OW ry RESOLUCION NUMERO 633 16 DE 2017 30 AGO 201 Radicacion 15-105770 EL DIRECTOR DE INVESTIGACION DE PROTECCION DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los articulos 9 y 21 de la Ley 1581 de 2012 y el numeral 5 del articulo 17 del Decreto 4886 de 20 I y,
CONSIDERANDO
PRIMERO: Que esta Superintendencia tuvo conocimiento de la presunta violaciOrj de las normas de protecciOn de datos personales contenidas en la Ley 1581 de 2012 p 4w parte de la CORPORACION UNIVERSIDAD DE LA COSTA CUC (en adelante UNIVERSIDAD), razOn por la cual, de manera oficiosa, se dispuso Ilevar a cabo visita administrativa en djercicio de las facultades de inspecciOn conferidas por los artIculos 19 y 21 de la Ley 1581 de 2012, con elfin de recopilar y/o requerir toda la informaciOn necesaria con el propósito de comprobar bl cumplimiento de los deberes y requisitos establecidos en la mencionada norma.
SEGUNDO: Que con fundamento en los resultados arrojados por la visita de inspècciOn Ilevada a cabo por este Despacho, a partir de los cuales se advierte la presunta violaciOr de las normas sobre protecciOn de datos personales contenidas en la Ley 1581 de 2012, con la expediciOn de la ResoluciOn No. 21174 del 26 de marzo de 20181, se dio inicio a la predente sctuaciôn administrativa y se le formularon cargos a la UNIVERSIDAD por la presunta Violaci6n de las siguientes disposiciones: 2.1 El deber que la investigada ostenta en su calidad de Responsable del Tratarniento de la información contemplado en el inciso segundo del articulo 2.2.2.25.3.1 en c4ncordancia con los articulos 2.2.2.25.3.2 y 2.2.2.25.3.5 del Decreto Unico Reglamentario 1074 de 2015. 2.2 El deber que la investigada ostenta en su calidad de Responsable del Tratamiento de la informaciOn contemplado en el literal k) del articulo 17 de la Ley 1581 de 2012, en concordancia con el articulo 25 de la misma norma, asi como el articul&2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2012. 2.3 El deber que la investigada ostenta en su calidad de Responsable del I atamiento de la informacion contemplado en el literal b) del artIculo 17 de la Ley 1581 de 2012, en concordancia el literal c) del articulo 4 y los articulos 5, 6 y 9 de la normaen mention, asi como el inciso primero del articulo 2.2.2.25.2.2 y los articulos 2.2.2.25.2.3 2.2.2.25.2.9 del Decreto Unico Reglamentario 1074 de 2015. 2.4 El deber que la investigada ostenta en su calidad de Responsable del liratamianto de Ia. information contemplado en el literal c) del articulo 17 de la Ley 181 de'.2012, en concordancia con el literal b) del articulo 4 as[ como los articulos 6 y 12.0e la Lty. 1 581 de. 2012, y el inciso primero del articulo 2.2.2.25.2.2 y 2.2.2.25.2.3 del Decreto LJnico Reglamentario 1074 de 2015. 2.5 El deber que Ia investigada ostenta en su calidad de Responsable del iratan,iento de la information contemplado en el literal k) del artIculo 17 de la Ley 181 de 2012 en concordancia con el literal g) del articulo 4 de la norma en mención, asi qomo I ps articulos 2.2.2.25.2.1 y 2.2.2.25.6.2 del Decreto (inico Reglamentario 1074 de 2016 Obrante Carpeta pUblica folios 98 all 10.
RESOLUCIÔN NUMERO- DE HOJA N 2 "Por la cuel se impone una sanciOn" VERSION UNICA ] La mencionada resoluciôn le fue notificada a la investigada para que se pronuriciara sobre los hechos materia de investigaciOn y aportara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su deretho de defensa y contradicciOn.
TERCERO: Que la investigada, mediante comunicaciOn del 30 de abril de 2018, presentO escrito de descargos (fls. ill all 16), a traves del cual presentO las pruebas que pretende hacer valer en la presente actuaciOn administrativa.
CUARTO: Que mediante Resolucion No. 45619 del 29 de junio de 2018, se incorporaron las pruebas obrantes en el expediente negaron unas pruebas solicitadas, inclusive [as aportadas por la investigada, se cerrO etapa probatoria, y se corriO traslado a la investigada para que rindiera los alegatos respectivos.
SEXTO: Que la ResoluciOn No. 45619 del 29 de junio de 2018 fue notifrcada a la investigada el 9 de julio de 2018 tal como se evidencia en certificaciOn obrante a folios 117 all 19 del expediente, y se otorgO un termino de diez dias hábiles a partir de dicha notificacion para presentar los respectivos alegatos de conclusion, es decir hasta el dia 23 de Julio de 2018, la investigada presentO los alegatos de conclusion el dia 24 de Julio de 2018 (fls.120 al 123), fuera del termino legal establecido, razOn por la cual no serán tenidos en cuenta en la presente actuaciOn.
SEPTIMO: Competencia de la Superintendencia de Industria y Comercio El articulo 19 de la Ley 1581de 2012, establece la funciOn de vigilancia que le corresponde a Ia personales se respeten los principios, derechos, garantias y procedimientos previstos en la ley.
OCTAVO: Anãlisis del caso 8.1 Adecuacion tIpica La Corte Constitucional mediante sentencia C-748 de 20112, estableciO 10 siguiente en relacion con el principio de tipicidad en el derecho administrativo sancionatorio: "En re/ac/On con a/ principio de tipicidad, encuentra Ia Sale qua pese a Ia generabdad de la ley, as determinable Ia infracciOn administrative en la medida en qua se señala qua la constituye el incumplimiento de las disposiciones de la ley, esto as, an términos especificos, la regulaciOn que hacen los articu/os 17 y 18 del proyecto de ley, an los que se señalan los deberes de los responsab/es y encargados del tratamiento del dato't Atendiendo los parámetros senalados por la citada jurisprudencia, para el caso especifico se tiene que: (i) El articulo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares.
El incumplimiento de tales requisitos dara lugar a la aplicaciOn de las sanciones definidas especificamente en el articulo 23 de Ia Ley 1581 de 2012. (ü) De conformidad con los hechos alegados por el reclamante y el acervo probatorio que obra en & expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneraciOn de las disposiciones contenidas en: i) el inciso Segundo del artIculo 22.2.25.3.1 en concordancia con los articulos 2.2.2.25.3.2 y 2.2.2.25.3.5 del Decreto Unico Reglamentario 1074 de 2015; ii) el literal k) del articulo 17 de la Ley 1581 de 2012, en concordancia con el articulo 25 de la misma norma, asi como el articulo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2012; iii) el literal b) del articulo 17 de Ia Ley 1581 de 2012, en concordancia el literal c) del articulo 4 y los articulos 5,6 y 9 de la norma en mencion, asi como el inciso primero del articulo 2.2.2.25.2.2 y los articulos 2.2.2.252.3 y 2.2.2.25.2.9 del Decreto Unico Reglamentario 1074 de 2015; iv) el literal c) del articulo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del articulo 4 asi como los articulos 6y 12 de la Ley 1581 de 2012, y el inciso primero del articulo 2.2.2.25.2.2 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaijub, seis (6) de octubre de dos mil once (2011).
RESOLUCION NUMERO HOJAN 3 "Par Ia cual se impone una sanciOn" UNICA y 22.2.252.3 del Decreto CJnico Reglamentario 1074 de 2015; v) y el literal k) del articulo 17 de Ia Ley 1581 de 2012 en concordancia con el literal g) del articulo 4 1e Ia normal en mención, asi coma los artIculos 2.2.2.25.2.1 y 2.2.2.25.6.2 del Decreto Unico Reglamentario 1074 de 2015.
En ese orden de ideas, corresponde a este Despacho establecer Si Ia conducta deplegada par Ia investigada darâ lugar o no a Ia imposician de una sanciOn para lo cual se deberan (ener en cuenta las pruebas y hallazgos de Ia visita de inspecciOn y el conjunto de pruebas allegadaó at expediente. 8.2 Valoración probatoria y conclusiones A continuacian se realizará un analisis de cada uno de los cargos imputados a Ia investigada en Ia presente actuatiOn, asi como el acervo probatorio recaudado, para en cada cao establecer Si se presentó una infraccion al Regimen de Protection de Datos Personales. 8.2.1 Respecto a Ia politica de tratamiento de datos personales y el aviso de privacidad Conforme al principio de legalidad en materia de tratamiento de datos personales, cualquier forma de tratamiento de informaciOn personal desde su recolecciOn hasta su disposiciOn final se encuentra orientada par una reglas contenidas no solamente en Ia Ley 1581 de 2012 sirktambien en Ia normatividad que sabre Ia materia se ha expedido, Ia cual, para el caso en particular, corresponde al Decreto Unico Reglamentario 1074 de 2015; lo que traduce en el hecho de que Ilab disposiciones del referido decreto tienen Ia misma obligatoriedad y carácter vinculante que Ia lei estatutaria.
En consonancia con lo anterior, el articulo 25 de Ia Ley 1561 de 2012 en su idciso segundo ha establecido lo siguiente: "Para realizar el registro de bases de datos, los interesados deberan a)iorthr a ía las cuales obligaran a los responsables y encargados del mismo, y cuyo cu4nplimiento acarrearâ las sanciones correspondientes. Las politicas de tratamiento an ?ln gun caso podrAn set infer/ores a los deberes contenidos en la presente ley".
El mentado articulo debe ser interpretado de forma armOnica con el articulo 2.2.2.25.3.1 del Decreto Unico Reglamentarlo 1074 de 2015, toda vez que desarrolla el contenido minimh que debe reunir el documento que haga sus veces de politica de tratamiento de Ia information, a iaber, el mentado documento debe contener: Articulo 22.2.25.3.1. PolIticas de Tratamiento de Ia informacion.
Los respônsables del tratamiento deberan desarrollar sus politicas pare el tratamiento de los datos jiersonales y' ye/ar porque los Encargados del Tratamiento den cabal cumplimiento a las mish'ias. Las pollilcas de Tratam/ento de Ia informacion deberán constaren media ifs/co delectrOn/co, en an lenguaje claro y sencillo y ser puestas an conocimiento S los Thu/ares.
Dichas politicas deberan incluir, par 10 menos, Ia siguiente informaciOn: 1. Nombre o razOn social, domicilio, direcciOn, correo electrOn/coy teléfono del eesponsabIe. 2. Tratamiento al cual serán sometidos los datos y final/dad del mismo cuando esta no Se haya informado med/ante el a v/so de privacidad. 3. Derechos que le asisten coma Titular. 4.
Persona o area responsable de Ia atenciOn de pet/clones, consultas y reclamos ante ía. cual el titular de Ia informacion puede ejercer sus derechos a conocer, actualizdr, rectificary suprimir el data y revocar Ia autorizaciOn. 5. Procedimiento pare qua los titulares de Ia informacion puedan ejercer /as derechos a conocer, actualizar, rectificar y suprimir informac/On y revocar ía autorizaciOn. 6.
Fecha de entrada en vigencia de Is politica de tratamiento de Ia informaciOn y periodo de vigencia de Ia base de datos. Par media del cual se expide el Decreto Unico Reglamentario del Sector Comercio, Industria.y Turismo, norma que compilO, entre atros, el Decreto 1377 de 2013 que reglamentó perle del articulado de Ia Ley 151 de 2012.. RESOLUCION NUMERO }-IOJA N 4 DE [ VERSION UNICA Cualquier cambio sustancial en las politicas de tratamiento, an los tArminos descritos en el articulo 50 del presente decreto, debera 5cr comunicado oportunamente a los titulares de los datos persona/es de una manera eficiente, antes de irnp/ementar las nuevas poll ticas.
La reuniOn de estos elementos permiten garantizar "el ambito de protecciOn del derecho de habeas data"4 pues resultan oponibles al sujeto obligado en los procesos de recolecciOn, tratamiento, circulacion y disposiciOn final de datos, asi como tambien permite garantizar a los Titulares el pleno y efectivo ejercicio del derecho de Habeas Data a traves de la implementaciôn y puesta en marcha, a su vez, de los principios anteriormente senalados mediante herramientas claramente definidas y los procedimientos para su implementaciOn.
En efecto, el Responsable tiene el deber de tratar la informaciOn que se encuentra almacenada en su base de datos bajo las medidas mInimas establecidas par el regimen de protección de datos personales, pues as! Ia dispuso la Ley 1581 de 2012 cuandosenalO en su articulo 25 inciso tercero, que 71]as polIticas de tratamiento en n/n gUn caso podran ser inferiores a los deberes coritenidos en Ia presente fey", disposiciOn que, igualmente, refuerza la hipOtesis esgrimida entorno a que mediante la politica de tratamiento se pretende cimentar los pilares de la protectiOn al derecho.
Sin perjuicio de lo anterior, el Decreto Iinico Reglamentarlo 1074 de 2015 a través del articulo 2.2.2.25.3.25 otorgO la posibilidad para que en caso en que no sea posible poner a disposiciOn del Titular las politicas de tratamiento de la informaciOn, los responsables informen par medio de un aviso de privacidad al Titular sobre la existencia de tales politicas y la forma de acceder a las mismas, de manera oportuna y en todo caso a más tardar al momenta de la recoleccion de los datos personales, siempre y cuando se observen los requisitos del articulo 2.2.2.25.3.3 del decreto en cita.
Al respecto, esta Direction encontrO que en para la fecha en la que se adelantó la visita de inspecciOn la LJNIVERSIDAD no habla implementado, y puesto a disposiciOn de los titulares La Politica de Tratamiento de datos personales en la pagina web www.ucu.edu.co, carteleras, formulario a cualquier otro media, pese a sus continuas y reiteradas actividades de recolecciOn de datos personales de naturaleza privada, sensible y de menores.
AS mismo, dentro del material probatoria recolectado en Ia visita de inspecciOn se evidencia un documento titulado "protectiOn de datos" (fl.22), el cual no cumple con los contenidos minimos que deben reunir las politicas de acuerdo a la Ley 1581 de 2012 y el articulo 2.2.2.25.3.1 del Decreto Cinico Reglamentario 1074 de 2015, asi mismo, dicho documento no fue puesto a disposiciOn de los titulares por lo que ademas de que no cumple con los requisitos minimos establecidos en Ia Ley no fue puesto en conocimiento de los titulares por Ia que no cumple Ia funciOn para la qUe es creado.
Ahora bien, la investigada presentO las siguientes piezas probatorias en medio magnetico (obrante a folio 116): • Acuerdo No. 1093 del 31 de enero de 2018 "Por medio del cual aprueban las politicas para eI tratarniento c/c datos personales en ía CorporaciOn Universitaria c/c la Costa CUC" • Imagen carteleraf con aviso de privacidad. Una vez revsadas las pruebas mencionadas, encontramos que las mismas corresponden al cumplimierito del deber objeto de estudio sin embargo, dichos documentos no fueron aportados al momenta de la visita de inspectiOn ni se evidenciO que se encontraran implementados y puestos adisposiciOn de los titulares, asi mismo al revisar las politicas de tratamiento se evidenciO que tienen fecha del 31 de enero de 2018, fecha posterior a la visita de inspecciOn, es decir que los titulares cuyos datos fueron recolectados antes de la implementation de dicho documento, se les vulnerO el deredho de habeas data al no ponerles en conocimiento las politicas de tratamiento de los datos implementadas por la investigada.
Corte ConstitutiOnal, sentencia C-748 de 2011, M.P. Maria Victoria Calle Correa. 5 Articulo 2.2.2.25.3.2. Aviso de privacidad.En los casos en los que no sea posible poner a disposition del Titular las politicas de tratamiento de la informatiOn, los responsables deberán informar por medio de un aviso de privacidad al titular sobre la existencia de tales politicas y la forma de acceder a las mismas, de manera oportuna y en todo caso a más tardar al momento de la recolecciOn de los datos personales.
RESOLUCION NUMERO %Juu I N 5 DE.. 'j Por la cue! so /mpone una sanciOn" UNICA Adicionalmente, teniendo en cuenta que la investigada no se pronunciô en el escrito de descargos controvirtiendo los hechos fundamento del cargo, esta DirecciOn encuentra que la UNIVERSIDAD al 14 de mayo de 2015, fecha en Ia cual se efectuO la visita de inspecciOn, no cohtaba con unas politicas de tratamiento de datos personales puestas a disposiciOn do los titulares, asi como tampoco un aviso de privacidad vulnerando asi el deber que la investigada ostenta en su calidad de Responsable del Tratamiento de la informaciOn contemplado en el inciso segubdo del articulo 2.2.2.25.3.1 en concordancia con los articulos 2.2.2.25.3.2 y 2.2.2.25.3.5 del[Decreto Unico Reglamentarlo 1074 de 2012, en consecuencia se impondra la correspondiente sanciôn, 8.2.2 Respecto del deber de contar con un manual interno de politicas y proceèiimientos para garantizar el cumplimiento de la Ley 1581 de 2012 y para la atenbion de quejas y reclamos El literal k) del artIculo 17 de Ia Ley 1581 de 2012 incorpora la obligacion en cabTeza de los Responsables del Tratamiento de adoptar manuales internos de politicas y probedimentos para garantizar el adecuado cumplimiento do la ley previamente mencionada y, en especial, hace referencia expresa al deber de contar con un procedimiento para la atencior!i de consultas y reclamos6.
Al respecto, el articulo en cita dispone Ia siguiente: "Articulo 17. Deberes de los Responsables del Tratamiento. Los ResponSables del Tratam/ento debe ran camp/fr los s/gu/entes deberes, sin perjuicio de ks demás d/spos/c/ones pre vistas an la presente ley yen otres quo nj/an su act/v/dad: 6. k) Adopter un manual interno de po/iticas y proced/m/entos pare garantizar e! adecuado cump/imiento de la presente byy en especial, para la atenciOn de consultas y rçclamos;
(..)". Por otro lado, el articulo 2.2.2.25.2.1 del Decreto Unico Reglamentario 1074 de 2015 preceptUa lo siguiente "Articulo 22.2.25.2.1 0. Recoleccion de los datos personales. En desarrdlbo de los pr/nc/p/os de final/dad y 1/bertad, la recolecciOn do datos debera limitarse a aqdellos datos persona/es que son pert/nentes y adecuados pare la finalidad pare la cual son rØcobectados o requeridos con forme a Ia normatividad vigente.
Salvo en los casos exrjresamente previstos en ía fey, no se podrán reco/ectar datos persona/es sin autorización del Titular A so/ic/tad de Ia Superintendencia de Industria y Comercio, los Responsables deberán proveer una descripciOn de los procedimientos usados para ía rcolecciOn, almacenamiento, uso, circulación y supresion de informacion, como también la descripciôn de las finalidades para las cuales la informacion es recoleetada y una explicaciOn sobre la necesidad de recolectar los datos an cada caso.
( NOtese coma la disposicion normativa previamente citada hace referencia expr&sa del deber que tiene el Responsable de tratamiento do datos de documentar e implementar-unbs procedimientos para la recolecciOn, almacenamiento, uso, circulacion y supresión de informaciOr, con elfin de que a lo largo del ciclo de vida del dato se garanticen y respeten los preceptos legales que van desde a recoleccion de la informaciOn hasta la disposiciOn final de la misma, de tal suerte quo no se empleen medios enganosos a fraudulentos para recolectar y tratar los datos p y que siempre se utilicen para las finalidades que fueron autorizadas en su momento por el Titular, en el entendido de que la informaciOn se utilice Unicamente para la finalidad que fu& informada, 10 que adicionalmente implica la supresiôn segura de la informaciOn y la correspondierfle documentacion de este procedimiento.
Asi mismo, el articulo 2.2.2.25.6.2 en su inciso final establece la necesidad de que las medidas y procedimiento de seguridad (que deben ser apropiadas y proporcionales al tambno y operaciones de tratamiento de la informacion de Ia organizaciOn) so encuentren documentadas a efectos de demostrar a esta Superintendencia, cuando a ello haya lugar, la implementacin del principio de RESOLUCIÔN NUMER8 %) IUDE 'a "Par ía cual se impone uiia San C/On" [_VERSION ONIcAH responsabilidad demostrada, de tal suerte que la organizaciOn sea capaz de evidenciar que ha adoptado medidas proporcionales con la naturaleza jurIdica y dimension de la organizacian. la naturaleza de los datos que son objeto de tratamiento el tipo de tratamiento y, sabre todo, que ha implementado un mecanismo para la mediciOn y control de los riegos que puedan presentarse frente al derecho de los Titulares.
Existe entonces un deber del Responsable del tratamiento de implementar controles de seguridad conforme al tipo de base de datos que se trate - fisica a automatizada -, de tat manera que permitañ garantizar los estandares minimos de proteccion consagrados en la Ley 1581 de 2012. Lo anterior se encuentra desarrollado par el principio de seguridad de la informacian incorporada en el literal g) del articulo cuarto de la Ley 1581 de 2012, segn el cual "[lJa informaciOn sujeta a Tratamiento por el Responsable del Tratamiento a Encargado del Tratamiento a que so refiere la presente fey, se debera manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteraciOn, perdida, consulta, USa a acceso no autorizado a fraudulento" Este principia comprende la necesidad de garantizar at Titular que, si decide entregar su autorizaciOn para que determinada organizaciOn Ileve a cabo el tratamiento de la informacion par el suministrada, sus datos persanales se mantendrán almacenadas de forma tal que se impedirá la circulacion irrestricta y que no sea filtrada par las personas que intervienen en el tratamiento, de tal manera que el sujeto obligado implemente mecanismos y controles proporcionales y conformes cada caso en particular.
Cansecuentemente, se hace necesarlo que esas politicas y procedimientos no sean simplementé contemplados a Vislumbrados en el ideano de la or óanizaciOn, sino que muy par el contrario, la Ley 1581 de 2012 exige que los procedimientos y politicas se encuentren documentados e implementados par la entidad; no otra interpretaciOn puede darse a la lectura del literal k) del articulo lade la Ley 1581 de 2012 que establece que corresponde al Responsable del tratamiento de là informaciOn adoptar Un manual interno de politicas y procedimientos para garantizar el adecuado cumplimiento de sus disposiciones.
En el caso en concreto encontramos que en la Visita de inspeccion se evidenciO que la UNIVERSIDAD no contaba con: i) un manual o procedimiento documentado para la atención de quejas y reclamos; ii) ni con un manual de procedimientos usados para la recolecciOn, almacenaniiento, uso, circulaciOn y supresiOn de informaciOn, en donde se describan las finalidades para las cuales la informaciOn es recolectada.
Al respecto, la investigada no se pronuncio ni controvirtiO los hechos que fundamentan el cargo, sin embargo, en el escrito de descargos, aportO copia de un documento por medio del cual se implementan politicas de tratamiento de datas personales en la universidad (fl.1 16), documento de fecha 31 de enero de 2018, en el cual se evidencia que la investigada procede a cumplir con la adopcion de un manual interno de politicas y pracedimientos para el tratamiento de las datos personales as[ coma las consultas y reclamos, as[ mismo adaptO un Procedimiento De AtenciOn De Consultas Y Quejas En ProtecciOn De Datos Persanales" y coma un documento de atenciOn y escucha al cliente (folio 116), documentos a traves de las cuales de manera posterior a la visita de inspecciOh la sociedad procediO a cumplir con los deberes establecidos en la Ley 1581 de 2012, respecto del deberde contar con un manual internode politicas y procedimientos.
En consecuencia, para esta Direccian es clara que la investigada al momenta de la Visita de inspeccióntno contaba can un manual interno de politicas y procedimientos para garantizar el cumplimiento de la Ley 1581 de 2012 y para la atenciOn de quejas y reclamos, razón par la cual incumpliO el deber establecido en el literal k) del articulo 17 de la Ley 1581 de 2012, en concordanàia con el articulo 25 de la misma norma, asi coma el articulo 2.22.25.3.1 del Decreta Unica Reglamentario 1074 de 2012, razôn por la cual se impondrá la correspandiente sanciOn y se impartirá;una arden 8.2.3 Respecto del deber de solicitar y conservar copia de Ia autorización previa, expresa e informada de los titulares El articula•15 de la ConstituciOn Politica establece que las personas, en desarrolla de sus derechos ala autodeterminacion infomiática y el principia de libertad, son quienes de forma expresa deben 53316 DE RESOLUCION NUMERO I-IOJA N 7 autorizar que la informacion que sabre ellos sea recaudada pueda ser incluida en Una base datos.
Al respecto la Carte Constitucional ha señalado lo siguiente: "Principlo de libertad: El tratamiento solo puede ejercerse con el consent/mento, prev/o, expreso e informado del titular. Los datos personales no podran ser obtenidos 0 divulgados sin prey/a autorizaciOn, o en ausencia de mandato legal a judicial que releve el consqntimiento. Este pr/nc/plo, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su informaciOn personal puede ser util/zada o no an bases de dØtos, Tomb/en imp/de qua la informacion ya registrada de un usuario, la cual he sido obtenida con su consent/rn/onto, pueda pasar a otro organ/smo que Ia ut/lice con fines distintos pa a los que fue autorizado inicialmente.
El literal c) del Proyacto de Ley Estatutaria no solo desarrolla el objeto fundamental de la protecc/On del habeas data, s/no que se encuentra en tnt/ma relaciOn con derechos fundamentales como el de intimidad y el l/bre desarrollo de la personalidad. En°T°5 efecto, el ser humano goza de la garantia de determinar qué datos quiere seen conocidos y lie el derecho a determinarlo que podria denominarse su '/magen informatica"7.
Por Ia anterior, se concluye que sin la autorizaciôn previa e informada del ti lar, los datos personales no podran ser registrados, divulgados, ni tratados. Sin embargo, tal prohibician no es absoluta pues la Ley 1581 de 2012 en su articulo 10 establece los casos enilos que no es necesario contar con la autorizaciOn par parte del titular, entre los cuales so encuntran los datos de naturaleza p6blica8.
Tal coma Jo senalO la Carte Constitucional en sentencia C-748 de 2011 "En razn del principio de libertad, el Titular tiene la garantia de comprobar que los datos que circulen.4obre éI, ban sido previamente autorizados, solicitarprueba de ella y tambien puede revocarsu autkizacion". En este orden, se tiene que el Respohsable requiere de la autorización previa e informaia del Titular para el Tratamiento9 de su informacion personal: "Adiculo 9.
Autorizacion del Titular. Sin perju/c/o de las exce pc/ones pre vistas 6n la ley, an el Tratam/ento se requiere la autorizaciOn previa e informada del Titular, la cul debera ser obtenida por cualquier med/o quo pueda ser objeto do consulta posterio(. Este deber es ratificado en el literal b) del articulo 17 de la misma ley, que incluye expresamente Ia obligaciOn de "[s]olicitar y conservar, en las condiciones previstas en Ia presente by, copia do la respectiva autorizaciOn otorgada pore/ Titular".
Asi misma, el articulo 2.2.2.25.2.5 del Decreto 1074 do 2015 fue clara en indicanlo siguiente: • "Articulo 2.2.2.25.2.5. Prueba de la autorizacion. Los Responsables debefan consen'ar p rueba de Ia autorizaciOn otorgada par los T/tulares de datos personales para el Tratamiento de los mismos." (subrayado fuera del texto) De esta manera, este deber do solicitar autorizaciOn previa y expresa del Titular loma mayor fuerza baja la categorizacion de datos sensibles introducida porel articula 5 de la Ley 1581 de 2012; cuyo tenor literal es el siguiente: Ver en: Corte Constitucional Sentencia c-748 del 6 de octubre de 2011 MP.
Jorge Ignacio Prefelt chaijub. o "ArtIculo 10. Casos en que no se necesita la autorizacion. La autorizaciOn del Titular no ser necesaria-cuando so trate de: a)lnformaciOn requorida por una entidad pOblica 0 admin/strativa en ejercicio de sus funciones toI gales a por order judicial; b)Dates de naturaleza pUblica; c)Casos de urgencia med/ca a sanitaria; d)Tratamiento do informaciOn autorizado por Ia ley para fines histOricos, estadisticos a cientificos; e)Datos relacionados con el F?egistro Civil do las Personas.
Quien acceda a los datos personales sin qua medie autorizaciOn pro via debera en todo case cumplir con las disposiciones canton/dos en la presente ley". Literal g), articulo 3. Definiciones. Ley 1581 de 2012. "Tratamiento: Cualqu/eroperaciOn 0 cbnjunto do oporaciones sabre datos personales, tales como la recoleccion, almacenamiento, use, circulacion a supresiO".
RESOLUCION NUMER0 6 331 CE "Par /a coal so impone una sanciOn HOJAN 8 L VERSION UNICA ] "Art/cu/a 5°. Datos sensibles. Para los pro pOsitos do la presente lay, so entiende por datos sensibles aquellos quo afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminaciOn, tales como aquellos quo rove/en el origen racial o étnico, la orientaciOn politica, las convicciones religiosas o fllosOficas, la pertenencia a sindicatos, organizaciones socialos, de derechos humanos a qua pmmueva intereses de cualquierpartido politico a quo garanticen los derechos y garantias do partidos politicos do oposiciOn asi coma los datos relativos a la salud, a Ia vjda sexual y los datos biornétricos." Tengase en cuenta que el articulo 6 de la Ley 1581 de 2012 proscribiO el tratamiento de datos sensibles salvo en los casos alli taxativamente senalados; siendo estos los siguentes eventos: "Articulo 6°.
Tratamiento de datos sensibles. So prohibo 0/ Tratamiento do datos sensibles, excepto cuando: a) El Titular haya dado su autorizaciOn oxplicita a dicho Tratamiento, salvo on los casos quo pOT ley no sea requerido el otorgamionto do dicha autorizacion; b) El Tratarniento sea necesario para salvaguardar el interAs vital del Titulary este so encuentro fisica a juridicamento incapacitado.
En estos eventos, los reprosentantes /0 gales deberan otorgar su autorizacion; c) El Tratamionto sea efectuado an el curso de las actividades legitimas y con las dobidas garantias POT parte do una fundaciOn, ONGJ asociaciOn o cua/quier otro organismo sin animo do lucro, cuya finalidad sea politica, filosOfica, religiose a sindical, siempre quo so refioran exclusivamento a sus miombros a a las personas quo mantengan contactos regulares par razon do su finalidad.
En estos eventos, los datos no se podrán suministrar a torceros sin la autorizaciOn del Titular; d) El Tratamionto se refiera a datos quo seen nocosarios pare el roconocimiento, ejercicio a defense de un derecho on on proceso judicial; e) El Tratamionto tenga una finalidad histOrica, estadistica a ciontifica. En este evento deberan adoptarso las medidas conducentes a la supresion do idontidad do los Titulares".
Esta restricciOn obedece a que el uso a circulacion indebida de esta informacion puede ocasionar Ia afectacion de la intimidad del Titular o generar discriminaciOn por parte de terceros causando una intromision en la "esfera a espacio do vida privada no susceptible do la into rferencia arbitraria de las demãs personas, que at ser considerada un elomento esencial del ser, Se concreta en ol derecho a poder actuar libremonto on Ia mencionada esfera a nOcloo, en ejercicio de la libertad personal y familiar, sin más limitaciones quo los derechos do los demas yet ordenamiento jurIdico" 10 y portal motivo, este tipo de informacion personal ha side clasificada como una categoria especial de datos concepto que juridicamente conlleVa el grado maxima de cuidado y diligencia en las actividades que involucren su tratamiento y administraciOn.
Del mismo mode, los articulos 5 y 6 de la Ley 1581 de 2012 se encuentran desarrollados par sus homologos 2.2.2.25.3 y 2.2.2.25.4 del Decreto Unico Reglamentario 1074 de 2015. Asi, el articulo 2.2.2.25.3 reitera que para el tratamiento de datos sensibles, cuando ello sea posible, se debe cumplir con los deberes de: "1. Informar at titular que par tratarse de datos sensibles no esta abligado a autorizar su Tratamiento" y;
"2. Informar al titular de forma explicita y pro via, ademas do los requisitos genera/es do la autorizaciOn para la recolecciOn de cualquier tipa de data personal, cuales do los datos quo serén objeto de Tratamiento son sensibles y la finalidad del Tratamienta, asi coma obtener su consentimienta expreso". En la sentencia que analizo la ëonstitucionalidad del Proyecto de Ley que posteriormente se conociô como Ley 1266 de 2008, la Carte Constitucional explico, respecto de los dates sensibles, que "(..)la naturaleza do esos datos pertenece al nOcleo esencial del derocha a la intimidad, entendido coma aquella esfera a espacio do vida privada no susceptible do la interferencia arbitraria do las demas personas, quo al ser considerado un elemento esencial del sec se concreta en el derecho a poder actuar libremente en la mencionada esfera a nUcleo, en ejercicia de la libertad personal y familiar, sin •más limitaciones quo los derechas de los demés y el ordenamiento juridico"11.
Corte Constitucional Sentencja C-1 011 de 2008 MP, Jaime Córdoba Triviño. 11 idem. RESOLUCIÔN NCJMER06 33 1 %E HOJAN 9 "Por Ia cual se impone una sanc/On" UNICA Entonces el dato sensible no es una informadon que solamente este relacionad? con la garantia propia del ejercicio del derecho de habeas data, sine que va ligada también al derécho fundamental a la intimidad, el cual, igualmente, se sujete de proteccion constitucional.
De otro lado, el Titulo Ill de la Ley 1581 de 2012 definiO unas categorias especiales de datos. Por una parte, en el articulo 7 de la norma se refiere al tratamiento de los datos perso6ales de los niños, niñas y adolescentes, asi: "Articulo 7. Derechos de los ninos, niñas y adolescentes. En el Tratavniento se 850 gurara el respeto a los derechos prevalentes de los niños, n/has.v adolesceiptes.
Queda proscrito ci Tratam/ento de datos persona/es do nihos, n/has y ado/ascot ites, salvo aquellos datos quo sean de naturaleza pub//ca. Es tarea del Estado y las entidades educativas de todo tipo proveer /nformaciOn y capac/tar a los representantes legales y tutores sobre los eventuales riesgos a los qua se enfrentan los niños, n/has y adolescentes respecto del Tratamiento indeb/do de sus datos persona/es, y proveer de copocimiento ace rca del uso responsable y seguro por parte de nihos, n/has y adolescentes d sus datos persona/es, su derecho a (a privacidad y protecciOn de su /nformac/On personal y ía de los demas.
El Gobierno Nac/onal reglamentara la mater/a, dentro de los se/s (6) meses siguientes a la promulgaciOn de esta ley' Es entonces clara que las datos do los menores gozan, por expresa disposici6ri del legislador, de una especial proteccion con el propOsito de resguardar otros derechos, pues conforme al texto constitucional 12, los mismos resultan prevalentes en relaciOn con los demás miembros de la sociedad debida a su situación de vulnerabilidad e indefension.
Por tal motivo, este tipo de informacion personal ha sido clasificada como una categoria especial de datos, concepto que juridicamente conlleva el grado mãximo de cuidado y diligencia en las actividades que involucren su tratamiento y administracion. Precisamente, la Carte Constitucional en el analisis de exequibilidad del citado articulo 7 señalO sabre el particular Ia siguiente13: "A Ia luz de /0 expuesto precedentemente, esta Corporac/On cons/dora que el /r/r?cipio del interes superior de los n/hos, las n/has y adolescentes se concreta, en el caso particular, en el establecimiento de condiciones quo perrnitan garantizar los derechos de los tnenores do 18 años an la sociedad de (a lnformaciOn y el Conoc/m/ento, dentro de la cual se encuentran las herramientas de Internet y redes sociales.
Se concluye entonces, ante la evidencia del entorno inmediato que rodea, el proceso de crecimiento y desarrollo de los niños, las nihas y los adolescentes en el aspecto fisico, mental y emotional; y ía urgencia del reconocimiento de su dignidéd humana, que todos los actores involucrados en el aseguramiento y efectivi4ad de los derechos de los menores de 18 años deben cumplir con sits responsabilidades en la protection de los mismos, concretamente, en la salvarguarda de sus datos personales (Negrillas fuera de texto).
Ahora, si bien esta distinciOn y especial protecciOn en tratãndose del traththiento de datos personales de los niños, niñas y adolescentes debe entenderse en sentido restrictivo, no puede interpretarse coma una prohibiciOn absoluta del tratamiento de datos personaI; pues como bien Ia indica la Code en la mencianada sentencia, "olio dada lugar a la negaciOn'de, otros derechos superiores do osta poblac/On como of do la segur/dad social en salud, interprotac/On ésta quo no encuentra con forme con la Corist/tuc/On (.714.t. Ademas, es clara que las datos personales de los niños, niñas y adolescentes, independientemente de su naturaleza, "pueden sor objeto de tratamiento s/empro y cuando el fin ' ue se porn/ga con "Arlcuto 44.
Son derechos fundamentales de los n/ños: (a vida, (a /ntegr/dad fisica, la saluci la seguridad social, Ia al/mentac/On equ/librada, su nombre y nacional/dad, tener una familia y no ser separados de el/a, el cuidado y amor, Ia educac/On y la cultura, (a recreacion y la fibre expre s/On de su opiniOn. Los derechos de los n/ños prevalecen sobre los derechos de los demas' Corte constitucional.
Sentencia c-746 del 96 de octubre de 2011. Ibidem. RESOLUCION NUMERO 6331E I-IOJA N 10 "Por la cuel so impone una sanciOn" [ VERSION (JNICA ] dicho tratamiento response al interOs superior de los niños, las niñas y adolescentes y so asegure sin excepciOn alguna el respeto de sus derechos prevalentes'15. En consecuencia, el tratamiento de su information personal se sujeta a las reglas previstas dentro del texto de la ley y se condiciona ademas, con el establecimiento de situaciones en las que no se ponga en riesgo la prevalencia de sus derechos; vale decir, que el tratamiento de su informaciOn personal afecte el reconocimiento y goce de sus derechos fundamentales.
De ahi que los datos de los niños, niñas y adolescentes hagan parte del titulo relacionado con las categorlas especiales de datos, de forma tal que su tratamiento no solo se asemeja a aquel dado a los datos sensibles, sino que incluso debe ser mucho mãs cuidadoso16. Frente a esto, durante la visita de inspecciOn se evidenciO que la sociedad investigada recolecta datos personales de naturaleza privada, datos sensibles y datos de menores de edad sin solicitar la autorización previa, expresa e informada para el tratamiento de la informacion.
Ahora bien, respecto de Ia solicitud de autorizaciOn de los datos de niños, niñas y adolescentes es importante aclarar que el tratamiento de datos personales de menores está permitido siempre y cuando se acuda a una interpretaciOn restringida, segUn la cual ese uso de la informaciOn se debe sujetar a la interpretaciôn esbozada por la Code Constitucional cuando analizO la exequibilidad del articulo 7 de la Ley 1581 de 2012.
Aun cuando el texto original de la norma estableciO en principio que quedaba "proscrito el Tratamionto de datos personales de ninos, niñas y adolescentes, salvo aquollos datos quo sean de nturaleza pOblica", la Code en sentencia C-748 de 2011 aclarO que dicha disposiciOn "no dobe entendorse en el sentido de quo existo una prohibiciOn absolute del tratamiento de los datos do los menoros de 18 años, excoptuando los de naturaleza pUb/ice, pues ello, dana luger a la negaciOn do otros derechos supeniores e esta poblaciOn (..j".
Siguiendo esa Ilnea de interpretaciOn, esa Corporacion concluyo que "( ) en ol tratamiento do los datos persona/es de menores de 18 años, al margori do su naturaleza, puodon ser objeto do tratamiento siempre y cuando elfin que se persiga con dicho tratamiento responda al intorés superior do los niños, niñas y adolescentes y so asogure sin excepciOn alguna el respeto do sus derechos pro va/ontes".
Tal interpretaciOn fue recogida por el Decreto LJnico Reglamentario 1074 de 2015, el cual estableciO que para el tratamiento de datos personales de niños, ninas y adolescentes, excepto cuando se trate de dates do naturaleza püblica, debera cumplirse con los siguientes parámetros y requisitos: (i) quo responda y respete el interés superior de los niños, niñas y adolescentes y (ii) que so asegure el respeto de sus derechos fundamentales.
Cumplidos los anteriores requisitos, el representante legal del nine, nina o adolescente otorgará la autorizacian previo ejercicio del menor de su derecho a ser escuchado, opinion que será valorada teniendo en cuenta la madurez, autonomia y capacidad para entender el asunto. A su vez, la citada norma tambien establecia que UTodo responsable y encergedo involucrado on ol tratemionto do los datos persona/es do niños, nines y adoloscentes, debera velar por el uso adocuado de los mismos.
Pare este fin deberan eplicarse los principios y obligaciones osteblocidos en /a Ley 1581 do 2012 yelpresonte decretot De manera concordante con lo expuesto, en la recolecciOn de la autorizacion, tal y como lo expone el literal b) del articulo 12 delaLey 1581 de 2012, "el Responsable del Tratamionto elmomento do solicitar al Titular la autorizaciOn, dobera informarle do manora c/are y exprese lo siguiente: ( ) El caracter facultativo do la respuesta a las preguntas quo lo seen hechas, cuendo versen sobre datos sonsiblos o sobre los detos de niños, niñas y adoloscentes".
Ahora bien en este punto es necesarlo referirse a la capacidad que tienen los menores de edad que suministran su informaciOn a la instituciOn educativa, bien sea como aspirantes o en los estudiantes que se matriculan en alguno do los programas ofrecidos por la UNIVERSIDAD, que para el caso 15•Ibidem. "Arnlcuto 5. DAmS SENSIBLES. Pam los propOsitos do Ia presente Icy, se entiendo POT datos sons/bIos aqueios quo afectan ía intimidad del, Titular o cuyo uso indebido puede gonerar su discriminaciOn, tales como aquo!/os que rove/en el origen racial o étnico, la orientaciOn polItica, las convicciones religiosas o fi/osOficas, la pertenoncia a sindicatos, organizacionos sociales, de derechos humanos 0 quo promueva interesos do cua!quierpartido politico o quo garanticen los dorechos y garantias do partidos politicos do oposición asi como los datos relativos a la salud, a la vida sexual y los datos biomOtricos' RESOLUCION NUMERO 133 1 HOJAN11 Pot /a cual se impono una sanc/On" particular los mismos, se clasifican coma adolescentes, por cuanto se encuentrad dentro del rango comprendido entre los 12 y los 18 años de edad.
Sobre el particular, vale la pena traer a colaciOn apartes del concepto radicado don el nUmero 13232774 emitido par la Superintendencia de Industria y Comercio frente at tratàmiento de datos personales par las lnstituciones Educativas: El articulo tercero de/ COdigo de la Infancia y /a Ado/escencia establece quo serán menores do edad aquelios que se oncuentran entre los 0 18 años, y a su vez,'Iestos so dividen en n/nosy niñas y adolescentes: Para todos los efectos de esta ley son sujetos titulares de derechos todhs las personas menores de 18 años.
Sin perjuicio do /0 establocido en el art/cu/a 34 del Cod/go Civil, entiendo por n/no 0 nina las personas entre lbs 0 los 12 años, y por adolescente las personas entre 12y 18 años do ed*' HistOr/camente, an nuestro ordenamiento fund/co se habian establecido /as categories de infantes - 0 a 7 anos-, impUberes -7 a 120 14 años- y menores adultos - 120 14 a 18 anosEn este sent/do, una serie de normas, an especial del Cod/go Civil han pr'evisto un regimen especial para Ia catogoria de menores adultos, la cual a la luz de la oxpediciOn del Cod/go de Ia lnfancia y Ia Adolescencia so debe encuadrar an Ia categoria do adolescentes, en especial an relación con Ia capac/dad do estos.
En este sent/do, la Code Constitucional manifesto: "Los menores adultos 9ozan do capacidad re/at/va, esto as quo pueden en forma libre y autOnoma realizar actos tales como tester, reconocer hUos extra-matrimoniales, conceder y reclamar para el/os alimentos, otorgar consent/rn/onto para dat an ado pc/On sus prop/os hos y celebrar ciertos contratos financ/eros; para otros actos, Si b/en so les reconoce cap4cidad, su realizaciOn esta sujota a la autor/zaciOn do sus represontantes, entre el/os1 celebrar matnimonio, pactar cap itulaciones, ser adoptado, colebrar contrato do trabajO.
Para Ia malizaciOn do otros actos juridicos, en cambio, son considerados inca paces bbsolutos, entre el/os ser tutores, curadores, albaceas a poritos. More b/en, ese roconocim/ento do Ia capacidad de autodoterm/naciOn do los individuos, qua como se he dicho es gradual, en ol Estado Social de Derecho estã relacionado de manora ostrecha con el concepto de libortad quo subyace an dicho t/po de or4ianizaci6n politica, la cual so traduce an actuar dentro de \"la esfera do lo perm/tidoU 4ue es, an dofin/tiva, aqué!la an Ia quo cada cual actUa sin constricciOn exterior, lo que as tanto coma decir que actuar en esta esfera as actuar sin estar determinado mas q4e pot uno m/smoA"( ) La capacidad del menorse reconoce an manor o mayor grado so gUn so encue,4tre an una u otra otapa de Ia vida, mas o monos cerca del limite establec/do por la by partir del cual ella se presume, y se relaciona con la complejidad do los asuntos para lo cuales se requiero y con el grado de evoluciOn del sujeto individualmente con s/derado; por ello, a medida que avanza el t/empo, se amp/ia el espoctro de asuntos en los cualls puede y debe dec/dir pot si mismo pam orientar, sin la conducc/On u orientac/On de otro su prop/o destino." Asi mismo, con poster/or/dad a la expediciOn del COd/go de Ia lnfancia y Ia Ad6 loscencia ía Code Constitucional ha considorado: "En vidud de una intorprotaciOn sistèmat/ca de las disposiciones constitucionales y de to expresamento senalado por los tratados /ntemacionales de derechos humanos qua bacon parte del bloque de constitácionalidad stricto sensu, esta CorporaciOn ha sostenido qua eb concepto manor de edad 4tmprende a la n/nez (0 a 12 años) y a la adolescenc/a (mayor de 12 y manor de 18 años) y, pot /a tanto, gozan de una protocciOn igualitaria en aras de su desarrollo armOn/co G integral y el ejerc/cio pleno de sus dorochos. 5.1.
De Ia lectura conjunta do los articulos 44 y 45 do la ConstituciOn, la Corte ha infer/do quo el empleo do los vocab/os "niflos" y "adolescontes' respectivamente, no, tiene por objeto oxcluir a ostos Ult/mos de la protecciOn especial otorgada a la niflez, s/nØ ofrocerles mayores espacios de participaciOn en los organismos pUblicos y privados da 0 su n/vol do desarrollo. r RESOLUCION NUMERO y ou i DE -s HOJAN12 VERSION UNICA En la sentenc/a C-092 de 2002, esta Corporac/On precisO que "la Carta utilize el term/no adolescentespara referirse a aqua/los JO vanes qua no han alcanzado aUn Ia mayoria de edad, pero qua tienen capacidad y madurez para part/c/par an los organ/smos pUblicos y pnvados que tengan a cargo la protecciOn, educaciOn yprogreso de Ia juventud, sin def/nir cuándo com/enza y a qué edad term/na la adolescencia. Lo que se buscO con tal consagraciOn fue pues garantizar la protecciOn y Ia formaciOn fisica, ps/cola gica, /ntelectual y social, asi como la part/cipaciOn active de los jOvenes en Ia vida cultural, deport/va, pout/ca, laboral y econOmica del pals, promov/endo su /ntervenciOn an las dec/s/ones de los organismos que tienen a su cargo polIt/cas respecto de ese grupo de Ia poblac/on.
As!, la distinc/On entre n/ho y adolescente, no se hizo pare efectos de la prevalenc/a de sus derechos, sino de ía participaciOn' Con base en lo anterior, la Code he sehalado qua "en Colombia, los adolascentes poseen garantias prop/as de su edad y n/vel de madurez, pero gozan de los mismos pr/vile gios y derechos fundamentales que los nihos, y son, por 10 tanto, k"rnenores" (s/ernpre y cuando no hayan cumpl/do los 18 anos)' Asi con un enfoque garantista, este Tribunal Constituc/onal ha cons/derado qua la protacciOn const/tuc/onal con ferida pore! articulo 44 a favor S los n/ños y n/has, incluye a todo menor S d/aciocho (18) años." De acuerdo COfl 10 cual, si b/en todos aquelbos qua se encuentren entre los cero y dieciocho ahos cuentan con los m/smos pr/vile g/os y protecciOn especial, la categoria de los adolescentes, en v/dud de la capacidad y madurez qua han desarrollado se les he dado un mayor margen de acciOn, en especial/dad en ralaciOn con la capacidad pare adopter dec/s/ones por 51 m/smos. 2.4 La autor/zaciOn de los ado/escentes para obtener /nformaciOn an rela c/an con su educac/On.
El articulo 45 de la Const/tuciOn Pout/ca establece: "El adolescante tiane derecho a la protacciOn y a la formac/On integral. El Estado y la sociedad garant/zan Ia part/c/p ac/On active cia los jOvenes en los organ/smos pub//cos y pr/vados que ten gan a cargo Ia protecc/On, educac/On y pro greso de Ia juventud. Asi mismo, el articulo 8 del Cad/go de Ia lnfanc/a y la Adolescancia consagra el principio de interAs superior del n/no, nina y ado lescentes, a/ cual se debe user como cr/terio de interpretac/On an todas las situac/ones qua /nvo/ucren a d/cho grupo de Ia poblaciOn: "Se ent/ende por iAtarOs superior del n/no, n/hay adolescente, el /mperativo qua oblige a todas las personas a garantizar la satisfacciOn integral y simulténea de todos sus Derechos Humanos, que son un/versales, pravalentas e interdepend/entes" Dantro de los derechos de los adolescantes se encuentran los siguientes: • Derecho a ía educac/on: "Los nihos, las n/has y los adolescentes tienen derecho a una educac/On de cal/dad: Este sera obl/gator/a porparta del Estado an un aho de preesco/ar y nueve de educac/On Ms/ca.
La educac/On sari gratuita an las instituciones estatales de acuerdo con los térm/hos astablec/dos en la Constitucion Pout/ca. Incurr/ra en mu/ta hasta de 20 salar/os minimos quienes se abstangan de recibir a un n/no an los establacim/entos pUbilcos de educacion." • Derecho a Ia /nformaciOn: "Sujeto a las restricciones necasarias pare asegurar el raspeto de sus derachos y a/ de los demOs y pare protegar la saguridad, la salud y la moral, los nihos, las n/has ylos adolescentes tie/ian darecho a buscar, recibir y difund/r informac/On a ideas a tra yes de los distintos med/os de comunicac/On de que d/spongan.
"(19) Asi m/smo, el adiculo 37 del COd/go de la Infancia y la Adolescencia establace: "Los nihos, las n/has y los adolescentes gozan de las libertades consagradas en Ia Con st/tuc/On Polit/ca y an los tratados intarnacionales de Derechos Humanos. Forman pada de estas libedadas el I/bre desarrollo de la personal/dad yla autonomia personal; la libadad cia concienc/a y de creenc/as;
Ia I/bedad de cultos; la libertad de pansamiento; la I/be rtad de bocomociOn; y la libertad pare ascoger pro fes/On u of/cio." Adic/onalmente, se he previsto la sigu/ente obligaciOn especial a cargo de las institucionas educat/vas: "Para cumplir con su mis/On las instituciones educat/vas tendran entra otras las siguientasobl/gaciones: 1. Fec/I/tare! acceso de los nihos, n/has y adolescentes al sistema educativo y garantizar su parmanencia. 2.
Brindar una educac/On partinenta y de cal/dad. ( )" En Ia consults se plantea la situac/On an la cual se hace nacesar/o obtanar de los adoIescentassus datos de contacto a fin de brindarla informac/On sobra programas y planes de estud/o. ] RESOLLJCIÔN NCJMERO6 331 E HOJA N 13 "Par /8 cuel so impono una sanciOn" Lo usual as quo dada /8 madurez que tionon los ado/escontos y tratandose de it asqnto que concierno dire ctamonte a su futuro academ/co y pro fosional, 6stosi acudon diroctamonte, y sin sus roprosontantes loge/es, a las instituc/onos oducativfl, o los contactan par ejemp/o a traves do /8 pagina web.
La ox/goncia cia contar con Ia autorizaciôn pro via do /os adoloscentes pare el trtamionto de sus datos persona/es par parto de las ont/dades educativas a fin do br/n darles (a informac/on sabre los programas que pueden curser puodo genorar d/ficultades Pr6cticas que podrian deriver an quo no se sum/nistre a los ado/escentos la information quo requieron para poder ingresar a los pro gramas de las /nst/tuc/onos oducativas.
En. este sontido, esta Oficina.Juridice encuentra que do generarse dicha sittaciOn se podrian afoctarlos derochos a los qua so he hocho menc/On y se genorarla grand/f/cu/tad pare las instituc/onos educativas para cumplir con la citada obligac/On especial quo tienen a cargo, par /o cual, encontramos quo so puede presenter una co//sian do dorobhos, par una parto al dorecho al habeas data y par otra los dorechos a los qua so be hecho monción. En relaciOn con Ia armonizac/On do normas y la ponderaciOn ante una co/is/on de derechos ía Cone Constitucional he cons/derado: "Las colisiones entre normas juridicas do /gual jorarquia constitucional deben soluc/onarse de forma quo so logro Ia Optima ef/cacia do las mismas.
El principio do la un/dad constitucional oxigo la interprdtaciôn do Ia Constituc/On como an todo armOn/co y cohoronto, a/ cual se opone una /ntotpretaciOn a/s/ada o contradictor/a do las dispos/cionos quo la into gran. 10. El ojerc/c/o do los derochos plan tea con flictos cuya soluciOn haco noesaria (a armonizaciOn concrota do las normas constituciona/es onfrontadas.
El pr/ncip/o do armonizaciOn concrete imp/do quo so bus quo la ofoctiv/dad do an dorecho mS/ante el sacrific/o o rostricc/On do otro. Do conform/dad con osto principio, of intOrp'oto debo resolver las co/is/ones entro b/ones jurid/cos, do forma quo so maxim/co la afoot/v/dad do cada uno do ellos. La co/is/On do dorochos no dobo, par /0 tanto, rosolvorse mo1/anto una pondoracion superficial o una prolac/On abstracta do uno do los b/ones jujld/cos on con flicto.
Este pondorac/On ox/go tenor on cuonta los divorsos b/ones o intorosos onjuogo y propender su armon/za c/On on Ia situac/On concrota, como momento pro vio ynocosario a cualqu/orjorarquizac/On o pro valonc/a do una norma const/tucional sabre otre. 11. El princ/p/o do armon/zac/On concrete imp//ca ía mutua dolimitaciOn do los bionos contra puostos, mod/ante Ia concordancia practice do las rospoctiva$ normas cth,stituc/onalos, do modo quo so asogure su max/ma ofectiv/dad.
En osto jirocoso do armon/zac/On concrete do los dorochos, 01 pr/nc/p/o do proporcionalidad, qua o doduco dol debar do rospotar los dorochos ajenos y no abuser do /as prop/os (C.P., art. 95-1), juoga an papal crucial. Los /im/tos trazados al ojorcicio do los dorochos, On ol caso concroto, dobon serproporcionalos, osto Os, no dobon /rmás a/là do lo ind/spoasablo pare porm/tir la maxima ofoct/vidad do los dorechos on pugna.
La proporcionalidad so ref/ore ontonces a la comparac/On do dos variables rolativas, cuyos a/ca ncos so proc/san on Ia situaciôn concrete, y no a ía pondoraciOn ontro una variable constanto 0 absolbta, y otras quo no lo son. La delim/taciOn proporcional do [as bianos juridicos on con fI/ctd, mod/ante su armon/zaciOn on Ia s/tuaciOn concrete, so hace nocasar/a cuando so tome en ser/o la final/dad social del Estado do garantizar ía efoctividad do los pr/ncipios, derochos y deboros consagrados on la ConstituciOn (C. P., art. 2), y so pretondo impod/r quo, par la via do (a rostr/cciOn injustificada do los dorochos, termine par socavarso 01 cdntonido do uno 0 var/os do el/os." Do acuordo con lo anterior, y teniondo como criteria de intorprotaciOn el consig'nado on ol citado articulo 8 del Cod/go do la lnfanc/a y Ia Adolesconc/a se dobo buscar s/ompro el /ntorOs super/or do los adolescentos.
Par lo cual, y a fin do eviler quo la aplicac/On do un dorocho 'derive on la inaplicaciOn do otros, so dobo cons/dorar quo on el caso ospocifico analizado, as docir, cue qdo so trato del tratamionto do datos do adoloscontos par parto do instituc/onos oducathkas a fin do br/ndarles /nformaciOn sabre los programas quo ofrocon, y on general /nforrnaciOn qua tenga como final/dad garant/zar el dorocho a Ia oducac/On do los adolosconto4 Os posible quo Ia autorizaciOn pre via sea otorgada diroctamento par el estudianto.
Dicha intorpretac/On osta on consonancia con las normas pro vistas en nuostro ordonamianto jurid/co quo roconocon 01 grado do maduroz do los monoros adultos y quo los otorgan capac/dad pare Ilovar a cabo par 5/ mismos ciortos actos (.4" RESOLUCION NUMERO HOJA N 14 " 'BE 7 VERSION CJNICA] En éste orden de ideas 1 atendiendo los principios de armonizaciôn de las normas y ponderacion de derechos mencionados en el concepto transcrito lineas atrás, para esta Direccion resulta razonable obtener la autorizacion previa, expresa e informada directamente del adolecente, cuando se recolectan datos de éstos para que se puedan inscribir como aspirantes o matricular en alguno de los programas ofrecidos por la UNIVERSIDAD.
Ahora bien, una vez aclarado el tema de solicitud de autorizacion en menores de 16 años procedemos a revisar el material probatorio obrante en el expediente, en el cual encontramos i) que los documentos recolectados en La visita de irtspeccion se encuentra el fomiulario de recolecciOn de datos (fl.16) en el cual solicitan nombres, direcciOn, edad, sexo, nombre de los padres, etc., sin solicitar en ningUn momento la autorizaciOn previa de los titulares antes de otorgar dichos datos personales.
Asi mismo, al revisar el formulario de inscripcion (fl. 18) se evidencia la solicitud de datos personales pUblicos, privados y sensibles (tales como nombres, estado civil, residencia actual, si es victima del conflicto armado, si pertenece a una poblacion con necesidades educativas especiales, al sisben, entre otros datos, sin embargo, en el documento analizado no se evidencia prueba de la solicitud de autorizaciOn a los titulares.
Ahora bien, en la visita de inspecciOn se evidenciaron los siguientes documentos y la recoleccion de estos datos personales (fl.2): JflhIIIibO____%.jcssu r Nombre cdego, Idend6caciôn. Sad, sexo direccion, barrio, email, Fomato De Proceso de cludad, celula5 telétono, nombre Reedéccion prornocion fisico. padre, nornbre rnad, enilsora qua De Datos Ws$tuclonal más escucha, universidad que It gustarta Ingresar, prngrama ce doses, estudlar.
Nombre, programa acadénto, pruebas icfeL lugar de nachnento. fetha, sexo, documenIo estado. civil, residencia, etato, Volante De Proceso de thscapacidad, informadon laboral, Pmoeso Ce admisionesy fisco Was padre, datos madre, nivel regtsfro educativo de padres, Ingresos, 'ANTIGUC' datOs nOciec familiar, ingresos, •.. aportantes del nOciso familiar, sben, eps, grupo éthto, IflfOftflaclôfl educatiVa, Nontre, programa acadénto,, pruebas Ides., luger de nacthento, • recha, sexo, documento, estado Civil, Civil, resldencia 1 estrato, vcaante De de. diseapacidad, I lormacion laboral, rrsesOIJE admisiones.y tlsico datos padre, datosmadre, &vel Irkscrocidn registro educativo de padres.
Ingresos, V' datos nOcleo faiWIlar. Ingi'esos, aporthntes del ncIeo farnikar, sisben, epa, gnipo éthIoc Inforrnadon educativa, • Nombre, dsththto,aecdon, cater; email, teléfono residencta, Contictenos Proceso seMdo al Web teléfono oficfra, dudad, coleglo de Pregrado clients donde graduO, programa, de Interét RESOLUCION NUMERO633 1% "Porla cuel se impone una sent/on" r f HOJA N 15 VERSION UNICA Documentos en los cuales no se evidenció que la investigada cumpliera con el cjeber establecido en el literal b) del articulo 17 de la Ley 1581 de 2012.
Es importante aclarar que Unicamente en el documento volante de procedo de inscription (nuevo) se evidencia la solicitud de autorizaciôn del titular, sin embargo, no se tiene certeza de la fecha en que se inició el uso de dicho formato, asi mismo, respecto de los estudiantes que otorgaron sus datos en el formularlo ant guo (fl.17) no se demostrO que solicitaran la autorizaciOn previa para el tratamiento.
Una vez analizadas las pruebas recolectadas en la visita de inspecciOn y teniendb claro que no se evidenciO la solicitud y conservation de la autorizaciôn de los más de 10.000: estudiantes que informan tener asi como de los demas titulares sobre los cuales tienen datos p 'ersonales en sus bases de datos. De otro lado, se procede a revisar el material probatorio aportado por la investigada los descargos, donde evidenciamos el formulario de recolecciOn de datos modificado coti la solicitud de autorizaciOn incorporada y adecuado al cumplimiento de los deberes establecidàs en la Ley 1581 de 2012, de igual manera aporta copia del formulario de inscripciOn igualmenté modificado y en cumplimiento de los deberes establecidos en la Ley (fl.1 16)., sin embargo, dichos documentos fueron incorporados por la investigada posteriormente a la visita de inspectiOn, es decir, que respecto de los datos obrantes al momento de la visita de inspeccion en sus basbs de datos no se demostro el cumplimiento del deber establecido en el literal b) del articulo 17 de la Ley 1581 de 2012.
En consecuencia, al recolectar datos personales de padres y acudientes, datossensibles y datos de menores sin contar con la autorizaciOn de los titulares la investigada vulnéro el derecho de habeas data de los titulares incumpliendo el deber establecido en el literal b) del artIculo 17 en concordancia con el literal c) del articulo 4 y los articulos 5, 6 y 9 de la Ley 1581 de 2012, asI como el inciso primero del artIculo 2.2.2.25.2.2 ylos artIculos 2.2.2.25.2.3 y 2.2.2,25.2.9fdel Decreto Unico Reglamentario 1074 de 2015.
Por 10 que se impondrá la correspondiente sanciOri. 8.2.4 Respecto del deber de informar [as finalidades del tratamiento El articulo 4 de la Ley 1581 de 2012, contempla los principios para el tratarniento de datos personales, entre los cuales se encuentra el principio de finalidad que senala que "(e)/ Tratamiento debe obedecer a una finalidad legitima de acuerdo con la ConstituciOn y la Ley, la cual debe ser informada a! Titula?', Sobre esto, Ia Honorable Corte Constitucional en sentenciá C-748 de 2011, senatO que en virtud del principio de finalidad los datos personales deben ser pthcesados con un propOsito especifico y explicito, razôn por la cual se impone el deber de informai clara, suficiente y previamente al titular acerca de la finalidad de la information suministrada, prohibiendo as[ Ia recopilaciOn de datos sin la especificacion clara acerca de su finalidad.
El principio rector, que para el cargo objeto de análisis es el de finalidad, debe confluir en cuanto a su aplicaciOn con los deberes y derechos contenidos en la Ley 1581 de 2012,especIficamente para el cargo es relevante mencionar el deber consagrado en el literal c) de inforñnar debidamente al Titular sobre la finalidad de la recolecciOn y los derechos que le asisterj en virtud de la autorizaciOn.
Adicionalmente, el articulo 12 de la misma Ley, senala que el responsable deb informar clara y expresamente al titular: (i) el tratamiento al cual serán sometidos sus datosc personales y la finalidad del mismo; (ü) El carácter facultativo de la respuesta a las preguntas qub le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niñob y adolescentes;
(Hi) Los derechos que le asisten como Titular; (iv) La identification, direction fisiba o electrOnica y telefono del Responsable del Tratamiento. En virtud de lo expuesto, es importante aclarar que el consentimiento es un eleniento esencial en el manejo de la administracion de los datos, y que el mismo debe ser calificado por cuanto debe ser previo, expreso e informado, asi pues, el titular antes de expresar su consentimiento debe conocer las finalidades para las cuales serán tratados sus datos, con el fir; de autorizar su conservatiOn, uso y circulaciOn segUn 10 informado por el responsable del trataniento, y asi poder hater uso de la libertad frente al poder informático y la autodeterminaciOn inforrflática.
En este mismo sentido, la Corte Constitutional senalO lo siguiente: RESOLUCION NCJMERc 3 31 60E ' HOJA N 16 "Por la cuel se impone una sanciOn" VERSION UNICA j 'La libeffad an ía administration do datos persona/es significa qua of sujeto concern/do mantenga, en todo momento, las facuftades de conocim/ento, act ualiza c/on y rectification do Ia information personal contenida en las bases de datos.
Si ello es asi as evidente que la libe rtad del individuo ante el poder informatico so concrete, entre otms aspectos, en Ia posibilidad de controlar la informac/On personal quo sobre sI repose an las bases do datos, competencia qua estO supeditada a quo exprese so consentimiento pare la incorpora cian do la information en of banco de datos o archive con-espondiente.
Este ejercicio de la libertad an los procesos informáticos, a juicio de la Corte, se concreta an la exigencia de autorizaciOn previa, expresa y suficiente por parte del titular de ía informatiOn, requisito predicable de los actos de administration de datos personales de contenido comercial y crediticio. La eliminaciOn del consentimiento del titular, adicionalmente, genera una desnaturalización del dato financiero, comercial y crediticio, que viola el derecho fundamental al hébeas data, en tanto restringe injustificadamente la autodeterminación del sujeto respecto de su information personal.
Para la Constitution, la libertad del sujeto concernido significa qua la administración de datos personales no pueda realizarse a sus espaldas, sino que debe tratarse de un proceso transparente, en qua an todo momento y lugar pueda conocer en dOnde estâ su information personal, pare qué propôsitos ha sido recolectada y qué mecanismos tiene a su disposiciOn pare su actualization y rectificatiOn.
La elimination de la autorizaciOn previa, expresa y suficiente para ía incorporatiOn del dMo an los arc hivos y bancos de datos administrados por los operadores permite, en Ultimas, la ejecuciOn de actos ocultos de acopio, tratamiento y divulgaciOn de informatiOn, operaciones del todo incompatibles con los derechos y garantias pro pios del habeas data.
(Resaltado fuera del texto)'47 De la visita de inspección se establecio que la institutiOn educativa no informa a los titulares de los datos acerca de todas las finalidades especificas del Tratamiento para las cuales se obtiene el consentimiento 18, del tratamiento de la information que solicitan a traves de los formularios denominados "formato de recolecciôn de datos" (fl.16), "historia medica ocupacional" (fls.29 y 30), "formato de estudiantes interesados" y "solicitud de certificados" (fl.28).
Mas aun cuando se tiene probado que realiza tratamiento de datos sensibles y de menores los cuales la Ley establece el deber do ademas de informar las finalidades, los derechos que les asisten como titulares, los datos del responsable, debe informar el caracter facultativo de las respuestas respecto de datos sensibles y de menores y [as finalidades especificas del tratamiento de dichos datos.
Ahora bien, tal como se aclaro en el numeral anterior, la investigada al momento de la visita aporto documentos en los cuales no se evidencia el cumplimiento de la Ley y el deber objeto de estudio, es decir no se evidencia el cumplimiento del deber de informar a los titulares consagrado en el literal c) del articulo 17 de la Ley 1581 de 2012, en concordancia con los articulos 6 y 12 de la misma norma, sin embargo, de manera posterior a la visita, en el escrito de descargos la investigada aportO dos documentos el formato de recolección de datos y el formulario de inscription, documentos quo habian sido recolectados en la visita de inspecciOn, pero modificados, en los cuales se informan las finalidades especificas para el tratamiento de los datos.
Asi pues, es claro que la investigada al momento de la visita de inspection tenia implementados dichos documentos sin [as modificaciories actuales, es decir, en los cuales no se evidencia el cumplimiento del deber de informar (fls.16 al 30) 1-pcevia a Ia vicita de incpeccion, en Consecuencia, no se tiene prueba de que los datos personales obrantes en las bases de datos de la investigada al momento de la visita hubieran sido recolectados cumpliendo con el deber de informar a los titulares, razon por la cual es claro para esta DirecciOn que para la fecha de la visita de inspecciOn la sociedad investigada no cumplia con el deber de informar a los titulares las finalidades para el tratamiento de sus datos, mâs aun teniendo en cuenta quo realiza tratamiento de datos sensibles y de nines, niñas y adolescentes, sobre los cuales se debe informar el caracter facultativo de la respuesta a las preguntas que le sean hechas y las finalidades especificas del tratamiento.
En virtud de lo expuesto, para esta Direction es claro el actuar negligente de Ia investigada al hater tratamiento de datos personales, sensibles y de menores sin cumplir con el deber establecido en el literal C) del artFculo 17 en concordancia con el literal b) del articulo 4 as[ como los articulos 6 y 12 de la Ley 1581 de 2012, y el inciso primero del articulo 2.2.2.25.2.2 y 2.2.2.25.2.2 del Decreto Unico Reglamentario 1074 de 2015.
Por lo que se impondra la correspondiente sanciOn administrativa. 17 Ver en: Corte Constitucional Sentenda C-748 del 6 de octubre de 2011 MP. Jorge Ignacio Pretelt Chaijub. 18 Articulo 5 del Decreto 1377 de 2013 quo reglamentO parte del articulado de la Ley 1581 do 2012 RESOLUCION NCJMERO6 'ODE HOJA N 17 "Por la cual se irnpone una sanciOn" 8.2.5 Respecto del deber de seguridad Conforme con el principia de seguridad de la informacion el Responsable debe nanejar los datos recolectados con las medidas técnicas, humanas y administrativas que sean necesarias para otargar seguridad a los registros evitando su adulteracion, perdida, consulta, lisa 0 acceso no autorizado o fraudulento.
La necesidad de que el data se mantenga baja los contrales de seguridad necesrios y suficientes se desprende de fenomenos coma la globalización, el internet de las cosas o el bdim del "big data", que dia a dia propician un escenario benefico para el flujo constante de infármaciOn a nivel intemacional, la cual, a su vez, al encontrarse almacenada en sistemas automatizados, aumenta los riegos de filtraciOn de datos y hace necesaria la adopcion de medidas eficaces para su conservaciOn dentro de los dispositivos idOneos y baja paramentos adecuadcs para evitar su circulaciôn desmedida.
Existe entances un deber del Responsable de implementar controles de seguridad canforme al tipo de base de datos que se trate - fisica a automatizada -, de tal manera que permian garantizar los estándares minimos de protecciOn consagradas en la Ley 1581 de 2012. La anterior se encuentra desarrollado par el principio de seguridad de la inforr ción incorporada en el literal g) del articulo cuarto de la Ley 1581 de 2012, segUn el cual "[Ija iv rmaciOn sujeta a Tratamiento par el Responsable del Tratamiento a Encargado del Tratamiento presente ley, se debera manejar con las medidas tOcnicas, humanas y admin necesarias para otorgar seguridad a los registros evitando su adultera clan, pé' o acceso no autorizado a fraudulento" que se refiere la ativas que sean Ia, consulta, usa Este principio comprende La necesidad de garantizar al Titular que, si th autorizaciOn para que determinada arganizacion lleve a cabo el tratamiento de la suministrada, sus datos personales se mantendran almacenados de forma tal circulaciOn irrestricta y que no sea filtrada par las personas que intervienen en el manera que el sujeto obligada implemente mecanismos y contr ples proporcionE cada casa en particular. ? entregar su 'rmaciOn par el se impedirã la 3miento, de tal y conformes a Consecuentemente, se hace necesaria que esas politicas y procedimientos no &ean simplemente contempladas a vislumbrados en el idearia de la arganizaciOn, muy pare! cantrailo, la Ley 1581 de 2012 exige que los procedimientos y politicas se encuentren documentados e iijiplementados par la entidad; no otra interpretaciOn puede darse a la lectura del literal k) del articulo 118 de la Ley 1581 de 2012 que establece que corresponde al Responsable del tratamiento de la informaciOn adoptar un manual interno de paliticas y pracedimientos para garantizar el adecuada cuinplimienta de sus disposiciones.
En ese entendido, ya que de conformidad con la Ley 1581 de 2012 es un debq del Responsable garantizar que La informacion que se encuentra almacenada en su base de dates se maneje can las medidas tecnicas, humanas y administrativas que sean necesarias para otorar seguridad a los registros evitando su adulteracion, perdida, consulta, uso o acceso no autorizada a fraudulento, resulta indispensable e imperativo que dichas medidas se encuentren documentadas en un manual de politicas a procedimientos.
En la visita de inspecciOn se recolectó un documento titulado "politica de Iseguricad de la infarmacion la universidad de la costa" (fls.61 al 73), sin embargo, at analizar la, pieza prabatoria encontramos que no se evidencia la implementacion de medidas y procedimier1tos de seguridad apropiados y praparcianales al tamano de la saciedad, que garantizara una adecuada protecciOn de los datos persanales.
Ahora bien, junta con el escrita de descargos la sociedad investigada apartO dc$cumento titulado "manual inferno de procedimientos para la seguridad de la informaciOn" VersiOrj 1 septiembre de 2017, documento de fecha de creacion posterior a la visita de inspeccion, yen el cual se visualiza la implementacion de medidas y procedimientos de seguridad.
En virtud de lo expuesta, para esta DirecciOn es clara que la investigada al mohiento de la visita de inspección no tenia documentado un manual de politicas de seguridad de la informaciOn, incumpliendo asi el deber establecido en el literal k) del articulo 17 de la Ley 1581 de 2012 en RESOLUCION NUMERO 633 i HOJA N 18 "Par ía cual se impone una sanciôn" VERSION (MICA ] concordancia con el literal g) del articulo 4) de la norma en comento, as[ coma los articulos 2.2.2.2.25.2.1 y 2.2.2.25.6.2 del Decreto Unico Reglamentario 1074 de 2015.
RazOn par la cual se impondrá la correspondiente sanciOn. 8.2.6 Conclusiones En el caso sub-examine, es clara que la sociedad investigada incumpliO con los deberes señalados par la Ley coma Responsable de la information para la fecha de la Visita de inspection el 13 y 14 de mayo de 2015, pues coma bien se expuso y quedO demostrado a lo largo de la presente investigaciOn administrativa la UNIVERSIDAD DE LA COSTA CUC (I) no habia implementado y puesto a disposiciOn de los titulares la Political de Tratamiento de datos;
(ii) no contaba con un manual a procedimiento documentado para la atención de quejas y reclamos y un manual de procedimientos usados para la recolecciOn, almacenamiento, usa, circulation y supresiOn de la information donde se describan las finalidades para las cuales la informacion es recolectada; (iii) no contaba con la autorizaciOn previa, expresa e informada de los titulares cuyos datos estaban siendo tratados por la UNIVERSIDAD;
(iv) no inforrnaba a los titulares el tratamiento de los datos, las finalidades para las cuales eran recolectados y el carácter facultativo de la respuesta a las preguntas hechas sobre datos sensibles a de niños, niñas y adolescentes: (v) no tenia implementado iii documentado un manual de politicas de seguridad de la informaciOn. La anterior conlleva a esta Direction a concluir qua con la conducta mencionada, la sociedad investigada vulnerO el derecho fundamental de habeas data de los Titulares, el cual se encuentra expresamente protegido par la Constitucion Political y enmarcado dentro de los principios de la administracion de datos establecidos en el articulo 4 de la Ley 1581 de 2012, más aün cuando la sociedad realiza tratamiento de datos de niños, niñas y adolescentes cuyos datos gozan par expresa disposicion del legislador de una especial proteccion y deben ser tratados con el grado máximo de cuidado y diligencia. En consecuencia, no hay lugar a dudar para esta Direccion acerca de la dimension del dana qua efectiVamente se materializo en el caso en cuestiOn par cuanto la UNIVERSIDAD DE LA COSTA CUC no observo deberes de obligatorio cumplimiento contemplados en el articulo 17 de la Ley 1581 de 2012.
NOVENO: Imposición y graduación de Ia sanciôn 9.1 Facultad sancionatoria La Ley 1581 do 2012 le confirio a la Superintendencia de industrial y Comercio una potestad sancionatoria que se concreta en el articulo 23 de la Ley 1581 de 2012, estableciendo algunos criterios de graduacion qua se encuentran señalados en el articulo 24 ibidem, par Jo tanto, atendiendo dichos criterios, este Despacho entrara a determinar cuales debera tener an cuenta en el caso concreto, asi: 8.1.1 lmposicion y graduación de Ia sanción Respecto a ]as sanciones que se imponen par la infraction al Regimen de ProtecciOn de Datos, debe precisarse qua conforme al principio de proporcionalidad qua oriental el derecho administratiVo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibria entre la sancion y Ia finalidad de la norma qua establezca, asi coma la proporcionalidad entre el hecho canstitutivo de la infraction y la sanciOn apliOada.
Sabre Ia aplicaciOn de este principio, la Carte Constitucional ha senalado: "En cuanto 8/ principio de proporciona/idad an materia sancionatoria administrative, Oste exige qua tanto /8 fe/ta descrita coma /8 sanciOn correspondiente 8 las mismas qua resulten adecuadas a los fines de la norma, esto es, a /8 realizaciOn de los principios qua gobieman la funcion pUb/ice.
Respecto de ía sanciOn administrative, la proportional/dad imp/ice tambien qua ella no resulte excesiva an rigidez frente a ía gravedad de /8 conducta, ni tampoco carente de importancia frente a esa misma gravedad"19 Carte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp. Red. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra.
N 19 RESOLUCION NUMERO6 3 31 thE •1-IOJA Ad Par /a cuel se impone una sanciOrx' F I. VSION UNCA De esta forma, para Ia correcta adecuaciOn de los hechos y la sanción aplicable, eljoperadorjuridico en materia de protecciOn de datos personales, debe en primera medida anaIizat la dimension del dana a peligro a los intereses jurIdicos tutelados, asi como el posible beneficioleconomico, para luego analizar otras circunstancias concurrentes de graduaciOn, tales como la capácidad econOmica del investigado, la reiteraciOn de la infracciOn, colaboraciOn del investigado pra esclarecer los hechos investigados20.
Tambien se tendran en cuenta para la dosificaciOn de la sancion, el tamano dé Ia empresa, sus ingresos operacianales, patrimonio y, en general, su informacion financiera, dd tal forma que la sanciOn resulte disuasoria más no confiscatoria. Finalmente, se tendrán en cuetjta la conducta de la investigada durante el trámite de la investigacion administrativa.
De la lectura de la norma citada, resulta claro que para clue haya lugar a la irrposiciOn de una sanciOn par parte de este Despacho, basta que la conducta desplegada por lal investigada haya puesto en peligro los intereses jurIdicos tuteladas por la Ley 1581 de 2012. En el caso sub-examine, en primer termino, quedo demostrado que la sociedd investigada no habia implementado y puesto a disposicion de los titulares La politica de tratamiento de datos personales, pese a sus continuas y reiteradas actividades de recolecciOn de daos personales de naturaleza privada, sensible y datos de ninos, ninas y adolescentes impidiendo asi que los titulares tuvieran conocimiento de las mismas, incumpliendo asi el deber que Ia investigbda ostenta en su calidad de Responsable del Tratamiento de la informacion contemplado en el iiciso segundo del articulo 2.2.2.25.3.1 en concordancia con los articulos 2.2.2.25.3.2 y 2.2.2.25.3.5.del Decreto Unico Reglamentario 1074 de 2012.
Frente a lo mencionado, este Despacho considera que al no haber impleme4tado y puesto en conocimiento en un lenguaje claro y sencillo las politicas de tratamiento la sàciedad vulnerO el derecho de habeas data de los titulares. En segundo término, resulta claro clue la sociedad investigada al momenta de la 'vsita de inspeccion no tenia adoptado e implementado un manual interno de politicas y procedimienos para garantizar el adecuado cumplimiento de Ia Ley 1581 de 2012, es decir: i) para Ia atencián de consultas y reclamos; ii) ni un procedimiento documentado para la recolecciOn, almdcenamiento, uso, circulaciOn y supresiOn de la informaciOn, donde se describan las finalidades !P ara las cuales la informaciOn es recolectada.
Incumpliendo de esta manera el deber contempladó en el literal k) del articulo 17 de la Ley 1581 de 2012, en concordancia con el articulo 25 de Ia misma norma, asi como el articulo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2012, vulnerando asi el derecho de habeas data de los titulares. En tercer término, quedO demostrado que la sociedad investigada realizaba trtamiento de datos personales y sensibles sin contar con la debida autorizaciOn de los titulares, hecho que vulnera el derecho de habeas data de los mismos, con el agravante de que realiza tratarjiiento de datos de ninos, niñas y adolescentes, frente a los cuales la Ley impone un deber especial de cuidado, sin solicitar la autorizaciOn de los representantes Iegales.
Vulnerando asi el deber clue la investigada ostenta en su calidad de Responsable del Tratamiento de la informaciOn contemplado en el literal b) del articulo 17 en concordancia 'con el literal c) del articulo 4 y los articulos 5, 6 y 9 de la Ley 1581 de 2012, as[ como el inciso Arimero del articulo 2.2.2.25.2.2 y los articulos 2.2.2.25.2.3 y 2.2.2.25.2.9 del Decreto Unico ReglAmentario 1074 de 2015.
Ley 1266 de 2006 "Articulo 19. Cr/tories paw graduar (as sanciones. Las sanciones par inifacciones a las quo se rofieron el afficulo anterior, se graduarán atendiendo los siguientes cr/tot/os, an cuanto reslelten ap/icables: a) La dimension del dana o peligro a los intoroses juridicos tutotados par la prosente by; b) El bone ficio economico obtenido pore! infractor a terceros, an virtud de la comisiOn do la infracciOn; c) La reincidencia on la cam/s/On do la infracciOn; d) La resistencia, negative u obstrucciOn a Ia acciOn investigadora o do vigilancia de Ia.Superintendencia do Industria y Camercio; e) La renuencia o dosacato a cumplir las Ordenes impartidas par la Superintendencia qe Industria y Comercio; f) El reconocimiento a aceptaciOn expresos quo haga ol investigado sobre la comisiOn do Ia infracciOn antes de Ia imposiciOn do la sanciôn a quo hubiore luger." RESOLUCION NCJMERO6 3 3 1 §E 7 1-JOJA Ni 20 "Porla cual se impone una sanciOn" LVERSION LJNICA Anudado a Ia anterior, en cuarto témlino la sociedad investigada no actuO con la debida diligencia al momenta de recolectar los datas personales y sensibles puesta que omitiO infarmar a los titulares el tratamiento al cual serãn sometidos sus datos y las finabdades del mismo, asi coma el carácter facultativa de la respuesta cuando [as preguntas versen sabre datos sensibles a de ninos, ninas y adolescentes, incumpliendo el deber establecido en el literal c) del artIcula 17 en concordancia con el literal b) del articula 4 asi como los articulos 6 y12 de la Ley 1581 de 2012, y el inciso primero, del articulo 2.2.2.25.2.2 y 2.2.2.25.2.2 del Decreto Unico Reglamentario 1074 de 2015.
Finalmente, respecto del principia de seguridad la sociedad investigada al momento de la visita de inspecciôn no tenia documentadas las medidas y procedimientos de seguridad implementados para garantizar los estándares minimos de proteccián consagrados en la Ley, por Ia que quedO demostrado el incumpliendo el deber establecido en el literal k) del articula 17 de la Ley 1581 de 2012 en cancordancia con el literal g) del artIculo 4) de la norma en comenta, as[ como los articulos 222.2.25.2.1 y 2.2.2.25.6.2 del Decreto Unico Reglamentario 1074 de 2015.
En virtud de Ia expuesto, es claro que la sociedad vulnerO los deberes contemplados en: i) el inciso segundo del articula 2.2.2.25.3.1 en concordancia con los articulos 2.2.2.25.3.2 y 2.2.2.25.3.5 del Decreto Unica Reglamentario 1074 de 2015; ii) el literal k) del articulo 17 de la Ley 1581 de 2012, en cancordancia con el artIculo 25 de la misma norma, as[ coma el articulo 2.2.2.25.3.1 del Decreta (mica Reglamentario 1074 de 2012; iii) el literal b) del articula 17 de la Ley 1581 de 2012, en concordancia el literal c) del articulo 4 y los articulos 5, 6 y 9 de la norma en menciOn, asi corno el incisa primero del articulo 2.2.2.25.2.2 y los articulos 2.2.2.25.2.3 y 2.2.2.25.2.9 del Decreto Unica Reglamentario 1074 de 2015; iv) el literal c) del articulo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del articula 4 asi coma los articulos 6 y 12 de La Ley 1581 de 2012, y el incisa primero del articulo 2.2.2.25.2.2 y 2.2.2.25.2.3 del Decreto Unico Reglamentario 1074 de 2015; v) y el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del articulo 4 de la norma en menciOn, asi coma los articulas 2.2.2.25.2.1 y 2.2.2.25.6.2 del Decreto Unica Reglamentario 1074 de 2015.
Par Ia indicado, esta Superintendencia impondrá par esta conducta camo sanciôn, la suma de ciento ochenta (180) salarias minimos legales mensuales vigentes. 9.1.2 Otros cdterios de graduaciOn Par ültimo se aclara que los criterios de graduaciOn de la sanciOn senalados en las literales b), c), d) ye) del artIculo 24 de la Ley 1581 de 2012, los cuales agravan el monto de la sanciOn, no serán tenidos en cuenta debido a que (i) dentro de la investigaciOn realizada no se encontrO que la investigada hubiera obtenido beneficio econOmico alguno por la camisiOn de la infracciOn, (ü) no huba reincidencia en la comisiOn de la infracciOn, (iii) no huba resistencia u obstruction a la acción investigativa de Ia Superintendencia y, (iv) no hubo renuencia o desacata a cumplir las ordenes e instrucciones del Despacho.
El criteria de atenuaciOn senalado en el literal fl del articulo citada no se aplica toda vez que la investigada no recanaciO o aceptO la comisión de la infraction. En mérito de Ia expuesto este Despacha, RESU E LVE ARTICULO PRIMERO: Imponer una sanciOn pecuniaria a la sociedad CORPORACION UNIVERSIDAD DE LA COSTA identificada con el Nit. 890.104.530, de CIENTO CUARENTA MILLONES SEISCIENTOS VEINTITRES MIL QUINIENTOS SESENTA PESOS M!cte.
($140.623.560), equivalente a ciento ochenta (180) salarias minimos legales mensuales vigentes, por los hechas descritos en la parte mativa de esta providencia.
PARAGRAFO: El valor de la sanciOn pecuniaria que por esta resoluciOn se impone, deberã consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de DirecciOn del Tesoro Nacional - Fandos Comunes, COdigo Rentistico No. 350300, Nit. 899999090-2. En el reciba debera indicarse el nümero del expediente y el nómero de Ia presente resolución. El pago deberã acreditarse ante la pagaduria de esta Superintendencia, HOJA N 21 RESOLUCION NUMERO "Por la aml se impone una sanciOn" F VEbSION CINICA con el original de la consignaciOn, dentro de los cinco (5) dias hábiles siguientes la ejecutoria de esta resolucion.
ARTICULO SEGUNDO: Notificar personalmente el contenido de la presente r solucion a la CORPORACION UNIVERSIDAD DE LA COSTA identificada con el Nit. 890.10.530,a traves de su apoderado o representante legal, entregándole copia de la misma e informéndole que contra ella procede recurso de reposiciOn ante el Director de lnvestigaciOn de jProteccion de Datos personales y el de apelacion ante el Superintendente Delegado para la Proteccion de Datos Personales, dentro de los diez (10) dias siguientes a la diligencia de notificcion.
NOTIFIQUESE V C(JMPLASE Dada en Bogota D. C., El Director de lnvestigaciOn de Proteccian de Datos Personales, 30 AGO R MUOZ AMVJI CESM NOTIFICACION: Investigada: Entidad: CORPORACION UNIVERSIDAD DE LA COSTA ldentificaciOn: Nit. 890.104.530 Representante legal: TITO JOSE CRISSIEN BORRERO ldentificacion: C.C. No. 79.785.729 Direccion: Cra. 58 No. 55-66 Ciudad: Barranquilla - Atlántico Correo electronico: rectoria@cuc.edu.co