Decisión 19191 de 2021 — SIC

(09 ABRIL 2021) “Por la cual se impone una sanción y se imparten órdenes” Radicación: 19-134187 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que, esta Dirección, en ejercicio de la función de vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en el Régimen de Protección de Datos Personales otorgada por los artículos 19 y 21 de la Ley 1581 de 2012 y conforme a la función de administración del Registro Nacional Público de Bases de Datos –en adelante RNBD– consagrada en el literal h) del artículo 21 ejúsdem y el numeral 7 del artículo 17 del Decreto 4886 de 2011, procedió mediante oficio No. 19-134187- 00000-000 del 14 de junio de 2019 a requerir a la sociedad ACADEMIA DE COCINA Y ARTES S.A., identificada con el Nit. 830.129.794-6, para que remitiera y/o se pronunciara frente a lo siguiente: “1.

Exponga las razones por las cuales no llevó a cabo el proceso de inscripción de sus bases de datos en el Registro Nacional de Base de Datos -RNBD. 2. Sírvase remitir con destino a esta Dirección copia de la Política de Tratamiento de Datos Personales. 3. Sírvase remitir con destino a esta Dirección copia del manual de Políticas de seguridad. 4.Sírvase remitir con destino a esta Dirección copia del manual de procedimientos implementados por la organización para la atención de consultas y reclamos. 5.Sírvase remitir con destino a esta Dirección copia del Manual de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de la información. 6.Señale a este Despacho cuáles son los mecanismos utilizados o las fuentes a través de las cuales recolecta los datos de los titulares almacenados en sus bases de datos”.

SEGUNDO: Que cumplido el término de CINCO (05) días concedido mediante el oficio No. 19134187- -00000-000 del 14 de junio de 2019, enviado a la dirección de correo electrónico contabilidad@academiaverdeoliva.com, figurante en el certificado de existencia y representación legal de la sociedad, expedido por la Cámara de Comercio de Bogotá, no se observa en el expediente que la sociedad ACADEMIA DE COCINA Y ARTES S.A. hubiere suministrado respuesta al anterior requerimiento.

TERCERO: Que debido a lo anterior, mediante oficio No. 19-134187- -1-0 del 24 de enero de 2020, el Grupo de Trabajo de Investigaciones Administrativas de esta Dirección requirió nuevamente a la sociedad ACADEMIA DE COCINA Y ARTES S.A. para que allegara la siguiente: “1. Informe y acredite las razones por las cuales no llevó a cabo el proceso de inscripción de su(s) base(s) de dato(s) con información personal en el Registro Nacional de Base de Datos - RNBD. 2.

Remita copia de la(s) Política(s) de Tratamiento de Datos Personales desarrollada (s) e implementada (s) por la sociedad. 3. Remita copia del manual de Políticas de seguridad implementado por la sociedad. 4.Remita copia del manual de políticas y procedimientos implementado por la sociedad para la atención de peticiones, consultas y reclamos. 5.Remita copia del Manual políticas y procedimientos implementados por la sociedad para la recolección, almacenamiento, uso, circulación y supresión de la información personal y acredite su implementación”.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N, Cumplido el término de CINCO (05) días concedido mediante el oficio No. 19-134187- -1-0 del 24 de enero de 2020, enviado a la dirección de correo electrónico contabilidad@academiaverdeoliva.com, figurante en el certificado de existencia y representación legal de la sociedad, expedido por la Cámara de Comercio de Bogotá, no se observa en el expediente que la sociedad ACADEMIA DE COCINA Y ARTES S.A hubiere suministrado respuesta al anterior requerimiento.

Que este Despacho acumuló en el expediente 19-134187 la actuación administrativa radicada ante esta Superintendencia bajo el número de radicado 19-141847, toda vez que versa sobre los mismos hechos y partes.

CUARTO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: 1) El Literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 19 de la misma ley y el literal f) del artículo 21 ejúsdem. 2) El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 y el literal e) del artículo 4 de la norma en mención, y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015. 3) El Literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4) de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. 4) El Literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con los artículos 14 y 15 de la ley en cita. 5) El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.2.1 del Decreto 1074 de 2015.

E 6 de agosto de 2020, se inició la presente investigación administrativa mediante la expedición de la Resolución No. 45748 por medio de la cual se formularon cinco (5) cargos a la sociedad ACADEMIA DE COCINA Y ARTES S.A., identificada con el Nit. 830.129.794-6. La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante.

QUINTO: Que, encontrándose dentro de la oportunidad legal para rendir descargos, la investigada guardó silencio.

SEXTO: Que mediante Resolución No. 68095 del 27 de Octubre de 2020, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 19-134187, con el valor legal que les corresponda, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

SÉPTIMO: Que, vencido el término otorgado para presentar alegatos de conclusión, la sociedad guardó silencio.

OCTAVO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la personales se respeten los principios, derechos, garantías y procedimientos previstos en la ley. “Por la cual se impone una sanción y se imparten órdenes” HOJA N, NOVENO: Análisis del caso 9.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de las siguientes normas: • • • • • • Literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 19 de la misma ley y el literal f) del artículo 21 ejúsdem. establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares.

El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012. De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a: Literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la misma ley y el literal e) del artículo 4 ejúsdem, y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015.

Literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4) de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. Literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con los artículos 14 y 15 de la ley en cita. Literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.2.1 del Decreto 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la sociedad investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hallazgos encontrados por esta Dirección, así como las razones de hecho y de derecho y el conjunto de pruebas allegadas al expediente. 9.1.2 Respecto del deber de atender los requerimientos de la autoridad de protección de datos personales El artículo 17 de la Ley 1581 de 2012 señala los deberes que le asisten a los Responsables del tratamiento de información, entre otros, establece lo siguiente: “Artículo 17 de la Ley 1581 de 2012: Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad Corte Constitucional, sentencia C-748/11, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

“Por la cual se impone una sanción y se imparten órdenes” HOJA N, (…) o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.” En forma preliminar se encontró que la investigada había incumplido este deber en la medida que esta Dirección realizó un requerimiento de información bajo el radicado No. 19-134187- -000000002 del 14 de junio de 2019, mediante el cual solicitó la siguiente información: “1.

El citado requerimiento fue remitido a la dirección de correo electrónico de notificación judicial contabilidad@academiaverdeoliva.com, el cual corresponde al que está registrado en el certificado de existencia y representación legal de la sociedad investigada, expedido por la Cámara de Comercio de Bogotá. Frente al mencionado requerimiento, la investigada no otorgó respuesta alguna.

Posteriormente, mediante oficio No. 19-134187- -1-0 del 24 3 de enero de 2020, se requirió nuevamente a la sociedad para que allegará la información solicitada, y dicho requerimiento fue enviado de nuevo al correo electrónico contabilidad@academiaverdeoliva.com, el 27 de enero de 2020. Con base en lo anterior, y dado que la investigada no otorgó respuesta alguna, desatendiendo los requerimientos efectuados por esta Dirección, se concluye que la sociedad ACADEMIA DE COCINA Y ARTES S.A., presuntamente incumplió su deber de atender los requerimientos efectuados por la Superintendencia de Industria y Comercio.

Esta Dirección decidió abrir investigación y formular cargos por la presunta vulneración de la norma estatutaria, razón por la cual, se expidió el acto administrativo No. 45748 del 6 de agosto de 2020, notificado mediante Aviso Web No. 22235 del 22 de septiembre de 2020, de conformidad con la certificación radicada bajo el número 19-134187- -104 del 15 de octubre de 2020.

(consecutivo 0). Obra en el expediente digital No. 19 -134187 (consecutivo 1) Obra en el expediente digital No. 19 -134187 (consecutivo 10) Obra en el expediente digital No. 19 -134187 (consecutivo 15) “Por la cual se impone una sanción y se imparten órdenes” HOJA N, Con base en lo anterior, esta Dirección encuentra probada la conducta negligente por parte de la investigada al vulnerar lo dispuesto en el Literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 19 de la misma ley y el literal f) del artículo 21 ejúsdem, razón por la cual, se impondrá la respectiva sanción. 9.1.3 Respecto al deber de adoptar una Política de Tratamiento de Datos Personales Conforme al principio de legalidad en materia de datos personales, cualquier forma de Tratamiento de información personal desde su recolección hasta su disposición final se encuentra orientada por las normas contenidas no solamente en la Ley 1581 de 2012 sino también en la normatividad que sabre la materia se ha expedido, la cual, para el caso en particular, corresponde al Decreto Único Reglamentarlo 1074 de 2015; lo que traduce en el hecho de que las disposiciones del referido decreto tienen la misma obligatoriedad y carácter vinculante que la ley estatutaria.

Es deber de los responsables adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente y en especial, para la atención de consultas y reclamos, contemplada en el literal k) del artículo 17 de la Ley 1581 de 2012, toda vez que las políticas del tratamiento de la información hacen parte del manual interno de políticas y procedimientos adoptado para los Responsables y Encargados del Tratamiento, ya que por medio de este se Ie informa a los Titulares cuáles son sus derechos, quien es el Responsable de la información y el fin para el cual van a ser tratados sus datos.

De otra parte, el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015, se establece el contenido mínimo que debe contener una política de tratamiento de la información, el cual indica Io siguiente: "Articulo 2.2.2.25.3.1. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas.

Las políticas de Tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares. Dichas políticas deberán incluir, por lo menos, Ia siguiente información: 1.Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. 2.

Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. 3. Derechos que le asisten come Titular. 4. Persona o área responsable de Ia atención de peticiones, consultas y reclamos ante Ia cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. 5.

Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. 6. Fecha de entrada en vigencia de la política de tratamiento de la información y periodo de vigencia de la base de datos. Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2 del presente Decreto, deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas." La reunión de estos elementos permite garantizar "el ámbito de protección del derecho de habeas data 6 " pues resultan oponibles al sujeto obligado en los procesos de recolección, tratamiento, circulación y disposición final de datos, así como también permite garantizar a los Titulares el pleno y efectivo ejercicio del derecho de Habeas Data a través de la implementación y puesta en marcha, de los principios que rigen el Tratamiento de los datos personales mediante herramientas 6 Corte Constitucional. sentencia C-748 de 2011.

M.P. María Victoria Cane Correa. “Por la cual se impone una sanción y se imparten órdenes” HOJA N, claramente definidas y los procedimientos para su implementación. Esta Dirección recolectó elementos de prueba a través del Grupo de Trabajo de Investigaciones Administrativas mediante los oficios Nos. 19-134187- -00000- 000 del 14 de junio de 2019 y 19134187- -1-0 del 24 de enero de 2020, los cuales fueron enviados al correo de notificación judicial contabilidad@academiaverdeoliva.com, de acuerdo con el certificado de existencia y representación legal de la sociedad, debidamente expedido por la Cámara de Comercio de Bogotá. Tal como se señaló en el acápite anterior, se requirió a la investigada en dos oportunidades con el propósito de que remitiera copia de la Política de Tratamiento de Datos Personales desarrollada e implementada por la sociedad, así: “2.

Sírvase remitir con destino a esta Dirección copia de la Política de Tratamiento de Datos Personales”; Una vez transcurrido el término concedido por dicha dependencia, la sociedad investigada no dio respuesta al requerimiento realizado, razón por la cual, esta Dirección concluye que la sociedad investigada no ha implementado una Política de Tratamiento de Datos Personales.

Por lo anterior, esta Dirección decidió abrir investigación y formular cargos por la presunta vulneración de la norma estatutaria, razón por la cual, se expidió el acto administrativo No. 45748 del 6 de agosto de 2020, notificado mediante Aviso Web No. 22235 del 22 de septiembre de 2020, de conformidad con la certificación radicada bajo el número 19-134187- -10 del 15 de octubre de 2020.

Como consecuencia de lo anterior, esta Dirección encuentra que la sociedad investigada incumplió en forma negligente con el deber establecido en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la misma ley y el literal e) del artículo 4 ejúsdem, y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015, razón por la cual, se impondrá la correspondiente sanción. 9.1.4 Respecto del deber de implementar un manual de Políticas de Seguridad El artículo 15 de la Constitución Política debe interpretarse de manera armónica con los principios de circulación restringida y de seguridad, de tal manera que se debe tener presente que los responsables del tratamiento deben garantizar, entre otras cosas, que la información personal no sea divulgada a través de correo electrónico a otros titulares.

Ahora bien, aun existiendo el consentimiento de éste, la divulgación, circulación y acceso de los datos tiene que estar controlado y restringido, frente a terceros no autorizados, razón por la cual, la ley ha impuesto a los responsables del tratamiento una serie de deberes encaminados a dicho fin, como lo es el de "conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento".

Precisamente el artículo 4º de la Ley 1551 de 2012 establece los principios para el Tratamiento de los datos personales, entre los cuales se encuentran el principio de acceso y circulación restringida y el de seguridad que señalan lo siguiente: ”g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del “Por la cual se impone una sanción y se imparten órdenes” HOJA N, Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan Ia naturaleza de públicos están obligadas a garantizar Ia reserva de Ia información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo solo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley en los términos de la misma.” Como se advierte, tanto el principio de acceso y circulación restringida como el de seguridad deben ser cumplidos par los Responsables y Encargados de la información para garantizar el derecho de habeas data de los titulares, pues de la adopción de medidas de conservación de la información y de los controles de seguridad implementadas depende que se minimicen los riesgos de filtración de los datos personales.

En el caso bajo estudio, esta Dirección por intermedio del Grupo de Trabajo de Investigaciones Administrativas, mediante los oficios Nos.19-134187- -00000- 000 del 14 de junio de 2019 y 19134187- -1-0 del 24 de enero de 2020, los cuales fueron enviadas a la dirección de notificación judicial contabilidad@academiaverdeoliva.com, de conformidad con el certificado de existencia y representación legal expedido por la Cámara de Comercio de Bogotá, la sociedad investigada fue requerida para que allegara “con destino a esta Dirección copia del manual de Políticas de seguridad”.

La sociedad investigada dentro del término concedido para que allegara dicha documentación guardó silencio, lo cual, permite inferir que incumplió con dicho deber establecido en la norma estatutaria. Frente a lo anterior, esta Dirección decidió abrir investigación y formular cargos por la presunta vulneración de la norma estatutaria, razón por la cual, se expidió el acto administrativo No. 45748 del 6 de agosto de 2020, notificado mediante Aviso Web No. 22235 del 22 de septiembre de 2020, de conformidad con la certificación radicada bajo el número 19-134187- -10 del 15 de octubre de 2020.

Como consecuencia de lo anterior, esta Dirección encuentra que la sociedad no acredito tener implementado un manual interno de políticas y procedimientos de seguridad de la información investigada incumplió en forma negligente con el deber establecido literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4) de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015., razón por la cual se impondrá la correspondiente sanción. 9.1.5 Respecto al deber de contar con manuales internos de procedimiento para garantizar el cumplimiento de la Ley 1581 de 2012 y en especial para la atención de consultas, quejas y reclamos El literal k) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: “Por la cual se impone una sanción y se imparten órdenes” HOJA N, “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de Ia presente ley y en especial, para la atención de consultas y reclamos”.

Al respecto es necesario precisar que los aspectos analizados en el presente cargo, guardan relación a los procedimientos internos que debe adoptar los Responsables de la información con el fin de garantizar la adecuada protección de los datos personales que trata, en virtud del desarrollo de sus actividades; estas actividades van encaminadas a que los responsables, desarrollen políticas internas efectivas que demuestren el cumplimiento de las obligaciones establecidas en la Ley 1581 de 2012 y en su Decreto Reglamentario.

Para lo anterior, es preciso traer a colación lo dispuesto en el párrafo final del artículo 2.2.2.25.6.2 del Decreto Reglamentario 1074 de 2015, por cuanto prevé que "La verificación por parte de la el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo”.

En el caso bajo estudio, En el caso analizado, con el fin de recolectar elementos de juicios suficientes, esta Dirección a través del Grupo de Trabajo de Investigaciones Administrativas mediante los oficios Nos.19-134187- -00000- 000 del 14 de junio de 2019 y 19-134187- -1-0 del 24 de enero de 2020 (ambos enviados al correo de notificación judicial contabilidad@academiaverdeoliva.com, figurante en el certificado de existencia y representación legal de la sociedad, expedido por la Cámara de Comercio de Bogotá), requirió en 2 (dos) ocasiones a la investigada con el propósito de que remitiera copia del Manual de Procedimientos para la atención de consultas y reclamos desarrollado e implementado por la sociedad en los siguientes términos: “4.

Sírvase remitir con destino a esta Dirección copia del manual de procedimientos implementados por la organización para la atención de consultas y reclamos”. Frente a lo anterior, esta Dirección decidió abrir investigación y formular cargos por la presunta vulneración de la norma estatutaria, razón por la cual, se expidió el acto administrativo No. 45748 del 6 de agosto de 2020, notificado mediante Aviso Web No. 22235 del 22 de septiembre de 2020, de conformidad con la certificación radicada bajo el número 19-134187- -10 del 15 de octubre de 2020.

Por tal razón, esta Dirección precisa que la investigada no acredito tener implementado o documentado un manual interno de políticas y procedimientos de atención de consultas y reclamos. En consecuencia, esta Dirección concluye que la investigada incumplió en forma negligente el deber de implementar un Manual de Políticas y Procedimientos para la atención de consultas y reclamos, vulnerando de esta forma lo dispuesto en literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con los artículos 14 y 15.

Razón por cual, se impondrá la correspondiente sanción. “Por la cual se impone una sanción y se imparten órdenes” HOJA N, 9.1.6 Respecto al deber de adoptar un manual donde se encuentren los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de la información En relación con los deberes de los Responsables del Tratamiento, el literal k) del artículo 17 de la Ley 1581 de 2012, establece “Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley en especial, para la atención de consultas y reclamos” Por su parte, el artículo 2.2.2.25.2.1 del Decreto 1074 de 2015 establece: “Recolección de datos personales”.

En desarrollo de los principios de finalidad y libertad, la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos conforme a la normatividad vigente. Salvo en los casos expresamente previstos en la ley, no se podrá recolectar datos sin autorización del titular.

A solicitud de la Superintendencia de Industria y Comercio, los Responsables deberán proveer una descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso.

No se podrán utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales” Finalmente, respecto a la Responsabilidad Demostrada frente al tratamiento de datos personales, el párrafo del artículo 2.2.2.25.6.1 relativo a “Demostración”, señala que “(…) En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.” Así mismo, una vez analizado el material de prueba que obra en el caso bajo estudio se evidenció lo siguiente: A través del Grupo de Trabajo de Investigaciones Administrativas, mediante los oficios Nos.19134187- -00000- 000 del 14 de junio de 2019 y 19-134187- -1-0 del 24 de enero de 2020, los cuales fueron enviados al correo de notificación judicial contabilidad@academiaverdeoliva.com, de acuerdo con la información registrada en el certificado de existencia y representación legal de la sociedad, expedido por la Cámara de Comercio de Bogotá, se requirió en dos (2) oportunidades a la investigada con el propósito de que remitiera “copia del Manual de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de la información”.

Sin embargo, una vez transcurrido el término concedido por los oficios anteriormente mencionados, la sociedad ACADEMIA DE COCINA Y ARTES S.A. no suministró respuesta, razón por la cual, esta Dirección concluye que la investigada no cuenta con un manual interno donde se encuentren los procedimientos para la recolección, almacenamiento, uso, circulación y supresión de la información y al no aportarse oportunamente conforme a los requerimientos realizados.

Frente a lo anterior, esta Dirección decidió abrir investigación y formular cargos por la presunta vulneración de la norma estatutaria, razón por la cual, se expidió el acto administrativo No. 45748 del 6 de agosto de 2020, notificado mediante Aviso Web No. 22235 del 22 de septiembre de 2020, de conformidad con la certificación radicada bajo el número 19-134187- -10 del 15 de octubre de 2020.

En dicha Resolución se corrió traslado por el término de quince (15) días hábiles, para que rindiera los respectivos descargos y allegara las pruebas que pretendiera hacer valer en la presente actuación administrativa. Sin embargo, una vez vencido el término otorgado, la sociedad investigada guardó silencio. Mediante acto administrativo 68095 del 27 de octubre de 2020, notificado el día 6 de noviembre de 2020, radicado bajo el número 19-134187- -15 el día 14 de diciembre de 2020, mediante el cual “Por la cual se impone una sanción y se imparten órdenes” HOJA N, esta Dirección incorporó las pruebas que obran en el expediente y corrió traslado a la investigada por el término de diez (10) días hábiles para alegar de conclusión. Frente a lo anterior, una vez vencido el término para presentar dichos alegatos de conclusión, la investigada guardó silencio..En virtud de lo anterior, se arriba a la conclusión que la sociedad ACADEMIA DE COCINA Y ARTES S.A., no cuenta con un manual interno de políticas y procedimientos para la recolección, almacenamiento, uso, circulación y supresión de la información, y por ende ha vulnerado el deber consagrado literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.2.1 del Decreto 1074 de 2015, razón por la cual, se encuentra procedente imponer sanción por la conducta negligente desplegada por la investigada.

DÉCIMO: En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones: 10.1 La sociedad ACADEMIA DE COCINA Y ARTES S.A., deberá documentar y poner a disposición de los titulares una Política de Tratamiento de Datos Personales de acuerdo a lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 y el literal e) del artículo 4 de la norma en mención, y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015. 10.2 La sociedad ACADEMIA DE COCINA Y ARTES S.A. deberá documentar e implementar un manual interno de políticas y procedimientos de seguridad, de acuerdo a lo establecido en el Literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4) de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. 10.3 La sociedad ACADEMIA DE COCINA Y ARTES S.A. deberá documentar e implementar un manual interno de políticas y procedimientos de atención de consultas y reclamos, de acuerdo a lo establecido en el Literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con los artículos 14 y 15 de la ley en cita. 10.4 La sociedad ACADEMIA DE COCINA Y ARTES S.A. deberá documentar e implementar un manual interno que contenga la descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, de acuerdo a lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.2.1 del Decreto 1074 de 2015.

De lo anteriormente ordenado la sociedad ACADEMIA DE COCINA Y ARTES S.A. deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

UNDÉCIMO: Imposición y graduación de la sanción 11.1 Faculad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

“Por la cual se impone una sanción y se imparten órdenes” HOJA N, b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”7 Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad.

Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012. Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia. En virtud de lo expuesto y en ejercicio de la potestad sancionatoria otorgada en la Ley 1581 de 2012 se procede a imponer la siguiente sanción: 7 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

“Por la cual se impone una sanción y se imparten órdenes” HOJA N, 11.2 Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de tres (3) meses De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

En el caso sub-examine, quedó demostrado que la sociedad investigada actuó negligentemente frente al tratamiento de los datos en su calidad de Responsable al no cumplir con su deber de: (i) La investigada no atendió en forma oportuna los requerimientos realizados por esta Dirección, razón por la cual, se encontró demostrado que incumplió lo establecido en Literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 19 de la misma ley y el literal f) del artículo 21;

(ii) Se comprobó que la investigada no atendió los dos (2) requerimientos realizados por esta Dirección con el fin de verificar si efectivamente había adoptado una Política de Tratamiento de Datos Personales, razón por la cual, vulneró lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la misma ley y el literal e) del artículo 4 ejúsdem, y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015;

(iii) En razón a que la investigada no atendió los requerimientos realizados con el fin de corroborar si efectivamente contaba con una política de seguridad, se encuentra probado que vulneró lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4) de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015;

(iv) La investigada no acreditó ante esta Dirección que contaba con un Manual de Políticas y Procedimientos para la atención de consultas y reclamos, razón por la cual, se demostró que incumplió lo dispuesto en el Literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con los artículos 14 y 15 de la ley en cita; (v) La investigada no aportó el manual interno donde se encuentren los procedimientos para la recolección, almacenamiento, uso, circulación y supresión de la información, a pesar de que fue requerida en dos (2) oportunidades para tal efecto, por lo cual se evidencia que incumplió lo dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.2.1 del Decreto 1074 de 2015.

En virtud de lo expuesto se procederá a aplicar contra la sociedad ACADEMIA DE COCINA Y ARTES S.A., identificada con el NIT. 830.129.794-6 la sanción establecida en el literal b) del artículo 23 de la Ley 1581 de 2012, la suspensión de actividades relacionadas con el Tratamiento de Datos Personales por un término de tres (3) meses contados a partir de la ejecutoria de la presente Resolución. Dentro del término establecido la sociedad deberá adoptar los correctivos establecidos en el artículo DÉCIMO de la parte motiva del presente acto administrativo.

DUODÉCIMO: CONCLUSIONES Se procederá a imponer una sanción por las siguientes razones: (i) Se demostró que la sociedad investigada en su condición de Responsable del Tratamiento del deber de atender los requerimientos de la autoridad de protección de datos personales, en forma negligente vulneró el deber consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 19 de la misma ley y el literal f) del artículo 21 ejúsdem.

(ii) Se demostró que la sociedad investigada no obró con la debida diligencia en su condición de Responsable del Tratamiento al deber de adoptar una Política de Tratamiento de Datos Personales, incumplió con el deber establecido en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la misma ley y el literal e) del artículo 4 ejúsdem, y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N, (iii) Se demostró que la sociedad investigada en su condición de Responsable del Tratamiento de desarrollar e implementar un manual de Políticas de Seguridad, incumplió en forma negligente con el deber establecido en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4) de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.

(iv) Se demostró que la sociedad investigada en su condición de Responsable del Tratamiento al deber de adoptar un manual interno de políticas y procedimientos para la atención de consultas y reclamos, incumplió en forma negligente con el deber consagrado en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con los artículos 14 y 15 de la ley en cita.

(v) Se demostró que la sociedad investigada en su condición de Responsable del Tratamiento al deber de adoptar un manual donde se encuentren los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de la información, incumplió en forma negligente con el deber establecido en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.2.1 del Decreto 1074 de 2015.

Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer a la sociedad ACADEMIA DE COCINA Y ARTES S.A. consistente en la suspensión de actividades de tratamiento de datos por 3 meses.

DÉCIMO TERCERO: Que, en virtud de la situación actual, teniendo en cuenta la declaratoria de Emergencia Sanitaria decretada por el Ministerio de Salud, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la sociedad debe: (i) Enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando el número de radicado del expediente;

(ii) Una vez reciba respuesta respecto de la solicitud de acceso, la sociedad debe registrarse en servicios en línea link https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo link posteriormente al registro puede consultar el expediente digitalmente. No obstante, en aras de garantizar los derechos de defensa y contradicción de la sociedad, en el caso en que la misma considere necesario el acceso del expediente en físico, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá. Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.

En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción de suspensión de las actividades relacionadas con el Tratamiento de datos personales a la sociedad ACADEMIA DE COCINA Y ARTES S.A., identificada con el NIT. 830.129.794-6, por un término de TRES (3) meses contados a partir de la ejecutoria de la presente Resolución.

PARÁGRAFO: Los correctivos que debe adoptar la sociedad ACADEMIA DE COCINA Y ARTES S.A., identificada con el NIT. 830.129.794-6, dentro del término previamente señalado, serán los ordenados en el artículo segundo de la parte resolutiva de la presente decisión.

ARTÍCULO SEGUNDO: ORDENAR a la sociedad ACADEMIA DE COCINA Y ARTES S.A., identificada con el NIT. 830.129.794-6, cumplir con las instrucciones impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva, dentro del término de DOS (2) meses siguientes a la ejecutoria de la presente decisión. Las instrucciones son las siguientes: “Por la cual se impone una sanción y se imparten órdenes” HOJA N, • La sociedad ACADEMIA DE COCINA Y ARTES S.A., deberá documentar y poner a disposición de los titulares una Política de Tratamiento de Datos Personales de acuerdo a lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 y el literal e) del artículo 4 de la norma en mención, y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015. • La sociedad ACADEMIA DE COCINA Y ARTES S.A. deberá documentar e implementar un manual interno de políticas y procedimientos de seguridad, de acuerdo a lo establecido en el Literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4) de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. • La sociedad ACADEMIA DE COCINA Y ARTES S.A. deberá documentar e implementar un manual interno de políticas y procedimientos de atención de consultas y reclamos, de acuerdo a lo establecido en el Literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con los artículos 14 y 15 de la ley en cita. • La sociedad ACADEMIA DE COCINA Y ARTES S.A. deberá documentar e implementar un manual interno que contenga la descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, de acuerdo a lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.2.1 del Decreto 1074 de 2015.

PARÁGRAFO PRIMERO: La sociedad ACADEMIA DE COCINA Y ARTES S.A. identificada con el NIT. 830.129.794-6, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.

Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de las órdenes, y suscrita por el representante legal de la sociedad.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad ACADEMIA DE COCINA Y ARTES S.A. identificada con el NIT. 830.129.7946, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: Notificar personalmente el contenido de la presente resolución a la sociedad ACADEMIA DE COCINA Y ARTES S.A. identificada con el NIT. 830.129.794-6, a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., a los 09 ABRIL 2021 El Director de Investigación de Protección de Datos Personales, Firmado digitalmente por ENRIQUE SALAZAR CARLOS ENRIQUE CARLOS MUÑOZ SALAZAR MUÑOZ Fecha: 2021.04.09 15:32:13 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JACHP Revisó: AMVJ Aprobó: CESM “Por la cual se impone una sanción y se imparten órdenes” NOTIFICACIÓN: Investigada: Sociedad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: ACADEMIA DE COCINA Y ARTES S.A NIT. 830.129.794-6 Edilson Alejandro Sánchez Beltrán C.C. 79.715.040 AC 100 16 56 Bogotá, D.C, contabilidad@academiaverdeoliva.com HOJA N,

Resolución sancionatoria N° 19191 de 2021

CONSIDERANDO

RESUELVE