Sanción 53383 de 2021 — SIC

(27 AGOSTO 2021) “Por la cual se impone sanción y se imparten órdenes” Radicación 20-53020 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que mediante Resolución No. 53383 de 2 de septiembre de 2020 la Dirección de Investigación de Protección de Datos Personales resolvió iniciar investigación administrativa contra la sociedad AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY - PROPIEDAD HORIZONTAL (en adelante, “la investigada”), identificada con Nit. 800.077.074-8, por la presunta violación de las normas sobre protección de datos personales, por la presunta contravención de lo dispuesto en el: (i) Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015;

(ii) Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; y (iii) Inciso 3 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015.

En virtud de lo anterior, esta entidad le concedió un término de quince (15) días hábiles a la investigada para que rindiera los respectivos descargos y aportara o solicitara las pruebas que pretendía hacer valer dentro de la presente actuación administrativa.

SEGUNDO: Que la investigada fue notificada mediante Aviso No. 22856 el 16 de septiembre de 2020, de la Resolución No. 53383 de 2 de septiembre de 2020, de acuerdo con la certificación disponible en el radicado 20-53020-19 del expediente digital.

TERCERO: Que, por conducto de su apoderado general, la investigada encontrándose dentro del término establecido para el efecto, mediante escrito radicado bajo el número 20-53020-29 del 3 de marzo de 2021, presentó escrito de descargos, aduciendo lo siguiente: “La señora XXXXXXXXXXXXXXXXXXXXXXXXXXX formuló denuncia en contra de la AGRUPÁCION DE VIVIENDA RINCÓN DE MANDALAY PH, y con fundamento en ella, su Despacho dispuso apertura de investigación mediante resolución 53383 de 2020.

Los aspectos esenciales de la denuncia se concretan en lo siguiente: “En un presunto comunicado me acusan de un delito penal, además de dar a conocer mis datos sensibles a todos los residentes y visitantes”. “En el momento de la publicación del panfleto la Agrupación de Vivienda Rincón de Mandalay no tenía ninguna política de tratamiento de datos, al día de hoy no creo que los tenga” “Jamás le he dado autorización a la administración ni al consejo de administración el manejo de mis datos sensibles, ni mucho menos se hagan públicos”.” (…) HOJA N, “Por la cual se impone sanción y se imparten órdenes” “Los cargos que ha formulado contra el bien sometido a régimen de propiedad horizontal por parte de esta Dirección, son los siguientes, los que procedo a responder inmediatamente: Al primer cargo: En cuanto al deber de solicitar y conservar autorización previa, expresa e informada de la titular para el tratamiento de datos e informada de la titular para el tratamiento de sus datos personales.

Rta: No lo acepta mi representada, por cuanto este deber se cumplió a través de publicación realizada el primero de septiembre de 2020 en cada uno de los bloques de la Agrupación Residencial Mandalay, para lo cual aporto prueba con el presente archivo. Al segundo cargo: En cuanto a la presunta vulneración de al deber de informar debidamente al titular sobre la finalidad de la recolección de datos personales y al derecho que le asiste.

Rta: No lo acepta mi representada, por cuanto este deber se cumplió a través de publicación realizada el primero de septiembre de 2020, en cada uno de los siete (7) bloques de la Agrupación Residencial Mandalay. Al tercer cargo: En cuanto al presunto incumplimiento al deber de adopción de una política de tratamiento de datos personas para garantizar el adecuado cumplimiento al régimen de protección de datos personales.

Rta: No lo acepta mi representada, por cuanto este deber se cumplió a través de publicación realizada el primero de septiembre de 2020, en cada uno de los siete (7) bloques de la Agrupación Residencial Mandalay. Ante esta Superintendencia, la Agrupación de Vivienda Rincón de Mandalay PH en el expediente 2018-262421 acreditó el cumplimiento de los mismos requerimientos ordenados por esta Dirección, relativos al régimen de protección de datos personales, de acuerdo a la implementación de las políticas de protección de datos a partir del 1º de septiembre de 2020, aportadas al expediente y tal como se adjunta al presente archivo.” (…) “Como disposiciones presuntamente infringidas han sido invocadas las siguientes: Literal b) del artículo 17 de la ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el articulo 9 ibídem, así como los artículos 2.2.2.25.2.2. y 2.2.2.25.2.5 del decreto único reglamentario 1074 de 2015.

Literal c) del artículo 17 de la ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el articulo 12 ibídem, así como el inciso primero del artículo 2.2.2.25.3.1 del decreto único reglamentario 1074 de 2015. iii) Inciso 3º del artículo 25 de la ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del decreto único reglamentario 1074 de 2015.

Las normas anteriormente descritas no resultan aplicables a la Agrupación de Vivienda Rincón de Mandalay PH por cuanto para el presente caso existe una exclusión en el tratamiento de datos personales de los copropietarios y residentes, entratándose de normas de convivencia y seguridad reguladas expresamente en el numeral 1 del artículo 59 de la ley 675 de 2001.

INEXISTENCIA DE VULNERACION DEL DERECHO AL HABEAS DATA El artículo 17 de la ley 1581 de 2012 señala: “Los responsables del tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad…” (Lo subrayado es fuera de texto) Si bien es cierto, que los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial.

HOJA N, “Por la cual se impone sanción y se imparten órdenes” El artículo 59 de la ley 675 de 2001 permite a título sancionatorio la publicación en la agrupación de vivienda la lista de infractores de las normas contenidas en el régimen de propiedad horizontal dispuesto en la escritura pública No 4505 del 22 de agosto de 2003 de la Notaria Primera del círculo de Bogotá, con indicación del hecho o acto que originó la sanción. La norma descrita con anterioridad la declaró exequible la Corte Constitucional mediante Sentencia C-328 del 24 de julio de 2019, Magistrada Ponente Dra. Cristina Pardo Schlesinger.

La Corte Constitucional frente al cargo dispuesto contra el numeral 1º del artículo 59 de la ley 675 de 2001 advirtió que, a diferencia de los datos relacionados con el incumplimiento de la obligación pecuniaria atinente a las expensas que requiere la propiedad horizontal, la información que toca con el incumplimiento de las obligaciones no pecuniarias no es de aquellas de que pueda predicarse el derecho al habeas data.” (…) “Consecuente con lo anterior, de conformidad con el numeral 1º del artículo 59 de la ley 675 de 2001 y el régimen de propiedad horizontal contenido en la escritura pública No 4505 del 22 de agosto de 2003 de la Notaria Primera del círculo de Bogotá, el Consejo de Administración de la Agrupación de Vivienda Rincón de Mandalay mediante acta No 11 del 5 de octubre de 2018 dispuso la publicación de un aviso en los siete (7) bloques, informando las agresiones impuestas por la quejosa contra la administradora XXXXXX Bertel que motivaron su incapacidad para laborar y cumplir con las funciones del cargo.

La publicación de la que se duele la denunciante, en efecto no tiene otro propósito distinto que informar lo relativo a lo acontecido por las agresiones físicas e incapacidad física inferidas por la denunciante a la administradora de la época, que afectó las normas de convivencia y seguridad de la copropiedad, además de la prestación normal del servicio.

Ahora bien, ciertamente, al margen de que el efecto de las publicaciones de que tratan el inciso 2º del artículo 30 y el numeral 1 del artículo 59 de la Ley 675 de 2001 tengan un efecto disuasivo frente de la realización de conductas que atentan contra el fin constitucional legítimo e imperioso de “garantizar la seguridad y la convivencia pacífica en los inmuebles sometidos a ella, así como la función social de la propiedad” -disuasión esta por la cual también propenden las sanciones por la comisión de infracciones y presuntos delitos, publicaciones que no atentan contra derecho fundamental alguno entre ellos el habeas data.

Luego, en el presente caso la autorización de la titular no era necesaria entratándose de asunto de urgencia médica y de seguridad que afectó la tranquilidad y convivencia de los copropietarios y residentes de la agrupación, además de la afectación normal de la prestación de los servicios de la administración. En consecuencia, no resultan aplicables las disposiciones normativas objeto de la presente investigación, pues éstas se contraponen a las facultades de la Agrupación dispuestas en el régimen de propiedad horizontal, relacionadas con el trámite sancionatorio adelantado por el Consejo de Administración contra la titular del derecho reclamado, en su condición de infractora de las normas seguridad y convivencia. Desde luego, ninguna persona en su condición de copropietario o residente de un bien sometido a régimen de propiedad horizontal, en especial la señora XXXXX dará un consentimiento libre, previo, expreso e informado para que se divulguen las circunstancias que afectaron las normas y convivencias de seguridad de la Agrupación acontecidas el 5 de octubre de 2018 y que dieron origen a la publicación materia de la presente investigación.” (…) COSA JUZGADA 1.

Respecto de los requisitos de procedencia de la cosa juzgada, la Sección Primera del Consejo de Estado recordó que el artículo 303 del Código General del Proceso (CGP), aplicable en actuaciones administrativas en virtud de la remisión expresa del artículo 267 de la Ley 1437 del 2011 (CPACA), prevé que la misma tendrá lugar en los eventos en los que se advierta la identidad de objeto, de causa pretendi y de partes procesales.

HOJA N, “Por la cual se impone sanción y se imparten órdenes” Así las cosas, ante la existencia de un acto administrativo de cierre y archivo en el marco de una investigación por hechos relacionados con la existencia y aplicación de políticas de protección de bases de datos personales adelantada por esta Superintendencia contra la Agrupación de Vivienda Rincón de Mandalay P.H., resulta improcedente abrir un nuevo debate procesal con miras a analizar cargos adicionales a los que ya fueron objeto de pronunciamiento por parte de esta misma dirección en el expediente 2018-262421.”

CUARTO: Que mediante Resolución No. 16880 de 26 de marzo de 2021, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 20-53020, con el valor legal que le corresponda, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los respectivos alegatos de conclusión.

QUINTO: Que dentro del plazo otorgado, mediante la comunicación de fecha 12 de abril de 2021 expediente digital radicado 20-53020- 36 páginas 1 a 3, la sociedad investigada presentó alegatos de conclusión argumentando lo siguiente: “Al primer cargo: En cuanto al deber de solicitar y conservar autorización previa, expresa e informada de la titular para el tratamiento de datos e informada de la titular para el tratamiento de sus datos personales.

Rta: No lo acepta mi representada, por cuanto este deber se cumplió a través de publicación realizada el primero de septiembre de 2020, en cada uno de los siete (7) bloques de la Agrupación Residencial Mandalay. Al tercer cargo: En cuanto al presunto incumplimiento al deber de adopción de una política de tratamiento de datos personas para garantizar el adecuado cumplimiento al régimen de protección de datos personales.

Rta: No lo acepta mi representada, por cuanto este deber se cumplió a través de publicación realizada el primero de septiembre de 2020, en cada uno de los siete (7) bloques de la Agrupación Residencial Mandalay.” (…) “INEXISTENCIA DE VULNERACIÓN (sic) DEL DERECHO AL HABEAS DATA El artículo 17 de la ley 1581 de 2012 señala: “Los responsables del tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad…” (Lo subrayado es fuera de texto) Si bien es cierto, que los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial.

El artículo 59 de la ley 675 de 2001 permite a título sancionatorio la publicación en la agrupación de vivienda la lista de infractores de las normas contenidas en el régimen de propiedad horizontal dispuesto en la escritura pública No 4505 del 22 de agosto de 2003 de la Notaria Primera del círculo de Bogotá, con indicación del hecho o acto que originó la sanción. La norma descrita con anterioridad la declaró exequible la Corte Constitucional mediante Sentencia C-328 del 24 de julio de 2019, Magistrada Ponente Dra. Cristina Pardo Schlesinger.

La Corte Constitucional frente al cargo dispuesto contra el numeral 1º del artículo 59 de la ley 675 de 2001 advirtió que, a diferencia de los datos relacionados con el incumplimiento HOJA N, “Por la cual se impone sanción y se imparten órdenes” de la obligación pecuniaria atinente a las expensas que requiere la propiedad horizontal, la información que toca con el incumplimiento de las obligaciones no pecuniarias no es de aquellas de que pueda predicarse el derecho al habeas data.

En lo fundamental, la Corte Constitucional no ve cómo la información relativa al incumplimiento de las obligaciones no pecuniarias dirigidas a la consecución del fin constitucional de armónica convivencia en la propiedad horizontal, pueda ser objeto de recolección por parte de cualquier banco, base de datos o archivo de la generalidad de las propiedades horizontales.

“En efecto, si por un lado se considera que por lo menos algunas, sino la mayoría, de las obligaciones no pecuniarias cuyo incumplimiento sanciona la norma impugnada, se materializan en obligaciones de “no hacer” (en general, no afectar la tranquilidad, la seguridad, el buen nombre, la reputación y/o la higiene de la propiedad horizontal); y por otro lado se observa que el incumplimiento de dichas obligaciones no estaría necesariamente circunscrito a unos determinados tiempos, modos y/o lugares, la información sobre el incumplimiento obligacional del caso -antes que ser materia de recolección alguna (para lo cual se requeriría del monitoreo propio de un régimen policial) -sería objeto de difusión unilateral por parte del respectivo infractor; cuestión que riñe con el quehacer de los andamiajes u organizaciones cuyo objeto sí es la recolección, almacenamiento, clasificación, distribución, uso, circulación, supresión y, en general, tratamiento de datos dirigidos a un fin específico y que, sin lugar a dudas, sí son susceptibles de tocar con el derecho al habeas data.” “No obstante, si fuera el caso de que algunas particulares propiedades horizontales efectivamente posean medios de recolección de datos atinentes a quienes las habitan, laboran o visitan, la divulgación de las infracciones a las obligaciones no pecuniarias en tales propiedades no reñiría con derecho fundamental alguno salvo que se trate de información sensible y/o personalísima de tales sujetos que toque con su dignidad y derecho a la intimidad; caso este último en donde cabría el remedio del control concreto de constitucionalidad.” “Además de lo anterior, el parágrafo del artículo 60 de la Ley 675 prevé que (e)n el reglamento de propiedad horizontal se indicarán las conductas objeto de la aplicación de sanciones, con especificación de las que procedan para cada evento (…)”, las obligaciones no pecuniarias a cumplir tendrían necesariamente que estar asociadas a la consecución del fin constitucionalmente legítimo de “garantizar la seguridad y la convivencia pacífica en los inmuebles sometidos a ella”; esto es, en palabras de la Corte al analizar el alcance del referido artículo 59, de impedir que, mediante comportamientos censurables, se obstruya la consecución de “los objetivos del régimen de propiedad horizontal (seguridad y armónica convivencia)”.

“Sobre este último asunto, mediante Sentencia T-035 de 1997 la Corte expresó que el contenido del reglamento de copropiedad no podrá ir más allá de la regulación de los derechos que exige el mantenimiento de la comunidad, de aquello que resulte necesario para su existencia, seguridad y conservación, y con las limitaciones mencionadas; así las cosas, no podrán ser oponibles, por virtud del mismo, cláusulas relativas a derechos que no trascienden el ámbito de lo privado y que por tanto forman parte del núcleo esencial de derechos como la intimidad o la autonomía privada, sobre los cuales se admiten excepciones cuando entran en conflicto con los derechos de los demás o el orden jurídico.

A contrario sensu, los derechos que trascienden ese espacio íntimo pueden ser objeto de regulación más amplia, siempre bajo los parámetros que imponen los principios y valores del ordenamiento constitucional.” Debe decirse, finalmente, que la argumentación de las demandantes en torno al contenido de la información que el numeral 1º del artículo 59 de la Ley 675 permite publicar (la “indicación expresa del hecho o acto que origina la sanción”) no está llamada a prosperar.

De hecho, la información de que trata la norma impugnada en ningún momento exige o sugiere que se divulguen situaciones que pertenezcan al fuero íntimo o exclusivamente privado de cualquier persona, ajenas al interés legítimo de terceras personas, inclusive de aquellas con derechos que emanen de su relación con la propiedad horizontal del caso.

No sin razón la jurisprudencia ha explicado que “a pesar del amplio margen de apreciación que tiene la Asamblea General de copropietarios, al momento de aprobar los reglamentos internos de la unidad residencial para la adopción de faltas y sanciones; (…), esta función debe guardar relación directa con los objetivos del régimen de propiedad horizontal (seguridad y armónica convivencia) (…)”; razón ésta por la cual la “indicación expresa del hecho o acto que origina la sanción” que prevé la norma ahora analizada se limita a la HOJA N, “Por la cual se impone sanción y se imparten órdenes” descripción general de los hechos o actos mediante los cuales se habría afectado la seguridad y/o armónica convivencia de la propiedad horizontal, excluyendo cualquier manifestación relacionada con asuntos o controversias que únicamente incumban a los titulares de la información respectiva.

Se reitera, entonces, que cualquier información sensible y/o personalísima de las personas que se llegue a obtener no puede, en ningún caso, ser objeto de publicación o difusión, so pena de que contra tal conducta sea censurada a través del control concreto de constitucionalidad (acción de tutela).” Lo atrás expuesto permite descartar que la publicación de que trata el numeral 1º del artículo 59 de la Ley 675 de 2001 tenga la capacidad de vulnerar el derecho al habeas data.

Luego, resulta preciso memorar que los hechos que dieron origen a la presente investigación, se originan a partir de la publicación de un aviso el 6 de octubre de 2018 en la entrada de los siete (7) bloques que conforman la agrupación residencial, a título informativo y previo a dar inicio al trámite sancionatorio iniciado contra la quejosa, respecto de los hechos acaecidos el día 5 de octubre de 2018, mediante el cual la denunciante agredió verbal y físicamente a la administradora XXXXXXXXX.

Discusión derivada de temas casualmente relacionados con la protección de datos personales sensibles. Se resalta en este aparte, que los hechos ocurridos el 5 de octubre de 2018 son ciertos y veraces mediante el cual la quejosa agredió físicamente a la administración de la agrupación residencial, a quien la incapacitó el Instituto de Medicina Legal y Ciencias Forenses por el termino de 15 días, razón suficiente para instaurar denuncia penal ante la fiscalía General de la Nación por lesiones personales.

Consecuente con lo anterior, de conformidad con el numeral 1º del artículo 59 de la ley 675 de 2001 (SIC) y el régimen de propiedad horizontal contenido en la escritura pública No 4505 del 22 de agosto de 2003 de la Notaria Primera del círculo de Bogotá, el Consejo de Administración de la Agrupación de Vivienda Rincón de Mandalay mediante acta No 11 del 5 de octubre de 2018 dispuso la publicación de un aviso en los siete (7) bloques, informando las agresiones impuestas por la quejosa contra la administradora XXXXXX XXXX que motivaron su incapacidad para laborar y cumplir con las funciones del cargo.

Luego, en el presente caso la autorización de la titular no era necesaria entratándose de asunto de urgencia médica y de seguridad que afectó la tranquilidad y convivencia de los copropietarios y residentes de la agrupación, además de la afectación normal de la prestación de los servicios de la administración. En consecuencia, no resultan aplicables las disposiciones normativas objeto de la presente investigación, pues éstas se contraponen a las facultades de la Agrupación dispuestas en el régimen de propiedad horizontal, relacionadas con el trámite sancionatorio adelantado por el Consejo de Administración contra la titular del derecho reclamado, en su condición de infractora de las normas seguridad y convivencia.” (…) “Así las cosas, ante la existencia de un acto administrativo de cierre y archivo en el marco de una investigación por hechos relacionados con la existencia y aplicación de políticas de protección de bases de datos personales adelantada por esta Superintendencia contra la Agrupación de Vivienda Rincón de Mandalay P.H., resulta improcedente abrir un nuevo debate procesal con miras a analizar cargos adicionales a los que ya fueron objeto de pronunciamiento por parte de esta misma dirección en el expediente 2018-262421.

HOJA N, “Por la cual se impone sanción y se imparten órdenes” Resulta preciso indicar que, el concepto de cosa juzgada hace referencia un impedimento para continuar adelante con la investigación, por cuanto existe un hecho administrativo por parte de esta misma dirección al interior del expediente 218-262421 para continuar con el trámite de la presente investigación.” (…) “Resulta pertinente memorar que, en aras de proteger el derecho fundamental al debido proceso el suscrito presentó en abril 6 de 2021 solicitud de corrección de las irregularidades presentadas en la actuación administrativa y evidenciadas en el auto del 26 de marzo del presente año, en el sentido de omitir la inclusión de las siguientes pruebas, relevantes en la oportunidad de realizar la valorización en su conjunto y relacionadas en la contestación del expediente 20-53020-3 del 7 de julio de 2020, entre ellas las siguientes: 1.

Certificado de existencia y representación. 2. Copia del acta extraordinaria No 27 de mayo de 2019 3. Copia del documento denominado “POLITICA DE TRATAMIENTO DE PROTECCION DE DATOS PERSONALES AGRUPACION DE VIVIENDA RINCÓN DE MANDALAY” 4. Copia del formato de aceptación del tratamiento de los datos personales. 5. Copia fallo de tutela Juzgado 35 Civil municipal de Bogotá 6.

Copia del fallo tutela Juzgado 13 Civil de Circuito de Bogotá 7. Copia del acta de desistimiento ante la Inspección 8G con número de radicado 2018223490168939E de Bogotá. 8. Copia de la incapacidad Otorgada por el instituto de Medicina legal 9. Copia del acta de conciliación expedida de la fiscalía 6 local delegada ante los jueces civiles municipales, desconociendo actuaciones posteriores. 10.

Copia de acta del 05 del mes de octubre de 2018 informe de la administradora de las agresiones. 11. Lista de asistencia Asamblea extraordinaria del 27 de mayo de 2019 por parte de la accionan apto 405. 12. Acta de Publicación de comunicado informativo de la actualización de Datos por la contingencia del Covid 19 conforme a la ley 1581 de 2012 13.

Comunicado Informativo de actualización de Datos por la contingencia del Covid 19 conforme a la ley 1581 de 2012. 14. Acta de Registro de Archivo ley 1581 de 2012. Los anteriores archivos se adjuntaron debidamente contactenos@sic.gov.co y contactenos@sic.gov.co” comprimidos al correo SEXTO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

SÉPTIMO: Análisis del caso 7.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: 1 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). HOJA N, “Por la cual se impone sanción y se imparten órdenes” (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares.

El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012. (ii) De conformidad con los hechos alegados por las reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a (i) Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015;

(ii) Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; e (iii) Inciso 3 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por las denunciantes, así como las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 7.2 Valoración probatoria y conclusiones 7.2.1 Aclaraciones Preliminares En referencia a la solicitud de investigada en los alegatos de conclusión sobre la omisión de una serie de pruebas aportadas el día 7 de julio de 2020 “solicitud de corrección de las irregularidades presentadas en la actuación administrativa y evidenciadas en el auto del 26 de marzo del presente año, en el sentido de omitir la inclusión de las siguientes pruebas, relevantes en la oportunidad de realizar la valorización en su conjunto y relacionadas en la contestación del expediente 20-530203 del 7 de julio de 2020”, está Dirección encuentra importante aclarar que el consecutivo “20-530203” del expediente digital hace referencia a una comunicación emitida por esta Dirección y no corresponde a la contestación al requerimiento efectuado por la investigada, no obstante lo anterior esta contestación se encuentra radicada con el consecutivo 20-53020-8 páginas 1 a 3 del expediente digital, y fue debidamente incluida junto con sus anexos en la Resolución No.16880 de 26 de marzo de 2021, tal como se aprecia a continuación (radicado 20-53020-8 páginas 1 a 3 del expediente digital): De igual modo, esta Dirección encuentra importante aclarar que, si bien por un error involuntario en el considerando tercero de la Resolución No. 16880 de 26 de marzo de 2021, se señaló que la investigada guardó silencio al no presentar escrito de descargos, en el considerando quinto, el escrito de descargos fue incluido, tal como aparece a continuación: De conformidad con lo anterior, esta Dirección modificará el considerando tercero, de acuerdo a lo establecido en el artículo 45 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, cual quedará de la siguiente forma: “TERCERO: Que por conducto de su Representante Legal, la investigada encontrándose dentro del término establecido para el efecto, mediante comunicación del 2 de marzo de 2021 presentó los respectivos descargos con las pruebas que pretende hacer valer en la presente actuación administrativa, de conformidad con el expediente digital radicado No. 20-53020-29.” HOJA N, “Por la cual se impone sanción y se imparten órdenes” Se aclara que el error de digitación no afectó de modo alguno el sentido de la resolución, así como tampoco vulneró los derechos de la investigada en la medida en que se dejó claro que en la misma resolución (i) se incorporaron las pruebas aportadas junto con el escrito de descargos y (ii) se toman en cuenta los descargos para analizar los cargos formulados y decidir.

Ahora bien, de otro lado se encuentra que la investigada afirmó que en el presente caso opera la cosa juzgada, tal como se aprecia a continuación: “Respecto de los requisitos de procedencia de la cosa juzgada, la Sección Primera del Consejo de Estado recordó que el artículo 303 del Código General del Proceso (CGP), aplicable en actuaciones administrativas en virtud de la remisión expresa del artículo 267 de la Ley 1437 del 2011 (CPACA), prevé que la misma tendrá lugar en los eventos en los que se advierta la identidad de objeto, de causa pretendi y de partes procesales.

Así las cosas, ante la existencia de un acto administrativo de cierre y archivo en el marco de una investigación por hechos relacionados con la existencia y aplicación de políticas de protección de bases de datos personales adelantada por esta Superintendencia contra la Agrupación de Vivienda Rincón de Mandalay P.H., resulta improcedente abrir un nuevo debate procesal con miras a analizar cargos adicionales a los que ya fueron objeto de pronunciamiento por parte de esta misma dirección en el expediente 2018-262421.” Al respecto, esta Dirección le aclara a la investigada que el presente caso no presenta una identidad en cuanto a la causa pretendi y partes procesales con respecto al expediente 18-262421, pues la denunciante en ese caso no es la señora XXXXXXXXXXXXXXXXXXXXXXXXXXX y los hechos que fundamentan esa denuncia, en concreto, una recolección de datos personales realizada por la administración de la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY - PROPIEDAD HORIZONTAL, con el título “Censo Residentes”, no son los mismos que el presente caso, por tanto no es procedente la figura de cosa juzgada. 7.2.2 Respecto del deber de solicitar y conservar copia de la autorización El artículo 15 de la Constitución Política establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base datos.

Al respecto la Corte Constitucional en sentencia C-748 de 2011 ha señalado lo siguiente: “Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.

Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su ‘imagen informática’”2.

(Negrita y subrayado SIC) El principio rector, que para el cargo primero es el de libertad, debe confluir en cuanto a su aplicación con los deberes y derechos contenidos en la Ley 1581 de 2012, específicamente para el cargo es relevante mencionar el deber consagrado en el literal b) de solicitar y conservar copia de la respectiva autorización otorgada por el titular.

De este modo, respecto del deber arriba mencionado la señora XXXXXXXXXXXXXXXXXXXXXXXXXX denuncia que “el consejo de administración junto con la administradora XXXXXXX, en un presunto Comunicado me acusan de un delito penal, además de dar a conocer mis datos sensibles a todos los 2 Ver en: Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP.

Jorge Ignacio Pretelt Chaljub. HOJA N, “Por la cual se impone sanción y se imparten órdenes” residentes y visitantes. Los panfletos fueron publicados en cada una de las puertas de acceso a las torres (7) y sus carteleras, en la caseta de acceso al conjunto, en la caja de luz de la torre en la cual vivo esta publicación permaneció durante tres meses.” Luego de revisar el comunicado que fue publicado, está Dirección encontró que en el mismo se publicó el nombre de la copropietaria junto con el número de apartamento de su domicilio, tal como aparece a continuación: En referencia a lo anterior, la investigada señala lo siguiente: “El artículo 59 de la ley 675 de 2001 permite a título sancionatorio la publicación en la agrupación de vivienda la lista de infractores de las normas contenidas en el régimen de propiedad horizontal dispuesto en la escritura pública No 4505 del 22 de agosto de 2003 de la Notaria Primera del círculo de Bogotá, con indicación del hecho o acto que originó la sanción.” “Consecuente con lo anterior, de conformidad con el numeral 1º del artículo 59 de la ley 675 de 2001 (SIC) y el régimen de propiedad horizontal contenido en la escritura pública No 4505 del 22 de agosto de 2003 de la Notaria Primera del círculo de Bogotá, el Consejo de Administración de la Agrupación de Vivienda Rincón de Mandalay mediante acta No 11 del 5 de octubre de 2018 dispuso la publicación de un aviso en los siete (7) bloques, informando las agresiones impuestas por la quejosa contra la administradora XXXXXX XXXX que motivaron su incapacidad para laborar y cumplir con las funciones del cargo.” En razón de lo anterior, esta Dirección encuentra relevante traer a colación el artículo 59 de la Ley 675 de 2001, el cual establece lo siguiente: “ARTÍCULO 59.

Clases de sanciones por incumplimiento de obligaciones no pecuniarias. El incumplimiento de las obligaciones no pecuniarias que tengan su consagración en la ley o en el reglamento de propiedad horizontal, por parte de los propietarios, tenedores o terceros por los que estos deban responder en los términos de la ley, dará lugar, previo requerimiento escrito, con indicación del plazo para que se ajuste a las normas que rigen la propiedad horizontal, si a ello hubiere lugar, a la imposición de las siguientes sanciones: 1.

Publicación en lugares de amplia circulación de la edificación o conjunto de la lista de los infractores con indicación expresa del hecho o acto que origina la sanción.” En referencia al artículo arriba citado, la Corte Constitucional en la sentencia C- 738 de 2002, ha señalado que tal disposición no vulnera el derecho a la intimidad ni al buen nombre de los copropietarios, arrendatarios o poseedores cuando estos hayan incumplido obligaciones no pecuniarias, tal como se cita a continuación: HOJA N, “Por la cual se impone sanción y se imparten órdenes” “En efecto, el incumplimiento de las normas de convivencia prescritas por la ley o el reglamento no es asunto que permanezca en el fuero interno o en el ámbito familiar de quien así procede, sino que interesa a toda la comunidad afectada por él. Es decir, de suyo tiene un alcance de afectación del interés común; por ello, la publicación de la sanción subsiguiente a la falta no vulnera la intimidad del sancionado, puesto que la falta misma no es un comportamiento íntimo que deba ser protegido de la divulgación a terceros.

Otro tanto sucede con el derecho al buen nombre que, no vulnera cuando un copropietario, residente, tenedor o arrendatario incumple obligaciones no pecuniarias derivadas de la ley o del reglamento de copropiedad.”3 (Subrayado Sic) De igual modo la Corte Constitucional en la sentencia C-328 de 2019, dispone lo siguiente: En lo fundamental, la Corte no ve cómo la información relativa al incumplimiento de las obligaciones no pecuniarias dirigidas a la consecución del fin constitucional de armónica convivencia en la propiedad horizontal, pueda ser objeto de recolección por parte de cualquier banco, base de datos o archivo de la generalidad de las propiedades horizontales.

En efecto, si por un lado se considera que por lo menos algunas, sino la mayoría, de las obligaciones no pecuniarias cuyo incumplimiento sanciona la norma impugnada, se materializan en obligaciones de “no hacer” (en general, no afectar la tranquilidad, la seguridad, el buen nombre, la reputación y/o la higiene de la propiedad horizontal); y por otro lado se observa que el incumplimiento de dichas obligaciones no estaría necesariamente circunscrito a unos determinados tiempos, modos y/o lugares, la información sobre el incumplimiento obligacional del caso -antes que ser materia de recolección alguna (para lo cual se requeriría del monitoreo propio de un régimen policial) -sería objeto de difusión unilateral por parte del respectivo infractor; cuestión que riñe con el quehacer de los andamiajes u organizaciones cuyo objeto sí es la recolección, almacenamiento, clasificación, distribución, uso, circulación, supresión y, en general, tratamiento de datos dirigidos a un fin específico y que, sin lugar a dudas, sí son susceptibles de tocar con el derecho al habeas data.

No obstante, si fuera el caso de que algunas particulares propiedades horizontales efectivamente posean medios de recolección de datos atinentes a quienes las habitan, laboran o visitan, la divulgación de las infracciones a las obligaciones no pecuniarias en tales propiedades no reñiría con derecho fundamental alguno salvo que se trate de información sensible y/o personalísima de tales sujetos que toque con su dignidad y derecho a la intimidad; caso este último en donde cabría el remedio del control concreto de constitucionalidad.”4 Ahora bien, es importante recordar los casos establecidos en el Régimen de Protección de Datos Personales en los que no se requiere de la autorización del titular para el tratamiento de los datos personales: “Artículo 10.

Casos en que no es necesaria la autorización. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.

Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley.” 3 Ver en: Corte Constitucional Sentencia C-738 de 2002 MP. Marco Gerardo Monroy Cabra. 4 Ver en: Corte Constitucional Sentencia C-328 de 2019 MP. CRISTINA PARDO SCHLESINGER. HOJA N, “Por la cual se impone sanción y se imparten órdenes” Así mismo, de acuerdo a lo establecido en el principio de libertad de la Ley 1581 de 2012 “c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; Considerando todo lo anterior, y teniendo en cuenta el mandato legal del artículo 59 de la Ley 675 de 2001, esta Dirección considera que la sociedad investigada AGRUPACIÓN DE VIVIENDA RINCON DE MANDALAY – PROPIEDAD actuó conforme a la ley especial que regula la Propiedad Horizontal, y en este caso en concreto la investigada se encontraba en cumplimiento de mandato legal que releva el consentimiento, por el incumplimiento de las obligaciones no pecuniarias por parte de la quejosa, al alterar la convivencia pacífica de la copropiedad.

Así las cosas, como lo afirma la Corte Constitucional en la sentencia C-328 de 2019 anteriormente citada, “(…) la información que toca con el incumplimiento de las obligaciones no pecuniarias no es de aquellas de que pueda predicarse el derecho al habeas data.” 5(Subrayado fuera de texto). En virtud de lo expuesto se concluye que la sociedad investigada AGRUPACIÓN DE VIVIENDA RINCON DE MANDALAY – PROPIEDAD no vulneró el deber dispuesto en (i) Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015 al publicar el comunicado del 5 de octubre de 2018 y en consecuencia no se encuentra mérito para imponer una sanción por el primer cargo. 7.2.3 Respecto del deber de informar debidamente al titular las finalidades de la recolección El literal c) del artículo 17 de la Ley 1581 de 2012 consagra el deber de los Responsables del Tratamiento, de “(i)nformar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;”.

Al respecto la Corte Constitucional en sentencia C-748 de 2011 ha señalado que: “En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación: (…) (ii) Informar al titular la finalidad de esa autorización y actuar en consecuencia; por tanto, el responsable no puede conducirse por fuera de los lineamientos de la autorización, lo que significa que, por ejemplo, no puede suministrar al encargado del tratamiento más datos que los que fueron objeto de autorización, ni puede someterlos a un tratamiento con finalidades diferentes a las informadas (…)”.

Por su parte el artículo 4 de la Ley 1581 de 2012, contempla los principios para el tratamiento de datos personales, entre los cuales se encuentra el principio de finalidad que señala que “(e)l Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular”. Sobre esto, la Honorable Corte Constitucional en sentencia C-748 de 2011, señaló que en virtud del principio de finalidad los datos personales deben ser procesados con un propósito específico y explicito, razón por la cual se impone el deber de informar clara, suficiente y previamente al titular acerca de la finalidad de la información suministrada, prohibiendo así la recopilación de datos sin la especificación clara acerca de su finalidad.

Adicionalmente, el artículo 12 de la Ley 1581 de 2012, señala que el responsable debe informar clara y expresamente al titular: (i) el tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; (ii) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes;

(iii) Los derechos que le asisten como Titular; (iv) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. 5 Ibídem HOJA N, “Por la cual se impone sanción y se imparten órdenes” Al respecto, esta Dirección encontró preliminarmente que la Investigada no aportó documento mediante el cual acredite que, se le informó a la Titular acerca de las finalidades del uso de sus datos personales y tampoco de los derechos que le asisten.

Ahora bien, es claro que de acuerdo a un mandato legal la sociedad estaba facultada para realizar el tratamiento de datos de la denunciante sin contar con su consentimiento, sin embargo, una cosa es no tener que contar con autorización, como en este caso, y otras es informar la finalidad. Por lo tanto, el hecho de que la sociedad en el caso en específico no deba cumplir con el deber de solicitar y conservar copia de la autorización no lo exime del cumplimiento de los demás deberes y en consecuencia, la sociedad debe acreditar que informó las finalidades del tratamiento de los datos de la denunciante.

En el caso bajo estudio se tiene que la señora XXXXXXXXXXXXXXXXXXXXXXXXXXX en la denuncia presentada el 2 de marzo de 2020 señala que es copropietaria desde “hace 7 años” de la AGRUPACIÓN DE VIVIENDA RINCON DE MANDALAY – PROPIEDAD, tal como aparece a continuación: Al respecto la sociedad indicó mediante comunicación con radicado 20-53020-06 del 21 de mayo de 2020 que la Política de Tratamiento sólo se comunicó a los copropietarios hasta el 2019, tal como aparece a continuación: “(…) tal como consta en el último aparte del documento denominado “POLITICA DE TRATAMIENTO DE PROTECCION DE DATOS PERSONALES AGRUPACION DE VIVIENDA RINCÓN DE MANDALAY” entregado en asamblea extraordinaria del de mayo de 2019 y puesto en conocimiento en la misma reunión” Conforme a lo anterior, esta Dirección encuentra que solo hasta esa fecha (2019) los copropietarios fueron informados de la finalidad del tratamiento de sus datos, en consecuencia, es claro para esta Dirección que la investigada no acreditó prueba alguna que acredite el cumplimiento del deber de informar a la señora XXXXXXXXXXXXXXXXXXXXXXXXXXX y que la única prueba que obra en el expediente acredita que cumplió con su deber como responsable de informar debidamente a los titulares sobre las finalidades de la recolección y los derechos que les asisten cuando conceden su autorización previa y expresa para el tratamiento de sus datos personales solo hasta el año 2019.

Así las cosas, se concluye que se encuentra probado el actuar negligente por parte de la investigada en el cumplimiento del deber de informar debidamente a la señora XXXXXXXXX sobre las finalidades de la recolección y los derechos que les asisten como Titulares de la información, consagrado en el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la norma en comento, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

Por lo que se impondrá la correspondiente sanción. 7.2.3 Respecto del deber de los Responsables del Tratamiento de adoptar una Política de Tratamiento de Datos Personales Frente al tercer cargo formulado, esta Dirección consideró que la investigada presuntamente había incumplido el deber de adoptar una Política de Tratamiento de Datos Personales de acuerdo con lo previsto en el inciso 3 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015; normas que establecen lo siguiente: Ley 1581 de 2012 “Artículo 25.

Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. HOJA N, “Por la cual se impone sanción y se imparten órdenes” El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes.

Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. (Subraya adicionada) Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en este los Responsables del Tratamiento”.

(Subrayado y negrita adicionados) Decreto Único Reglamentario 1074 de 2015 “Artículo 2.2.2.25.3.1. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas. Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares.

Dichas políticas deberán incluir, por lo menos, la siguiente información: 1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. 2. Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. 3. Derechos que le asisten como Titular. 4.

Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. 5. Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. 6.

Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente Decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas”.

(Subrayado y negrita adicionados) Preliminarmente se encontró que mediante comunicación con radicado 20-53020-06 del 21 de mayo de 2020, la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY - PROPIEDAD HORIZONTAL remitió un documento titulado “POLITICA DE TRATAMIENTO DE PROTECCIÓN DE DATOS PERSONALES AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY”, el cual al ser analizado por esta Dirección, se encontró que preliminarmente no cumple con lo dispuesto en las regulaciones citadas anteriormente por los siguientes motivos: “1.

No incluye domicilio, dirección, correo electrónico y teléfono de la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY - PROPIEDAD HORIZONTAL, quien es el Responsable del Tratamiento. 2. No contiene la fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos.” HOJA N, “Por la cual se impone sanción y se imparten órdenes” Ahora bien, con el fin de verificar si el documento aportado por la sociedad cumple con el contenido mínimo establecido en el Artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015, a continuación, se detalla lo evaluado y los resultados o comentarios sobre cada ítem: REQUISITO LEGAL 1.

¿La PTI consta en medio físico o electrónico? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). SÍ COMENTARIO La PTI cumple con el requisito señalado al constar en medio físico. 2. ¿La PTI fue redactada con un lenguaje claro y sencillo? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).

SÍ Se evidencia que la investigada lo cumple. 3. ¿la PTI contiene el nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable? (Numeral 1 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). 4. ¿La PTI informa la finalidad del Tratamiento de los Datos? (Numeral 2 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).

NO SÍ La PTI cumple con este requisito. 5. ¿La PTI Menciona de manera completa los derechos del Titular del Dato? (Numeral 1 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y artículo 8 de la Ley 1581 de 2012). SI Se evidencia que la PTI cumple con este requisito 6. ¿En la PTI se informa al Titular del dato que tiene derecho “conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento.

Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté SÍ Se evidencia que la PTI cumple con este requisito. HOJA N, “Por la cual se impone sanción y se imparten órdenes” expresamente prohibido o no haya sido autorizado”? (Literal a) del artículo 8 de la L. 1581 de 2012). 7.

¿En la PTI se informa al Titular del dato que tiene derecho a “solicitar prueba de la autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10” de la Ley 1581 de 2012? (Literal –b- del artículo 8 de la L 1581 de 2012). SI Se evidencia que la PTI cumple con este requisito 8.

¿En la PTI se informa al Titular que tiene derecho a “ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus datos personales”? (Literal -c- del artículo 8 de la L 1581 de 2012). SI Se evidencia que la PTI cumple con este requisito 9. ¿En la PTI se informa al Titular del dato que tiene derecho a “presentar ante la y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen? (Literal -d- del artículo 8 de la L 1581 de 2012).

NO Se evidencia que la PTI no cumple con este requisito. 10. ¿En la PTI se informa al Titular del dato que tiene derecho a revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales? (Literal -e- del artículo 8 de la L 1581 de 2012).

SÍ Se evidencia que la PTI cumple con este requisito 11. ¿En la PTI se informa al Titular del dato que tiene derecho a “acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento”? (Literal -f- del artículo 8 de la L 1581 de 2012). SÍ Se evidencia que la PTI cumple con este requisito. HOJA N, “Por la cual se impone sanción y se imparten órdenes” 12.

¿En la PTI se señala quién es la persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el Dato y revocar la Autorización? (Numeral 4 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y artículo 23 del Decreto 1377 de 2013).

SÍ Se evidencia que la PTI cumple con este requisito. 13. ¿En la PTI se describe el procedimiento para que los Titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar, suprimir información y revocar la Autorización? (Numeral 5 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, artículo 18 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.6. del Decreto 1074 de 2015 y numeral 3 del artículo 27 del Decreto 1377 de 2013).

SI Se evidencia que la PTI cumple con este requisito 14. ¿La PTI indica la fecha de entrada en vigencia de la política de Tratamiento de la información? (Núm. 6, art 13 del Decreto 1377 de 2013 incorporado en el Artículo 2.2.2.25.3.1 Decreto 1074 de 2015). NO Se evidencia que la PTI no cumple con este requisito. 15. ¿La PTI informa el período de vigencia de la Base de Datos? (Numeral 6 del artículo 13 del Decreto 1377 de 2013 incorporado en el Artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).

NO Se evidencia que la PTI no cumple con este requisito. Esta Dirección encuentra que: (i) la política la PTI no contiene el nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable (ii) En la política no se informa al Titular del dato que tiene derecho a “presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen? (iii) la política no menciona la fecha de su entrada en vigencia; y (iv) la política no menciona el periodo de vigencia de las Bases de Datos de la sociedad.

En virtud de lo expuesto, se concluye que la sociedad de acuerdo al deber exigido si contaba con una política de tratamiento de datos personales, sin embargo, se encontró que la misma no señala HOJA N, “Por la cual se impone sanción y se imparten órdenes” el contenido mínimo establecido en la Ley. Además, se pudo evidenciar que no se tiene certeza de la fecha de creación, implementación y puesta a disposición de los titulares, de la Política de Tratamiento de Datos Personales de la investigada.

Con el fin de velar por la protección y el amparo del derecho de habeas data de los titulares, teniendo en cuenta que la sociedad investigada realiza tratamiento de datos personales, esta Dirección considera necesario impartir una orden administrativa tendiente a que la investigada adecue el referido documento en observancia de las disposiciones consagradas en la Ley 1581 de 2012 y en el Decreto Único Reglamentario 1074 de 2015.

OCTAVO: En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, a esta Superintendencia la de “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones: • La sociedad AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY - PROPIEDAD HORIZONTAL, deberá implementar los procedimientos necesarios para informar, previamente al tratamiento de datos, a las Titulares sobre las finalidades de la recolección y los derechos que les asisten como Titulares de la información, de conformidad con lo establecido en Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. • La sociedad investigada AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD deberá poner a disposición de los interesados su Política de Tratamiento de Datos Personales así como adecuarla, de conformidad con lo consagrado en el inciso 3 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 20156, incluyendo (i) el nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable (ii)Un párrafo donde se informa al Titular del dato que tiene derecho a “presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen” (iii) la fecha de su entrada en vigencia; y (iv) el periodo de vigencia de las Bases de Datos de la sociedad.

De lo anteriormente ordenado la sociedad AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD, deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

NOVENO: Imposición y graduación de la sanción La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; 6 Se encuentra publicada para su consulta: “Formato modelo para el cumplimiento de obligaciones establecidas en la Ley 1581 de 2012 y sus decretos reglamentarios”, que no es de obligatorio cumplimiento, sin embargo, orienta a los Responsables y Encargados del Tratamiento sobre el cumplimiento de las obligaciones específicas, como son: (i) solicitar y conservar copia de la autorización y de la información que debe suministrarle a los titulares previo a la autorización;

(ii) contar con una Política de Tratamiento de Datos Personales disponible a los Titulares; (iii) contar con un aviso de privacidad, cuando no sea posible poner a disposición de los Titulares la política. Disponible en el siguiente link: https://www.sic.gov.co/centro-de-publicaciones?field_tema_general_tid=5&field_anos_p_value=All HOJA N, “Por la cual se impone sanción y se imparten órdenes” c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 7.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2020 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional8 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia 7 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. 8 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) HOJA N, “Por la cual se impone sanción y se imparten órdenes” C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f).

De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”9 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros10. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”11.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia12. 9 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 10 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 11 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 12 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm HOJA N, “Por la cual se impone sanción y se imparten órdenes” La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2313 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Artículo 24. Criterios Para Graduar Las Sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 12.1.1 Literal a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”14 13Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva..” 14 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. HOJA N, “Por la cual se impone sanción y se imparten órdenes” De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados15.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine quedó demostrado que: i. Quedó demostrado que la sociedad investigada actuó negligentemente al no informar debidamente a la señora XXXXXXXXX sobre las finalidades de la recolección y los derechos que les asisten como Titulares de la información. En consecuencia, esta Dirección impondrá, dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012, una multa de UN MILLÓN DIECISEIS MIL SEISCIENTOS VEINTICUATRO PESOS ($1.016.624 pesos) M/CTE, correspondiente a (28) unidades de valor tributaria- UVT16, por la vulneración del literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la norma en comento, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

DÉCIMO: CONCLUSIÓN (i) Que en el presente caso no se presenta cosa juzgada debido a que no hay una identidad en cuanto a la causa pretendi y partes procesales con respecto al expediente 18-262421, pues la denunciante en ese caso no es la señora XXXXXXXXXXXXXXXXXXXXXXXXXX y los hechos que fundamentan esa denuncia, no son los mismos que el presente caso.

(ii) Que la sociedad investigada AGRUPACIÓN DE VIVIENDA RINCON DE MANDALAY – PROPIEDAD actuó conforme a la ley especial que regula la Propiedad Horizontal, y en este caso en concreto quedó demostrado que la sociedad obró bajo un mandato legal que releva el consentimiento al publicar el comunicado en siete lugares diferentes del conjunto con el nombre de la señora XXXXXXXXXXXXXXXXXXXXXXXXXXX y el número de apartamento, se encuentra justificado por el incumplimiento de las obligaciones no pecuniarias por parte de la denunciante, al alterar la convivencia pacífica de la copropiedad.

(iii) Que se encuentra probado el actuar negligente por parte de la investigada en el cumplimiento del deber de informar debidamente a la denunciante sobre las finalidades de la recolección y los derechos que les asisten como Titulares de la información, al encontrarse que sólo hasta el 2019 fueron informados los copropietarios de la finalidad del tratamiento de sus datos, vulnerando el derecho fundamental de la denunciante e incumpliendo el deber consagrado en el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la norma en comento, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015. 15 Ley 1581 de 2012 “Artículo 23.

La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada.

En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” 16 Ibidem HOJA N, “Por la cual se impone sanción y se imparten órdenes” (iv) Que en razón a que la sociedad tenía implementada una política de tratamientos en virtud del deber establecido en el literal k) del artículo 17 de la Ley 1581 de 2012 y el inciso 3 del artículo 25 de la norma en cita, pero se encontró que la misma no establecía el contenido mínimo señalado en el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015, se encuentra procedente impartir una orden.

En la medida en que se encontró que: (i) la política la PTI no contiene el nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable (ii) en la política no se informa al Titular del dato que tiene derecho a “presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen? (iii) la política no menciona la fecha de su entrada en vigencia; y (iv) la política no menciona el periodo de vigencia de las Bases de Datos de la sociedad.

DÉCIMO PRIMERO: Que, en virtud de la situación y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY - PROPIEDAD HORIZONTAL, identificada con 800.077.074-8, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial de la sociedad, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad rincon_demandalay@hotmail.com, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Finalmente, indicando que la totalidad del Expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY PROPIEDAD HORIZONTAL considera estrictamente necesario el acceso del Expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la radicado.

Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. En mérito de lo anterior, esta Dirección

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY - PROPIEDAD HORIZONTAL, identificada con el Nit. 800.077.074-8, de UN MILLÓN DIECISEIS MIL SEISCIENTOS VEINTICUATRO PESOS ($1.016.624) M/CTE, correspondiente a (28) unidades de valor tributaria- UVT, por la vulneración del literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4, así como el artículo 12 de la norma en comento, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 8999990902. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido HOJA N, “Por la cual se impone sanción y se imparten órdenes” este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: IMPARTIR las siguientes órdenes administrativas a la sociedad AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY - PROPIEDAD HORIZONTAL, identificada con el Nit. 800.077.074-8 así: • La sociedad AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY - PROPIEDAD HORIZONTAL, deberá implementar los procedimientos necesarios para informar, previamente al tratamiento de datos, a las Titulares sobre las finalidades de la recolección y los derechos que les asisten como Titulares de la información, de conformidad con lo establecido en Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. • La sociedad investigada AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD deberá poner a disposición de los interesados su Política de Tratamiento de Datos Personales así como adecuarla, de conformidad con lo consagrado en el inciso 3 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 201517, incluyendo (i) el nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable (ii)Un párrafo donde se informa al Titular del dato que tiene derecho a “presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen” (iii) la fecha de su entrada en vigencia; y (iv) el periodo de vigencia de las Bases de Datos de la sociedad.

PARÁGRAFO PRIMERO: AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD identificada con el Nit. 800.077.074-8, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de la orden impartida por mandato de este acto administrativo.

Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de las órdenes, y suscrita por el representante legal de la sociedad AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD identificada con el Nit. 800.077.074-8, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD. identificada con el Nit. 800.077.074-8 a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO CUARTO: COMUNICAR el contenido de la presente decisión a la señora XXXXXXXXXXX XXXXXXXXXXXXX, identificado con C.C. 51.949.954.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co 17 Se encuentra publicada para su consulta: “Formato modelo para el cumplimiento de obligaciones establecidas en la Ley 1581 de 2012 y sus decretos reglamentarios”, que no es de obligatorio cumplimiento, sin embargo, orienta a los Responsables y Encargados del Tratamiento sobre el cumplimiento de las obligaciones específicas, como son: (i) solicitar y conservar copia de la autorización y de la información que debe suministrarle a los titulares previo a la autorización;

(ii) contar con una Política de Tratamiento de Datos Personales disponible a los Titulares; (iii) contar con un aviso de privacidad, cuando no sea posible poner a disposición de los Titulares la política. Disponible en el siguiente link: https://www.sic.gov.co/centro-de-publicaciones?field_tema_general_tid=5&field_anos_p_value=All HOJA N, “Por la cual se impone sanción y se imparten órdenes” - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 27 AGOSTO 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.08.27 14:22:17 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JBG Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Investigada: AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY - PROPIEDAD HORIZONTAL Identificación: Nit 800.077.074-8 Representante Legal: XXXXXXXXXXXXXXXXXXX Identificación: C.C. XXXXXXXX Dirección: Carrera 72B No 5B -90 Correo electrónico: rincon_demandalay@hotmail.com Ciudad: Bogotá D.C. COMUNICACIÓN: Señora: XXXXXXXXXXXXXXXXXXXXXXXXXXX Identificación: C.C. XXXXXXXX Correo electrónico: XXXXXXXXXXXXXXXX

Resolución sancionatoria N° 53383 de 2021

CONSIDERANDO

RESUELVE