la pasarela EN LÍNEA PAGOS, en el periodo comprendido entre el 1 de enero al 31 de agosto de 2017”. Además, señaló que no existe en el expediente hechos distintos al incidente de seguridad antes señalado, y que por tal motivo la esta Dirección habría perdido la facultad sancionatoria, toda vez que la conducta reprochada finalizó el 25 de septiembre de 2017.

Al respecto, es pertinente citar los fundamentos de hecho señalados por este Despacho dentro de la Resolución N° 73553 del 13 de diciembre de 2019 evidenciados, para formular el cargo Por la Presunta vulneración al deber del Responsable del Tratamiento contemplado en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales g) y h) del artículo 4 de la norma en mención. “Al respecto este Despacho determinó preliminarmente, que la sociedad investigada no conservó la información personal de los titulares con la debida seguridad para impedir su adulteración, perdida, consulta, uso o acceso no autorizado o fraudulento, puesto que no solo puso en peligro la información de los titulares, si no que permitió que se accediera y afectara gravemente los derechos de cada uno de los titulares.

Pues tal y como lo informó la misma investigada, se vieron afectados cerca de 150 titulare, puesto que por la falta de controles de seguridad mínimos y necesarios que debieron ser implementados por la sociedad, presuntamente personas ajenas tuvieron acceso a la información de las tarjetas “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” de crédito permitiendo con ello no solo la afectación del derecho de habeas data de los usuarios, si no el robo de su dinero.

De esta manera, se pudo evidenciar, que la falta de controles de seguridad en toda la organización, empezando por (i) la ausencia de cláusulas de confidencialidad del personal administrativo de la compañía, (ii) los pocos controles tecnológicos implementados en los equipos de cómputo donde se recolecta información, (iii) implementar un sistema de videovigilancia sin tomar las medidas de seguridad adecuadas que eviten cualquier tipo de divulgación o acceso no autorizado a la información recolectada, (iv) la puesta en funcionamiento de un sistema de recolección de información sin certificación de la pasarela de pago, y (v) la falta de una política de seguridad y de prevención que gire alrededor de la seguridad de la información, le permiten considerar preliminarmente a este Despacho que la sociedad investigada incumplió el deber antes citado”.

Tal como se puede observar, esta Dirección, no solo inició la investigación administrativa en virtud del incidente de seguridad ocurrido el 25 de agosto de 2017 por motivo de la clonación de las tarjetas de crédito, pues una vez realizada la visita de inspección, esta Dirección evidenció una serie de conductas que no solo ponían en riesgo la seguridad de la información de los titulares afectados con la clonación de sus tarjetas, sino a todos los datos personales que la investigada tenía en su custodia, puesto que se encontró: a) Ausencia de cláusulas de confidencialidad del personal administrativo de la compañía. En la Visita de inspección realizada por esta Superintendencia en las instalaciones de la sociedad STARK GYM S.A.S., se solicitaron Veinte (20) copias de contratos de empelados que tenían acceso a la información personal de los clientes, de los cuales solo se observó una clausula de confidencialidad en los contratos de los Asesores Comerciales.

Sin embargo, no se evidenció lo mismo en los contratos celebrados con la (i) Directora de Talentos y Bienestar, (i) Directora de Mercadeo; (ii) Gerente administrativo y financiero y; (iii) Gerente de Operaciones. Ahora bien, contrario a lo indicado por la sociedad investigada en el recurso de reposición, esta conducta fue claramente identificada en el numeral 4.3.4 de la Resolución N° 73553 del 13 de diciembre de 2019.

Por tal motivo, dentro del desarrollo de la presente investigación, este Despacho valoró el acervo probatorio para identificar que la conducta antes mencionada, que claramente ponía en riesgo la seguridad de la información de los datos personales; tal como lo reconoció la misma investigad en su escrito de Descargos, había cesado. No obstante, y pese a los hallazgos que fueron evidenciados y puestos en conocimiento a la sociedad STARK GYM S.A.S., en la diligencia de inspección llevada a cabo los días 14 y 15 de septiembre de 2017, la investigada dentro de su oportunidad legal para demostrar que ya había tomado las medidas necesarias para evitar que dicha conducta siguiera poniendo en riesgo los datos personales de los titulares, solo aportó: (i) Un modelo de cláusula de confidencialidad en contrato de trabajo;

(ii) Un modelo de contrato individual de trabajo a término indefinido aparentemente celebrado con CCR, como entrenador de planta de medio tiempo, celebrado el día 14 de mayo de 2019. No obstante, no se encuentra firmado por el trabajador ni por el empleador. (iii) Un modelo de contrato individual de trabajo a término fijo inferior a un año, aparentemente celebrado con AMAC, como Auxiliar de Talento Humano, celebrado el día 12 de agosto de 2019.

No obstante, no se encuentra firmado por el trabajador ni por el empleador. Pruebas que no le permitieron a este Despacho concluir que la conducta reprochada a la investigada había sido subsanada, pues tal y como se señaló en la formulación de cargos y como se les puso de presente dentro de la visita de inspección al representante legal de la sociedad STARK GYM S.A.S., la falta de las cláusulas de confidencialidad se evidenciaron directamente en los contratos celebrados con la (i) Directora de Talentos y Bienestar, (i) Directora de Mercadeo;

(ii) Gerente administrativo y financiero y; (iii) Gerente de Operaciones, contratos y/o clausulas, que no fueron aportadas durante la presente investigación como tampoco dentro del recurso de reposición. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” Así las cosas, y pese a que la investigada allega unos modelos de contratos y de cláusula de confidencialidad, dichos documentos no son las pruebas idóneas para determinar las acciones inmediatas tomadas por la sociedad, pues la conducta no solo fue incumplida al evidenciarse dentro de la visita de inspección la falta de la medida de seguridad, sino que pese a ello la investigada ni siquiera pudo demostrar que las personas que ostentan los cargos antes enunciados hubiesen firmado el compromiso de confidencialidad frente a la información personal de los titular.

Por ende, este Despacho no perdió la facultad sancionatoria, porque claramente se está al frente de una conducta continuada que pone en riesgo los datos personales de los titulares y que pueden ser objeto de adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Por lo anterior, es preciso señalar lo dispuesto en el artículo 4 de la Ley 1581 de 2012 respecto al principio de confidencialidad, pues indica que todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento (…), principio que fue incumplido por la sociedad, pues la falta de la adopción del compromiso de confidencialidad de STARK GYM S.A.S., con algunos de sus trabajadores que tienen acceso; sin ningún tipo de restricción a los datos personales de los titulares de la compañía, no es una conducta de poca monta, es una violación a un principio que claramente pone en riesgo la seguridad de la información, y dicha sociedad no puede excusarse argumentando que la mayoría de sus contratos si tenían la cláusula de confidencialidad, puesto que la implementación del Régimen de Protección de Datos Personales debe ser integral y es de obligatorio cumplimiento, pues de la debida aplicación de este, depende la protección de nada más ni nada menos que de un derecho fundamental. b) Pocos controles tecnológicos implementados en los equipos de cómputo donde se recolecta información. En el numeral 4.3.3. de la Resolución N° 73553 del 13 de diciembre de 2019, mediante la cual se inicia la presente investigación administrativa y se formulan cargos, se indicó: “4.3.3 Seguridad de los puestos de trabajo En el desarrollo de la diligencia los funcionaros de la Superintendencia de Industria y Comercio, realizaron la inspección de varios de los equipos asignados a los trabajadores de la compañía, de los cuales se puede concluir lo siguiente:  Directora de Talento Humano: No tiene configurado ningún control de acceso al usuario para acceder al equipo de cómputo.

Así mismo, se observó que no el usuario no tiene ninguna restricción para el uso de puertos USB y toma de impresiones de pantalla.  Asesores de la sede inspeccionada: (i) Se encuentran habilitados los puertos USB; (ii) se puede crear copias de documentos y almacenar localmente; (iii) no se encuentra restricción para navegar en cualquier página web;

(iV) los perfiles de uso no presentaron ninguna suspensión luego de 5 minutos de inactividad”. De acuerdo con lo expuesto, dentro de la resolución N° 83874 del 30 de diciembre de 2021, se realizó la debida valoración de las pruebas que llevaron a concluir lo antes mencionado, con las imágenes tomadas en la visita de inspección realizada en las instalaciones de la sociedad investigada.

Ahora bien, frente a las conductas antes evidenciadas, y claramente identificadas en la formulación de cargos, la sociedad investigada solo se limitó a aceptar los cargos impuestos, pues toda su argumentación se desarrolló en torno a las medidas adoptadas en virtud del incidente de seguridad referente a la clonación de las tarjetas de crédito de algunos de sus clientes que tenían autorizado el débito automático.

Igualmente señala que: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” No obstante, dentro de los informes antes mencionados, si bien se observan las medidas adoptadas en virtud del incidente de seguridad, la investigada no allegó dentro de la actuación prueba alguna que le permitiera determinar a este Despacho que se adoptaron las medidas necesarias para robustecer la seguridad de los equipos de cómputo que presentaron hallazgos dentro de la visita de inspección, de los cuales cobra mayor relevancia, que uno de los equipos que no tenía medidas mínimas de seguridad para evitar la divulgación de la información, era utilizado por la Directora de Talento y Bienestar, quien ni siquiera contaba con una cláusula de confidencialidad, y la recurrente pretendía que el Despacho pasara por alto dichas conductas.

Como se ha mencionado en el transcurso de este acto administrativo, la sociedad STARK GYM S.A.S. debe comprender que la investigación aquí adelantada no solo gira entorno a los datos que se pusieron en peligro con el incidente de seguridad, puesto que se pudo demostrar dentro de la presente actuación, que la sociedad tenía falencias en la implementación de las medidas de seguridad necesarias para la protección de todos los datos personales alojados en sus bases de datos.

Ahora bien, retomando el punto de la perdida de facultad sancionatoria de esta Superintendencia, es claro que la sociedad investigada no demostró dentro de la presente investigación haber tomado las medias mínimas de seguridad en los equipos de cómputo inspeccionados, ni siquiera mencionó haber implementado algún tipo de medida para la revisión de todos los dispositivos que tuvieran acceso a la información personal de los titulares.

Además, solo allegó un documento denominado POLÍTICA DE PRIVACIDAD Y PROTECCIÓN DE DATOS PERSONALES, en el cual, no hace una sola mención a acciones dirigidas a la prevención de cualquier fuga de información por medio de los computadores asignados a sus trabajadores. Por ende, esta conducta no puede entenderse como una ejecución instantánea a partir del 25 de septiembre de 2017, como lo indica la recurrente, puesto que ni siquiera al momento de la formulación de cargos pudo demostrar haber implementado algún tipo de control que pusiera fin al riesgo de adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de la información personal de los titulares. c) Implementar un sistema de videovigilancia sin tomar las medidas de seguridad adecuadas que eviten cualquier tipo de divulgación o acceso no autorizado a la información recolectada En el numeral 4.3.2. de la Resolución N° 73553 del 13 de diciembre de 2019, mediante la cual se inicia la presente investigación administrativa y se formulan cargos, se indicó: “Dentro de la diligencia de inspección realizad a la sede ubicada en la carrera 7 N° 43-53 de la ciudad de Bogotá, se evidenció que el establecimiento cuenta con un total de 13 cámaras de seguridad, las cuales son contraladas y monitoreadas por medio de la aplicación denominada “¡VMS-4500” por la administradora de la sede, por medio de un aplicativo instalado en su teléfono celular de uso personal.

(…) Luego de realizar la inspección al teléfono celular de la administradora de la sede, se pudo evidenciar que bajo dicha aplicación se controlan todas las cámaras de la sede, que se pueden realizar impresiones de pantalla, almacenar videos e imágenes en el mismo aplicativo, sin que cuente con cualquier tipo de restricción (…)”. Ahora Bien, dentro de la resolución N° 83874 del 30 de diciembre de 2021, mediante la cual se impone una sanción y se imparten órdenes administrativas a la sociedad STARK GYM S.A.S., se determinó que: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” “De otra parte, y respecto a las medidas adoptadas por la sociedad si ben pudo haber adoptado medidas de seguridad respecto al desarrollo del débito automático, en el escrito de Descargos ni en los alegatos de conclusión, la sociedad investigada allego evidencias de la adaptación del sistema de video vigilancia, que como se indicó líneas a tras era directamente controlado en el teléfono personal de una funcionaria de la compañía sin ningún tipo de restricción. De igual manera no aportó los documentos que soporten la adopción de medidas de control respecto de los equipos de cómputo inspeccionados junto con la política adaptada a los demás equipos”.

De acuerdo con lo expuesto, y a igual que lo sucedido respecto a los hallazgos de los equipos de cómputo, la sociedad investigada no allegó pruebas que permitieran a este Despacho determinar que los datos personales recolectados mediante el sistema de video vigilancia del establecimiento ubicado en la carrera 7 N° 43-53 de la ciudad de Bogotá, dejaran de estar en riesgo de adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Puesto que en el documento denominado POLÍTICA DE PRIVACIDAD Y PROTECCIÓN DE DATOS PERSONALES, quiso implementar la política de tratamiento de la información que esta dirigida a los titulares, por lo cual allí indicó cual sería la finalidad de la recolección de dichos datos, pero no aportó un documento en el cual se establezca una política interna del manejo de dicha información al interior de la organización, como tampoco, indicó si el control de la video vigilancia seguía en el teléfono personal de su funcionaria y si al respecto tomo medidas para evitar un tratamiento indebido de dicha información. Así las cosas, frente a dicha conducta la investigada no demostró que el incumplimiento al deber hubiese cesado el 25 de septiembre de 2017, pues a la fecha el Despacho todavía no conoce cuales fueron las medidas especificas para evitar que las conductas antes señaladas siguieran ejecutándose de la misma manera como fueron evidenciadas en la visita de inspección. d) la falta de una política de seguridad y de prevención. En el numeral 4.3.1. de la Resolución N° 73553 del 13 de diciembre de 2019, mediante la cual se inicia la presente investigación administrativa y se formulan cargos, se indicó: “En el desarrollo de la visita se pudo evidenciar que la sociedad STARK GYM S.A.S., no tiene implementado una política de seguridad de la información, en la cual se identifique el flujo de la información personal recolectada por la sociedad, ni los riegos y controles establecidos para minimizar la perdida, divulgación de la información personal almacenada”.

Al respecto, la investigada no allegó ningún documento relativo a una política de seguridad interna, pues como se indicó en líneas atrás, solo adjuntó el documento denominado POLÍTICA DE PRIVACIDAD Y PROTECCIÓN DE DATOS PERSONALES, mediante el cual adopto la política de tratamiento de la información, mas no una política interna de seguridad de la información, por lo cual la investigada no puede pretender que esta conducta se entienda ejecutada y finalizada, por lo cual sigue presentando a la fecha el incumplimiento a las normas de protección de datos personales. 7.1.2 Deber solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular.

Con relación a la sanción impuesta por este Despacho por el incumplimiento de la sociedad STARK GYM S.A.S. al deber contemplado en el literal b) del artículo 17 de la Ley 1581 de 2012, la investigada señaló que: “(…) el Acto que impone la sanción incluye dentro de sus consideraciones, no sólo las conductas ya aceptadas por mi Representada, sino la valoración de unos aspectos adicionales que, de hecho, lo que evidencian es que mi Poderdante ha desplegado acciones orientadas justamente a subsanar los aspectos que dieron lugar a que se considerara que estaba infringiendo lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, razón por la cual NO pueden ser utilizados en esta actuación para generar una especie de prolongación de las facultades sancionatorias de la SIC.

En efecto, una cosa es la imputación de cargos en la que se cuestiona la omisión en el cumplimiento del deber de solicitar copia de la respectiva autorización otorgada por el Titular y otra muy diferente afirmar, como lo hace el Despacho en el Acto sancionador, que la manera en “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” que ahora el investigado está adelantando el cumplimiento de ese deber presenta algunas falencias u oportunidades Se trata de conductas diferentes pues en una se cuestionaba la omisión en el cumplimiento del deber y en la otra lo que se afirma es que la forma en la que el investigado está cumpliendo el deber presenta algunas deficiencias.

En tal sentido, el marco temporal de una y otra son sustancialmente diferentes(…) Por su parte el acto sancionador inicia por explicar que mi Representada aceptó la comisión de tal conducta, con lo cual es esa precisamente la conducta que debió ser analizada por la Entidad y lo cierto es que la misma, al tenor de lo que se encuentra acreditado en el expediente, finalizó durante el mismo mes de septiembre de 2017.

Tan es así, que el análisis del Despacho en el Acto sancionador hace referencia es a unas falencias en la obtención de la copia de la autorización expresa que no es lo mismo que la omisión referida en la formulación de cargos”. Al respecto, es pertinente citar algunos de los fundamentos de hecho señalados por este Despacho dentro de la Resolución N° 73553 del 13 de diciembre de 2019: “Dentro de la diligencia se pudo observar que la sociedad STARK GYM S.A.S., recolecta la información de los titulares de manera directa al momento de celebrar el contrato de prestación de servicios y aunque señaló que al momento de la afiliación solo requieren el (i) número de cédula;

(ii) nombre completo (iii) fecha de nacimiento; (iv) Dirección de correo electrónico y; (v) la dirección de residencia, toda ve que se tiene un scanner que lee el código de barras de los documentos de identidad, se constató que dentro del formulario para la suscripción del contrato dispuesto en el software de la empresa también se puede solicitar la siguiente información personal: Plan que pretende adquirir Teléfono Profesión Ingresos Barrio Género Institución educativa EPS Número de hijos Número de celular Empresa (…) Así mismo, se indicó que el registro de los titulares es realizado en cada una de las sedes del gimnasio, para lo cual se tiene dispuesto en la recepción los equipos de cómputo necesarios para dicho registro, el cual es realizado en un software denominado “GYMSOFT”, cuya base de datos se almacena en un data center de un proveedor externo a la sociedad llamado “Dataware”.

Adicionalmente, se evidenció que la sociedad STARK GYM S.A.S. también registra la huella dactilar para el ingreso de cada afiliado a las sedes de los gimnasios, para lo cual el lector toma una fotografía de la huella y mediante un sistema de algoritmos se efectúa una comparación para validar la identidad de cada titular y así permitir el ingreso.

(…) 4.2.2 trabajadores Respecto de los datos personales de los trabajadores, la sociedad investigada indicó que el proceso de recolección de la información de los aspirantes es realizado por correo electrónico, la cual es administrada por la Directora de Talento Humando de la Sociedad, o en los puntos de atención de cada una de las sedes del gimnasio, las cuales se envían por medio del mensajero de la compañía a la sede administrativa.

Así mismo. la sociedad STARK GYM S.A.S., contrata con una empresa de servicios temporales quien colabora con la selección y la clasificación de los posibles aspirantes de la compañía. Adicionalmente, la investigada aseguró que las hojas de vida de los aspirantes no seleccionados son eliminadas, puesto que solo se conserva la información de las personas seleccionadas la cual es clasificada en carpetas y se encuentra almacenada en la nube en la cuenta de correo asignada de la Directora de Talento Humando.

Para el momento de la visita la sociedad STARK GYM S.A.S., contaba con 44 empleados directos de los cuales se solicitaron veinte (20) copias de contratos de empelados que tenían acceso a la información personal de los clientes. Sin embargo, al realizar el análisis de cada uno de los contratos no se observó la autorización para el tratamiento de la información personal otorgada por el trabajador a la sociedad. de igual manera, dentro de los documentos aportados, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” ni dentro de la diligencia la sociedad indicó haber obtenido dicha autorización por un medio distinto a los referidos contratos de trabajo”.

Tal como se puede observar, el Despacho, mediante el acto administrativo que inició la presente investigación, sí evidenció dentro de sus hechos los supuestos facticos que llevaron a realizar la valoración probatoria con la que se concluyó que la investigada incumplió el deber de solicitar y conservar una autorización para el tratamiento de la información personal, puesto que en dicha resolución se identificó claramente los datos personales que son recolectados por la sociedad STARK GYM S.A.S. y que en efecto debieron contar con una autorización en los términos establecidos en la Ley 1581 de 2012.

Ahora bien, una vez analizado el acervo probatorio, el cual se realiza en conjunto con todas las pruebas allegadas al expediente, es decir con aquellas recaudadas de manera oficiosa y con las presentadas por la investigada, el Despacho pudo determinar que parte de los datos personales que son recolectados por la investigada a sus clientes, y que fueron claramente identificados en la formulación de cargos, no cuentan con una autorización que cumpla con los requisitos legales exigidos en la Ley 1581 de 2012, y que pese a que la investigada allegó los nuevos formatos estos no demostraban que la investigada contara con el consentimiento para el tratamiento de los datos personales de carácter sensible, que aún sigue recolectando mediante sus sistemas biométricos dispuestos en sus establecimientos de comercio.

Ahora bien, respecto a la autorización para el tratamiento de los datos recolectados por la sociedad de sus trabajadores, pese a que dicha conducta fue evidenciada tanto en la vista de inspección como en la formulación de cargos, la investigada no demostró haber recolectado la autorización de sus trabajadores, ni haber implementado dicha autorización en los formatos para sus nuevas contrataciones.

Con fundamento en lo anterior, es claro para este Despacho que la conducta omisiva de la investigada persiste, puesto que no demostró haber solicitado el consentimiento de los titulares en cumplimiento de los requisitos legales, y peor aún es que sigue efectuando el tratamiento de los datos sin contar con dicho requisito. Ahora bien, la investigada afirma que una cosa es la omisión del cumplimiento del deber que, según esta, se ejecutó de manera instantánea en el momento de la visita administrativa, y que otra cosa son las falencias que persisten en la ejecución de la implementación de los procedimientos y las medidas adoptadas por la sociedad.

Situación que es inaceptable para esta Dirección, pues no solo son falencias, es la ausencia del cumplimiento del deber, puesto que la Ley 1581 de 2012, no tiene un carácter facultativo, en el que le permita en mayor o menor medida a los Responsables de la información el cumplimiento de los deberes, pues la observancia de las normas se debe aplicar estrictamente para todas las bases de datos independientemente del nivel de importancia que la compañía le otorgue.

Así las cosas, y pese a que la investigada pretenda darle poca importancia a la forma como se obtienen las autorizaciones de sus titulares, y peor aún exponga como una falencia no contar con la autorización para el tratamiento de los datos personales de sus trabajadores, para el Despacho el incumplimiento al deber aún se sigue presentando y por tal motivo no solo se impuso una sanción pecuniaria, sino también se impartió la orden correspondiente para que la sociedad STARK GYM S.A.S. realmente garantice el cumplimiento del deber contemplado en el literal b) del artículo 17 de la Ley 1581 de 2012, y los principios que garantizan la protección del derecho fundamental de habeas data. 7.1.3 deber de informar al titular de los datos la finalidad del tratamiento y los derechos que le asisten por virtud de la autorización otorgada.

Con relación a la sanción impuesta por este Despacho por el incumplimiento de la sociedad STARK GYM S.A.S. al deber contemplado en el literal c) del artículo 17 de la Ley 1581 de 2012, la investigada señaló que: “La SIC ha incluido en este análisis unas consideraciones fácticas y cuestionamientos adicionales a las conductas imputadas y que fueron aceptadas por mi Representada.

Reiteramos que estas consideraciones adicionales no pueden ser empleadas para prolongar la facultad sancionatoria del Despacho. Por el contrario, en este caso se debe hacer el análisis respecto de la conducta imputada y aceptada por mi mandante, encontrando que esta finalizó durante el mes de “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” septiembre de 2017, al punto que el análisis del Despacho ya no hace referencia a una omisión sino a unas falencias en el cumplimiento del deber”.

Al respecto, es pertinente citar los fundamentos de hecho señalados por este Despacho dentro de la Resolución N° 73553 del 13 de diciembre de 2019, evidenciados para formular el cargo Por la Presunta vulneración al deber del Responsable del Tratamiento contemplado en el literal c) del artículo 17 de la Ley 1581 de 2012. “De igual manera, y tal como se relató en el cargo anterior, este Despacho encuentra preliminarmente, que la sociedad STARK GYM S.A.S. no informa de manera previa al titular de las finalidades del tratamiento antes de recolectar su información, así como tampoco se informó la recolección de datos personales que hacen por medio del formato para el préstamo de toallas.

Adicionalmente, se evidenció que la investigada recolecta información de carácter sensible, como la huella dactilar, sin que se le informe al titular la finalidad de dicha recolección, por lo que tampoco se le pone de presente el carácter facultativo que tiene cada titular para suministrar dicha información. Finalmente, dentro de la visita de inspección se evidenció que la sociedad investigada recolecta información por medo de un sistema de cámaras, del cual no se les informó la finalidad del tratamiento”.

Por su parte, mediante la decisión recurrida resolución N° 83874 del 30 de diciembre de 2021, este Despacho indicó lo siguiente: “Por otro lado, este Despacho determinó que, contrario a lo que afirma el apoderado de la investigada, la sociedad STARK GYM S.A.S no cumple todavía con el deber contemplado en el literal c) del artículo 17 de la Ley 1581 del 2012, concordante con el literal b) del artículo 4 y el artículo 12 ejúsdem, puesto que: Si bien en la cláusula decimotercera del contrato de prestación de servicios allegado con el escrito de descargos se solicita a los usuarios de STARK GYM S.A.S autorización para el tratamiento de sus datos personales, nuevamente omitieron: (a) Informar la finalidad o finalidades del tratamiento de su huella digital, así como el carácter facultativo de la respuesta a preguntas que versen sobre este dato personal.

(b) Especificar la finalidad o finalidades del tratamiento de los datos personales recolectados a través del sistema de videovigilancia. Aunque en la cláusula se menciona que con la suscripción del contrato el afiliado autoriza a STARK GYM S.A.S para “ser filmado por sistema de videovigilancia dentro de las instalaciones, reconociendo la existencia de cámaras de circuito cerrado de televisión instaladas por Stark.

Lo anterior conforme a la política de privacidad y protección de datos personales”, no se explica de forma particular cuál es la finalidad o finalidades del tratamiento. Pues si bien en dicho documento remite al lector a la política de privacidad; y en dicha política si se observen algunas finalidades del tratamiento, la investigad no está cumpliendo el deber de informar, puesto que al momento de recolectar la información personal producto de la afiliación, solo se le pone de presente el contrato de prestación de servicios al titular, y no se le proporciona un link o acceso a las Políticas de privacidad.

(c) Dentro del contrato del contrato y Reglamento de uso, se observa que la investigad hace una mención constante a la política de privacidad y protección de datos personales, al igual que a la política de tratamiento de datos personales, sin embargo, de esta última no aportó documento en el escrito de descargos, ni tampoco se hace claridad sin son el mismo documento.

De igual manera, se observa dentro de contrato de prestación de servicios el anexo IV, mediante el cual la investigada dispuso un formato de AUTORIZACIÓN DE PLAN DEBITO AUTOMÁTICO, mediante el cual el titular deberá manifestar que conoce y acepta la política de tratamiento de datos personales, la cual en ningún momento de la eventual recolección se le puso de presente.

Pues como se observa en la siguiente imane, la sociedad ni siquiera dispuso un link de acceso a la misma. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” De esta manera, y pese a que la sociedad STARK GYM S.A.S aseguró, que luego de la visita de inspección realizada por esta Dirección tomó las medidas necesarias para dar cabal cumplimiento al deber de informar a los titulares la finalidad del tratamiento, se sigue evidenciando falencias que permite concluir que es una conducta continuada y que se sigue vulnerando el derecho de habeas data de los titulares”.

De esta manera, y una vez analizados los argumentos usados por el Despacho tanto para la Formulación de cargos como para la decisión, se puede determinar que no existen hechos adicionales en los cuales se fundamente la decisión, que todo el análisis probatorio fue realizado en virtud de los hechos evidenciados con el inicio de la investigación y puestos en conocimiento a la sociedad STARK GYM S.A.S. incluso desde la visita de inspección. Ahora bien, respecto al argumento de la investigada que indica que los hechos que dieron origen al incumplimiento del deber de informar debidamente a los titulares sobre la finalidad de la recolección y los derechos que les asisten por virtud de la autorización otorgada, fueron de ejecución instantánea y que estos cesaron desde septiembre de 2017. nos permitimos indicar que tal como se manifestó en la resolución recurrida, STARK GYM S.A.S. no informó las finalidades y en especial aquellas correspondientes al uso de los datos sensibles, como la huella dactilar que es recolectada por la sociedad sin informar las finalidades de su tratamiento y el carácter facultativo que tienen el titular para entregar o no sus datos sin que se le niegue el servicio, estos requisitos son mínimos y de obligatorio cumplimiento para cualquier Responsable que decida realizar tratamiento sobre datos de carácter sensible, situación que no solo fue evidenciada con la visita de inspección sino que durante la investigación, no se allegaron pruebas conducentes que indicaran que dichas situaciones fueron atendidas y ajustadas por la sociedad investigada.

Así las cosas, tal como se ha mencionado en el desarrollo de los otros cargos, la conducta que conlleva el incumplimiento por parte de STARK GYM S.A.S. sigue ejecutándose, puesto que al momento de la decisión la sociedad aún seguía sin implementar los mecanismos necesarios para “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” informar a los titulares las finalidades del uso de los datos sensible y su carácter facultativo, motivo por el cual se imparte la orden correspondiente por parte de esta Dirección. 7.1.4 Respecto del deber de contar con una Política de Tratamiento de la Información Con relación a la sanción impuesta por este Despacho por el incumplimiento de la sociedad STARK GYM S.A.S. al deber contemplado en el artículo 25 de la Ley 1581 de 2012, la investigada señaló que: “Al igual que en los puntos anteriores, sobre esta conducta el Despacho manifestó: Por otro lado, esta Dirección encontró que el apoderado de la investigada aportó con el escrito de descargos una Política de Privacidad y Protección de Datos Personales actualizada y que en los alegatos explicó que la misma está disponible para los Titulares en el sitio web https://www.starksmartgym.com.co/politica-privacidad/.

Sin embargo, ésta no cumple íntegramente los requisitos establecidos en el artículo 2.2.2.25.3.3 del Decreto 1074 del 2015, como se verá en seguida: Así las cosas, la valoración de efectuada por el Despacho en relación con el cargo, incluyó unas consideraciones fácticas y cuestionamientos adicionales a las conductas imputadas y que fueron aceptadas por mi Representada.

Reiteramos que estas consideraciones adicionales no pueden ser empleadas para prolongar la facultad sancionatoria del Despacho. Por el contrario, en este caso se debe hacer el análisis respecto de la conducta imputada y aceptada por mi mandante, encontrando que esta finalizó durante el mes de septiembre de 2017, al punto que el análisis del Despacho ya no hace referencia a una omisión sino a unas falencias en el cumplimiento del deber”.

De acuerdo con lo antes mencionado, es necesario indicar que la sociedad investigada al citar apartes de la Resolución recurrida omitió enunciar el análisis realizado por este Despacho, de la Política de Tratamiento de la Información allegada con el escrito de descargos, en comparación con los requisitos mínimos establecidos por el artículo 2.2.2.25.3.3. del Decreto 1074 de 2015, en el cual se evidenció que a pesar de que la sociedad STARK GYM S.A.S., había actualizado su POLÍTICA DE PRIVACIDAD Y PROTECCIÓN DE DATOS PERSONALES seguía presentando las siguientes inconsistencias:  El Responsable no menciona el tipo de Tratamiento.  El Responsable informa la finalidad o finalidades del Tratamiento de algunos datos personales, pero no de todos (v.gr. la finalidad del tratamiento de los datos sensibles).

Asimismo, la política solo se refiere a la finalidad para la que se tratan datos de sus usuarios, no especifica la finalidad del tratamiento de los datos personales de otros grupos (v.gr. trabajadores, proveedores, etc).  No informa todos los derechos que le asisten a los titulares y los cuales están contemplado en el artículo 8 de la Ley 1581 de 2012.  El Responsable del Tratamiento no menciona quien es el encargado de la atención de consultas y reclamos.  El Responsable no describe el procedimiento para que los Titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. así las cosas, es claro que incluso respecto de la política de tratamiento aportada por la investigada, esta seguía incumpliendo el deber contemplado en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la norma en mención, junto con los artículos 2.2.2.25.3.1, 2.2.2.25.3.2, 2.2.2.25.3.3. del Decreto Único Reglamentario 1074 de 2015, por lo cual se considera que dicha conducta es continuada, y respecto a este incumplimiento este Despacho no pierde su facultad sancionatoria.

Por todo lo indicado es claro que los hechos que dieron origen a la presente investigación no han cesado y aún se evidencia el incumplimiento a los derechos contemplados en la Ley 1581 de 2021. 7.2 Frente a los criterios de graduación y la necesidad de la sanción “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” La sociedad recurrente expone un pronunciamiento del Consejo de Estado, mediante el cual manifestó que este Despacho debe valorar el criterio de necesidad de la imposición de la sanción puesto que las decisiones de la administración deben estar enmarcadas dentro de los “(…) criterios de proporcionalidad y razonabilidad que legitimen el poder sancionador.

Que, por tanto, no todo error origina sanción, y que, si se genera, la sanción debe ser graduada proporcionalmente (…)”. Además, consideró que la sanción impuesta es desproporcionada y reiteran que la afectación de los titulares no superó el 3% de su base de usuarios, para la época en que ocurrieron los hechos ya habían implementado medidas para la protección de datos personales, y adicionalmente no obtuvieron ningún beneficio económico.

Ahora bien, en lo que respecta al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal, que la misma sea aplicada sin afectar irrazonablemente los intereses del investigado o que esa afectación se presente en grado mínimo, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.

Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 24 de la Ley 1581 de 2012 para tasar el monto de la sanción, veamos: “13.1.1 Literal a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012”.

A partir de ello y de conformidad con las pruebas suministradas en el escrito de descargos y lo señalado en los alegatos de conclusión se pudo concluir que la sociedad recurrente en calidad de Responsable de información no desvirtuó el incumplimiento de los deberes contenidos lo contemplado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, así mismo el deber de informar la finalidad para la cual será recolectada dicha autorización en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 y el literal d) del artículo 17 de la Ley 1581 del 2012, en concordancia con lo literales g) y h) del artículo 4 de la misma Ley de acuerdo a lo argumentado en la Resolución No. 83874 del 30 de diciembre de 2021.

Es así como, el derecho Administrativo Sancionador “es un instrumento de realización de los fines que la Carta atribuye a estas autoridades, pues permite realizar los valores del orden jurídico institucional, mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye indudablemente a la realización de sus cometidos”3, Así pues, dicha potestad sancionadora ejerce una finalidad preventiva que va encaminada a asegurar el cumplimiento de los fines del Estado.

Lo anterior adquiere mayor relevancia si se tiene en cuenta que el ejercicio de vigilancia y control asignado a esta Superintendencia mediante las disposiciones consagradas en la Ley 1581 de 2012 por parte de los Encargados de Tratamiento o Responsables del Tratamiento de información, según sea el caso, siendo necesario, al comprobar el incumplimiento de una norma, imponer la sanción correspondiente.

Por su parte dicha potestad sancionatoria no puede estar sujeta a la mera liberalidad del fallador, ni ser de aquellas de naturaleza subjetiva y arbitraria, en tanto que así ejercida contraría los fines y principios del Estado Social de Derecho. En ese orden de ideas, la facultad sancionadora del Estado está sujeta a los principios que limitan su actuación y configuran el derecho sancionador, tales como el debido proceso, principio de legalidad, y el principio de tipicidad, y criterios de proporcionalidad y razonabilidad.

Respecto de los dos últimos, éstos le permiten al órgano sancionador tener un marco de referencia para la determinación de la sanción, en tanto que dichos criterios deben estar presentes entre la conducta o hecho que se sanciona y la sanción que pueda imponerse. 3Corte Constitucional, Sentencia C 406 de 2004, M.P. Jaime Araújo Rentería “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” Al respecto es oportuno traer a colación lo dispuesto en materia sancionatoria por el Honorable Consejo de Estado en la sentencia No. 25000-23-24-000-2002-00524-01 del 18 de agosto de 2005.

“(…) la proporcionalidad no está determinada por la argumentación o retórica que alrededor de ella se haga o no en los actos sancionatorios, sino por la relación de la magnitud de la sanción con las características y circunstancias de los hechos que le sirvan de fundamento, atendiendo a los parámetros señalados en el artículo 36 del CCA, esto es, que sea adecuada a los fines de la norma que la autoriza y proporcional al hecho (…)”.

Conforme con lo anterior, es claro que los parámetros que condicionan el ejercicio de las facultades discrecionales4 por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que sin lugar a dudas se tuvieron en cuenta en el caso sub examine, comoquiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la sociedad recurrente puso en peligro y violó el derecho fundamental de habeas data de la titular.

Ahora bien, teniendo en cuenta lo señalado sobre los principios de proporcionalidad y razonabilidad y el caso particular de la sociedad recurrente, es menester traer en cita lo señalado por la Corte Constitucional en la sentencia C-699 de 2008, al establecer que: “(…)Para el ejercicio de la potestad sancionatoria a cargo de la administración se requiere: (i) una ley previa que determine los supuestos que dan lugar a la sanción, así como la definición de los destinatarios de la misma, -sin que necesariamente estén desarrollados todos los elementos del tipo sancionatorio-, ya que es válida la habilitación al ejecutivo con las limitaciones que la propia ley impone;

(ii) que exista proporcionalidad entre la conducta o hecho y la sanción prevista, de tal forma que se asegure tanto al administrado como al funcionario competente, un marco de referencia que permita la determinación de la sanción en el caso concreto, y (iii) que el procedimiento administrativo se desarrolle conforme a la normatividad existente, en procura de garantizar el debido proceso ”.

Bajo esta óptica, la potestad sancionadora que le asiste a esta Entidad va encaminada a proteger un derecho fundamental que requiere especial defensa y rigurosidad en la aplicación de las normas por cuyo cumplimiento debe velar, de acuerdo con lo estipulado en la Ley 1581 de 2012. En virtud de ello, esta Superintendencia luego de valorar los criterios mencionados, tenía la facultad de imponer una sanción dentro de un margen de uno (1) hasta dos mil (2.000) salarios mínimos mensuales legales vigentes conforme al margen establecido en el literal a) del artículo 23 de la Ley 1581 de 2012, razón por la cual se reitera que se decidió imponer como multa la suma de SETENTA Y NUEVE MILLONES OCHOCIENTOS SETENTA Y SIETE MIL SEISCIENTOS PESOS M/CTE ($ 79.877.600), equivalente a DOS MIL DOSCIENTAS (2200 UVT) UNIDADES DE VALOR TRIBUTARIO VIGENTES De tal forma que para el año 2021, la mencionada multa equivalía a 87,91 salarios mínimos, muy distante de los 2000 salarios que tiene como tope máximo esta Dirección para imponer sanciones de carácter pecuniario.

Así las cosas, este Despacho advierte que precisamente por no haberse evidenciado la concreción de los demás criterios en la sanción impuesta mediante la Resolución N°. 83874 del 30 de diciembre de 2021 no fue superior a la prevista.. Por todo lo anterior, este Despacho confirmará la sanción impuesta y desestimará los argumentos expuestos por la sancionada en el recurso por las razones expuestas. 7.4.

Frente a las pretensiones del recurso En el recurso objeto de estudio, la sociedad STARK GYM S.A.S. expuso las siguientes pretensiones: “1. Pretensiones principales: 4 “ARTICULO 36. DECISIONES DISCRECIONALES. <Código derogado por el artículo 309 de la Ley 1437 de 2011. Rige a partir del dos (2) de julio del año 2012. El texto vigente hasta esta fecha es el siguiente:> En la medida en que el contenido de una decisión, de carácter general o particular, sea discrecional, debe ser adecuada a los fines de la norma que la autoriza, y proporcional a los hechos que le sirven de causa”.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” a. Que se revoque la Resolución 83874 del 30 de diciembre de 2021, proferida por la SIC; por medio de la cual se le impone a mi Representada una multa por valor de SETENTA Y NUEVE MILLONES OCHOCIENTOS SETENTA Y SIETE MIL SEISCIENTOS PESOS M/CTE ($ 79.877.600), equivalente a DOS MIL DOSCIENTAS UNIDADES DE VALOR TRIBUTARIO VIGENTES (2200 UVT), además de impartir unas órdenes administrativa. b. Que, en su lugar, se emita un Acto Administrativo mediante el cual la Entidad se abstenga de imponer sanción alguna a mi Poderdante. 2.

Pretensión subsidiaria: a. En caso de que no se exima a STARK GYM S.A.S. del pago de la sanción impuesta en el acto administrativo acá recurrido, se reduzca considerablemente el valor de la sanción conforme a criterios de proporcionalidad legalmente aplicables al asunto en discusión”. Teniendo en cuenta que fueron desvirtuados todos y cada uno de los motivos de inconformidad esgrimidos por la sociedad sancionada en su recurso, esta Dirección no encuentra procedente conceder lo solicitado respecto de la solicitud de revocatoria o ajuste (reducción) de la sanción; razón por la cual, se confirmará en su totalidad la decisión adoptada mediante la Resolución N° N° 83874 del 30 de diciembre de 2021.

Sin embargo, esta Dirección concederá el recurso de apelación interpuesto subsidiariamente por la sociedad investigada y procederá a trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales de esta Superintendencia.

OCTAVO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo5, este Despacho encuentra que no fueron desvirtuados los argumentos que fundamentaron la Resolución, por lo cual será confirmada.

NOVENO: CONCLUSIONES Sin perjuicio de lo ya expresado no se accederá a las pretensiones de la recurrente por las siguientes razones: 1) El recurrente no logró desvirtuar o allegar pruebas nuevas que permitan desvirtuar las multas impuestas por la vulneración de los deberes contenidos en lo contemplado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, así mismo el deber de informar la finalidad para la cual será recolectada dicha autorización en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 y el literal d) del artículo 17 de la Ley 1581 del 2012, en concordancia con lo literales g) y h) del artículo 4 de la misma Ley de acuerdo a lo argumentado en la Resolución No. 83874 del 30 de diciembre de 2021. 2) Para determinar la sanción, en la Resolución recurrida fueron revisados los criterios dispuestos en el artículo 12 de la Ley 1581 de 2012 para analizar la aplicabilidad de cada uno de ellos al caso concreto, y así dosificar la sanción objeto de análisis, actuando conforme al principio de legalidad que enmarca las actuaciones administrativas.

DÉCIMO: Que con el fin de garantizar los derechos fundamentales de contradicción de la sociedad STARK GYM S.A.S, identificada con el Nit. 900.965.267-5, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su apoderado vinculado al correo electrónico de notificación judicial de la sociedad gerencia@gyclaw.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php Ley 1437 de 2011.

Norma vigente al momento de iniciar la actuación administrativa. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando el número de radicado del expediente, los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo anterior, esta Dirección

RESUELVE

ARTÍCULO PRIMERO: CONFIRMAR íntegramente la Resolución N°. 83874 del 30 de diciembre de 2021 por las razones expuestas en la parte motiva de este acto administrativo.

ARTÍCULO SEGUNDO: CONCEDER el recurso de apelación interpuesto subsidiariamente por el recurrente y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.

ARTÍCULO TERCERO: NOTIFICAR personalmente la presente decisión a la sociedad STARK GYM S.A.S, identificada con el Nit. 900.965.267-5 en calidad de recurrente, a través de su representante legal y/o apoderado, entregándole copia de este acto administrativo.

ARTICULO CUARTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co -Sede Principal: Carrera 7 N°. 31A - 36 Pisos 3 y 3ª en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m.

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 28 JULIO 2022 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUNOZ SALAZAR MUNOZ Fecha: 2022.07.28 11:53:18 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: YLAC Revisó: AMCC “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” NOTIFICACIÓN: Sociedad: STARK GYM S.A.S. Identificación: Nit. 900.965.267-5 Representante Legal: FREDDY ANDRÉS BELTRÁN BLANCO Identificación: C.C. 80.189.948 Dirección: Calle 127 A N° 7-12 Piso 3 Ciudad: Bogotá Correo electrónico: contador@starksmartgym.com.co Apoderado: DANIEL OBED CUELLAR MORALES Identificación: C.C. 79.763.810 Dirección: Calle 127 A N° 7-12 Piso 3 Ciudad: Bogotá Correo electrónico: gerencia@gyclaw.com