Resolución sancionatoria N° 81104 de 2020

(18 SEPTIEMBRE 2020) “Por la cual se impone una sanción y se imparten órdenes” Radicación 17-332373 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que mediante escrito radicado el 18 de septiembre de 2017 por parte del señor XXXX XXXXXXXXXXXXXXXX, esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S., identificada con Nit. 900.535.456-6, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos: 1.1 Señala el denunciante, que desde el 17 de noviembre de 2015 tiene contrato con la sociedad FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S para la prestación de servicios deportivos. 1.2 De igual manera, el señor XXXX XXXXXXXXXXXXXXXX manifiesta que el 18 de julio de 2017 radicó una consulta de acuerdo con los procedimientos establecidos en el artículo 14 de la Ley 1581 de 2012 ante la sociedad investigada en las instalaciones de la Cra. 25 #30 43 C.C. Cañaduzales, 2° Piso del barrio Cañaveral, en el municipio de Floridablanca, Santander la cual cuenta con constancia de recibido por uno de sus empleados.

Mediante la consulta requirió lo siguiente: a) Contrato y anexos (Incluyendo Políticas de Privacidad de Datos Personales) b) Acuerdo de exoneración c) Fecha de terminación del contrato (de acuerdo con la última renovación) 1.3 Afirma el titular, que no recibió respuesta a la consulta dentro del término legal establecido. 1.4 Informa el señor XXXX XXXXXXXXXXXXXXXX que el 4 de agosto de 2017 recibió un comunicado por parte de la investigada mediante la cual se allegó los documentos requeridos por el señor el titular, a saber: a) Contrato y anexos (Incluyendo Políticas de Privacidad de Datos Personales), b) Acuerdo de exoneración, c) Igualmente informó la fecha de terminación del contrato (de acuerdo con la última renovación). 1.5 Solicita se declare que la sociedad investigada vulneró las disposiciones contenidas en el literal j) del artículo 17 de la Ley 151 de 2012, toda vez que no emitió respuesta en los términos consagrados en el artículo 14 de la norma enunciada. 1.6 Que, a partir de la queja recibida, esta entidad mediante radicado 17-332373—7-1 del 29 de Junio de 2018 requirió a la investigada para que informara y acreditara lo siguiente: “¿Qué tipo de información personal de sus clientes, empleados, y proveedores se recolecta y se encuentra almacenada en sus bases de datos -v.gr. nombres, números de identificación, direcciones, correos electrónicos, datos de menores, edad, datos biométricos (huellas y registro fotográfico), datos sensibles (historias clínicas), etc.-? Describa los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, así como las finalidades para las cuales la información fue recolectada y explique la necesidad de recolectar cada uno de los datos.

HOJA N 2, “Por la cual se impone una sanción y se imparten órdenes” Remita copia de las Políticas de Tratamiento de la información desarrolladas e implementadas por la organización. Remita copia del modelo que emplea para la recolección de la autorización de los Titulares para el Tratamiento de sus datos personales. Remita copia del viso de privacidad y prueba de que el mismo ha sido implementado por la organización. Remita copia del manual interno o procedimiento para la atención de peticiones, quejas y reclamos relacionados con el derecho a conocer, actualizar, rectificar, suprimir y revocar la autorización por parte de los Titulares de la información. Informe quién es la persona o área que designó para que asumiera la función de protección del derecho de habeas data.

¿Qué políticas internas de seguridad tienen documentadas o ha implementado para conservar la información de los Titulares a fin de impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento? Sírvase remitir copia de las mismas, Informe y acredite si suscribió cláusulas de confidencialidad con los empleados o contratistas que intervienen en el tratamiento de la información. Informe el trámite que impartió a la petición radicada el 18 de julio de 2017 por el Titular XXXX XXXXXXXXXXXXXXXX.

Al respecto, sírvase informar el motivo por el cual remitió respuesta a la petición presentada por el mentado Titular hasta el 03 de agosto de 2017” 1.7 Que, mediante radicado 17-332373-8-1 del 17 de julio de 2018, la investigada dio respuesta al requerimiento de información y allegó los documentos solicitados, a través de los cuales se evidencian falencias respecto del deber de solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular derechos de los niños, niñas y adolescentes y datos personales de carácter sensible; falencias respecto del deber de informar debidamente la finalidad de recolección y respecto del deber de tramitar las consultas y reclamos formulados. 1.8 Que, de la información recaudada en desarrollo de la etapa de averiguación preliminar adelantada por esta Dirección, se determinó que la investigada actúa en condición de Responsable del Tratamiento, y que habría ejecutado conductas presuntamente violatorias de las normas sobre protección de datos personales.

SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en la Ley 1581 de 2012, se inició la presente investigación en contra de la sociedad FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S mediante la expedición de la Resolución 87615 del 30 de noviembre de 2018, por medio de la cual se formularon los siguientes cargos: (i) El literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 y los artículos 5,6 y 9 de la Ley 1581 de 2012 y los artículos 2.2.2.25.2.3 y 2.2.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015 (ii) El literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4 así como los artículos 6 y 12 de la Ley 1581 de 2012 y el inciso primero del artículo 2.2.2.25.2.2 y 2.2.2.25.2.3 del Decreto Único Reglamentario 1074 de 2015 y, (iii) El literal j) del artículo 17 en concordancia con el artículo 14 de la Ley 1581 de 2012.

La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante.

TERCERO: Que, la Resolución 87615 del 30 de noviembre de 2018 le fue notificada a la investigada por Aviso el 20 de diciembre de 2018, como consta en la certificación de Secretaria Ad Hoc que obra bajo radicado17-332373- -15 del 1 de febrero de 2019, y que, vencido el término otorgado en la misma para allegar escrito de descargos, la investigada guardo silencio.

De la misma manera, esta actuación fue comunicada al denunciante.

CUARTO: Que, mediante Resolución 7481 del 29 de marzo de 2019, esta Dirección incorporó las pruebas obrantes en el expediente radicado bajo el número 17-3323733, así: HOJA N 3, “Por la cual se impone una sanción y se imparten órdenes” 4.1 Pruebas aportadas por el denunciante: 4.1.1 Denuncia presentada por el señor XXXXXXXXXXXXXXXXXXXX bajo radicado 17-332373-00 del 18 de septiembre de 2018. 4.1.2 Derecho de petición del 18 de julio de 2017, presentado por el señor XXXX XXXXXX XXXXXXXXX, dirigido a comunicado radicado bajo el N° 17-332373-00031-000 4.1.3 Respuesta al derecho de petición entregado el 4 de agosto de 2017, dirigida al señor XXXX XXXXXXXXXXXXXXXX por parte de la sociedad comunicado radicado bajo el N° 17-33237300031-000 por medio de la cual le remitió los siguientes documentos: a) Contrato y anexos (Incluyendo Políticas de Privacidad de Datos Personales), b) Acuerdo de exoneración, c) Igualmente informó la fecha de terminación del contrato (de acuerdo con la última renovación). 4.1.4 Respuesta a requerimiento mediante radicado 17-332373-00002 del 23 de octubre de 2017 por parte del señor XXXX XXXXXXXXXXXXXXXX. 4.1.5 Denuncia presentada por el señor XXXX XXXXXXXXXXXXXXXX radicado 18-199299-00 del 2 de agosto de 2018. 4.1.6 Denuncia y anexos presentados por el señor XXXX XXXXXXXXXXXXXXXX bajo radicado 17409987-00 del 11 de diciembre de 2018. 4.1.7 Denuncia y anexos presentados por el señor XXXX XXXXXXXXXXXXXXXX bajo radicado 18232579-00 del 16 de septiembre de 2018. 4.2 Pruebas aportadas por la investigada 4.2.1 Respuesta a requerimiento bajo radicado 17-332373-00008 del 13 de julio de 2018, por parte de la sociedad comunicado radicado bajo el N° 17-332373-00031-000y los correspondientes anexos, así: 4.2.1.1 Documento denominado “petición respetuosa a la Superintendencia de Industria y Comercio”1, a través el cual la investigada solicita “cerrar este caso” con base en lo siguiente: 4.2.1.2 Copia del documento integral Contrato de Prestación para la Inscripción y participación en el Programa de Promoción en la Salud y Prevención de la Enfermedad como Usuario en comunicado radicado bajo el N° 17-332373-00031-0002 4.2.1.3 Folleto institucional denominado CODIAC Consulta Diligencia Activa.3 4.2.1.4 Modelo contrato laboral.4 4.2.1.5 Modelo contrato de Servicios Profesionales.5 4.2.1.6 Modelo contrato de prestación de servicios de transporte de pacientes. 6 4.2.1.7 Documento denominado: Políticas de Privacidad.

Tratamiento y Protección de Datos Personales con fecha octubre de 2016.7 1 Radicado 17-332373-8-1 páginas 8 y 9 2 Radicado 17-332373-8-1 páginas 10 a la 13. 3 Radicado 17-332373-8-1 páginas 14 y 15. 4 Radicado 17-332373-8-1 páginas 16 a la 20. 5 Radicado 17-332373-8-1 páginas 21 a la 23. 6 Radicado 17-332373-8-1 páginas 24 y 25. 7 Radicado 17-332373-8-1 páginas 26 a la 34.

HOJA N 4, “Por la cual se impone una sanción y se imparten órdenes” 4.2.1.8 Modelo de autorización para el tratamiento y protección de la información del Titular en nuestras bases de datos.8 4.2.1.9 Documento denominado: Aviso de Cumplimiento.9 4.2.1.10 Informe sobre administración de datos sistema CLEZ.10 4.2.1.11 Documento denominado: Política- Aviso de Privacidad con fecha octubre de 2016.11 4.2.1.12 Comunicado internos Fitness People de fecha 10 de febrero de 2018, con referencia aviso de privacidad.12 4.2.1.13 Comunicado internos Fitness People de fecha 10 de febrero de 2018, con referencia Política para la autorización y manejo de base de datos personales. 13 4.2.1.14 Comunicado interno Fitness People de fecha 10 de febrero de 2018, con referencia Solicitud de Autorización para el manejo de datos personales.14 4.2.1.15 Documento denominado: Instructivo – Sistema de Información del Usuario con fecha 5 de noviembre de 2014.15 4.2.1.16 Modelo P.Q.R.S.F (Peticiones-Quejas-Reclamos-Sugerencias-Felicitaciones) SERVICIO AL CLIENTE. 16 4.2.1.17 Modelo Inducción al Puesto de Trabajo para Personal Nuevo. 17 4.2.1.18 Modelo cláusula de confidencialidad y reservas. 18 4.2.1.19 Modelo Otrosí al contrato inicial. 19 4.2.2 Correo electrónico enviado de la cuenta de correo electrónica direccionadministrativa@fitnesspeoplecmd.com con radicado 17-332373-12-1 del 17 de diciembre de 2018. 4.3 Pruebas recaudadas por esta Dirección: 4.3.1 Requerimiento bajo radicado 17-332373-00002 del 17 de octubre de 2017 efectuado por esta Dirección al señor XXXX XXXXXXXXXXXXXXXX. 4.3.1 Certificado de existencia y representación legal de fecha 24 de mayo de 2018 de la sociedad FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S. 4.3.2 Comunicación con radicado 17-332373-6-1 del 29 de junio de 2018 efectuado por esta Dirección, dirigida al señor XXXX XXXXXXXXXXXXXXXX. 8 Radicado 17-332373-8-1 página 35. 9 Radicado 17-332373-8-1 página 36. 10 Radicado 17-332373-8-1 páginas 37 a la 41. 11 Radicado 17-332373-8-1 página 42. 12 Radicado 17-332373-8-1 páginas 43 a la 53. 13 Radicado 17-332373-8-1 páginas 54 a la 58. 14 Radicado 17-332373-8-1 páginas 59 a la 65. 15 Radicado 17-332373-8-1 páginas 66 a la 68. 16 Radicado 17-332373-8-1 página 69. 17 Radicado 17-332373-8-1 páginas 70 a la 77. 18 Radicado 17-332373-8-1 página78. 19 Radicado 17-332373-8-1 página 79.

HOJA N 5, “Por la cual se impone una sanción y se imparten órdenes” 4.3.3 Requerimiento radicado 17-332373-7-1 del 29 de junio de 2018, efectuado por esta Dirección a la sociedad FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S. 4.3.4 Comunicación con radicado No. 18-199299-3-1 del 29 de octubre de 2018 efectuada por esta Dirección, dirigida al señor XXXX XXXXXXXXXXXXXXXX. 4.3.5 Comunicación con radicado No. 17-409988-00002 del 8 de febrero de 2018 efectuada por esta Dirección, dirigida al señor XXXX XXXXXXXXXXXXXXXX.

QUINTO: Que la Resolución 7481 del 29 de marzo de 2019 fue notificada a la investigada mediante correo electrónico el 1 de abril de 2019 como consta en el acuse correo electrónico certificado con radicado 17-332373- -20 del 10 de abril de 2019. Bajo dicha resolución se le solicitó a FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S. lo siguiente: “ (…) indique si para la fecha de los hechos denunciados, contaba con autorización previa, expresa e informada de los Titulares de la información para el tratamiento de datos personales sensibles, implementada y aprobada por la sociedad.

En caso de ser afirmativo, allegar copia de las autorizaciones otorgadas por el Titular, frente a lo cual la investigada no dio respuesta”.

SEXTO: Que mediante radicado 17-332373- -19 del 4 de abril de 2019, la investigada atendió el decreto de pruebas.

SÉPTIMO: Que, mediante comunicado radicado bajo el N° 17-332373-00031-000 del 17 de Julio de 2019 la entidad declaró agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

OCTAVO: Que, mediante comunicado radicado bajo el N°. 17-332373-00033-001 del 6 de agosto de 2019 el representante legal suplente de la sociedad, encontrándose dentro del término allegó a esta Dirección los alegatos de conclusión, informando lo siguiente: 8.1 Que, las solicitudes realizadas por el peticionario fueron atendidas en varias oportunidades, pues “se respondieron todas a través de correo certificado, a travez [sic] de mensajería interna directamente, a travez [sic] del teléfono en donde el peticionario se negó reiteradamente a recibir información aduciendo que ’esto ya estaba en manos de mi abogado’ si bien es cierto que está solcitando [sic] información como es posible que el peticionario se niegue a recibirla vía telefónica en cumplimientode [sic] a los terminos [sic] legales.” 8.2 Que, mediante comunicado presentado el 30 de Junio de 2017 por el señor XXXX XXXXXX XXXXXXXXXX a la investigada, informó que “reafirmaba la decisión de continuar haciendo la rutina sin supervisión”. 8.3 Así mismo, señala la investigada “(q)ue el 18 de julio de 2017 al peticionario se le repondió [sic] la solicitud de información de datos personales, como titular, como tambien [sic] se le repondió [sic] a la superintendencia; esta información se le entregó bajo las tres (03)modalidades de comunicación (Vía correo certificado, mensajería interna y via [sic] telefónica [sic] en comunicación directa y sobre los terminos [sic] legales).” 8.4 Que, el 11 de diciembre de 2017 el señor XXXX XXXXXXXXXXXXXXXX presentó una solicitud ante la investigada, mediante el cual solicitó las fotografías y videos que se encontraban en sus bases de datos en donde se identificara su imagen, frente a lo cual la investigada señala que se respondió en los términos legales y se le aclaró al denunciante que la investigada no tenía información de imágenes o videos que le pudiera entregar toda vez que el sistema de grabación “solo guardaba la información por 12 días y que el mismo software se encargaba de ir borrando la información”. 8.5 Informa la investigada, que la respuesta mencionada en el numeral anterior se le envió al señor XXXX XXXXXXXXXXXXXXXX “bajo las tres (03) modalidades de comiunicación [sic] (Vía correo certificado,mensajería [sic] interna y via [sic] telefonica [sic] en comunicación directa y sobre los terminos [sic] legales) y no es cierto como lo manifiesta el peticionario que no se le dio respuesta por que la respuesta si se le dio lo que no se le pudo entregar fue la información solicitada por que esta [sic] ya estaba borrada debido a la poca capacidad que tiene el disco duro del software para guardar la información.” HOJA N 6, “Por la cual se impone una sanción y se imparten órdenes” 8.6 Que, no es cierto que la investigada se ha negado reiteradamente a darle respuestas al señor XXXX XXXXXXXXXXXXXXXX, toda vez que “al quejoso se le han ofrecido todas las informaciones a través [sic] de los tres medios de comunicación y estas han quedado registradas con copias de radicación a traves [sic] de correo certificado de la empresa de correos Servientrega y en la correspondencia interna en donde el peticionario ha firmado las recibidos.

Ante este numeral manifestamos qu [sic] es una flagrante calumnia en dolo por [sic] que esta [sic] demostrado las resspuesta [sic] entregadas al peticionario.” 8.7 Que, en las respuestas dadas al señor XXXX XXXXXXXXXXXXXXXX los días 27 y 28 de diciembre de 2017 se le informaba que no era posible suministrar la información requerida toda vez que como ya se le había informado el sistema de grabación de las instalaciones almacena la información por un periodo máximo de 12 días, y a su vez se le informó que no era posible obligar al entrenador a entregar su celular personal para acceder a la información allí contenida. 8.8 Señala la investigada, que “En el numeral 2.6. de la Resolución 81104 de 2018 el peticionario solicita que se le ordene a la Sociedad dar respuesta a su petición mediante el cual se allegue la documentaación [sic] señalada en su escrito y se le imponga la sancion [sic] correspondiente: En este item [sic] ratificamos que la información solicitada se le respondió en los términos legales y que lo que no se pudo fue entregar las grabaciones que el peticionario argumentaba del instructor en mesion [sic] por que nosotrso [sic] no teniamos [sic] la competencia para esta solictud [sic] y tambien [sic] se le informó que las grabaciones solicitadas ya se habian [sic] borrado atomaticamente [sic] del disco duro del DVR graba las camaras [sic] y luego es muy feaciente [sic] que no es la negativa de entregar la información si no que es insuperable las solicitudes que hizo el peticionario por que [sic] no había forma de recuperar la información solicitada como tambien [sic] el supuesto que elinstructor [sic] enmensión [sic] lo habia [sic] grabado con el celular y se sale de la competencia por parte nuestra de acceder a la intimidad de nuestros trabajadores para acceder a la informacion [sic] de imágenes, grabaciones personales de nuestros trabajadores.” 8.9 Informa la investigada, que “El 22 de noviembre de 2018 se enviaron sendas copias compuesto cada paquete de 92 folios y estos fueron enviados a traves [sic] de correo certificado de la empresa DEPRISA.- 1) Guía No xxxxxxxxxxxx dirigida al señor xxxx xxxxxx xxxxxxxxx [sic] en donde se incluia [sic] la sentencia de la tutela instaurada por el sr XXXX XXXXXXXXXXXXXXXX [sic] XXXXXXX en el Juzgado Septimo [sic] civil municipal dentro del radicado 2008-00125 en donde el Juez le halló la razón a la parte demandada Fitness People. 2) Guía No. XXXXXXXXXXXX dirigida a la SuperIntendencia [sic] de Industria y Comercio en donde se incluia [sic] la sentencia de la tutela instaurada por el señor XXXX XXXXXXXXXXXXXXXX [sic] XXXXXXX en el Juzgado Septimo [sic] civil municipal dentro del radicado 2008-00125 en donde el Juez le halló la razón a la parte demandada Fitness People.

En los 92 folios se entrega toda la información aportada a traves [sic] de varias peticiones instauradas por el quejoso incluyendo la sentencia de la Tutela; no entendemos porque nuevamente quejoso a traves [sic] de la Superintendencia De Industria y Comercio su esta ya había sido entregada con anteriroidad [sic] y maxime [sic] cuan elpondnete [sic] de la tutela fue el mismo señor XXXX XXXXXXXXXXXXXXXX [sic] XXXXXXX la cual era su obligagción [sic] haber solicitado al Juzgado la sentencia proferida por el señor Juez del Juzgado séptimo civil municipal.” 9.10 Informa que, el 17 de mayo 2019 la investigada da respuesta a la Superintendencia de Industria y Comercio remitiendo nuevamente los documentos requeridos por el señor XXXX XXXXXXXXXXXXXXXX, los cuales ya habían sido enviados el 1 de agosto de 2017, “Consentimiento escrito informado del titular de datos.

Reglamento interno en especial las OBLIGACIONES DEL USUARIO. Formulario denominado “PAR-Q” (cuestionario de preparación para la actividad física. Documento de exoneración de responsabilidad al Centro Médico Deportivo Fitness People - Constancia del envío del correo certificado a través de la Guía No. xxxxx5960 de la empresa Servientrega. - Certificado del técnico que instaló y programó el sistema de cámaras para el control interno con capacidad de almacenamiento de 13 días - HOJA N 7, “Por la cual se impone una sanción y se imparten órdenes” 8.11 Solicita negar las pretensiones del quejoso teniendo en cuenta que toda la información requerida ya fue suministrada.

NOVENO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO: Análisis del caso 10.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 201120, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a (i) el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 y los artículos 5, 6 y 9 de la Ley 1581 de 2012 y los artículos 2.2.2.25.2.3 y 2.2.2.25.2.9 del Decreto Único Reglamentario 1074 de 2015 (ii) el literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4 así como los artículos 6 y 12 de la Ley 1581 de 2012 y el inciso primero del artículo 2.2.2.25.2.2 y 2.2.2.25.2.3 del Decreto Único Reglamentario 1074 de 2015 y, (iii) el literal j) del artículo 17 en concordancia con el artículo 14 de la Ley 1581 de 2012.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, así como las razones de hecho y de derecho aducidas por la investigada en el escrito de alegatos, y el conjunto de pruebas allegadas al expediente. 10.2 Valoración probatoria y conclusiones 10.2.1 Respecto del deber de solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular derechos de los niños, niñas y adolescentes y datos personales de carácter sensible.

El artículo 15 de la Constitución Política establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos. Al respecto la Corte Constitucional ha señalado lo siguiente: “Principio de libertad;

El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

HOJA N 8, “Por la cual se impone una sanción y se imparten órdenes” Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección de habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su ‘imagen informática’”. 21 En virtud de este principio de libertad, el legislador impuso a los Responsables del Tratamientos de datos personales varias obligaciones entre las cuales destacamos: (i) la exigencia de requerir la autorización previa, expresa e informada del Titular contenida en el artículo 9 de la Ley 1581 de 201222, y (ii) el deber de solicitar y conservar copia de la autorización de Tratamiento otorgada por el titular, de acuerdo a lo establecido en el literal b) del artículo 17 ibidem23así: “Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular.” Sobre la autorización, la Corte Constitucional mediante Sentencia T-987 de 2012 MP.

Luis Ernesto Vargas Silva, señaló que: “La autorización será compatible con el derecho al hábeas data cuando la misma es idónea para garantizar las facultades de conocimiento, actualización y rectificación, al igual que la cláusula general de libertad. Esto significa que el sujeto concernido manifiesta su consentimiento de tratamiento del dato personal (i) para que sea consignado en una base o registro de datos particular e identificable; y (ii) para unas finalidades y usos que son expresos y puestos a consideración del titular del dato, como condición previa para el otorgamiento de la autorización. Este requisito, por ende, implica que son violatorias del derecho hábeas data aquellas formas de recopilación de información personal que sean secretas o que se fundamenten en desnaturalizar o falsear la voluntad del sujeto concernido para la incorporación del dato personal.” Por su parte, el Decreto único reglamentario 1074 de 2015 en el artículo 2.2.2.25.2.4 estableció los modos válidos a través de los cuales los Responsables del Tratamiento pueden obtener la autorización, así: “Para efectos de dar cumplimiento a lo dispuesto en el artículo 9o de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.” Retomando el caso particular, se encuentra que luego de la denuncia presentada por el señor XXXX XXXXXXXXXXXXXXXX, este Despacho tuvo conocimiento de la presunta vulneración a las norma de protección de datos personales por parte de la sociedad FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S, motivo por el cual fue requerida solicitando, entre otras cosas, que informará cuál era el procedimiento empleado para la recolección de la información, junto con el modelo que utiliza para la obtención de la autorización por parte de los titulares.

Corte Constitucional Sentencia C-748 del 6 de Octubre de 2011 MP. Jorge Ignacio Pretelt Chalkjub Ley 1581 de 2012 ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.

Ley 1581 de 2012 ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular. HOJA N 9, “Por la cual se impone una sanción y se imparten órdenes” Al respecto la sociedad investigada, mediante comunicado allegado bajo radicado N°17-332373-81 del 17 de julio de 2018, señaló que los datos de sus clientes son recolectados mediante la inscripción de cinco módulos, a saber: i) ii) iii) iv) v) Módulo 1: Consentimiento escrito informado Módulo 2: autorización para el manejo y protección de datos personales Módulo 3: Términos, condiciones y restricciones para el uso del plan adquirido Módulo 4: Reglamento interno para usuarios- derechos, deberes, obligaciones, recomendaciones ambientales higiene y salubridad para el usuario Módulo 5: Responsabilidades y medidas preventivas De igual manera, señaló que la información recolectada es la siguiente: • Para usuarios mayores de edad i) Nombres completos ii) Número de documento de identidad iii) Dirección iv) Fecha de nacimiento v) Correo electrónico vi) Nombre de la EPS y/o ARL vii) Nombre completo, dirección, teléfono de una persona de contacto en caso de emergencia viii) También recolecta l huella digital para el ingreso al establecimiento.

Para usuarios menores de edad: i) Nombres completos del padre, madre o adulto responsable ii) Nombre completo del menor de edad autorizado para la inscripción iii) Número de documento de identidad (del adulto y del menor autorizado) iv) Dirección, (del adulto y del menor autorizado) v) Fecha de nacimiento (del adulto y del menor autorizado) vi) Correo electrónico (del adulto y del menor autorizado) vii) Nombre de la EPS y/o ARL (del adulto y del menor autorizado) viii) Nombre completo, dirección, teléfono de una persona de contacto en caso de emergencia ix) También recolecta l huella digital para el ingreso al establecimiento.

Adicionalmente, la sociedad FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S, manifestó que los titulares diligencian el documento denominado “PAR-Q” (cuestionario de preparación para la actividad física); mediante el cual se hacen preguntas referentes al estado de salud de sus clientes. Sumado a lo anterior, la sociedad investigada allegó mediante el comunicado del 17 de julio de 2018, copia del documento denominado “contrato de prestación de servicios para la inscripción y participación en el programa de promoción en la salud y prevención de la enfermedad como usuario de Fitness People Centro Médico Deportivo a través de módulos integrados”.

En el cual se puede observar lo siguiente HOJA N 10, “Por la cual se impone una sanción y se imparten órdenes” De otra parte, y revisados los documentos allegados por la investigada, mediante el radicado N°17332373-8-1 del 17 de julio de 2018, respecto del Tratamiento de los datos de los empleados de la sociedad investigada se encuentran los siguientes documentos: a) modelo de contrato de trabajo en el cual dentro de su cláusula decima cuarta contiene la autorización para el tratamiento de los daos personales por parte de la investigada; b) Comunicados internos de fecha 10 de febrero de 2018 mediante los cuales se ponen de presente a los empleados el aviso de privacidad “política para la autorización y manejo de bases de dato personales” y la solicitud de autorización para el manejo de bases de datos adoptadas por la organización junto con el listado de asistencia; c) modelo de cláusula de confidencialidad que suscribe la investigada con cada trabajador, la cual dispone lo siguiente: De igual manera, la sociedad investigada allega copia de la publicación denominada “autorización para el tratamiento y protección de la información del titular en nuestras bases de datos”, mediante HOJA N 11, “Por la cual se impone una sanción y se imparten órdenes” la cual, en virtud del artículo 10 delo Decreto 1074 de 201524, la sociedad solicitó la autorización de los titulares cuyos datos eran almacenados por la investigada antes de que entrara en vigencia la ley 1581 de 2012.

De otra parte, dentro del acervo probatorio que obra en el expediente se observa el “consentimiento escrito informado para la inscripción y participación como usuario en el centro médico deportivo fitness people” suscrito por el señor XXXX XXXXXXXXXXXXXXXX, en el cual se indica lo siguiente: “MANEJO Y PROTECCIÓN DE MI BASE DE DATOS: Adhiero mi consentimiento autorizando al CENTRO MÉDICO DEPORTIVO FITNESS PEOPLE S.A.S a continuar tratando la información existente en sus bases de datos con la debida confidencialidad, de manera segura, legal y transparente, en los términos y condiciones señalados en la Ley 1581 de 2012 y Decreto 1377 de 2013, en armonía con el proceso de inscripción como usuario a la institución y tratamiento de su base de datos: no obstante lo anterior, en cualquier momento tendré el derecho de solicitar la eliminación de mi información de su base de datos.”25 Ahora bien, una vez analizada cada una de las pruebas allegadas durante todas las etapas procesales de la presente investigación, este Despacho considera que, en virtud del principio de libertad, el titular tiene el control de su información personal y determina quiénes están facultados para tratar la misma, situación que es evidenciada en cada uno de los formularios allegados por la investigada, tanto para sus clientes como para sus empleados.

Sin embargo, mediante la resolución N° 87615 del 30 de noviembre de 2018, se evidenció preliminarmente que CENTRO MÉDICO DEPORTIVO FITNESS PEOPLE S.A.S, trata datos de carácter sensible y de menores de edad sin que se informe el tratamiento al que serán sometidos, así como tampoco se evidencia la autorización previa por parte de la investigada.

Al respecto, es necesario traer a colación lo dispuesto en el artículo 5 de la Ley 1581 de 2012 le cual indica lo siguiente: “se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos.” Por su parte, la Corte Constitucional en Sentencia C- 748 de 2011 señaló que: “El proyecto de ley estatutaria define como datos sensibles, “(…) los que afectan la intimidad del Titular y cuyo uso indebido puede generar su discriminación…”, definición ésta que la Sala encuentra ajustada a la jurisprudencia Constitucional y su delimitación, además de proteger el habeas data es una garantía del derecho a la intimidad, razón por la cual es compatible con la Carta Política.

De la misma manera, la prohibición de su tratamiento, como regla general, no solamente es compatible con la Carta, sino que es una exigencia del derecho a la intimidad y un desarrollo del principio del habeas data de acceso y circulación restringida. No obstante la norma prevé, que en ciertas ocasiones el tratamiento de tales datos es indispensable para la adecuada prestación de servicios –como la atención médica y la educación- o para la realización de derechos ligados precisamente a la esfera íntima de las personas –como la libertad de asociación y el ejercicio de las libertades religiosas y de opinión-, excepciones éstas que responden precisamente a la necesidad del tratamiento de datos sensible en dichos escenarios, y por tratarse de casos exceptuados que pueden generar altos riesgos en términos de vulneración del habeas data, la intimidad e incluso la dignidad de los titulares de los datos, los agentes que realizan el tratamiento en estos casos, tienen una responsabilidad reforzada que se traduce en una exigencia mayor que también deberá traducirse en materia sancionatoria administrativa y penal.

(…)” 24 Por medio del cual se expide el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, norma que compiló, entre otros, el Decreto 1377 de 2013 que reglamentó parte del articulado de la Ley 1581 de 2012. 25 Radicado 17-332373-7-1 del 29 de junio de 2018. página 11. HOJA N 12, “Por la cual se impone una sanción y se imparten órdenes” De lo anterior se colige que, los Responsables y Encargados del Tratamiento de datos personales de naturaleza sensible deben ser aún más diligentes al recolectar, almacenar, indexar, conservar, analizar, usar, transmitir, divulgar, consultar, y, en fin, al realizar cualquier operación que involucre datos relativos al origen étnico o racional, la orientación política, pertenencia a sindicatos, la salud, la vida sexual, entre otros de menores de edad.

Precisamente teniendo en cuenta esto, el ordenamiento jurídico nacional proscribe por regla general, cualquier tipo de Tratamiento de datos sensibles, sin embargo, el artículo 6 de la Ley 1581 de 2012 consagra 5 situaciones taxativas en las cuales se autoriza el Tratamiento de estos datos, así: “ARTÍCULO 6o. TRATAMIENTO DE DATOS SENSIBLES.

Se prohíbe el Tratamiento de datos sensibles, excepto cuando: a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización; b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado.

En estos eventos, los representantes legales deberán otorgar su autorización; c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad.

En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular; d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial; e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares.” (…)” Ahora bien, retomando el caso bajo estudio se observa que la sociedad investigada al ser un centro de Acondicionamiento y de Preparación Físico Deportivo, se encuentra obligada a recolectar datos de carácter sensible, puesto que para prestar el servicio “(…)médico de protección, prevención, recuperación, rehabilitación, control, y demás actividades relacionadas con las condiciones físicas, corporales y de salud de todo ser humano (…)”26 debe recolectar datos referentes a la salud de sus titulares.

Motivo por el cual, CENTRO MÉDICO DEPORTIVO FITNESS PEOPLE S.A.S tiene disponible el formulario denominado “PAR-Q” (cuestionario de preparación para la actividad física). Del mismo modo, mediante el “contrato de prestación de servicios para la inscripción y participación en el programa de promoción en la salud y prevención de la enfermedad como usuario de Fitness People Centro Médico Deportivo a través de módulos integrados”, en los módulos 1 y 2 se evidencia el consentimiento informado, por medio del cual se le solicita la aceptación del tratamiento de la información referente a su salud y se le indica el tratamiento y finalidad de dicha recolección, puesto que señala expresamente: “ (….) que diligenció y acepto mediante mi firma; el PAR-Q PHYSICAL ACTIVITY READINNES QUESTIONNAIRE (…) acepto mediante este consentimiento escrito la matricula; entregaré la información de mi real estado de salud y datos personales incorporaré mi huella digital para el control de accesos biométrico y registro fotográfico (…) adhiero mi consentimiento autorizando a FITNESS PEOPLE S.A.S a continuar tratando la información existente en sus bases de datos con la debida confidencialidad, de manera segura, legal y transparente, en los términos y condiciones señalados en la Ley 1581 de 2012 y Decreto 1377 de 2013 (…)

PARÁGRAFO 1 Ley 729 de 2001 Artículo 2: Los Centros de Acondicionamiento y Pre paración Físico, CAPF, son establecimientos que prestarán un servicio médico de protección, prevención, recuperación, rehabilitación, control, y demás actividades relacionadas con las condiciones físicas, corporales y de salud de todo ser humano, a través de la recreación, el deporte, la terapia y otros servicios fijados por autoridades competentes y debidamente autorizados, orientados por profesionales en la salud, que coordinarían a licenciados en educación física, tecnológicos deportivos y demás personas afines que consideren que el tratamiento o rehabilitación de la persona (s) se realice en los CAPF.

HOJA N 13, “Por la cual se impone una sanción y se imparten órdenes” nuestra política de autorización para el tratamiento de las bases de datos personales y el aviso de privacidad se encuentra en la página web www.fitnesspeoplecolombia.com (…)”. Con base en lo expuesto y como quedó probado, esta Dirección encuentra que CENTRO MÉDICO DEPORTIVO FITNESS PEOPLE S.A.S. efectivamente cuenta con la autorización previa, expresa e informada de los Titulares de los datos personales, tal y como lo requiere el artículo 9 de la Ley 1581 de 2012, así como cuenta con la copia respectiva del consentimiento expreso para el tratamiento de datos personales de carácter sensible extendido para su consulta posterior, de acuerdo a lo prescrito por el literal b) del artículo 17 del mismo compendio normativo.

Ahora bien, de otra parte, el legislador determinó que los datos relativos a niños, niñas y adolescentes se encuentran dentro de las categorías especiales de datos, materializando así la prevalencia de sus derechos y el interés superior de este tipo de sujetos de especial protección constitucional. En consecuencia, a través del inciso segundo del artículo 7 de la Ley 1581 de 2012, proscribió el Tratamiento de cualquier tipo de datos personales relativos a los mismos, exceptuando los datos personales de carácter público27.

Al respecto, en sentencia de control previo de constitucionalidad de la Ley Estatutaria de Protección de Datos Personales, la Corte Constitucional expresó que: “(…) la interpretación del inciso segundo, no debe entenderse en el sentido de que existe una prohibición casi absoluta del tratamiento de los datos de los menores de 18 años, exceptuando los de naturaleza pública, pues ello, daría lugar a la negación de otros derechos superiores de esta población como el de la seguridad social en salud, interpretación ésta que no se encuentra conforme con la Constitución. De lo que se trata entonces, es de reconocer y asegurar la plena vigencia de todos los derechos fundamentales de esta población, incluido el habeas (sic) data.

En este mismo sentido, debe interpretarse la expresión “naturaleza pública”. Es decir, el tratamiento de los datos personales de los menores de 18 años, al margen de su naturaleza, pueden ser objeto de tratamiento siempre y cuando el fin que se persiga con dicho tratamiento responda al interés superior de los niños, las niñas y adolescentes y se asegure sin excepción alguna el respeto de sus derechos prevalentes.

(…)”28. En desarrollo de lo expuesto por la Corte Constitucional en su Sentencia C-748 de 2011, mediante el Decreto Único Reglamentario 1074 de 2015 a través de su artículo 2.2.2.25.2.9, incluyó parámetros y requisitos adicionales que deberán cumplir los Responsables y Encargados del Tratamiento de datos personales de menores de dieciocho años en Colombia, a saber: “(…) 1.

Que responda y respete el interés superior de los niños, niñas y adolescentes. 2. Que se asegure el respeto de sus derechos fundamentales. Cumplidos los anteriores requisitos, el representante legal del niño, niña o adolescente otorgará la autorización previo ejercicio del menor de su derecho a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto.

Todo responsable y encargado involucrado en el tratamiento de los datos personales de niños, niñas y adolescentes, deberá velar por el uso adecuado de los mismos. Para este fin deberán aplicarse los principios y obligaciones establecidos en la Ley 1581 de 2012 y el presente capítulo. Ley 1581 de 2012. “Artículo 7°. Derechos de los niños, niñas y adolescentes.

En el Tratamiento se asegurará el respeto a los derechos prevalentes de los niños, niñas y adolescentes. Queda proscrito el Tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública. (…)”. Óp. Cit. Corte Constitucional. HOJA N 14, “Por la cual se impone una sanción y se imparten órdenes” La familia y la sociedad deben velar porque los responsables y encargados del tratamiento de los datos personales de los menores de edad cumplan las obligaciones establecidas en la Ley 1581 de 2012 y el presente capítulo.”.

En razón a todo lo anterior, no queda lugar a dudas que en materia de Tratamiento de datos personales también se encuentran expresamente establecidos los parámetros, condiciones, requisitos y obligaciones que el Responsable, el Encargado y la comunidad en general deben cumplir respecto de cualquier operación que se realice de datos personales de niños, niñas y adolescentes.

Ahora bien, retomando el caso partículas se encuentra que la sociedad CENTRO MÉDICO DEPORTIVO FITNESS PEOPLE S.A.S. como centro de Acondicionamiento y de Preparación Físico Deportivo puede prestar sus servicios a menores de edad, y por lo tanto se encuentra en el deber de recolectar información personal de los mismos, e incluso requiere conocer datos de carácter sensible, pues como ya se mencionó líneas atrás, en virtud de la prestación del servicio debe recolectar información referente a la salud, incluso si se trata de menores de edad.

Por tal motivo, dichos datos deben ser diligenciados en los formularios antes mencionados, los cuales traen consigo claramente la solicitud de autorización para el tratamiento de estos. No obstante, y pese a que en principio este Despacho no observa un incumplimiento al deber de solicitar y conservar la autorización previa, expresa e informada de menores de edad, es necesario que la sociedad modifique algunos de sus formatos e implemente lineamientos a sus empleados para el especial tratamiento que debe darse a este tipo de datos personales.

En consecuencia, esta Dirección concluye que la sociedad CENTRO MÉDICO DEPORTIVO FITNESS PEOPLE S.A.S. cumplió con el deber de “(s)olicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”. sin embargo, se impartirán órdenes administrativas pertinentes para la adecuación de la recolección de los datos personales de menores de edad. 10.2.2 Respecto del deber de informar debidamente la finalidad de recolección La Ley 1581 de 2012 contiene el principio de finalidad el cual expresamente señala: “Artículo 4°.

Principios Para el Tratamiento de Datos Personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular;” De esta manera la mencionada norma estatutaria indicó en su artículo 12 de la Ley 1581 de 2012 unos requisitos mínimos que deben ser informados al Titular al momento de solicitar la autorización para el tratamiento de sus datos personales, el cual reza lo siguiente: “Artículo 12.

Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

Al respecto, es oportuno señalar que el citado artículo 12 establece que los Titulares tienen derecho a conocer la finalidad para la cual se recolecta su información personal. Adicionalmente, el literal c) del artículo 17 de la Ley 1581 establece a los Responsables del tratamiento el deber de informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten.

HOJA N 15, “Por la cual se impone una sanción y se imparten órdenes” En virtud de lo expuesto, es importante aclarar que el consentimiento es un elemento esencial en el manejo de la administración de los datos, y que el mismo debe ser calificado, por cuanto debe ser previo, expreso e informado, así pues, el Titular antes de expresar su consentimiento debe conocer las finalidades para las cuales serán tratados sus datos, con el fin de autorizar su conservación, uso y circulación según lo informado por el del Tratamiento, y así poder hacer uso de la libertad frente al poder informático y la autodeterminación informática.

En este mismo sentido, la Corte Constitucional señaló lo siguiente: “La libertad en la administración de datos personales significa que el sujeto concernido mantenga, en todo momento, las facultades de conocimiento, actualización y rectificación de la información personal contenida en las bases de datos. Si ello es así, es evidente que la libertad del individuo ante el poder informático se concreta, entre otros aspectos, en la posibilidad de controlar la información personal que sobre sí reposa en las bases de datos, competencia que está supeditada a que exprese su consentimiento para la incorporación de la información en el banco de datos o archivo correspondiente.

Este ejercicio de la libertad en los procesos informáticos, a juicio de la Corte, se concreta en la exigencia de autorización previa, expresa y suficiente por parte del titular de la información, requisito predicable de los actos de administración de datos personales de contenido comercial y crediticio. La eliminación del consentimiento del titular, adicionalmente, genera una desnaturalización del dato financiero, comercial y crediticio, que viola el derecho fundamental al hábeas data, en tanto restringe injustificadamente la autodeterminación del sujeto respecto de su información personal.

Para la Constitución, la libertad del sujeto concernido significa que la administración de datos personales no pueda realizarse a sus espaldas, sino que debe tratarse de un proceso transparente, en que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación. La eliminación de la autorización previa, expresa y suficiente para la incorporación del dato en los archivos y bancos de datos administrados por los operadores permite, en últimas, la ejecución de actos ocultos de acopio, tratamiento y divulgación de información, operaciones del todo incompatibles con los derechos y garantías propios del hábeas data (Resaltado fuera del texto)”.29 En el mismo sentido, mediante el artículo 2.2.2.25.3 del Decreto Único Reglamentario 1074 de 2015, el legislador incluyó que en las situaciones en las que el Titular del dato sensible otorgue autorización para su Tratamiento a Responsables y Encargados, estos deberán cumplir, además, las siguientes obligaciones: “(…) a) Informar al titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento. b) Informar al titular de forma explícita y previa, además de los requisitos generales de la autorización para la recolección de cualquier tipo de dato personal, cuáles de los datos que serán objeto de Tratamiento son sensibles y la finalidad del Tratamiento, así como obtener su consentimiento expreso.

(…)”. Frente al presente caso, y como se advierte en los apartes del contrato antes citado, la sociedad investigada informa a los titulares donde se encuentra disponible la política de tratamiento de datos personales adoptada por la organización, tal como se observa a continuación: De esta manera, y una vez revisado el documento denominado “Políticas de Privacidad.

Tratamiento y Protección de Datos Personales”30, este Despacho observa un listado enunciativo Ver en: Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP. Jorge Ignacio Pretelt Chaljub. 30 Radicado 17-332373-8-1 páginas 26 a la 34. HOJA N 16, “Por la cual se impone una sanción y se imparten órdenes” -sin limitarse a ellos-, de los “usos para los cuales destina FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S”31 así: De igual manera, en la mencionada política de tratamiento de la información la sociedad investigada informa a los titulares que: “(…) Para el tratamiento de datos sensibles FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S deberá: a) Informar al titular que por tratarse de datos sensibles no está obligado a autorizar su tratamiento. b) Informar al titular de forma explícita y previa, además de los requisitos generales de la autorización para la recolección de cualquier tipo de dato personal, cuáles de los datos que serán objeto de tratamiento son sensibles y la finalidad del tratamiento, así como obtener su consentimiento expreso. c) No podrá condicionar ninguna actividad al suministro de datos personales sensibles.

(…)” 32 Finalmente, dentro del documento ya mencionado, la sociedad investigada informa los derechos que le asisten a los titulares de la información y se identifica plenamente el responsable del tratamiento. De esta manera, es claro para este Despacho que independientemente de que CENTRO MÉDICO DEPORTIVO FITNESS PEOPLE S.A.S., recolecte información sensible y de menores de edad en virtud del servicio de acondicionamiento y de preparación físico deportiva, junto con la huella digital de sus titulares para el ingreso a las instalaciones de su establecimiento deportivo, dicha sociedad informa mediante el contrato de suscripción del servicio el consentimiento informado para el tratamiento de los datos de salud almacenados, junto con la finalidad y el tratamiento que será realizado a dicha información. Así mismo, y tal como obra en las pruebas antes mencionadas, la sociedad investigada informa el carácter facultativo de suministrar los datos sensibles por parte de los titulares, así como los derechos que le asisten e identifica expresamente el responsable de la información. Por lo anterior, esta Dirección encuentra que se da cumplimiento al carácter informado de la autorización y concluye respecto de las finalidades enunciadas por la investigada que las mismas parecen ser legítimas y obedecen al desarrollo del objeto de la sociedad, por lo tanto, la investigada en su calidad de Responsable del Tratamiento da cumplimiento a lo preceptuado en el literal c) del artículo 17 en concordancia con el literal b) del artículo 4 así como los artículos 6 y 12 de la Ley 31 Radicado 17-332373-8-1 página 28. 32 Radicado 17-332373-8-1 página 30.

HOJA N 17, “Por la cual se impone una sanción y se imparten órdenes” 1581 de 2012, y el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. 10.2.3 Respecto del deber de tramitar las consultas y reclamos formulados El Literal j) del artículo 17 de la Ley 1581 de 2012 establece como un deber del Responsable del Tratamiento “Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley;” a su vez, el artículo 14 ibidem regula los mecanismos de consulta del Titular, esto con la finalidad de hacer efectivo su derecho al habeas data.

Sobre el tema, la Corte Constitucional en Sentencia C-748 de 2011, señaló que: “Esta norma hace una regulación típica del derecho de petición que consagra el artículo 23 de la Constitución, que en el caso en estudio se traduce en el derecho que tienen los titulares del habeas data o sus causahabientes para presentar ante los bancos de datos que manejen las autoridades publicas o privadas, peticiones para establecer que información o datos poseen sobre ellos y los términos para atender las consultas.” En el caso bajo estudio, el señor XXXX XXXXXXXXXXXXXXXX manifiesta que el 18 de julio de 2017 radicó una consulta de acuerdo con los procedimientos establecidos en el artículo 14 de la Ley 1581 de 2012, ante la sociedad investigada mediante la cual solicitó: a) Contrato y anexos (Incluyendo Políticas de Privacidad de Datos Personales) b) Acuerdo de exoneración c) Fecha de terminación del contrato (de acuerdo con la última renovación) Afirma el señor XXXX XXXXXXXXXXXXXXXX, que no recibió respuesta a la consulta dentro del término legal establecido, y que fue sólo hasta el 4 de agosto de 2017 que bajo la guía de entrega N°. xxxxxxxxx de Servientrega 33recibió la respuesta por parte de FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S mediante la cual dicha sociedad allegó los documentos requeridos por el denunciante, a saber: a) Contrato y anexos (Incluyendo Políticas de Privacidad de Datos Personales), b) Acuerdo de exoneración, c) Igualmente informó la fecha de terminación del contrato (de acuerdo con la última renovación) era el 13 de enero de 2018.

Una vez analizadas las pruebas obrantes en el expediente, este Despacho encuentra que efectivamente el denunciante presentó una petición de consulta de información el 18 de julio de 2017, la cual fue atendida el 4 de agosto de 2017 por la sociedad investigada. Al respecto, es importante traer a colación el artículo 14 de la Ley 1581 de 2012 el cual indica lo siguiente: “ARTÍCULO 14.

CONSULTAS. Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en cualquier base de datos, sea esta del sector público o privado. El Responsable del Tratamiento o Encargado del Tratamiento deberán suministrar a estos toda la información contenida en el registro individual o que esté vinculada con la identificación del Titular.

La consulta se formulará por el medio habilitado por el Responsable del Tratamiento o Encargado del Tratamiento, siempre y cuando se pueda mantener prueba de esta. La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

PARÁGRAFO. Las disposiciones contenidas en leyes especiales o los reglamentos expedidos por el Gobierno Nacional podrán establecer términos inferiores, atendiendo a la naturaleza del dato personal”. En atención a lo anterior, es claro que para atender las consultas de información los Responsables tiene un tiempo de diez (10) días hábiles, por lo cual al analizar el caso en particular se tiene que la sociedad investigada dio respuesta dos (2) días después del tiempo legal establecido.

Si bien, la sociedad FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S. atendió en su integridad las 33 Radicado 17-332373-7-1 página 15. HOJA N 18, “Por la cual se impone una sanción y se imparten órdenes” pretensiones del titular, el tiempo dispuesto por la ley es más que razonable para atender las mismas, pues se debe enfatizar que por medio dichas peticiones es que los titulares pueden ejercer su derecho a conocer, actualizar y rectificar la información personal que se haya recogido en bancos de datos.

Con base en lo anterior, es importante traer a colación apartes de la sentencia C-748 de 2012, mediante la cual la Corte Constitucional señaló: La jurisprudencia constitucional ha perfilado unas características que debe tener la respuesta para que se entienda satisfecho el derecho de petición, que en el caso de los responsables como de los encargados del tratamiento están obligados a observar, que se pueden resumir de la siguiente manera: (i) la respuesta debe ser de fondo, es decir, no puede evadirse el objeto de la petición, (ii) que de forma completa y clara se respondan a los interrogantes planteados por el solicitante, (iii) oportuna, asunto que obliga a respetar los términos fijados en la norma.

Así, el derecho de petición que se regula en la norma objeto de análisis se convierte en un instrumento con el que cuenta el titular del dato para hacer exigible o realizable el derecho autónomo de habeas data, siendo definido el derecho de petición como un derecho instrumental a través del cual el ciudadano se acerca a la administración o a aquellos privados que en razón de la actividad que desarrollan ostentan una posición de privilegio sobre el resto de particulares, que obliga al Estado a regular mecanismos que le permitan a estos últimos tener una herramienta que los obligue a responder a las inquietudes e inconformidades que se puedan generar por razón de la actividad que éstos desplieguen, en procura de lograr la satisfacción de otros derechos fundamentales.

De esta manera, y reiterando la importancia que tiene el derecho de petición no solo como un derecho fundamental por sí mismo, sino como herramienta para poder ejercer el derecho fundamental de habeas data, se le recuerda a la investigada que no solo se trata de atender todas las pretensiones de los titulares, si no que la respuesta deber ser oportuna y respetando los términos legales.

Así las cosas, este Despacho encuentra que la sociedad investigada no cumplió con el deber de Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley, por lo cual este Despacho impondrá la multa correspondiente.

DÉCIMO PRIMERO: Imposición y graduación de la sanción 11.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante HOJA N 19, “Por la cual se impone una sanción y se imparten órdenes” una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 34.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: Multa n 𝑆𝑀𝑀𝐿𝑉 UVT = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2020 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional35 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. 35 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas.

(…) (negrita añadida) HOJA N 20, “Por la cual se impone una sanción y se imparten órdenes” “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad” 36 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento el Régimen General de Protección de Datos, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros37. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”38.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia39. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2340 de la misma ley.

Asimismo, el artículo 24 de la 36 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 37 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 38 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 39 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 40Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

HOJA N 21, “Por la cual se impone una sanción y se imparten órdenes” norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 11.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”41 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva..” 41 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. HOJA N 22, “Por la cual se impone una sanción y se imparten órdenes” luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados42.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que la sociedad FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S., incumplió el deber de Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley, contenido en el literal j) del artículo 17 de la Ley 1581 de 2012.

Por esta razón, se le impondrá una sanción, equivalente a cincuenta (50) unidades de valor tributario, 11.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), e) y f) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho, y (v) no hubo reconocimiento o aceptación expresa sobre la comisión de la infracción.

DÉCIMO SEGUNDO: Que, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir la siguiente instrucción: • La sociedad FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S. deberá adoptar dentro de sus formularios los espacios necesarios para diligenciar los datos correspondientes a los representantes legales y/o tutores de los menores de edad. • De igual manera deberá implementar manuales internos dirigidos a sus empleados con las directrices necesarias para el especial tratamiento de los datos personales de los menores de edad.

Para demostrar lo anterior, la sociedad investigada deberá acreditar ante esta entidad y dentro del término de tres (2) meses contados a partir de la ejecutoria de la presente decisión una certificación de cumplimiento de las órdenes impartidas por esta entidad, suscrita por el representante legal con las respectivas evidencias.

DÉCIMO TERCERO: CONCLUSIÓN En el caso sub-examine, revisada la documentación que integra el expediente 17-332373, se concluye lo siguiente: 42 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada.

En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” HOJA N 23, “Por la cual se impone una sanción y se imparten órdenes” 12.1 Que la sociedad FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S., solicita y conserva la autorización de los titulares para el tratamiento de los datos personales recolectados por la misma en ocasión a la prestación del servicio. 12.2 Que en virtud de la Ley 729 de 2001, los centros de Acondicionamiento y de Preparación Físico Deportivos, prestan servicios médicos de protección, prevención, recuperación, rehabilitación, control, y demás actividades relacionadas con las condiciones físicas, corporales y de salud.

Por tal motivo, y debido a la naturaleza de los servicios prestados por la sociedad FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S., se deben recolectar datos referentes a la salud de los titulares. 12.3 Que una vez valoradas y analizadas cada una de las pruebas obrantes en el expediente, este Despacho determinó, que la sociedad investigada solicita de manera expresa la autorización para el tratamiento de datos personales de carácter sensible de todos sus titulares y de los menores de edad. 12.4 De igual manera, dentro del presente acto administrativo se demostró que la sociedad FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S., cumple con el deber de informar debidamente a los Titulares (i) sobre la finalidad de la recolección;

(ii) los derechos que le asisten por virtud de la autorización otorgada; (iii) el carácter facultativo de suministrar datos sensibles; (iv) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. 12.5 Finalmente, y respecto al deber de tramitar en el tiempo establecido por la Ley 1581 de 2012, las peticiones presentadas por los Titulares, este despacho encontró, que si bien la sociedad investigada atendió en su integridad todas las pretensiones del señor XXXX XXXXXX XXXXXXXXX, esta no atendió de manera oportuna y dentro de los diez (10) días hábiles siguientes, establecidos por el artículo 14 de la norma en mención, la petición presentada por el titular. por tal motivo este Despacho encuentra que no cumplió con el deber establecido en el literal j) del artículo 17 de la Ley 1581 de 2012.

DÉCIMO TERCERO: Que, en virtud de la situación actual, teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la sociedad debe: (i) Enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando: número de radicado, nombre completo de la persona que va a consultar el expediente, número de identificación y correo electrónico autorizado;

(ii) Una vez reciba respuesta positiva respecto de la solicitud de acceso, la sociedad debe registrarse en servicios en línea link https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo link posteriormente al registro puede consultar el expediente de manera digital. No obstante, en aras de garantizar los derechos de defensa y contradicción de la sociedad, en el caso en que la misma considere necesario el acceso del expediente en físico, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá. Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.

En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S., identificada con Nit. 900.535.456-6, de UN MILLÓN SETECIENTOS OCHENTA MIL DOSCIENTOS CINCUENTA PESOS M/CTE ($ 1.780.250), equivalente a cincuenta (50) unidades de valor tributario vigentes por la violación el HOJA N 24, “Por la cual se impone una sanción y se imparten órdenes” incumplimiento a lo dispuesto en el literal j) del artículo 17 en concordancia con el artículo 14 de la Ley 1581 de 2012., según lo expuesto en la presente resolución.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: Ordenar a la sociedad FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S identificada con Nit. 900.535.456-6, en el término de dos meses contados a partir de la ejecutoria de presente acto admirativo deberá: • Adoptar dentro de sus formularios los espacios necesarios para diligenciar los datos correspondientes a los representantes legales y/o tutores de los menores de edad. • Implementar manuales internos dirigidos a sus empleados con las directrices necesarias para el especial tratamiento de los datos personales de los menores de edad.

Para demostrar lo anterior, la sociedad investigada deberá acreditar ante esta entidad y dentro del término de tres (2) meses contados a partir de la ejecutoria de la presente decisión una certificación de cumplimiento de las órdenes impartidas por esta entidad suscrito por el representante legal junto con las respectivas evidencias.

PARÁGRAFO: La sociedad FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S identificada con Nit. 900.535.456-6, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo, suscrita por el representante legal junto con las respectivas evidencias.

ARTÍCULO TERCERO: Advertir a la sociedad FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S identificada con Nit. 900.535.456-6 que, en su condición de Responsable del Tratamiento, debe cumplir las instrucciones impartidas por esta Dirección. De no hacerlo se procederá a iniciar la respectiva investigación administrativa sancionatoria.

ARTÍCULO CUARTO: Notificar personalmente el contenido de la presente resolución a la sociedad FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S, identificada con Nit. 900.535.456-6 a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO QUINTO: Comuníquese el contenido de la presente resolución al señor XXXX XXXXXXXXXXXXXXXXXXXXXXXX

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C.,18 SEPTIEMBRE 2020 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR MUÑOZ Firmado digitalmente por CARLOS ENRIQUE SALAZAR MUÑOZ Fecha: 2020.09.18 11:01:10 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: CARF Revisó: AMCC Aprobó: CESM “Por la cual se impone una sanción y se imparten órdenes” NOTIFICACIÓN: Investigada: Entidad: FITNESS PEOPLE CENTRO MÉDICO DEPORTIVO S.A.S Identificación: Nit.: 900.535.456-6 Representante Legal: YERSON VIANNEY SUAREZ GUAYARA Identificación: C.C. N°. 13718064 Dirección: CARRERA 25 # 104 - 37 BARRIO PROVENZA Ciudad: BUCARAMANGA - SANTANDER Correo electrónico: direccionadministrativa@fitnesspeoplecmd.com COMUNICACIÓN: Señor: XXXX XXXXXXXXXXXXXXXXXXXXXXX Identificación: C.C. N°. xxxxxxxxxxx Dirección: xxxxxxxxxxxxxxxx Ciudad: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Correo electrónico: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx HOJA N 25,