Sanción 6425 de 2020 — SIC

(14 OCTUBRE 2020) VERSIÓN PÙBLICA “Por la cual se impone una sanción y se imparte una orden” Radicación 18-140081 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad GRUPO INNOVA INTERNATIONAL S.A.S, (en adelante “la investigada”), identificada con Nit. 900.885.724-6, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos narrados por el señor xxxxxxxxxxxx: 1.1 Manifestó el quejoso que recibió un correo electrónico por parte de la sociedad GRUPO INNOVA INTERNATIONAL S.A.S remitiéndole información relacionada con un proceso adelantado por él ante la Superintendencia de Industria y Comercio. 1.2 Que el señor xxxxxxxx se comunicó a los números de contacto allegados mediante correo electrónico:xxxxxxxxx, encontrándose con la página “www.sireclamo.com”, de la cual GRUPO INNOVA INTERNATIONAL S.A.S es la dueña del dominio, y presuntamente “está realizando recolección de datos de manera fraudulenta para enviar correos publicitarios sin el consentimiento de los usuarios y sin posibilidad de darse de baja ante estos correos”

SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales, se dio inicio a la presente actuación administrativa mediante la Resolución 5845 del 14 de marzo de 2019, formulando los siguientes cargos a la sociedad investigada: “ARTÍCULO PRIMERO: ABRIR INVESTIGACIÓN y FORMULAR PLIEGO DE CARGOS en contra de la sociedad GRUPO INNOVA INTERNATIONAL S.A.S., identificada con el NIT. 900.885.724-6, por la presunta contravención de lo dispuesto en(i) literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 de la misma ley, el artículo 9 ejúsdem y con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, (i) literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal k) del mismo artículo, el literal g) del artículo 4 ejúsdem y el artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015.

En el mismo acto administrativo, se concedió el término de quince (15) días hábiles a la sociedad investigada para que rindiera descargos y aportara las pruebas que pretendiera hacer valer en la presente actuación.

TERCERO: Que la Resolución 5845 del 14 de marzo de 2019 se notificó mediante aviso 3471 a la sociedad investigada el día 1 de abril de 2019, según consta en la certificación expedida por la Secretaría general Ad-Hoc de esta Superintendencia, radicada bajo el número 18-140081- -24 del 1 de abril de 2019.

CUARTO: Que mediante escritos radicados bajo los números 18-140081-00033-0001 y 18-14008100034-0001 ambos del día 24 de abril 2019 encontrándose dentro del término concedido, el representante legal de la sociedad GRUPO INNOVA INTERNATIONAL S.A.S., dio respuesta a la formulación de cargos informando lo siguiente: HOJA N 2, “Por la cual se impone una sanción y se imparte una orden” 4.1 Frente al primer cargo informo lo siguiente” (…) El proceso por medio del cual un referido llega a la empresa, se da porque alguien lo recomendó, para lo cual le da los datos de contacto, y es el referido el que establece el contacto con nosotros, por ende, el que hace que la relación sede es el referido y no la compañía, y ya conoce y tiene una idea de lo que hacemos y de la forma en que le podemos ayudar a resolver su problema.

Una vez la persona se comunica, nos cuenta el caso, los hechos que ocurrieron y que dan origen a la reclamación. En esta parte el referido se extiende tanto como quiere para de esta forma nosotros como empresa podamos determinar si existe viabilidad para iniciar un proceso de reclamación, informándole como funciona nuestro servicio, a pesar que la persona al ser un referido ya sabe y cuenta con información previa, nos gusta satisfacer ampliamente el principio de información, para que de esta manera el consumidor tome decisiones razonadas e informadas.

Una vez consideramos que existe viabilidad para reclamar y únicamente si la persona así lo desea, nos da un poder para representarlo ante las diferentes entidades e instancias, y únicamente se cobra un porcentaje en caso de éxito. También se indica que si está de acuerdo y nos autoriza, nos da sus datos (número de cedula de ciudadanía, correo electrónico y celular) los cuales será usados conforme a la política de privacidad que puede encontrar en la página web www.sireclamo.com, y que le enviaremos un correo, en donde encontrara el poder, la autorización para el manejo de los datos, la forma en que se prestara el servicio, se le pregunta que si está de acuerdo con lo anterior es necesario que nos dé, su número de cedula, un correo electrónico y el celular, cuando la persona accede acepta el manejo de la información y el envío del correo con los documentos antes descritos”.

Antes de finalizar la llamada se le indica a la persona que en caso de cualquier duda, aclaración, solicitud o reclamo nuestros canales están disponibles, y se le indica que puede escribirnos por Facebook, al celular al correo contacto@sireclamo.com, y con gusto las dudas serán resueltas y atendidas y que si no quiere procesar el reclamo y sus datos sean eliminados también lo podrá hacer a través del correo contactoaesireclamo.com.(sic) Concluye a ese respecto, afirmando que “(…) podemos afirmar que existen conductas dadas por parte del titular de la información, que constituyen una aceptación inequívoca, si vemos lo que indica la norma así: "Artículo 7°.

Modo de obtener la autorización. ( ) o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca." Conductas inequívocas de los referidos en la empresa que permiten concluir de forma razonable que los mismos otorgan la autorización, antes del envío del correo: 1.

Es el referido quien se pone en contacto con la Compañía, y de antemano ya conoce lo la empresa hace y por eso decide realizar el contacto, con la intención de contratar, que 2. Es el referido que libremente cuenta lo ocurrido, 3. Una vez se escucha lo ocurrido y en caso de que exista viabilidad nuevamente se le explica cómo funciona la empresa, y se le pregunta si acepta o no las condiciones para continuar con el proceso, y que el mismo se hace a través de un poder especial para representarlo en las diferentes instancias, 4.

Aquí se le indica que los datos serán tratados conforme a la política de privacidad que puede encontrar en la página web, y que necesitamos un correo electrónico, la cedula y un celular (es importante destacar que la dirección física solamente se pide cuando se va a generar una factura, por ende, en esta etapa no se solicita) 5. En caso de que esté de acuerdo se le solicita que nos de los datos, antes mencionados, y acepta que se le envíe el correo.

Por ende, únicamente se tienen datos de referidos una vez la persona los suministró, entendió y acepto para que iban a ser usados y el alcance de los mismos. Así mismo, hasta la fecha no se tienen reclamos por parte de referidos por haber usado sus datos sin autorización o de forma indebida, por lo tanto, al cargo no referirse puntualmente a un hecho concreto no podemos aventurarnos a indicar algo más de lo aquí narrado, y que resulta en información suficiente para demostrar el cumplimiento de la norma.

Al final, del cargo indicado no se tiene certeza de cuál es la conducta antijurídica desplegada por la Compañía, y de esta forma referirnos de forma específica.” (…) 4.3. Así mismo, afirma que: “(…) el señor xxxxxxxxxx, al aceptar la POLITICAS DE TRATAMIENTO DE LA INFORMACION PERSONAL EN LA SUPERITENDENCIA DE INDUSTRIA Y COMERCIO, entiende que los datos que el suministra adquieren el carácter de públicos una vez ingresan al sistema de trámites, por consiguiente la denuncia del señor XXXXXXX, al final lo que denota es una falla en el deber de informarse, pues si no está de acuerdo en que esos datos obtenga el carácter de públicos no debió haber aceptado las POLITICAS DE TRATAMIENTO DE LA INFORMACION PERSONAL EN LA SUPERITENDENCIA DE HOJA N 3, “Por la cual se impone una sanción y se imparte una orden” INDUSTRIA Y COMERCIO, y pretende ahora que se le vulneraron unos derechos cuando en realidad no atendido a los deberes que como consumidor le asistan. 4.4 Finalmente frente al primer cargo concluye que: (…) el correo electrónico del señor denunciante no ostenta el carácter de dato personal, si tenemos en cuenta que, el mismo pertenece a la institución universitaria Universidad del Norte, y no es el correo personal que pude adquirir a través de internet de forma gratuita.

Lo que necesariamente nos lleva a cuestionarnos, si el uso dado al correo institucional es el permitido y autorizado por la Universidad, si tenemos en cuenta que los correos de este tipo de educaciones están destinados para que los mismos, sean usados con fines académicos y administrativos, situación que evidentemente no ocurre. Y dejando claro que, nosotros como empresas no obtuvimos ningún tipo de beneficio económico ni comercial, situación que se hace relevante dejar clara.” 4.5 Frente al segundo cargo formulado por esta Dirección, manifiesta que cuenta con las medidas técnicas necesarias para garantizar la seguridad de los datos así: “La imputación realizada, dentro del expediente no obra prueba tan siquiera sumaria que indique que se ha adulterado, perdido, consultado o tenido acceso a la información, por parte de terceros no autorizados y de esta forma demostrar que las medidas técnicas aportadas no fueran suficientes.

Por lo tanto, no ha existido un hecho que demuestre que la información ha sido objeto de la violación al principio de seguridad, y esto hace que se tenga como motivo suficiente para asegurar que se cuentan con las medidas técnicas humanas, y administrativas que garantizan el mismo. Y no exista una infracción a evaluar, por lo tanto, el cargo imputado carece de objeto, y nuevamente impide, el correcto ejercicio de derecho a la defensa.

“me permito aportar el manual interno de políticas y procedimientos, para que se tenga en cuenta el mismo. Y, sobre todo, que se aplique proporcionalmente el tamaño de la empresa, naturaleza de los datos, el tipo de tratamiento al que está sujeto, riesgos que podría causar. Y que la sociedad no cuenta con sanciones previas, ni investigaciones, ni denuncias por este particular.” 4.7 A continuación, expone la ausencia del agotamiento del requisito de procedibilidad por parte del quejoso, en los siguientes términos: “Incumplimiento de la ley 1581 de 2012, en su artículo 16.

Requisito de procedibilidad, por parte del señor XXXXXXXXXXX. El mencionado artículo indica lo siguiente: "Artículo 16. Requisito de procedibilidad. El Titular o causahabiente solo podrá elevar queja ante la ante el Responsable del Tratamiento o Encargado del Tratamiento." Para el caso en comento, es preciso indicar que, el denunciante no cumplió con el requisito de procedibilidad aquí expresado, por lo que por esta sola razón se deberá desestimar la denuncia. Y evitar la violación al derecho al debido proceso, que tiene estipulada la norma, y que ostenta el carácter de fundamental.” 4.8 De otra parte, hace referencia al principio de responsabilidad demostrada y al de proporcionalidad, expresando, al respecto que “ “En el análisis de imputación realizado en el cargo segundo del despacho, en donde resulta tan impreciso que termina dificultando la defensa, debido a que no se indica la proporcionalidad de estas medidas con la información que indica el artículo, estamos hablando de una micro empresa, no son datos sensibles, el tratamiento es para hacer trámite de los documentos, y no existen riesgos demostrados de los datos manejados.

Así mismo, se aportó el manual de las medidas adoptadas”. 4.9 Respecto de la aplicación del principio de la buena fe señala que “ En razón al principio enunciado me permito indicar que, la empresa ha obrado de buena fe en cada una de sus actuaciones, y por ende las actuaciones desplegadas por la Compañía cumple este principio y no han dañado ni han tenido la intención de causar perjuicio a nadie en particular.

Así mismo se refiere a un presunto incumplimiento del parágrafo del artículo 38 del código contenciosos (sic) administrativo, aseverando que En este punto quiero hacer especial énfasis, en los requisitos específicos del artículo: "Artículo 38. Intervención de terceros. Los terceros podrán intervenir en las actuaciones administrativas con los mismos derechos, deberes y responsabilidades de quienes son parte interesada, en los siguientes casos: 1) Cuando hayan promovido la actuación administrativa sancionatoria en calidad de denunciantes, resulten afectados con la conducta por la cual se adelanta la investigación, o estén en capacidad de aportar pruebas que contribuyan a dilucidar los hechos materia de la misma. 2) Cuando sus derechos o su situación jurídica puedan resultar afectados con la actuación administrativa adelantada en interés particular, o cuando la decisión que sobre ella recaiga pueda ocasionarles perjuicios.

HOJA N 4, “Por la cual se impone una sanción y se imparte una orden” 3) Cuando la actuación haya sido iniciada en interés general. Parágrafo. La petición deberá reunir los requisitos previstos en el artículo 16 y en ella se indicará cual es el interés de participar en la actuación y se allegaran o solicitaran las pruebas que el interesado pretenda hacer valer.

La autoridad que la tramita la resolverá de plano y contra esta decisión no procederá recurso alguno." Del material probatorio que obra en el expediente podemos decir sin temor a equivocarnos que, no se ha indicado cual es el interés de participar en la actuación. Además, la imputación realizada no guarda relación respecto de la denuncia impetrada, por ende, no se cumple con dichos requisitos y de esta mera no se tiene el derecho para vincular al señor XXXXXXXXXXX.

(…) 4.10 Concluye, respecto del acto de formulación que cargos que este “(…) no goza de la exactitud, precisión y determinación, que permitan apreciar que los hechos frente a las disposiciones presuntamente infringidas estén debidamente individualizados, vale la pena decir haciendo precisión acerca de la conducta con que resulta infringida cada norma imputada.

Si tenemos en cuenta que se debe dar una descripción de la conducta, que permita identificar el modo, tiempo y lugar, la modalidad especifica de la misma, si se da a título de dolo o culpa, las pruebas que fundamentan cada uno de los cargos. Lo que nos lleva a la irrefutable conclusión que los cargos son excesivamente abiertos, indeterminados y no cuenta con lineamentos claros que permita el ejercicio al derecho a la defensa de manera libre, e impidan la justificación de la conducta, y expeditamente la correcta adecuación del derecho a la defensa, debido que me pone en la situación de probar que con el comportamiento no se ha violado ninguna de las disposiciones del ordenamiento jurídico, o gran parte de ellas, lo que, desde cualquier punto de vista, resulta imposible.

Lo incomprensible de los anteriores cargos hacen imposible el ejercicio pleno del derecho de defensa, su no claridad, su condición de ininteligible, los hace contrarios a la exigencia legal de claridad y precisión, que frente a las imputaciones exige la norma procesal, el único remedio en franca ayuda a la Superintendencia, seria entrar a realizar un esfuerzo interpretativo encaminado a afirmar que allí no dice lo que literalmente afirma, esfuerzo cuyo resultado dependerá de quien lo haga, dado que es más de uno los ejercicios interpretativos que pueden realizarle a propósito de cualquiera de los apartes de los cargos.

En razón a lo anterior, y debido a la carencia de estos requisitos de obligatorio cumplimiento por parte de la entidad, se solicita se revise la legalidad del acto administrativo número 5845 del 14 de marzo de 2019. Porque el mismo viola el derecho al debido proceso al no configurarse de manera clara, determinada, específica, y precisa los cargos imputados, lo que conlleva necesariamente a la imposibilidad de una correcta defensa, y además puede violar el artículo 33 de la Constitución Política de Colombia, razón suficiente para que la anterior solicitud prospere, y se ordene de inmediato la terminación de la presente investigación. Concluye sus argumentos de defensa, expresando que “La sociedad GRUPO INNOVA INTERNATIONAL S.A.S, no ha hecho un manejo inadecuado del correo institucional XXXXXXXXXXX, toda vez que el mismo se da con el tratamiento dado por parte de entidad, y tal y como es de conocimiento del Despacho, nos encontramos ante un dato público, y los mismos no requieren de autorización, recalcando que este tipo de datos no se encuentran en un listado taxativo, sino por el contrario es apenas enunciativo, por lo que en la definición de dato público cabe el dato del correo institucional XXXXXXXXXX.

Sumado al hecho que no solo ha presentado acciones de protección al consumidor sino también denuncias en procura de la preservación del interés general lo que le da una connotación mayor para comprenderlo como un dato público, y el señor XXXXX nunca objeto (sic) ante la Superintendencia rechazo alguno al tratamiento dado al dato a pesar de saber que el mismo es público, siendo así motivo suficiente para dejar por sentado que la autorización del mismo no es requisito legal exigible en el caso en comento.

QUINTO: Que mediante Resolución No. 20207 del 10 de junio 2019 radicado bajo el número 18140081-36-1, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente, con el valor legal que les corresponda, se rechazaron las pruebas solicitadas, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

Sin embargo, la sociedad GRUPO INNOVA INTERNATIONAL S.A.S, instauró acción de tutela en contra de la Superintendencia de Industria y Comercio, actuación que fue asignada al Juzgado Primero Penal del Circuito para Adolescentes con Función de Conocimiento de Manizales bajo el número de radicación 17001-31-18-001-2019-00060-00. siendo notificados así: • El 12 de junio de 2019 mediante correo electrónico fuimos notificados de la acción de tutela Auto No. 194 del 12 de junio de 2019 con radicado número 17001-31-18-2019-00060-00, interpuesta por la sociedad GRUPO INNOVA INTERNATIONAL S.A.S., en la cual solicitó suspensión de términos de alegatos, hasta que se decreten y practiquen pruebas.

HOJA N 5, “Por la cual se impone una sanción y se imparte una orden” • Mediante resolución No 21728 del 18 de junio de 2019, dando cumplimiento a lo ordenado esta dirección suspendió términos dentro de la actuación administrativa, suspensión que operará hasta la notificación de la decisión. • El 26 de junio de 2019, mediante correo electrónico fuimos notificados de la sentencia No 061 la cual resolvió no tutelar los derechos fundamentales al debido proceso y de defensa. • El 3 de julio de 2019, mediante correo electrónico fuimos notificados del auto de fecha 3 de julio 2019, el cual concedió el recurso de impugnación al fallo de tutela de primera instancia proferido el pasado día 25 de junio del año en curso. • El 29 de julio de 2019, nos fue notificado mediante correo electrónico, el fallo de segunda instancia de fecha 22 de julio de 2019, el cual resolvió confirmar parcialmente la decisión” modificando el ordinal primero para declarar improcedente la acción constitucional.”

SEXTO: Que dentro del plazo otorgado por la Resolución 21728 del 18 de junio 2019 radicada bajo el número 18-140081-00038-0001, la cual resolvió suspender los términos para la presentación de los alegatos de conclusión hasta la fecha de notificación del fallo del proceso número 2019-00060, es decir, el 29 de julio de 2019, día en que fue notificado del fallo de segunda instancia.

SÉPTIMO: Que, dentro del término concedido para el efecto, mediante escritos radicados bajo los números 18-140081-00042-0001 y 18-140081-0-0043-0001 del 12 de julio 2019, la sociedad investigada presentó alegatos de conclusión reiterando lo señalado en los descargos e indicando, lo siguiente: “Así mismo, con acierto al momento de responder al traslado de la tutela, la Superintendencia indica que, existen dos maneras para conocer violaciones de la norma 1581 de 2012.

Investigaciones de oficio, y a petición de parte. El caso que nos convoca se da por solicitud de parte, en este caso del señor XXXXXXXXXXXXXXX, es tercero interesado en el asunto. Por ende, la Superintendencia de Industria y comercio, no puede arribar a la conclusión que el testimonio del tercero interesado y en este caso los denunciantes no resultan relevantes, si producto de su proceder y actuar se da inicio al presente proceso sancionatorio, y es a quien le consta los hechos de la demanda.

Así mismo, es preciso indicar que el denunciante tiene unos deberes y que el no cumplimiento de los mismos no puede acarrear la consecuencia de predicar la violación a sus derechos. Por ende, con el testimonio del señor se podrán demostrar los hechos en los que se fundamenta la denuncia y el desconocimiento de que su dato no tiene la calidad de semiprivado.

Tercero, la entidad está realizando un prejuzgamiento si tenemos en cuenta lo expresado en la contestación de la tutela así "En el presente caso, el incumplimiento de la ley citada fue comprobado, incluso en esta etapa ya es aceptado por el recurrente, y fue el sustento de la imposición de la sanción" Situación contraria a la realidad, primero no se ha comprobado ningún incumplimiento y segundo la sociedad que represento no ha aceptado ningún tipo de culpa. 1.11 Del no decreto de las pruebas.

Las pruebas solicitadas en el escrito de descargos, tienen como finalidad demostrar dentro del trámite administrativo sancionatorio: a. Que el señor CCC acepto los términos de tratamiento de datos de la Superintendencia de Industria y Comercio - Sic. Y que conocía de la política de privacidad de la entidad, y la ley 1581 de2012. b. Por razón de su aceptación, el dato que el quejoso XXX, identifica como semiprivado, no tiene tal connotación. Más si tenemos en cuenta que, el señor XXX conoce la forma en cómo se realiza el tratamiento por parte del titular y sabe que el mismo, deja de ser semiprivado al momento en que da la aceptación del uso de datos. c. Que es un dato público.” Con respecto a lo anterior, esta Dirección rechazó el decreto de las pruebas mediante resolución No 20207 de 10 de junio 2019 bajo radicado número 18-140081-36-1 del 10 de junio de 2019, por considerarlas inconducentes, impertinentes e inútiles para desvirtuar los cargos formulados.

OCTAVO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

NOVENO: Análisis del caso HOJA N 6, “Por la cual se impone una sanción y se imparte una orden” 9.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que, pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a (i) del deber de solicitar autorización previa, expresa e informada al Titular para el Tratamiento de sus datos personales, consagrado en el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 de la misma ley, el artículo 9 ejúsdem y con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, (ii) del deber de conservar la información bajo condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal k) del mismo artículo, el literal g) del artículo 4 ejúsdem y el artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, así como las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 9.2 Valoración probatoria y conclusiones 9.2.1 Respecto del deber de solicitar autorización previa, expresa e informada al titular para el Tratamiento de sus datos personales.

El artículo 15 de la Constitución Política establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base datos. Al respecto, la Corte Constitucional, a través de la sentencia C-748 de 2011 por medio de la cual realizó el estudio de constitucionalidad del proyecto que posteriormente se convirtió en la Ley 1581 de 2012, manifestó sobre el particular señalando lo siguiente: "En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos -intimidad y habeas data- del titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación: (i) (ii) Solicitar y conservar la autorización para el tratamiento del dato -en los términos descritos previamente, lo que se ajusta plenamente al principio de libertad y consentimiento expreso del titular del dato. Informar al titular la finalidad de esa autorización y actuar en consecuencia; por tanto, el responsable no puede conducirse por fuera de los lineamientos de la autorización, lo que significa 1 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

HOJA N 7, “Por la cual se impone una sanción y se imparte una orden” que, por ejemplo, no puede suministrar al encargado del tratamiento más datos que los que fueron objeto de autorización, ni puede someterlos a un tratamiento con finalidades diferentes a las informadas ( ). Ahora bien, el literal b) del artículo 17 de la Ley 1581 de 2012 o Ley General de Protección de Datos Personales, consagró los deberes de los Responsables del Tratamiento, entre otros, el deber de solicitar y conservar en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el titular.

Al respecto la Corte Constitucional ha señalado lo siguiente: "Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.

Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del babeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinarlo que podría denominarse su 'imagen informática” Finalmente, el decreto único reglamentario 1074 de 2015, estableció en el inciso primero del artículo 2.2.2.25.2.2: “Autorización. el responsable del tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del titular para el tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades especifica del tratamiento para las cuales se obtiene el consentimiento”.

En el caso objeto de estudio se encuentra que el señor XXXXXXXXXXXX puso en conocimiento ante esta Superintendencia a través de su denuncia, la cual quedó radicada bajo el número 18-140081- -00000-000 del 10 de mayo de 2018 que la sociedad GRUPO INNOVA INTERNATIONAL S.A.S estaba incumpliendo presuntamente las normas sobre protección de datos personales manifestando lo siguiente: (…) “por favor investigar a esta empresa que está realizando recolección de datos de manera fraudulenta para enviar correos publicitarios sin el consentimiento de los usuarios y sin posibilidad de darse de baja ante estos correos.

Gracias. El correo enviado fue el siguiente: Buenos Días Nos permitimos informarle que su demanda fue inadmitida por la Superintendencia de Industria y Comercio, y tiene hasta el 18 de mayo para dar respuesta.” Ahora bien, con el propósito de contar con más elementos de juicio, la Coordinación del Grupo de Trabajo de Investigaciones Administrativas de esta Dirección requirió a la sociedad GRUPO INNOVA INTERNATIONAL S.A.S, mediante oficio radicado bajo el numero 18-140081- 4-1 del 5 de diciembre de 2018, con el propósito de que informara, entre otras cosas, lo siguiente: “(…) En los términos del artículo 9 de la ley 1581 de 2012 ¿Cuenta con autorización expresa, previa e informada del titular XXXXXXXX, para el tratamiento de sus datos personales? En caso de ser afirmativa su respuesta, remitir copia del formulario y/o formato mediante el cual se realiza este procedimiento y se informa al titular la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.

(…) En respuesta al citado requerimiento, la Sociedad investigada, mediante escrito radicado bajo el número 18-140081- -00017-0001 del 21 de diciembre de 2018, informó lo siguiente: (…) HOJA N 8, “Por la cual se impone una sanción y se imparte una orden” “Tal y como se indicó anteriormente, no se tienen en nuestras bases de datos ningún dato personal del señor XXXXXXX, y se insiste que a lo que se hace alusión es al correo electrónico del señor, el mismo no ostenta la calidad de personal o semiprivado, por lo expuesto anteriormente.

Por ende, no es exigible lo indicado en el artículo 9 de la ley 1581 de 2012. Reitero que el correo electrónico del referido señor fue publicado por la Superintendencia de Industria y Comercio en su sistema de trámites, el manejo de datos en este caso, fue efectuado por ese Despacho.” Hechas las anteriores precisiones, en el caso objeto de estudio, se evidencia que la Sociedad investigada obtuvo datos personales del señor XXXXXXXXXXX como lo es el correo electrónico, manifestando que se trata de un dato público, realizando así el tratamiento de la información del titular sin previa autorización. En este punto, cobra especial relevancia, destacar que, si bien la información personal del titular se obtuvo en la página de esta Superintendencia, no por eso se considera de naturaleza pública, teniendo en cuenta lo establecido en el Inciso 2 Artículo 5 de la Ley 1377 del 2013, que: “Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos.” Por su parte, la Ley Estatutaria 1581 de 2012 menciona los datos de naturaleza pública que no requieren autorización:

ARTÍCULO

10. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓN. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.

(Subrayado fuera de texto).” Dado lo anterior es claro que, los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos.

De igual manera, es importante resaltar que, la información publicada por esta Superintendencia con respecto a los correos electrónicos de las partes, cumple una finalidad específica que es la de dar publicidad a los actos administrativos y cumplir la norma procesal por lo que el uso de esa misma información para la oferta de productos y servicios por parte de la sociedad GRUPO INNOVA INTERNATIONAL S.A.S exige que se obtenga la autorización previa, expresa e informada del titular, como lo establece la Ley Estatutaria 1581 del 2012.

Ahora bien, mediante el escrito de descargos y de alegaciones de conclusión presentados por la sociedad investigada no se evidencia manifestación alguna del titular dirigido a otorgar su consentimiento para el tratamiento de sus datos personales, bajo las condiciones previstas en la ley, por el contrario, la sociedad investigada mediante descargos, traslada la carga de la prueba, solicitando a esta Dirección interrogatorio de parte para así obtener la aceptación para el tratamiento de datos por parte del titular, prueba que fue rechazada por considerarse inconducente mediante Resolución 20207 de 10 de junio 2019 bajo número de radicado 18-140081-36-1 del 10 de junio 2019.

Debiendo resaltar este Despacho que, es deber del responsable del tratamiento conservar copia de la autorización previa otorgada por los titulares con total ajuste a los preceptos contenidos en la Ley Estatutaria. Así pues, el material probatorio obrante en el expediente da cuenta de que la recolección de datos del titular se realizó de manera irregular, pues no se evidencia copia de la autorización previa del titular para la recolección de datos privados del denunciante por parte de la sociedad investigada, así mismo indicando este que el correo electrónico del denunciante no es un dato personal, razón por la cual no requieren autorización por parte del titular.

En este orden de ideas, del material probatorio obrante en el expediente y los argumentos expuestos por la denunciada, este despacho concluye que, con respecto al primer cargo, no fue HOJA N 9, “Por la cual se impone una sanción y se imparte una orden” desvirtuado el incumplimiento del deber que como responsable del tratamiento le asiste a la sociedad GRUPO INNOVA INTERNACIONAL SAS de contar con la autorización previa y expresa del titular, conforme lo dispuesto en el literal b) del artículo 17 de la ley 1581 de 2012, en concordancia con el literal c) del artículo 4 de la misma ley, el artículo 9 ejúsdem y con el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

Por tal motivo se impondrá una sanción de multa por CINCO MILLONES VEINTE MIL QUINIENTOS OCHENTA Y SIETE PESOS M/CTE ($5.020.587) equivalente a ciento cuarenta y uno (141) UVT. En el mismo sentido, se encuentra procedente impartir una orden a la sociedad GRUPO INNOVA INTERNACIONAL SAS dirigida a que: • Deberá proceder con la supresión de todos los datos personales, de los titulares que se hayan obtenido sin autorización previa expresa e informada, conforme lo dispuesto en el literal b) del artículo 17 de la ley 1581 de 2012.

De lo anteriormente ordenado, la sociedad GRUPO INNOVA INTERNACIONAL SAS deberá aportar una certificación expedida por un auditor externo cualificado, dentro del término señalado en la parte resolutiva del presente acto administrativo. 9.2.2 Respecto del deber de conservar la información bajo condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento En cuanto hace relación con el cumplimiento de este deber, se hace necesario precisar que el artículo 4 de la Ley 1581 de 2012 establece los principios para el tratamiento de los datos personales, entre los cuales se encuentran el principio de acceso y circulación restringida y el de seguridad que señalan lo siguiente: f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento solo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido solo a los Titulares o terceros autorizados con forme a la presente ley; g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, perdida, consulta, uso o acceso no autorizado fraudulento.

De otra parte, el literal d) del artículo 17 de la norma citada dispone que el Responsable del Tratamiento de los Datos deberá "Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento", es claro que se deben implementar todos los mecanismos de seguridad necesarios para impedir que terceros tengan acceso a la información personal con el fin de adulterarla, consultarla, usarla o acceder a ella.

Finalmente, en el decreto único reglamentario 1074 de 2015 estableció en el: “ARTÍCULO 2.2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

HOJA N 10, “Por la cual se impone una sanción y se imparte una orden” En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso”.

Ahora bien, retomando el caso bajo estudio, se encuentra que esta Dirección en etapa preliminar a través de la Coordinación del Grupo de Trabajo de Investigaciones Administrativa, solicitó a la sociedad investigada mediante requerimiento radicado bajo el número 18-140081-4-1 del 05 diciembre 2018 que allegara: "copia del manual de seguridad de la información adoptado ( ) para impedir la adulteración, perdida, consulta, uso o acceso no autorizado o fraudulento a la información personal almacenada en sus bases de datos" En respuesta al citado requerimiento, la sociedad investigada, mediante escrito radicado bajo el número 18-140081-17-1 del 21 de diciembre 2018, informó lo siguiente: (…) “me permito aportar el manual interno de políticas y procedimientos, para que se tenga en cuenta el mismo.

Y, sobre todo, que se aplique proporcionalmente el tamaño de la empresa, naturaleza de los datos, el tipo de tratamiento al que está sujeto, riesgos que podría causar. Y que la sociedad no cuenta con sanciones previas, ni investigaciones, ni denuncias por este particular.” (…) Sin embargo, en el documento aportado denominado “políticas de habeas data”, no demuestra al cumplimiento de la norma en tanto que no se describen las medidas técnicas humanas y administrativas adoptadas por la sociedad para impedir la adulteración, pérdida, uso o acceso no autorizado o fraudulento.

Así mismo anexa certificado expedido por el representante legal de la sociedad investigada, donde consta que no tienen quejas relacionadas con datos personales, sin embargo, dicha prueba no logra desvirtuar la conducta vulnerada en el presente caso. Igualmente, reitera los mismos argumentos en los alegatos de conclusión, afirmando que aporta manual de políticas de seguridad, sin aportar pruebas adicionales a las ya analizadas e igualmente, le manifiesta a este Despacho que, debe ser exonerada de responsabilidad por considerar que el cargo formulado resulta impreciso debido a que no se indica proporcionalidad de medidas de información por ser una microempresa son datos sensibles y no existen riesgos demostrados.

Continuando con los argumentos expuestos por la investigada, quien señala: (…) “El pliego de cargos realizado por parte de la entidad no goza de la exactitud, precisión y determinación” es necesario aclarar que el acto de formulación de cargos no solo halla su sustento en los hechos denunciados, sino que esta Dirección, adicionalmente, tuvo en cuenta el resultado de las averiguaciones preliminares adelantadas por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas, de acuerdo con lo previsto en el artículo 47 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, con el fin de contar con las pruebas idóneas que dieran mérito para el inicio de una investigación administrativa de carácter sancionatorio, así las cosas, la Resolución 5845 del 14 de marzo de 20192 dio estricto cumplimiento a lo preceptuado en el artículo referido en donde se señalaron de manera clara y expresa los argumentos fácticos y jurídicos en los que se basó dicha formulación. En este orden de ideas, una vez revisado el material probatorio que obra en el expediente, concluye esta Dirección que no hay pruebas que demuestren que la aquí investigada hubiese documentado y menos aún implementado políticas y procedimientos relacionados con el deber de conservar la información bajo condiciones de seguridad.

En consecuencia, es claro para este Despacho el incumplimiento por parte de la investigada del deber contemplado en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal k) del mismo artículo, el literal g) del artículo 4 ejúsdem y el artículo 2.2.2.25.6.1 del decreto único reglamentario 1074 de 2015, el cual contempla que los responsables de tratamiento de datos personales deberán conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, perdida, consulta, uso o acceso no autorizado o fraudulento, por lo que se procederá a imponer una sanción de multa por 2 Resolución 5845 del 14 de marzo del 2019 visible en el expediente bajo el número 18-140081-19 del 19 de marzo de 2019.

HOJA N 11, “Por la cual se impone una sanción y se imparte una orden” CINCO MILLONES VEINTE MIL QUINIENTOS OCHENTA Y SIETE PESOS M/CTE ($5.020.587) equivalente a ciento cuarenta y uno (141) UVT. En el mismo sentido, se encuentra procedente impartir una orden a la sociedad GRUPO INNOVA INTERNACIONAL SAS dirigida a que: • Deberá documentar e implementar un manual de políticas y procedimientos de seguridad apropiadas para la correcta protección de los datos personales de los titulares.

De lo anteriormente ordenado, la sociedad GRUPO INNOVA INTERNACIONAL SAS deberá aportar una certificación expedida por un auditor externo cualificado, dentro del término señalado en la parte resolutiva del presente acto administrativo. DÈCIMO: Que el parágrafo del artículo 2 de la Ley 1581 de 2012 3 señala que los principios sobre protección de datos serán aplicables a todas las bases de datos incluidas las exceptuadas en el mismo artículo, de ahí que es procedente solicitar a la investigada que garantice el cumplimiento del principio de responsabilidad demostrada desarrollado en el artículo 2.2.2.25.6.1 y subsiguiente del Decreto Único Reglamentario 1074 de 20154.

Al respecto, es oportuno resaltar lo conceptuado en la Resolución No. 83882 del 15 de noviembre de 2018, emanada del Despacho del Superintendente Delegado Para la Protección de Datos Personales, respecto de la responsabilidad de los administradores, acto administrativo en el que se señaló lo siguiente: “(…) 6.1. Responsabilidad de los administradores en materia de tratamiento de datos personales.

El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.

La efectividad de los derechos humanos es un asunta de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, 3Ley 1581 de 2012, artículo 2: “Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.

(…)

PARÁGRAFO. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal. En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley.” 4Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.6.1: Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas. HOJA N 12, “Por la cual se impone una sanción y se imparte una orden” la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.

En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.

En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas.

Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la ley 222 de 1995 1 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”1 (subrayamos) (…) Nótese que el artículo 241 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”1.

En virtud de lo anterior, EXHORTAMOS al Representante Legal de la sociedad GRUPO INNOVA INTERNATIONAL S.A.S, para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de los procedimientos y manuales a desarrollar según lo ordenado en este acto administrativo. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

DÉCIMO PRIMERO: En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones: • Deberá proceder con la supresión de todos los datos personales, de los titulares que se hayan obtenido sin autorización previa expresa e informada, conforme lo dispuesto en el literal b) del artículo 17 de la ley 1581 de 2012.

HOJA N 13, “Por la cual se impone una sanción y se imparte una orden” • Deberá documentar e implementar un manual de políticas y procedimientos de seguridad apropiadas para la correcta protección de los datos personales de los titulares. De lo anteriormente ordenado, la sociedad GRUPO INNOVA INTERNATIONAL S.A.S. deberá aportar una certificación expedida por un auditor externo cualificado, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO SEGUNDO: Imposición y graduación de la sanción 10.2 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional5.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND.

HOJA N 14, “Por la cual se impone una sanción y se imparte una orden” ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: Multa en UVT De otra parte, la Ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibídem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional6 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad” 7 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de 6 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 7 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.

HOJA N 15, “Por la cual se impone una sanción y se imparte una orden” habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros8. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”9.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia10. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2311 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; 8 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 9 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 10 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 11Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.

HOJA N 16, “Por la cual se impone una sanción y se imparte una orden” f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 10.2.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”12 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados13.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedo demostrado que la sociedad investigada incumplió el deber consagrado en el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 de la misma ley, el artículo 9 ejúsdem y con el artículo 2.2.2.25.2.2, del Decreto Único Reglamentario 1074 de 2015, por no contar con autorización previa para el tratamiento de los datos personales del titular, al haber recolectado datos personales sin previa autorización afirmando obtiene la información a partir de un tercero y posteriormente envía un correo solicitando autorización para el tratamiento. así mismo excusándose que el correo electrónico del titular no ostenta la calidad de dato personal por ser institucional, por ende, no se requiere autorización previa.

Así mismo frente al manual de políticas seguridad adoptado para impedir la adulteración, perdida, consulta, uso o acceso no autorizado o fraudulento a la información personal almacenada en sus bases de datos. En este sentido, esta Dirección evidencia que efectivamente que no cuentan con un manual interno de políticas y procedimientos de seguridad adoptadas al interior por la 12 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 13 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una v ez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre i nmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un pres unto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” HOJA N 17, “Por la cual se impone una sanción y se imparte una orden” organización para impedir la adulteración perdida, consulta, uso o acceso no autorizado o fraudulento, razón por la cual se entiende como no implementada por la sociedad investigada En consecuencia, no hay lugar a dudas para esta Dirección acerca de la dimensión del daño que efectivamente se materializó en el caso en cuestión al no solicitar y conservar autorización previa bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, y no excusarse con que los datos se obtienen y recolectan mediante referidos los cuales son recomendados por terceros.

Por lo anterior, esta Dirección considera que la sociedad vulneró el derecho de habeas data de los titulares al conocer de este acceso no autorizado de información personal, y no haberse adoptado las medidas técnicas, humanas y administrativas de seguridad antes para evitar que pasara y posteriormente con el fin de corregir e impedir que continuara sucediendo, se vulneró el derecho fundamental de habeas data de los titulares, e incluso puso en peligro otros derechos fundamentales como la intimidad, por lo que se impondrá una multa por la vulneración del deber establecido en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal k) del mismo artículo, el literal g) del artículo 4 ejúsdem y el artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015. 10.2.4 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones. DÉCIMO TERCERO:CONCLUSIÓN Con fundamento en lo expuesto, a juicio de esta dirección la sociedad investigada vulnero el precepto normativo contenido en el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 de la misma ley, el artículo 9 ejúsdem y con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, en tanto recolecto datos personales sin previa autorización del titular.

De igual modo, vulnero la disposición señalada en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal k) del mismo artículo, el literal g) del artículo 4 ejúsdem y el artículo 2.2.2.25.6.1. del Decreto Único Reglamentario 1074 de 2015 al no haber demostrado que cuenta con copia del manual interno de políticas y procedimientos de seguridad adoptadas.

Por esta razón, se impondrá como sanción una multa de DIEZ MILLONES CUARENTA Y UN MIL CIENTO SETENTA Y CUATRO PESOS M/CTE ($10.041.174), equivalente a doscientos ochenta y dos (282) unidades de valor tributario vigentes, a la sociedad GRUPO INNOVA INTERNATIONAL S.A.S DÉCIMO CUARTO: Que en virtud de la situación actual, teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la sociedad GRUPO INNOVA INTERNATIONAL S.A.S debe: (i) (ii) Enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando: número de radicado, nombre completo de la persona que va a consultar el expediente, número de identificación y correo electrónico autorizado;

Una vez reciba respuesta positiva respecto de la solicitud de acceso, la sociedad debe registrarse en servicios en línea link HOJA N 18, “Por la cual se impone una sanción y se imparte una orden” https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo link posteriormente al registro puede consultar el expediente de manera digital.

No obstante, en aras de garantizar los derechos de defensa y contradicción de la sociedad investigada, en el caso en que la misma considere necesario el acceso del expediente en físico, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá. Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.

En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a la sociedad GRUPO INNOVA INTERNATIONAL S.A.S identificada con el Nit. 900.885.724-6 de DIEZ MILLONES CUARENTA Y UN MIL CIENTO SETENTA Y CUATRO PESOS M/CTE ($10.041.174), equivalente a doscientos ochenta y dos (282) UVT, por la violación a lo dispuesto en: (i) literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 de la misma ley, el artículo 9 ejúsdem y con el artículo 2.2.2.25.2.2, del Decreto Único Reglamentario 1074 de 2015, (ii) literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal k) del mismo artículo, el literal g) del artículo 4 ejúsdem y el artículo 2.2.2.25.6.1, del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: IMPARTIR las siguientes ordenes administrativas a la sociedad GRUPO INNOVA INTERNATIONAL S.A.S, identificada con el Nit. 900.885.724-6 así: • Deberá proceder con la supresión de todos los datos personales, de los titulares que se hayan obtenido sin autorización previa expresa e informada, conforme lo dispuesto en el literal b) del artículo 17 de la ley 1581 de 2012. • Deberá documentar e implementar un manual de políticas y procedimientos de seguridad apropiadas para la correcta protección de los datos personales de los titulares.

PARÁGRAFO PRIMERO: La sociedad GRUPO INNOVA INTERNATIONAL S.A.S, identificada con el Nit. 900.885.724-6 deberá dar cumplimiento de lo ordenado dentro de los noventa (90) días siguientes a la ejecutoria del presente acto administrativo. Para ello deberá aportar una certificación de cumplimiento expedida por un auditor externo cualificado.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad GRUPO INNOVA INTERNATIONAL S.A.S, identificada con el Nit. 900.885.7246, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: Notificar personalmente el contenido de la presente resolución a la sociedad GRUPO INNOVA INTERNATIONAL S.A.S, identificada con el Nit. 900.885.724-6 a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación. HOJA N 19, “Por la cual se impone una sanción y se imparte una orden”

ARTÍCULO CUARTO: COMUNICAR el contenido de la presente decisión al señor xxxxxxxxxxx, identificado con C.C. xxxxxxxxxxxxxx

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 14 OCTUBRE 2020 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR MUÑOZ Firmado digitalmente por CARLOS ENRIQUE SALAZAR MUÑOZ Fecha: 2020.10.14 21:02:00 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JMBG Revisó: LMRZ Aprobó: CESM “Por la cual se impone una sanción y se imparte una orden” NOTIFICACIÓN: Investigada: Entidad: GRUPO INNOVA INTERNATIONAL S.A.S Identificación: Nit.: 900.885.724-6 Representante Legal: Claudio Castrillón Zuluaga.

Identificación: C.C No. 1.053.791.706 Dirección: Cra 23 # 19 -43 Ciudad: Manizales / Caldas Correo electrónico: contabilidad@giraldoabogados.com COMUNICACIÓN: Señor: XXXXXXX Identificación: C.C. No. XXXXXXXXXX Dirección: XXXXXXX Ciudad: XXXX Correo electrónico: XXXXXXXXXX HOJA N 20,

Resolución sancionatoria N° 6425 de 2020

CONSIDERANDO

ARTÍCULO

RESUELVE