REPCJBLICA DE COLOMBIA S RESOLUCION NCJMERO 32 2 0 6 'DE 201 28 AGO 2015 Radicacion 16-314334 UNICA LA SUPERINTENDENTE DELEGADA PARA LA PROTECCION DATOS PERSONALES En ejerciclo de sus facultades legales, en especial las conferidas par los prticulos 19 y 21 de la Ley 1581 de 2012 y el numeral 7 del articulo 16 del Decreto 486 de 2011 y, CONSIDERANDO:
PRIMERO: Que mediante ResaluciOn No. 82192 del 28 de noviembre de 2016 (fls. 8 a 11), corregida par la Resolucion No. 38238 del 30 de junio de 2017 (fls. 62 y 63), la Direccion de Investigacion de Protecciôn de Datos Personales, inicio una investigacionadministrativa con elfin de establecer si la sociedad MULTILABOR SERVICIOS E INSUMóS LTDA. infringio las normas sobre protecciOn de datos personales consagradas en particular en el articulo 17, literales b) y c), en concordancia con los articulos 4, literales b) y c), 6, 9, 12 de la Ley 1581 de 2012 y el articulo 2.2.2.25.2.3 del Decreto 1074 de 2015.
SEGUNDO: Que una vez agotada la etapa probatoria, efectuado el anáisis del escrito de descargos allegado por la sociedad MULTILABOR SERVICIOS E INSUMOS LTDA., y de los elementos probatorios obrantes en el expediente, Ia Direccion de lnvestigacion de Protección de Datos Personales mediante la Resolucian No 12809 dell 23 tie fehrern d 2018, resolviO Ic siguiente: "ARTICULO PRIMERO: Ordenar a la sociedad MULTILABOR SjERV!CIO$ E INSUMOS LTDA., identificada con el Nit. 900.458.571-510 si quiente: I La,Sociedad MULTILABOR SERVICIOS E INSUMOS LTDA, debera rormar a sus titulares de la informaciOn alojada en la base datos denominada EMF EADOS, que no estan obligados a autorizar el tratamiento de sus datos sensibles c acuerdo con lo establecido en el art/cu/a 2.2.2.25.2.3 del Decreto On/co Reglame 3,70 1074 de 2015, a en su defecto al/egar a este Despacho la norma legal q autorice la reco/ecciOn de dicho (sic) datos de manera obligatoria.
Asi mismo, Ia sociedad MULTILABOR SERVICIOS E INSUMOS LTDA., debera informar a esta DirecciOn si/a informaciOn de los cincuenta (50) Tijulares de los cuales no apon'O la autorizaciOn en Ia presente investigac/On, aUn 1se encuentra alojada en la base de datos denominada EMPLEADOS ysi para el 29 de enero de 2016, Ia sociedad contaba con la autorizaciOn para el tratamielrlto de dicha informaciOn"
TERCERO: Que en el término legal establecido para el efecto 1, mcdi con el nUmero 16-314334-26 del 16 de marzc de 2018, la sod SERVICIOS E INSUMOS LTDA., a través de su Representante Legal, escrito radicado MULTILABOR rxiso recurso de Conforme a constancia suscrita par la Secretaria General AD —HOC de Ia Superinteniencia de Industria y Comercic visible a folio 99, Ia Resolucion No. 12809 del 23 de tebrero de 2018 fue not!ficada par aviso a la Representante Legal de la Sociedad MULTILABOR SERVICIOS E INSUMOS LTDA. el 7 de marzo de 2018, con Ic cual el terniinc para presentar los recursos vencla el 22 de marzo de 2018, poi lo que éstos fueron presentados oportunamente.
RESOLUCION NCJMERO b2206 DE 1018 Por Ia cual so resue/ve un Recurso do Ape/ac/On I VERSION CJNICA reposiciôn y en subsidic de apelaciOn, contra la Resolucion No. 12809 del 23 de febrero de 2018, realizando un estudio de su parte resolutiva, asI: 3.1 Manifiesta la RECURRENTE, que "Sobre Ia ob/igacion impuesta en c/primer item de la resoluciOn recurrida, se indica que ía empresa esta obligada a INFOPMAR a los titulares de ía informaciOn, que no estén obligados a autorizar el tratamiento de sus dates sensibles, otorgandà un plazo de 2 meses para cumplir con dicha obligaciOn, ía entidad estima que no se debiO imponer a el/a dicha obligaciOn, toda vez quo claramente se observa dentro del documento denominado 'CONSENTIMIENTO INFORMADO PAPA EL TRATAM/ENTO DE DATOS PERSONALES POP LA EMPRESA MULTILABOR SEP V/C/OS E INSUMOS L TDA', claramente se observa (sic) en el numeral 5 de dicho documento, Jo siguiente: "5.
El registro de Ia huella dactilar será solicitado al titular para: la firma del contrato, pages en efectivo, descargos y remisiOn de documentaciOn. La empresa tiene claro que los datos biométricos son informaciOn calificada por la norma como sensible y por tanto procediO en el mismo documento denominado "CONSENTIMIENTO INFORMADO PAPA EL TRATAMIENTO DE DATOS PERSONALES POP LA EMPRESA MULTILABOP SEP VICIOS E INSUMOS LTDA'c a dejar de presente al titular de la informaciOn dentro de los derechos que Ic asisten, lo que claramente se observa en el literal (i) de dicho documento, to siguiente: Es de caracter potestativo y voluntario responder las preguntas que traten sobre datos sensibles [1] o sobre menores de edad.
Aclarando a pie de página, cuales son los datos sensibles, susceptibles de ser manejados por la entidad. [1] Son datos sensibles, aquellos que afectan ( ). Siendo asi las cosas, esta claramente demostrado quo la empresa MULTILABOP SEP V/C/OS E INSUMOS LTDA, ha dejado claro a sus empleados, que es de caracter potestativo y VOLUNTARIO, responder /as preguntas que traten sobre sus datos sensibles, y explica en el mismo documento cuales son los datos sensibles; lo que claramente indica quc el titular no está obligado a entregar sus datos sensibles, entonces no se entiende por qué se impone una obligaciOn respecto de la cual la empresa ha dado cumplimicnto a la norm atividad". 3.2 Indica la RECURRENTE que "( ) Ia informaciOn de los documentos allegados denominados 'CONSENT/MIENTO INFORMADO PAPA EL TRATAMIENTO DE DATOS PERSONALES POP LA EMPRESA MULTILABOP SEP VICIOS E INSUMOS LTDA' hace refercncia a los titulares, quo se encontraban en su momento en ía BASE DE DATOS denominada EMPLEADOS; los cincuenta (50) titulares a los que hace menciOn la resolución recurrida, fueron trabajadores do ía empresa, quo actualmente no /aboran para Ia misma, y por consiguiente la informaciOn do mismos, no forma parte de la base do datos denominada EMPLEADOS, actualmente manejada porla entidad". 3.3 Concluye su escrito manifestando que la empresa ha demostrado que ha dado cabal cumplimiento a la normatividad sobre manejo de datos sensibles, y solicita que cese cualquier investigación o actuacián adelantada por la entidad y se absuelva a la Empresa MULTILABOR SERVICIOS E INSUMOS LTDA. de cualquier cargo formulado en su contra, toda Vez que las pruebas demuestran que es una empresa cumplidora de sus obligaciones legales.
RESOLUCIÔN NUMERO 62 2 0 6 DE 2018 No. 3 VERSION UNICA Par /8 cuel se resue/ve un Recurso de Ape/ac/On I CUARTO: Que mediante Resoluciôn No. 41091 del 13 de junio de 20181(fls. 112 y 114), la Direcciôn de lnvestigacion de Protección de Datos Personales resoftiió el recurso de reposición interpuesto por la sociedad MULTILABOR SERVICIOS E INSUMOS LTDA. confirmando en todas sus partes el acto administrativo recurrido, asi inismo concede el recurso de apelaciOn, interpuesto de manera subsidiaria.
QUINTO: Que de conformidad con lo establecido en el articulo 80 del Côdigo de Procedimiento Administrativo y de lo Contencioso Administrativo, este Dspacho procede a resolver el recurso de apelaciOn propuesto por la apoderada de MULTIL 4BOR SERVICIOS E INSUMOS LTDA. (en adelante la RECURRENTE) contra la ResoluciOrl No. 12809 del 23 de febrero de 2018, en los siguientes términos: • La autorizaciôn para el tratamiento de datos sensibles es de crãcter facultatiVo y asi debe ser informado a los titulares La Ley 1581 de 2012 desarrollo el articulo 15 de la Constitucion Politith, que consagra el derecho constitucional que tienen las personas a actualizar y rectificar las iinformaciones que se hayan recogido sobre ellas en bases de dabs a archivos, y los demás dtrechos, libertades y garantIas constitucionales.
Sobre este punto, en particular, la Code Constitucional en sentencia C-748 de 2011, por medio de la cual se realizO el estudio de exequibilidad de Ia citada Ley, senalá lo siguiente: "Finalmente, coma ye se menc/onO, el articulo 15 de la Const/tuciOn do 1991 reconoc/O explic/tamente e/"(.) derecho a conocer, actualizary rectiticar/as /nformac/ons que se hayan recog/do sabre e//as en bancos de datos y en archivos de entidades pOb//cs y privadas" y ademas dispuso quo "[e]n !a recolecc/On, tratam/ento y c/mu/ac/On de datos se respetara la libertad y demas garantias consagradas en la ConstituciOn".
Estos proceptos le 'dos en conjunto con /a primera parte del m/smo articu/o 15 —sabre S derecho a la mt/rn/dad, el ørt/culo 16 —que reconoce 9/ derecho al I//ire desarro//o de la persona//dad- y S ad/cola 20 —so re el demo/ia a /a informac/On act/va y pas/vo y el derecho a la rect/ficac/On- de /a Carta' hn dada lugar a/ reconocimiento de un derecho fundamental autOnomo cata/ogado corno de*cho al habeas data) y an algunas opodun/dades, coma derecho a Ia autodeterm/naciOfi /nformat/va a /nformat/ca' En especial, el articulo 9 de la Ley 1581 de 2012 regula lo relacionado previa e informada del titular de la informaciOn.
Al respecto la Code Sentencia 1-017 de 2011, estableció que: la autorizaciôn:itucional en la "En cuanto al nUcleo esenc/al del habeas data, se ha dicho que está constituidtb pore/ derecho a la autodeterminaciOn /nformAt/ca y par /8 //bertad en general, y en espc/al la libertad econOmica. Qu/ere esto dec/r quo of habeas data con fiere a so titular la pos/biffWad efect/va do controlar Ia inclusion de su /nformaciOn personal en los referidos archivos y bbncos de datos, s/endo ía autorizac/On pre y/a y consc/ente de Ia persona concemida un requ/s/(b indispensable pare la ye/ida recolecc/On y almacenarniento de estos datos.
La autodetermmnabiOn infoa'mat/ca inc/uye tam/i/en la posib/l/dad que toda persona tiene de con acer, actualiz4r y rect/uicar la /nformac/On personal que se haya recogido sabre el/a. En cuanto a la libetlad econOrn/ca, ha d/cho la Carte que esta puede ser vulnerada al restr/ng/rse indebidarnente len v/dud de la cimu/ac/On de datos que no sean veraces, a que no hayan s/do autorizados par la persona concem/da a par la ley".
A su vez, el articulo 12 de dicha norma establece Ia siguiente: "ArtIculo 12. Deber de informar a! Titular. El Responsable del Tratam/ento, a/ momento de solicitara! T/tular/a autorizac/On, debera /nforrnarle de manera clamy expresa o s/gu/ente: El Tratarn/ento al cual seran sometidas sus datos persona/es y la f/na/idad del sabre datos sensibles a sabre los datos de las niñas, niflos y ado/escentes;
RESOLUCION NUMERO 622 0 6 DE 2018 Por la cual so rosuelve un Rocurso do ApelaciOn VERSION (JNICA Los dorochos quo Ic asisten como Titular; La identificacion, direcciOn fisica o electrOnica y tolefono del Responsable del Tratamiento. Pare grafo. El Rosponsable del Tratamiento debera con sowar pruoba del cumplimiento de lo pro visto en el prosonto articulo y, cuando 0! Titularlo solicite, entrogan'e copia de esta".
(subraya fuera de texto) Por su parte, el literal b) del articulo 17 de la Ley 1581 de 2012, establece los deberes que le asisten a los responsables del tratamiento de la informaciOn respecto de la solicitud y conservaciôn do copia de la respectiva autorizaciôn otorgada por los titulares para el tratamiento de sus datos personales. "ArtIculo 17.
Deberes de los Responsables del Tratamiento. Los Responsablos del Tratamionto doberan cumplir los siguientos doboros, sin pe4uicio do las domas disposicionos pro vistas on Ia presente by yen otras quo njan su actividad: (..) b) Solicitar y conserver, en las condicionos pro vistas on la prosonto by, cop/a do la rospoctiva autorizaciOn otorgada pore/ Titular.
Finalmente, el Decreto Unico Reglamentario 1074 de 2015, con ocasión a la autorizaciOn en la recoleccion de datos personales sensibles, determinO: "ArtIculo 2.2.2.25.2.3. De la autorizacion para el Tratamiento de datos personales sensibles. El Tratamiento de los datos sensiblos a quo se refiere el articulo 6 do Is Ley 1581 do 2012 osté prohibido, a oxcepciOn de los casos oxprosamente señalados en el articulo 6 do ía citada toy.
En ol Tratamiento do datos personabes sons/bIos, cuando dicho Tratamionto sea posibbo con forme a to establecido ei el articulo 6 do la Loy 1581 de 2012, deberan cumplirse las sigudontes obligacionos: 1. informar al titular quo por tratarse do datos sensiblos no osta obligado a autoflzar su Tratamionto. 2. lnformar a/ titular do forms expllcita y previa, adomas do los reguisitos genera/es do la autorizacion Para la rocoloccion do cual guier tipo do dato personal, cuales de los datos gue serân objeto de Tratamiento son sensibles via finalidad do! Tratamionto, asi como obtener su consontimiento oxproso.
(Subraya y nogrilla fuora de toxto) Ninguna actividad podrá condicionarse a que el Titular surninistro datos personales sensibles". Asi [as cosas, cuando se recolecten datos personales sensibles, es claro el deber que tienen los Responsables del Tratamiento de informar al titular (i) qué datos sensibles serán objeto de tratamiento, (ii) cuál será el tratamiento que se dará a los mismos y la finalidad de este, y (iii) que no está en la obligaciOn de autorizar el tratamiento de tales datos.
AsI mismo, tienen el deber de obtener consentimiento expreso del titular, de acuerdo con las citadas obligaciones. Al analizar los argumentos expuestos por la RECURRENTE, este Despacho considera que en el documento de consentimiento allegado por la sociedad investigada no se les informa a los titulares quo la huella dactilar es un dato sensible y que, por ello, no están obligados a autorizaciôn su recolecciôn y tratamiento.
Por las razones anotadas, este Despacho procedera a confirmar la orden impartida por el Director do Investigacion de Protección de Datos Personales, con elfin de que la Sociedad MULTILABOR SERVICIOS E INSUMOS LTDA informe a los titulares de la informacion alojada en la base datos denominada EMPLEADOS, que no están obligados a autorizar el tratamiento de sus datos sensibles de acuerdo con lo establecido en el articulo 2.2.2.25.2.3 RESOLUCION NUMERO 6 2 2 0 6 DE 2018 No. VERSION UNICA Por /8 cual se resue/ve un Recurso do Ape/ac/On del Decreto Unico Reglamentarlo 1074 do 2015 o, en su defecto, a114 la norma legal que autorice la recoleccion de dichos datos de manera a este Despacho De otra parte, en lo que atane a la segunda orden impartida en Ia resdlucion impugnada, indica la RECURRENTE que los cincuenta (50) titulares a los que se hac menciôn, "fueron trabajadores de la empresa, que actua/mente no laboran para la misma, Lv por consiguiente Ia información do los mismos, no fom'ia paite do Ia base de datos denominda EMPLEA DOS, actualmente manejada por la entidad".
Al respecto, la RECURRENTE, no arrima a la actuaciôn administrativa p4ieba alguna con la quo pueda respaldar su argumento deferisivo, por lo que, este Despacho no puede acceder a la solicitud presentada en el escrito de apelación, ya que no hay sdporte probatorio y jurIdico, que Ileve a modificar o revocar la decisiOn contenida en el acto administrativo recurrido.
SEXTO: Que analizadas todas las cuestiones planteadas y teniendo en duenta Ia dispuesto 01 el articulo 80 del COdigo de Procedimiento Administrativo y d lo Contencioso Administrativo, este Despacho confirmara la decision contenida en la Resoluciôn No. 12809 del 23 de febrero de 2018. En mérito de Ia expuesto, este Despacho,
RESUELVE
ARTICULO PRIMERO: Confirmar la Resolucian No. 12809 del 23 de conformidad con Ia expuesto en la parte motiva del presente acto admi de 2018, de ARTICULO SEGUNDO: Notificar personalmente en contenido de la sociedad MULTILABOR SERVICIOS E INSUMOS LTDA., ide 900.458.571-5, a través de su representante legal o apoderado, en misma e informéndole que contra el presente acto administrativo no p ite decision a la a con el NIT lole copia de la recurso alguno.
NOTIFIQUESE V CUMPLASE Dada enBogota,D.C., 28 AGO 2018 La Superintendente Delegada para la Protección de Datos Personal MARIA CLAUDIA cuLt ES MEJIA Nfl. NOTIFICACION: Sociedad: MULTILABOR SERVICIOS E INSUMOS LTDA. Identificacion: Nit. 900.458.571-5 Representante legal: RUBIELA RODRIGUEZ RODRIGUEZ Identificacion: C.C. 37.838.524 Direccian: Avenida Quebrada Seca No. 33 - 124 Oficina 04 Barrio San Alonso Ciudad: Bucaramanga (Santander) Correo electrOnico: multilaborserviciosltda©gmaiLcom Multifamiliar Favuis