Resolución sancionatoria N° 31989 de 2021

(26 MAYO 2021) “Por la cual se impone una sanción y se imparte una orden” Radicación 19-118911 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL, identificada con Nit. 901.000.934-2, en consideración a los siguientes hechos: 1.1 La Titular denuncia, mediante comunicación radicada bajo el N°. 19-118911 del 27 de mayo del 2019, que el día 21 de mayo de dicha anualidad, la administración de la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL le envió a su “whatsapp” un video captado por las cámaras de seguridad en el que aparecía ingresando con su mascota a un ascensor de uno de los edificios.

Asimismo, alega que no autorizó a la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL para extraer y utilizar videos en los que aparezca ella. Además, allegó pruebas encaminadas a demostrar estos hechos, especialmente el envío a su “whatsapp” del video que contiene su imagen.

SEGUNDO: Que, posteriormente, mediante escrito radicado con el número 19-118911-5 del 02 de octubre de 2019, la Titular XXXXXXXXXXXXXX indicó que el día 26 de septiembre de 2019 el vigilante de seguridad le entregó un comunicado remitido por la administración de la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL, con asunto ‘Formato de actualización de datos personales, autorización y aviso de privacidad’, en el que se observa fecha del 07 de febrero de 2019: Adicionalmente, la denunciante manifiesta que, anexo a dicha comunicación, le hicieron entrega de un formato que tenía como propósito dejar constancia de la recepción del primer documento, junto con unos formatos identificados con los números 14 y 15.

HOJA N, “Por la cual se impone una sanción y se imparte una orden” Igualmente, manifiesta que realizó el envío de dos (2) mensajes de correo electrónico a la administración de la investigada solicitando que le “enviaran los formatos ajustados” e “información sobre los protocolos de grabación para poder diligenciar la circular”. No obstante, alega que no recibió respuesta alguna.

Como prueba de los hechos mencionados, aporta los siguientes documentos: Copia del comunicado con asunto “Formato de actualización de datos personales, autorización y aviso de privacidad”, con fecha del 7 de febrero del 2019, y los siguientes anexos: (i) a. Formato de actualización de datos; b. Documento titulado “14. ANEXO

1. AUTORIZACIÓN PARA EL TRATAMIENTO DE DATOS PERSONALES ACTUALIZADO”; c. Documento titulado “15. ANEXO

2. AVISO DE PRIVACIDAD ACTUALIZADO”. (ii) Copia del correo electrónico remitido el 27 de septiembre del 2019 a las 9:26 por la denunciante a la dirección vintageph153@gmail.com. (iii) Copia del correo electrónico enviado el 27 de septiembre del 2019 a las 16:24 por la denunciante a la dirección vintageph153@gmail.com.

TERCERO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales, se inició la presente investigación administrativa mediante la expedición de la Resolución N° 55636 del 14 de septiembre del 2020, por medio de la cual se formularon dos (2) cargos a la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL, identificada con Nit. 901.000.934-2, por la presunta infracción a lo dispuesto en: (i) El literal b) del artículo 17 de la Ley 1581 del 2012, en concordancia con el literal a) del artículo 3 de la precitada ley, el literal a) del artículo 4 ejúsdem y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; y (ii) El literal c) del artículo 17 de la Ley 1581 del 2012, en concordancia con el literal b) del artículo 14 ejúsdem y el artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015.

La mencionada resolución le fue notificada a la investigada para que, dentro de los QUINCE (15) días hábiles siguientes a su notificación, se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante.

CUARTO: Que, el día 24 de septiembre del 2020, la investigada fue notificada mediante aviso N° 24451 de la Resolución N° 55636 del 24 de septiembre del 2020, de acuerdo con la certificación expedida por la Secretaría General de la Superintendencia de Industria y Comercio, radicada bajo el N° 19-118911-19 del 27 de octubre del 2020.

QUINTO: Que, mediante escrito enviado el día 15 de octubre del 2020, radicado bajo el N° 19118911- -00018-001 del 16 de octubre del 2020, la apoderada de la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL, aportó escrito de descargos informando lo siguiente: 5.1 Inicialmente, afirma que el representante legal de la sociedad ASIPRHO S.A.S, identificada con NIT 830.106.164-7, que funge como empresa administradora de la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL, para la época en que ocurrieron los hechos, había nombrado al señor XXXXXXXX como “encargado” de administrar las bases de datos personales de la investigada y dar cumplimiento a las normas sobre protección de datos personales, como consta en el certificado allegado como anexo N° 3.

HOJA N, “Por la cual se impone una sanción y se imparte una orden” 5.2 Posteriormente, realiza una descripción breve sobre la forma en la que la investigada recolecta los datos personales, solicita y conserva copia de la autorización para su tratamiento, informa las finalidades del mismo y los derechos que le asisten al titular de los datos personales, comunica la Política de Tratamiento de la Información, cumple algunas obligaciones establecidas en las normas sobre protección de datos personales y restringe el acceso a la información de carácter personal que trata la copropiedad.

Además, la apoderada aporta un certificado emitido por el ingeniero de sistemas de la sociedad ASIPRHO S.A.S, en el que consta que el señor XXXXXXXXXX era la única persona que tenía acceso a los datos personales en el periodo comprendido entre el 1 de junio de 2018 y el 15 de julio de 2019 (Anexo N°7). 5.3 A continuación, señala que: “Para el 19 de mayo de 2019 la señora quejosa ingreso al ascensor 2 de la torre 1 de la copropiedad con su mascota, el mencionado ascensor por el manual de convivencia a ese ascensor no se puede ingresar con mascotas.

Lo anterior fue puesto en conocimiento de la administración por una propietaria de otro apartamento quien le llamó la atención a la quejosa por la infracción al manual de convivencia, situación atendida por el señor XXXXXX, encargado de la protección de datos de la copropiedad, quien procedió a llamar a la señora telefónicamente, quien le manifestó que ella no había sido, en el informe rendido por el encargado (sic) precisa “Es importante poner en conocimiento de su Despacho como a continuación lo expreso que el día 19 de mayo 2019, estando en el ejercicio de mi labor en la copropiedad VINTAGE PROPIEDAD HORIZONTAL una residente en el edificio estuvo en la oficina de la administración fue atendida por mi donde me manifestó que una señora con su mascota había ingresado al ascensor 2 de la torre 1, donde existe restricción por el manual de convivencia, ya que el ingreso con mascotas sólo está aprobado por el ascensor 3 en virtud de la queja y dada la descripción de la señora, procedí a cerciorarme y llamé telefónicamente a la señora y le pregunté si era ella quien había ingresado al ascensor 2 torre 1 y me respondió que no sin embargo se lo envié a pesar de ello me escribió que por orden de quien había bajado el video.

Posteriormente no hubo más comunicación al respecto, el video no fue enviado a otra persona ni utilizado, para algún llamado de atención o requerimiento manual de convivencia, ni asamblea ni cartelera ni correo, ni ningún otro medio de divulgación, ya que como depositario de la responsabilidad de manejo de datos mi función estaba encaminada a darle estricto cumplimiento a la protección de datos, por lo tanto no fue socializado, sino únicamente con la titular es quien aparece en el video y enviado a ella por su propia petición (sic)” Anexo (8)”1 5.4 En línea con lo anterior, indica que el video fue enviado por el señor XXXXX a la denunciante porque ella, en ejercicio de su derecho, lo solicitó telefónicamente, con el fin de que le demostraran que había cometido una infracción al manual de convivencia, al ingresar con su mascota al ascensor N° 2, en contra de lo previsto en el manual de convivencia. 5.5 Igualmente, la apoderada de la investigada arguye que la señora XXXXX XXX XXXX XXXXXXX otorgó autorización para el tratamiento de sus datos personales de la siguiente forma: Alega que en el año 2017, la quejosa suscribió un formato en el que consentía el tratamiento de sus datos personales, pues el documento (anexo N° 1) incluye las siguientes anotaciones: “APRECIADO PROPIETARIO: Con el fin de mantener actualizada la base de datos y mejorar los procesos de control y seguridad del Conjunto, cordialmente solicitamos el diligenciamiento de este formato el cual debe ser entregado a la SALIDA DE LA ASAMBLEA EXTRAORDINARIA”2 “Nota: Entiendo que mis datos serán consignados en el presente formulario y los recolectados a través de los canales físicos, telefónicos, y virtuales así mismo informo que se me ha indicado que entre los datos a ser suministrados en el presente formulario hay información sensible, como la firma, y que su suministro es facultativo, sin embargo entiendo que la misma expresa mi conformidad con el contenido del presente formulario y por tal razón otorgaré mi consentimiento”3.

Expediente Digital, Radicado N° 19-118911- -00018-0001 del 16 de octubre del 2020, página 5 del escrito de descargos. Expediente Digital, Radicado N° 19-118911- -00018-0001 del 16 de octubre del 2020, página 10 del escrito de descargos. Ídem. HOJA N, “Por la cual se impone una sanción y se imparte una orden” 5.6 Añade que: “Desde julio de 2017 hasta octubre de 2019 la señora quejosa no radicó ante la administración documento alguno que mostrara su inconformidad o lo revocara, modificara o solicitara supresión a la autorización otorgada, luego el documento ostentaba plena validez al momento de ocurrir los hechos que motivaron a su honorable despacho a pronunciarse (…)”4.

Además, asegura que la denunciante también autorizó el tratamiento de sus datos personales mediante una conducta inequívoca que consistió en participar en la reunión de la asamblea de copropietarios en la que aprobaron la instalación de las cámaras de seguridad. 5.7 Frente al segundo cargo, la apoderada sostiene que la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL informó a la quejosa la finalidad del tratamiento de los datos personales recolectados a través de los sistemas de videovigilancia, dado que la medida de prohibir el ingreso de mascotas a los ascensores tiene como propósito precisamente “la prevención en temas de seguridad a las instalaciones e integridad personal de residentes, visitantes y proveedores (…)5”, como establece el aviso de privacidad.

Según la apoderada, las mascotas pueden causar daños a las personas o los bienes y concluye: “La titular quejosa ingresó a un ascensor con su mascota (perro) que no le era permitido usar por expresa prohibición reglamentaria de convivencia, con ello poniendo en peligro a los demás residentes, como se dijo, y exponiendo a un riesgo la seguridad de los bienes de la comunidad”6. 5.8 Finalmente, la apoderada asevera: “En relación con lo anterior, vale la pena destacar que, según la Superintendencia de Industria y Comercio, el consentimiento se puede manifestar por escrito, de forma oral o mediante conductas inequívocas.

Al respecto, debe tenerse en cuenta que las señales o avisos informando a los titulares de los datos personales sobre la grabación deben ser visibles, la rigidez del principio de libertad pueda ceder ante la necesidad de cumplir con un fin constitucional superior, flexibilizándolo para armonizarse con el principio de finalidad y siempre con arreglo al principio de necesidad.

(…) Cargo de haber faltado, presuntamente a la debida información de la finalidad de la recolección de los datos a través de la filmación de los que sucedió, está desvirtuado y debe ser desestimado por su Despacho en la decisión de fondo, ya que concurre un razonamiento lógico, fundado en las reglas de la experiencia, como ya se esbozó – manual de convivencia. Se pone de presente a su honorable Despacho que la voluntad y esfuerzo de la pequeña y nueva copropiedad VINTAGE, porque son dos torres de apartamentos, ha ido intensificando su gestión en busca de ir perfeccionando todas las directrices legales en concordancia con los diferentes procedimientos que su entidad profiere respecto de la ley 1581 de 2012.

Se reitera el tan mencionado video no salió de la esfera de la titular y el encargado de la ejecución de la política de datos personales de la copropiedad, lo cual se hizo bajo los parámetros legales ya señalados. (…) De considerar su Despacho la no necesidad del decreto de más pruebas y las aportadas sean suficientes solicitamos el archivo de la presente investigación teniendo en cuenta el presente escrito de descargos y sustentación fáctica y jurídica”7.

SEXTO: Que este Despacho profirió la Resolución N°. 11436 del 5 de marzo del 2021, en la cual se corrigió la Resolución N° 55636 del 14 de septiembre del 2020 debido a un error involuntario de digitación. Por lo anterior, se procedió, por medio de dicha Resolución, a modificar la formulación de los cargos de la siguiente manera: ídem. Expediente Digital, Radicado N° 19-118911- -00018-0001 del 16 de octubre del 2020, página 12 del escrito de descargos.

Ídem Expediente Digital, Radicado N° 19-118911- -00018-0001 del 16 de octubre del 2020, páginas 14 y 15 del escrito de descargos. HOJA N, “Por la cual se impone una sanción y se imparte una orden” (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal a) del artículo 3 de la precitada ley, los literales a) y c) del artículo 4 ejúsdem y el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015; y (ii) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 ejúsdem y el artículo 2.2.2.25.2.1. del Decreto Único Reglamentario 1074 de 2015.

SÉPTIMO: Que, el día 8 de marzo del 2021, la investigada fue comunicada de la Resolución N° 11436 del 5 de marzo del 2021, de acuerdo con la certificación expedida por la Secretaría General de la Superintendencia de Industria y Comercio, radicada bajo el N° 19-118911-32 del 13 de abril del 2021.

OCTAVO: Que, mediante Resolución N° 11509 del 08 de marzo del 2021, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 19-118911, con el valor legal que les corresponda, declarando agotada la etapa probatoria y corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

Las pruebas incorporadas son: 8.1 Pruebas recaudadas por esta Dirección 8.1.1 Denuncia presentada por XXXXXXXXXXXXXXXXXXXXX, identificada con cédula de ciudadanía N° XXXXXXXX, radicada bajo el número 19-118911-00000-0000 del 27 de mayo del 2019 y sus anexos. 8.1.2 Requerimiento de información remitido por la Coordinadora del Grupo de Trabajo de Investigaciones Administrativas a la investigada, radicado bajo el número 19-118911—4-1 del 26 de junio del 2019. 8.1.3 Escrito en el que la quejosa amplía la denuncia interpuesta ante esta Superintendencia, radicado bajo el número 19-118911—00005-0001 del 02 de octubre del 2019 y sus anexos. 8.1.4 Requerimiento de información elaborado por la Coordinadora del Grupo de Trabajo de Investigaciones Administrativas y remitido a la investigada, radicado bajo el número 19-118911—61 del 14 de febrero del 2020. 8.1.5 Requerimiento de información remitido por la Coordinadora del Grupo de Trabajo de Investigaciones Administrativas a la sociedad ASIPRHO S.A.S, radicado bajo el número 19118911—7-1 del 14 de febrero del 2020. 8.1.6 Respuesta al requerimiento de información, de la sociedad ASIPRHO S.A.S, radicado bajo el número 19-118911—000080001 del 27 de febrero del 2020 y sus anexos. 8.1.7 Escrito radicado bajo los números 19-118911—00014-0001 del 16 de septiembre del 2020 y 19-118911—00015-0001 del 17 de septiembre del 2020. 8.2 Pruebas aportadas junto con el escrito de descargos 8.2.1 Certificado con fecha 09 de octubre del 2020, suscrito por el representante legal de la sociedad ASIPRHO S.A.S, representante legal de la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL. 8.2.2 Certificado con fecha 14 de octubre del 2020, suscrito por el representante legal de la sociedad ASIPRHO S.AS., y el ingeniero de sistemas XXXXXXXXXXXXXXXXX 8.2.3 Copia del formato de actualización de datos personales diligenciado y suscrito por la quejosa e Iván Casas Ruiz, con fecha 11 de julio del 2017. 8.2.4 Tres (3) certificados con fecha 10 de octubre del 2020, suscritos por propietarios de apartamentos de la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL.

HOJA N, “Por la cual se impone una sanción y se imparte una orden” 8.2.5 Escrito en el que el señor XXXXXXXXXXXXXXXXX, trabajador de la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL, describe algunos hechos relacionados con la queja presentada por la denunciante ante esta Superintendencia de Industria y Comercio. 8.2.6 Copia de un formato de actualización de datos personales y de un modelo de autorización para el tratamiento de datos personales, utilizados por la investigada. 8.2.7 Copia de la cadena de mensajes de correo electrónico intercambiados por la quejosa con la investigada. 8.2.8 Copia del manual de Políticas y Procedimientos para la Protección y Tratamiento de Datos Personales. 8.2.9 Estado de la Situación Financiera para los años 2018 y 2019 de la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL. 8.2.10 Estados de la Situación Financiera y Estado de Resultados Integrales para los años 2016 y 2017 de la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL. 8.2.11 Copia del manual de Convivencia 2018 de la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL. 8.2.12 Copia del acta de la Asamblea General Ordinaria de Propietarios de la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL, correspondiente a la reunión ordinaria llevada a cabo el día 16 de marzo del 2019, a las 7:59 a.m., en la copropiedad.

NOVENO: Que, el día 09 de marzo del 2021, la investigada fue comunicada de la Resolución N° 11509 del 08 de marzo del 2021, como consta en la certificación emitida por la Secretaría General de la Superintendencia de Industria y Comercio, radicada bajo el N°19-118911- -30 del 17 de marzo del 2021.

DÉCIMO: Que la sociedad investigada, por intermedio de su apoderada especial, mediante comunicado enviado el día 19 de marzo del 2021, radicado bajo el N° 19-118911- -00031-0001 del 23 de marzo del 2021, presentó alegatos de conclusión reiterando lo señalado en los descargos.

DÉCIMO PRIMERO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO SEGUNDO: Análisis del caso 12.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20118, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). HOJA N, “Por la cual se impone una sanción y se imparte una orden” (ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a lo dispuesto en: • • El literal b) del artículo 17 de la Ley 1581 del 2012, en concordancia con el literal a) del artículo 3 de la precitada ley, los literales a) y c) del artículo 4 ejúsdem y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; y El literal c) del artículo 17 de la Ley 1581 del 2012, en concordancia con el literal b) del artículo 4 ejúsdem y el artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por la denunciante, las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 12.2 Valoración probatoria y conclusiones 12.2.1 Naturaleza del Responsable del Tratamiento Esta Dirección considera oportuno distinguir los conceptos de Responsable y Encargado del tratamiento, comoquiera que los mismos resultan relevantes para determinar la calidad en la que actúa la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL.

De un lado, el literal e) del artículo 3 de la Ley 1581 de 2012 define al Responsable del Tratamiento de la siguiente manera: “Artículo 3°. Definiciones. Para los efectos de la presente ley, se entiende por: (…) e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;

(…)” Esta norma fue declarada exequible mediante Resolución C-748 del 2011 en el siguiente entendido: “(…) el concepto de ‘decidir sobre el tratamiento’ empleado por el literal e) parece coincidir con la posibilidad de definir-jurídica y materialmente- los fines y medios del tratamiento”1. Esto significa que es Responsable del Tratamiento la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, determine – de hecho, o de derecho – los fines del tratamiento y los medios para alcanzarlos, mientras que el Encargado del Tratamiento es la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el tratamiento de datos personales por cuenta del responsable del tratamiento.

En esta medida, es posible determinar que la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL actúa en calidad de Responsable del Tratamiento de información, ya que, en la copia de la Política de Tratamiento de los Datos Personales aportada con el escrito radicado bajo el N° 19-11811-8-1 del 27 de febrero del 2020, se señala: HOJA N, “Por la cual se impone una sanción y se imparte una orden” Adicionalmente, de acuerdo con lo manifestado por la denunciante, la investigada recolectó, almacenó, usó y circuló imágenes suyas recabadas por medio de las cámaras de seguridad de un sistema de videovigilancia, como consta en la queja radicada bajo el N° 19-118911-0 del 27 de mayo del 2019.

Así las cosas, en la medida en que la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL determina los medios y fines del tratamiento de los datos personales solicitados y que los mismos se encuentran contenidos en sus bases de datos, dicha sociedad actúa en calidad de Responsable del Tratamiento. En esta medida, habiendo demostrado que la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL es Responsable del Tratamiento de la información, se le exige a la misma que cumpla con los deberes que establece el artículo 17 de la Ley 1581 de 2012. 12.2.2 Respecto del deber de solicitar autorización al titular de los datos personales para su tratamiento y conservar una copia de la misma Conforme al principio de libertad consagrado en la Ley 1581 de 2012, según el cual “[e]l Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización ”1, es claro que el Tratamiento de los Datos solo puede ser el autorizado por el Titular de la información con sujeción a la finalidad especificada por el Responsable del Tratamiento. Este principio es desarrollado por el artículo 9° y por el literal b) del artículo 17 de la norma ut supra, los cuales detallan que “en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior ” y que el Responsable del Tratamiento de los Datos debe cumplir con varios deberes, entre ellos, el de “[s]olicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”.

Además de lo anterior, el Decreto Único Reglamentario 1074 del 2015 1 señala en su artículo 2.2.2.25.2.2. que: “ARTÍCULO 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”.

De este modo es claro que el Responsable del Tratamiento debe adoptar los procedimientos adecuados para solicitar y conservar copia de la autorización otorgada por cada uno de los Titulares que se encuentre en su(s) base(s) de datos o ficheros de información y debe informar cuáles datos serán recolectados junto con las finalidades específicas para las cuales se va a obtener el consentimiento del Titular.

De igual manera, en la Ley 1581 de 2012 el consentimiento es tanto un principio rector (artículo 4 (literal c) como un elemento de legitimación constitucional de los procesos de administración de datos personales (artículos 9, 10, y artículo 26, literal a). El artículo 9 establece que en el tratamiento se requiere la autorización previa, expresa, e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior, mientras que el artículo 10 prevé las excepciones o los otros fundamentos de legitimación constitucional del tratamiento de datos personales, incluidos los casos de urgencia manifiesta, tratamiento de información autorizado por la ley para fines históricos, estadísticos o científico, etc.

Por su parte, el literal a) del artículo 3 de la Ley 1581 de 2012 establece que el consentimiento o autorización exigida para el tratamiento de datos personales es, además, calificado, por cuanto debe ser previo, expreso e informado. En este sentido, la Corte Constitucional interpretó esta definición en sentencia C-748 del 2011 de la siguiente manera: “En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato.

Así por ejemplo, en la Sentencia T-022 de 1993, se dijo HOJA N, “Por la cual se impone una sanción y se imparte una orden” que la veracidad del dato no implica que el Responsable del Tratamiento no tenga el deber de obtener una autorización anterior. En igual sentido, la Sentencia T-592 de 2003 dijo que el derecho al habeas data resulta afectado cuando los administradores de la información recogen y divulgan hábitos de pago sin el consentimiento de su titular.

La Corte expresó que el consentimiento previo del titular de la información sobre el registro de sus datos económicos “en los procesos informáticos, aunado a la necesidad de que aquel cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, resultan esenciales para salvaguardar su derecho a la autodeterminación informática.” En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito.

Lo anterior, por varias razones: En primer lugar, la jurisprudencia constitucional ha exigido tal condición y ha dicho que el consentimiento debe ser explícito y concreto a la finalidad específica de la base de datos. (…) En segundo lugar, de una interpretación armónica de todo el articulado se deduce que el legislador estatutario tuvo una intención inequívoca que el consentimiento siempre fuese expreso.

Así, desde el artículo 3 se dice que éste debe ser “previo, expreso e informado”. Esto mismo se repite en el artículo 4. Posteriormente, el artículo 8 ordinal b), garantiza al Titular el derecho de solicitar prueba de la autorización, y señala que ésta sólo puede considerarse exceptuada en los casos consagrados en el artículo 10. El artículo 9 ordena que la autorización sea “obtenida por cualquier medio que pueda ser objeto de consulta posterior” Por otro lado, el artículo 10 señala, en forma taxativa, los casos en que no se requiere autorización, y no hace referencia alguna a la existencia de un consentimiento tácito, lo cual necesitaría expresa autorización legal.

(…) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. En este mismo sentido, en la Sentencia T-592 de 2003, la Corte señaló que la autorización debe ser cualificada y debía contener una explicación de los efectos de la misma.

Además, a pesar de que se presente la autorización, el Responsable y Encargado del Tratamiento debe actuar de buena fe. De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez. ( )”1 No existe, por tanto, otra interpretación legal y constitucional diferente a aquella que el consentimiento debe cumplir con los requisitos de ser previo, expreso e informado para que el mismo pueda considerarse legal, pues, de lo contrario, se estaría afectando, como lo señaló la Corte en la sentencia arriba citada, el derecho a la autodeterminación informática entendido como el núcleo esencial del derecho al habeas data y, en la práctica, el Titular perdería el control de sus datos personales.

Las definiciones de expreso, previo e informado contienen elementos claves que se analizan a continuación, con el fin de que se asegure que sólo el consentimiento que se interprete conforme a la Ley 1581 de 2012 será considerado como tal. HOJA N 10, “Por la cual se impone una sanción y se imparte una orden” Elementos del consentimiento: 1.

Expreso: el término expreso significa la manifestación de voluntad libre del Titular para permitir el tratamiento de sus datos personales por parte de un tercero. Así mismo, esa necesidad de manifestación por parte de la persona impide que la falta de actuación - o quizás mejor, el comportamiento pasivo – constituya un consentimiento válido bajo la Ley 1581 de 2012, pues, como lo señaló la Corte Constitucional en la Sentencia C-748 de 2011, “no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito”.

Así sucede, por ejemplo, con formularios de recolección de datos en línea que no cuentan con casillas de aceptación. Esta situación obliga a los Responsables del Tratamiento a crear procedimientos para garantizar que las personas otorguen su consentimiento y, a su vez, proporcionan pruebas al Responsable del Tratamiento de que se ha obtenido el consentimiento.

Los ejemplos más clásicos son la firma manuscrita en la parte inferior de un formulario de papel y la selección de una casilla en un sitio web en Internet. El requisito de expreso para los datos sensibles se sustituye por un “consentimiento explícito”, pues para este tipo de datos se considera adecuado que exista un elevado nivel de control sobre los datos personales por parte de su Titular. 2.

Informado: el término informado significa que la persona debe conocer las finalidades del tratamiento de sus datos, la persona natural o jurídica, pública o privada, que decidirá sobre el tratamiento de los datos concernidos, los derechos relativos al tratamiento de sus datos, así como del modo de hacer valer sus derechos en relación con el tratamiento y, en general, las condiciones en que se efectuarán las actividades de acopio, recopilación y circulación del mismo. 3.

Previo: el término previo significa que la persona debe otorgar su consentimiento antes del comienzo del tratamiento de su información personal, debiendo cumplirse a más tardar en el momento en que el dato va a ser recogido, sin que sea admisible, en este punto, considerar su acatamiento con posterioridad a su recolección, pues sólo así quedaría garantizado el derecho de la persona a tener una apropiada información antes de otorgar su consentimiento.

En este sentido, el artículo 2.2.2.25.2.2., del Decreto 1074 de 2015 establece lo siguiente: “Artículo 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

(…)”. Visto lo anterior, el consentimiento, como uno de los fundamentos jurídicos del tratamiento de datos personales, para que sea válido bajo la Ley 1581 de 2012, debe cumplir los siguientes requerimientos legales: a) El consentimiento debe ser expreso. El Titular debe realizar alguna acción positiva que indique su consentimiento y debe tener la libertad de no consentir. b) El consentimiento debe estar informado.

El artículo 12 de la Ley 1581 de 2012 enumera la información que debe suministrársele al Titular; esa información debe ser claramente visible, destacada y completa. No basta con ponerla a disposición en algún sitio de la página web, sin que la persona no la conozca. c) El consentimiento debe ser previo. La obtención del consentimiento debe ser previa a la recolección de los datos.

Frente al cargo objeto de estudio, en el escrito de descargos y de alegatos de conclusión, la apoderada de la investigada señaló que: • La persona encargada de la labor de administrar las bases de datos personales de la copropiedad y de garantizar el cumplimiento de las normas sobre protección de datos personales envió al “whatsapp” de la quejosa el video en el que aparece entrando a uno de los ascensores con su mascota.

HOJA N 11, “Por la cual se impone una sanción y se imparte una orden” • Además, afirma que la denunciante consintió el tratamiento de sus datos personales al suscribir el formato de autorización entregado en el año 2017. • Igualmente, informó que “Desde julio de 2017 hasta octubre de 2019 la señora quejosa no radicó ante la administración documento alguno que mostrara su inconformidad o (…) revocara, modificara o solicitara supresión a la autorización otorgada, luego el documento ostentaba plena validez al momento de ocurrir los hechos que motivaron a su honorable despacho a pronunciarse (…)”9. • Adicionalmente, alega que la quejosa autorizó el tratamiento de sus datos personales mediante una conducta inequívoca que consistió en participar en la reunión de la asamblea de copropietarios en la que aprobaron la instalación de las cámaras de seguridad.

Ahora bien, revisado el acervo probatorio que obra en el expediente se encuentra lo siguiente: En su queja la Titular XXXXXXXXXXXXXXXXXXX, afirma que la administración de la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL le envió a su “whatsapp” un video captado por las cámaras de seguridad en el que aparecía ingresando con su mascota a un ascensor de uno de los edificios.

Para demostrar este hecho aporta como pruebas copia del video y una impresión de pantalla en la que consta que éste fue remitido por la administración a su “whatsapp”. Esta última y algunas imágenes del video se evidencian a continuación: 9 ídem. HOJA N 12, “Por la cual se impone una sanción y se imparte una orden” Asimismo, alega que no autorizó a la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL para extraer y utilizar videos con su imagen.

Posteriormente, mediante escrito radicado con el número 19-118911-5 del 02 de octubre de 2019, la Titular XXXXXXXXXXXXXXXXXXXXXXXXXX indicó que el día 26 de septiembre de 2019 el vigilante de seguridad le entregó un comunicado remitido por la administración de la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL, con asunto ‘Formato de actualización de datos personales, autorización y aviso de privacidad’, el cual se adjunta y en el que se evidencia la fecha 07 de febrero de 2019: De acuerdo con la queja interpuesta, mediante oficio N° 19-118911-6-1 del 14 de febrero del 2020, el Grupo de Trabajo de Investigaciones Administrativas requirió a la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL para que, entre otra información, aportara “(…) copia de la autorización otorgada por la señora XXXXXXXXXXXXXXX para el tratamiento de sus datos personales”.

Frente a lo anterior, y en respuesta al requerimiento de esta autoridad, en el escrito radicado bajo el N° 19-118911- -00008-0001 del 27 de febrero del 2020, la investigada contestó que “[s]e adjunta copia de la respuesta y autorización de la señora XXXXXXXXXXX” y allegó: (i) Copia de un formato con fecha 11 de julio del 2017, suscrito por la denunciante.

HOJA N 13, “Por la cual se impone una sanción y se imparte una orden” Por otro lado, la apoderada de la investigada, junto con el escrito de descargos, aporta el mismo documento del 11 de julio del 201710 que fue firmado por la denunciante, que contiene las siguientes anotaciones: En el caso sub-examine, como se desprende del documento anterior, no era claro para la titular qué datos personales serían objeto de tratamiento, el tipo de tratamiento que se llevaría a cabo así como la finalidad de este, de modo tal que la autorización que la investigada pretendía recabar con este formato es a todas luces ilegal, ya que no cumple con los criterios de ser previa, expresa e informada.

En este punto, vale la pena traer a colación la definición del consentimiento11 desarrollada por la Corte Constitucional, cuando en sentencia C-748 del 2011, se expresó así: “(…) El literal a) hace alusión a la autorización y la define como el consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de datos personales.

Sobre estas características de la autorización nos referiremos al analizar los principios rectores, aparte en el que estudiaremos a profundidad el tema relativo al consentimiento y sus características para el tratamiento del dato. En consecuencia, basta por ahora señalar que el consentimiento es un aspecto medular del derecho al habeas data y que pese a las múltiples intervenciones que solicitan la inexequibilidad del vocablo “expreso”, la definición será declarada ajustada a la Constitución, por las razones que serán expuestas en los considerandos 2.8.4.1 y 2.11.3 de esta providencia. (…)” Expediente digital, Radicado N° 19-118911- -00018-0001 del 16 de octubre del 2020.

Literal a) del artículo tercero de la Ley 1581 de 2012 HOJA N 14, “Por la cual se impone una sanción y se imparte una orden” Aunado a lo anterior, se encuentra pertinente aclarar a la investigada los elementos del consentimiento dispuestos en el régimen general de protección de datos; por cuanto este concepto es fundamental para el efectivo cumplimiento de la Ley en cuestión. Veamos: El artículo tercero de la Ley 1581 de 2012 establece que la autorización o consentimiento es válido cuando se presentan los siguientes tres elementos: (i) previo;

(ii) expreso e (iii) informado. Al considerar estos componentes, la Corte Constitucional en sentencia C 748 del 2011 definió los mismos así: “(…) El consentimiento del titular de la información es un presupuesto para la legitimidad constitucional de los procesos de administración de datos personales, tratándose de un consentimiento calificado: ya que debe ser previo, esto es, que la autorización debe ser suministrada en una etapa anterior a la incorporación del dato; expreso, en la medida que debe ser inequívoco; e informado, toda vez que el titular no sólo debe aceptar el tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. ( )” De esta forma, es claro que el consentimiento del que trata la Ley 1581 de 2012 es calificado ya que se deben reunir las características de ser previo, expreso e informado para que se pueda considerar que el Titular dio su autorización para el tratamiento de sus datos y que dicho consentimiento es legítimo.

Así, se debe verificar si estos tres conceptos se materializan en las solicitudes de autorización para el Tratamiento de los Datos Personales que realicen los Responsables. En este punto, vale la pena mencionar que existen tres modos de obtener el consentimiento de los Titulares, el cual, de acuerdo con el artículo 2.2.2.25.2.4 del Decreto Único Reglamentario, puede ser obtenido (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. Dichos modos deben cumplir con el presupuesto de legitimidad constitucional mencionado; es decir, el consentimiento debe ser previo, expreso e informado.

Al respecto, este Alto Tribunal en sentencia C-748 del 2011 especificó que: “(…) El consentimiento del titular de la información es un presupuesto para la legitimidad constitucional de los procesos de administración de datos personales. En concordancia con los expuesto frente al “principio de libertad”, en el manejo de los datos no podrá existir una autorización tácita.

(…)” (Subrayado fuera del texto original) Por lo tanto, no es admisible para esta Dirección que, en los términos aducidos por la investigada, se acepte la autorización para el tratamiento de datos, a través de conductas inequívocas por parte de la titular, por el hecho de haber participado en la Asamblea General de Copropietarios que presuntamente aprobó la instalación de las cámaras como lo manifestó en su escrito de descargos12; veamos el siguiente extracto: Escrito de descargos radicado bajo N° 19-118911 del 16 de octubre de 2020, página 11 HOJA N 15, “Por la cual se impone una sanción y se imparte una orden” Sin embargo, dicha manifestación de la apoderada de la investigada no cuenta con sustento alguno, en la medida en que en el anexo 15 aportado junto con el escrito de descargos titulado “ACTA ASAMBLEA APRUEBA CAMARAS (sic)” y cuyo título es “acta de asamblea general ordinaria de propietarios copropiedad vintage p.h de marzo 16 de 201913” se especifica lo siguiente: “ Seguridad en los pisos (…)El presidente de la asamblea sostiene que se esta en proceso de implementar las cámaras.” Así las cosas, en dicha acta no quedó aprobada la instalación de las cámaras de seguridad de la Copropiedad VINTAGE P.H. De igual modo, dentro del acervo probatorio no obra el Acta de la Asamblea General de Copropietarios a partir de la cual se pueda tener por demostrada la aprobación de las cámaras de seguridad; de modo que ante la ausencia de esta Acta, no se puede asumir la conducta inequívoca alegada por la investigada.

Expuesto lo anterior, la obtención de la autorización, si bien puede hacerse mediante cualquiera de los medios señalados en el artículo 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015, no debe perderse de vista que el Responsable del Tratamiento debe estar en capacidad de probar que obtuvo el consentimiento previo, expreso e informado del Titular del Datos.

De hecho, conforme a los preceptos normativos del Régimen General de Protección de Datos Personales, de una parte se configura el derecho que le asiste al Titular de: “solicitar prueba de la citada autorización”14, el cual, a su vez se correlaciona con el deber del Responsable del Tratamiento de “solicitar y conservar, en las condiciones previstas en esta ley, copia de la respetiva autorización otorgada por el titular15”.

En igual sentido, es oportuno recordar que, el silencio, en ningún caso puede ser entendido como el otorgamiento de la autorización, la cual, para que se entienda ajustada al régimen objeto de estudio debe ser calificada, es decir que debe gozar de los elementos señalados por la jurisprudencia. Supuestos fácticos que no fueron acreditados en la presente investigación Consecuentemente, en el caso bajo estudio, según los argumentos expuestos por la sociedad investigada, respecto a que el titular otorgó su autorización para el tratamiento de la información a través de una conducta inequívoca, no es de recibo para esta Dirección; en razón a que, tal como lo menciona el fundamento legal, para que una conducta inequívoca se entienda legítima la misma debe ser previa e informada, tal y como fue señalado en la Resolución N°. 82786 del 31 de diciembre del 2020.

Igualmente, en dicha Resolución, se determinó que: “ (…) (i) El consentimiento y/o Autorización que exige la Ley 1581 de 2012 para el Tratamiento de los datos de los ciudadanos es calificado, esto es, debe ser previo, expreso e informado; características anteriores que deben acreditarse y demostrarse por el Responsable del Tratamiento aún en el supuesto de que sea otorgado por el Titular a través de conductas inequívocas (…) (ii) El sólo hecho de que una persona (…) suministre algunos datos, no significa que voluntaria y automáticamente está autorizando el tratamiento de su información. Tampoco quiere decir que la autorización obtenida de esa manera, cumple con todos los requerimientos de ley – generales o especiales- para que la misma sea jurídicamente válida (iii)La autorización mediante conductas inequívocas es jurídicamente válida siempre y cuando sea previa e informada.

(…)” Anexo 15 al escrito de descargos radicado bajo N° 19-118911 del 16 de octubre de 2020 Literal b) del artículo 8 de la Ley Estatutaria 1581 de 2012. Literal b) del artículo 17 de la Ley Estatutaria 1581 de 2012. HOJA N 16, “Por la cual se impone una sanción y se imparte una orden” De este modo, es evidente que la documentación allegada por la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL en esta instancia, así como las piezas probatorias recolectadas a lo largo de la investigación, no desvirtúan el incumplimiento del Régimen General de Protección de Datos Personales, por parte de la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL, toda vez que ésta no demostró haber obtenido la autorización previa, expresa e informada para el tratamiento de los datos personales de la señora XXXXXXXXXXXXXXXXXXXXXX.

En consecuencia, se procederá a imponer una sanción de carácter pecuniario. 12.2.4 Respecto del deber de informar al titular de los datos personales la finalidad del tratamiento El literal c) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: “Artículo 17. Deberes de los Responsables del Tratamiento.

Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. (…)”. Relacionado con dicho deber, se encuentra el principio de finalidad dispuesto en el literal b) del artículo 4 de la Ley 1581 de 2012, en los siguientes términos: “ARTÍCULO 4.

Principios para el Tratamiento de Datos Personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular;

(…)”. El deber de informar la finalidad del tratamiento, de acuerdo con los pronunciamientos de la Corte Constitucional por medio de la sentencia C 748 del 2011, se ha entendido así: “(…) Específicamente se dispone que son deberes de esta parte de la relación: (…) (ii) Informar al titular la finalidad de esa autorización y actuar en consecuencia; por tanto, el responsable no puede conducirse por fuera de los lineamientos de la autorización, lo que significa que, por ejemplo, no puede suministrar al encargado del tratamiento más datos que los que fueron objeto de autorización, ni puede someterlos a un tratamiento con finalidades diferentes a las informadas.

En este orden de ideas, los deberes establecidos en los literales a), b) y h) son desarrollo del principio de finalidad. (…)”1. Igualmente, en la guía titulada “FORMATOS MODELO PARA EL CUMPLIMIENTO DE OBLIGACIONES ESTABLECIDAS EN LA LEY 1581 DE 2012 Y SUS DECRETOS REGLAMENTARIOS”1 expedida el 22 de noviembre de 2017 por esta autoridad, se explica con claridad tanto la finalidad de la recolección de los datos personales, como el deber de informar a los Titulares de acuerdo con lo consagrado en el artículo 12 de la Ley 1581 de 2012.

Veamos: “(…) HOJA N 17, “Por la cual se impone una sanción y se imparte una orden”

2.5. FINALIDAD DE LA RECOLECCIÓN DE DATOS PERSONALES La recolección de datos personales debe tener una finalidad legítima y cierta, es decir, una razón de ser de esa recolección. Además, los datos recolectados deben ser pertinentes y adecuados para alcanzar dicho fin. (…)

2.6. DEBER DE INFORMAR AL TITULAR Además del deber de obtener el consentimiento de los titulares para el tratamiento de su información, quien recolecte datos personales debe informar de manera clara y expresa al titular lo siguiente: (i) El tratamiento al cual serán sometidos los datos personales recolectados y la finalidad de los mismos.

(ii) En caso de que la organización responsable recolecte datos personales sensibles (origen racial o étnico, orientación sexual, filiación política o religiosa, etc.) o de niños y adolescentes; debe explicarle el carácter sensible que posee este tipo de información y, además, debe darle la opción al titular de elegir si responde o no dichas preguntas.

(iii) Los derechos que tiene el titular de la información. (iv) La identificación, dirección física o electrónica y el teléfono de la organización o el responsable del tratamiento de los datos. (…)” Frente al cargo objeto de estudio, en el escrito de descargos, la investigada, a través de su apoderada, argumentó que la medida contemplada en el manual de convivencia de prohibir el ingreso de mascotas a determinados ascensores de la copropiedad precisamente tiene como finalidad “(…) la prevención en temas de seguridad a las instalaciones e integridad personal de residentes, visitantes y proveedores (…)”16, como se señala en el aviso de privacidad, cuya imagen aportó. Según la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL, las mascotas pueden causar daño a la salud o integridad de las personas y al ascensor, como lo manifestó en su escrito de descargos17;como se evidencia en el siguiente extracto: Ahora bien, revisado el acervo probatorio que obra en el expediente se encuentra lo siguiente: Mediante oficio radicado bajo el N° 19-118911- -6-1 del 14 de febrero del 2020, la Coordinadora del Grupo de Trabajo de Investigaciones Administrativas requirió a la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL para que, entre otra información, remitiera “(…) copia del modelo de Aviso de Privacidad implementado por la Copropiedad”.

En respuesta a esta solicitud, a través de escrito radicado bajo el N° 19-118911- -00008-0001 del 27 de febrero del 2020, la investigada informó que los avisos de privacidad están ubicados en las recepciones, ascensores y zonas comunes y allegó las siguientes imágenes: Expediente Digital, Radicado N° 19-118911- -00018-0001 del 16 de octubre del 2020, página 12 del escrito de descargos.

Escrito de descargos radicado bajo N° 19-118911 del 16 de octubre de 2020, página 12, tercer párrafo HOJA N 18, “Por la cual se impone una sanción y se imparte una orden” Este Despacho considera que los avisos de privacidad no informan de manera clara que los datos personales recolectados por medio de las cámaras de seguridad serán tratados, entre otras, con la finalidad de controlar el ingreso de mascotas a los ascensores, en la medida en que para la investigada tal actividad supone un posible riesgo para la seguridad de las instalaciones y de la integridad personal de quienes transitan por las zonas vigiladas.

Respecto de lo anterior, para esta Dirección, no es evidente que dentro de la finalidad de garantizar la seguridad de las personas y los bienes se incluya el control del ingreso de mascotas a los ascensores. Así las cosas, se evidencia que la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL realizó tratamiento de la imagen de la Titular a partir del video extraído del sistema de videovigilancia y enviado posteriormente al “whatsapp” de la titular; video donde se vislumbra a la denunciante junto con su mascota en el ascensor de su residencia. Así, el tratamiento realizado por la investigada de la imagen de la Titular incumple con las finalidades especificadas por la propia investigada en su aviso de privacidad, ya que en el mencionado aviso se observa que la finalidad del tratamiento de los datos recolectados por el sistema de videovigilancia es “la prevención en temas de seguridad a las instalaciones e integridad personal de residentes, visitantes y proveedores (…)”18.

Nótese que la investigada no hace extensiva la finalidad a la prevención en temas de seguridad prohibiendo el acceso de los Titulares junto con sus mascotas en los ascensores de la copropiedad, por ello, en la imagen tratada por la investigada no se evidenció que estuviera expuesta la seguridad de la copropiedad o de la titular. Respuesta a requerimiento de información por parte de la investigada radicado número 19-118911-8 del 27 de octubre de 2019 HOJA N 19, “Por la cual se impone una sanción y se imparte una orden” De igual modo, se tiene que ante la falta de una prueba en la que se evidencie la obtención de la autorización previa, expresa e informada de la Titular recolectada por parte de la investigada, tampoco existe evidencia de que la investigada le haya comunicado a la titular la finalidad del tratamiento de sus datos personales.

Sobre este punto, se le recuerda a la investigada que el deber de informar la finalidad del tratamiento de los datos personales a los Titulares debe producirse de forma concomitante al momento de solicitar la autorización previa, expresa e informada al titular; de manera que no importa la forma en que se recolecten los datos siempre que se asegure que la autorización recabada sea previa, expresa e informada y que, en todo caso, se le informe al titular la finalidad de dicha recolección de sus datos personales, así como los derechos que le asisten.

Ahora, en aras de darle mayor claridad a la investigada sobre el concepto de la finalidad para el tratamiento de los datos personales, se hará mención de la Cartilla expedida por esta Superintendencia titulada "Formatos Modelo para el Cumplimiento de Obligaciones establecidas en la Ley 1581 de 2012 y sus decretos reglamentarios"31. En esta cartilla se detalló que: "2.5 Finalidad de la Recolección de Datos Personales La recolección de datos personales debe tener una finalidad legitima y cierta, es decir, una razón de ser de esa recolección. Además, los datos deben ser pertinentes y adecuados para alcanzar dicho fin ( )".

Por lo expuesto, quedó plenamente demostrado que la investigada no cumplió con su deber de informar debidamente al Titular sobre la finalidad específica del tratamiento de sus datos personales. En esta medida, se evidencia la actuación negligente de la misma en garantizar su apego a lo establecido en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4o y el artículo 12 de la norma en mención. Por lo anterior, se concluye que la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL incumplió el deber de informar al titular de los datos personales la finalidad específica del tratamiento.

En consecuencia, esta Dirección procederá a impartir una orden.

DÉCIMO TERCERO: En este orden de ideas, de acuerdo con los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, a esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir la siguiente instrucción: • La COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL deberá modificar los avisos de privacidad para que en ellos se especifiquen claramente las finalidades del tratamiento de los datos personales recolectados.

De lo anteriormente ordenado la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO CUARTO: Imposición y graduación de la sanción 14.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior HOJA N 20, “Por la cual se impone una sanción y se imparte una orden” b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 19.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2021 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. HOJA N 21, “Por la cual se impone una sanción y se imparte una orden” De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional20 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”21 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros22. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los 20 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. HOJA N 22, “Por la cual se impone una sanción y se imparte una orden” derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”23.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia24. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2325 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 14.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura del artículo 24 de la Ley 1581 de 2012, resulta claro que para que haya lugar a la imposición de una sanción por parte de esta Dirección, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

La norma, pues, hace una distinción entre el daño concretado y el peligro o riesgo a los intereses jurídicos tutelados por la Ley 1581 de 2012, entre otros, la protección del derecho fundamental a la protección de datos personales y habeas data. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva..” HOJA N 23, “Por la cual se impone una sanción y se imparte una orden” En el caso sub-examine, con base en el literal a) del artículo 24 de la Ley 1581 de 2012, esta Dirección evidencia que los cargos comprobados en contra de la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL causaron un riesgo de afectación los derechos fundamentales de los Titulares respecto de los cuales el Responsable trata datos personales y los bienes jurídicos tutelados por la Ley 1581 de 2012.

Así las cosas, quedó demostrado que la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL recolectó datos personales de la quejosa por medio de una cámara de seguridad,, sin contar con su autorización previa, expresa e informada. En consecuencia, se impondrá una multa de NOVECIENTOS SIETE MIL SETECIENTOS PESOS M/CTE ($907.700), equivalentes a veinticinco (25) UNIDADES DE VALOR TRIBUTARIO VIGENTES, por el incumplimiento del deber de solicitar autorización para el tratamiento de sus datos personales a su titular y conservar una copia de la misma, establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal a) del artículo 3 de la precitada ley, los literales a) y c) del artículo 4 ejúsdem y el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

Igualmente, se probó que la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL no informó a la denunciante la finalidad del tratamiento al que serían sometidos sus datos personales. En consecuencia, se impondrá una orden. 14.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones.

DÉCIMO QUINTO: CONCLUSIONES Quedó probado que (i) la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL no cuenta con la autorización previa, expresa e informada de la Titular, y (ii) que la investigada no informó a la denunciante la finalidad del tratamiento al que serían sometidos sus datos personales recolectados.

DÉCIMO SEXTO: Que, en virtud de la situación actual, teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL debe: (i) Enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando: número de radicado, nombre completo de la persona que va a consultar el expediente, número de identificación y correo electrónico autorizado;

(ii) Una vez reciba respuesta positiva respecto de la solicitud de acceso, la sociedad debe registrarse en servicios en línea link https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo link posteriormente al registro puede consultar el expediente de manera digital. No obstante, en aras de garantizar los derechos de defensa y contradicción de la sociedad, en el caso en que la misma considere necesario el acceso del expediente en físico, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá. Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.

HOJA N 24, “Por la cual se impone una sanción y se imparte una orden” En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL, identificada con Nit. 901.000.934-2, de NOVECIENTOS SIETE MIL SETECIENTOS PESOS M/CTE ($ 907.700), equivalentes a veinticinco (25) UNIDADES DE VALOR TRIBUTARIO VIGENTES, por la violación a lo dispuesto en: • El literal b) del artículo 17 de la Ley 1581 del 2012, en concordancia con el literal a) del artículo 3 de la precitada ley, los literales a) y c) del artículo 4 ejúsdem y el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015;

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR a la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL, identificada con Nit. 901.000.934-2, que dentro del término de un (1) mes siguiente a la ejecutoria de la presente decisión, cumpla con la siguiente instrucción: • La COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL deberá modificar los avisos de privacidad para que en ellos se especifiquen claramente las finalidades del tratamiento de los datos personales recolectados PARÁGRAFO PRIMERO: La COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL, identificada con Nit. 901.000.934-2, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de un (1) mes siguiente a la expiración del plazo previsto para su acatamiento, mediante la remisión de una certificación suscrita por el Representante Legal de la investigada junto con las pruebas que evidencien el cumplimiento de la orden impartida.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL, identificada con Nit. 901.000.934-2, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL, identificada con Nit. 901.000.934-2, a través de su representante legal y/o apoderado, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO CUARTO: COMUNICAR a la señora XXXXXXXXXXXXXXXXXXXXXXXXXX, identificada con C.C. XXXXXXXX, el contenido de la presente decisión.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 26 MAYO 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.05.26 15:37:48 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JMBG Revisó: SRB Aprobó: CESM “Por la cual se impone una sanción y se imparte una orden” NOTIFICACIÓN: Investigada: Sociedad: COPROPIEDAD VINTAGE PROPIEDAD HORIZONTAL Identificación: Nit. 901.000.934-2 Dirección: Carrera 54 N° 153-75 Ciudad: Bogotá D.C. Correo electrónico: vintageph153@gmail.com Apoderada: XXXXXXXXXXXXXXX Identificación: C.C.XXXXXX Dirección: XXXXXXXXXXX Ciudad: XXXXX Correo electrónico: XXXXXXXXXXXXX COMUNICACIÓN: Señor: XXXXXXXXXXXXXXXXXXXXX Identificación: C.C. N° XXXXXXXXXXXX Dirección: XXXXXXXXXXXXXXXXXXXXXXXXX Ciudad: XXXXXXX Correo electrónico: XXXXXXXXXXXXXXXXXX HOJA N 25,