REPUBLICA OE COLOMBIA RESOLUCION NLJMERO 4 881 3 DE 2018 (12 JUL 2018) "Por ía cual se impone una sanciOn" VERSION UNICA ] Radicacion 15-208091 EL DIRECTOR DE INVESTIGACION DE PROTECCION DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas par los artIculos 19 y 21 de la Ley 1581 de 2012 y el numeral 5 del artIculo 17 del Decreto 4886 de 2011 y,
CONSIDERANDO
PRIMERO: Que la DirecciOn de lnvestigacion de Proteccion de Datos Personales de esta Superintendencia, en ejercicio de las facultades conferidas par los artIculos 19 y 21 de la Ley 1581, el dia 28 de septiembre de 2015 realizO una diligencia de inspecciôn al coleglo PROVINCIA NIJESTRA SENORA DE LA GRACIA DE COLOMBIA - LICEO CERVANTES EL RETIRO (en adelante LICEO CERVANTES), identificado con el Nit. 860.006.764-6-1, con el propOsito de comprobar el cumplimiento de los deberes y requisitos establecidos en la Ley 1581 de 2012 y Decreto Unico Reglamentario 1074 de 2015.
En desarrollo de la visita de inspecciôn y una vez analizada la documentaciOn recolectada y aportada por la investigada se pudo estabiecer lo siguiente: 1.1. Que el colegio suscribe contratos Iaborales a termino indefinido con profesores, planta administrativa y trabajadores de servicios generales, en los cuales no se advierte la existencia de una cláusula de confidencialidad, ni la solicitud de autorización para el tratamiento de datos personales, sin embargo el contrato 51 remite al cumplimiento de los parámetros senalados en el Reglamento Interno de Trabajo. 1.2.
Que la información sobre identificacion, contacto, hojas de Vida, tipo de contratacion, afiliaciOn a seguridad social, cuentas bancarias entre otras del personal del colegio, es almacenada en una base de datos denominada "SIAGMEN", a la cual tiene acceso exclusivo de la coordinadora del area de talento humano. 1.3. Que el colegio recolecta la informacian de los aspirantes a traves del formulario de inscripciOn contenido es su pãgina web www.liceodecervantesretiro.edu.co, el cual debe ser diligenciado y radicado en las instalaciones del colegio junto con los documentos soportes y el formulario denominado "formato intercolegial".
Eventualmente tambien cuando los padres de familia requieren servicia de transporte, se solicita diligenciar otro formulario con datos de ubicacion para lo pertinente, sin embargo, se advierte que en ninguno de los formularios manejados por la institución se solicita la autorizacion para el tratarniento de datos personales. 1.4 Que la informaciOn recolectada de los aspirantes es administrada por la secretaria academica del colegio, quien a su vez la remite par medio de la plataforma "cibercolegios" a los coordinadores, area de psicologia y de cafeteria.
Que la informaciOn de los aspirantes no admitidos son retornados a los padres de familia en caso de solicitarse, de lo contrario se procede a su almacenamiento el archiVador ubicado en el area administrativa hasta par el término de dos años, plaza después del cual son destruidos mediante máquina trituradora. 1.5 Que la informaciOn de los estudiantes matriculados es almacenada fisicamente en el archivador del area de secretaria en la carpeta correspondiente a cada estudiante.
Dicha informaciOn es archiVada durante todo el término que permanezca el estudiante activo en el colegio y es incorporada a un software denominada "Diamante acadOmico" junta con la infarmaciOn de sus respectivos padres de familia y la informaciOn contable del colegio. Dicho software es usada desde RESOLUCION NUMERÔ' ' ' ThE HOJA 2 Par /a cual so imparie una sanciOn el año 2007 y a el se accede mediante dos usuarios especiales: I) secretarla academica y ii) usuarlo de contabilidad, cada uno de los cuales tiene acceso exclusivo al area correspondiente; adicionalmente, los profesores de la instituciOn tienen habilitado el acceso al software Unicamente durante 10 dIas determinados y exclusivamente para efectos de ingresar las notas de los estudiantes.
Una vez retirado el estudiante del colegio la informaciOn es almacenada por el colegio de manera permanente. 1.6 Igualmente se determino que al momenta de la visita el colegio no contaba con una Politica de Tratamiento de Datos Personales fisica ni digitalizada en su página web de conformidad can la preservacion e ectuada al portal y conforme a lo informado por los funcionarios presentes en la diligencia 1.5.
Que la plataforma "cibercolegios" utilizada hace aproximadamente 12 anos por el colegio, es Un servicio prestado por Seguros Bolivar y desarrollado par la empresa TBF Siteas SAS, el cual es administrado por el ingeniero de la instituciOn, quien se encarga de ingresar, actualizar, modificar o eliminar la informacion en la plataforma. Para la eliminacion de un registro, la secretaria academica debe solicitarlo por medio de correo electrOnico al ingeniero, quien a su vez debe cambiar el estado del mismo a "Retirado", estado en el cual se restringe el acceso a la plataforma del usuario eliminado y su posible contacto por los comunicados masivos.
No obstante, la informacion del usuarlo retirado permanecerá en la plataforma hasta Ia finalización del año escolar, con el reinicio de la base de datos. 1.7 Que la atenciOn de PQR's es realizada por area de secretarla académica mediante Ilamada telefonica, de las cuales se Ileva un control en una tabla de Excel en el equipo del area.
SEGUNDO: Que de la informaciOn recaudada en desarrollo de Ia etapa de averiguaciOn preliminary del anàlisis de la misma, la Dirección de InvestigaciOn de ProtecciOn de Datos Personales mediante ResoluciOn No. 78316 del 28 de noviembre do 20171, resolviO iniciar investigaciOn administrativa en contra del colegio PROVINCIA NUESTRA SENORA DE LA GRACIA DE COLOMBIA - LICEO CERVANTES EL RETIRO, por la presunta vulneraciOn al deber que el investigado ostenta en su calidad de Responsable de la informacion contemplado en: (I) el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el articulo 25 de la misma norma, asi como el articulo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015;
(ii) el inciso segundo del articulo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015, en concordancia con los articulos 2.2.2.25.3.2 y 2.2.2.25.3.5 de la misma disposiciOn; (iii) el literal b) del articulo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del articulo 4 y los articulos 5,6 y 9 de Ia misma disposicion, asi coma el inciso primero del articulo 2.2.2.25.2.2 y los articulos 2.2.2.25.2.3 y 2.2.2.25.2.9 del Decreto Unico Reglamentario 1074 de 2015;
(iv) el literal c) del articulo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del articulo 4 y los artEculos 6 y 12 de la misma disposiciOn, asi como el inciso primero del articulo 2.2.2.25.2.2 y el articulo 2.2.2.25.2.3 del Decreto Unico Reglamentario 1074 de 2015 y (v) el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con e literal g) del articulo 4 de la referida norma, asi coma los articulos 2,2.2.25.2.1 y 2.2.2.25.6.2 del Decreto Unico Reglamentario 1074 de 2015, otorgéndosele un término de quince (15) dias al investigado para que rindiera los respectivos descargos y aporta ]as pruebas que pretendia hacer valer dentro la presente actuaciOn administrativa.
El anterior acto administrativo fue debidamente notificado al investigado, a traves de aviso el 7 de marzo de 2018, conforme la certificaciOn expedida par la Coordinadora del Grupo de Notificaciones y Certificaciones de esta Superintendencia, obrante a folio 86 del expediente.
TERCERO: Que vencido el plazo otorgado por la Resolución No. 78316 del 28 de noviembre de 2017 para presentar los descargos, la investigada guardO silencia.
CUARTO: Que mediante la Resolución No. 27147 del 23 de abril de 20182 este Despacho incorporO las pruebas dentro de la presente actuaciOn (folios 1 al 59 cuaderno 1 y folios 41 al 51 cuaderno 2) declarO agotada la etapa probatoria dentro de la presente investigación administrativa y corrió traslado a la investigada para que presentara alegatos de conclusion.
QUINTO: Que dentro del término otorgado por la ResoluciOn No. 27147 del 23 de abril de 2018, para aportar alegatos de conclusiOn, la investigada guardO silencio. 1 Visto a Folios 48 a 59. 2 Visto a Folios 63 y
64. RESOLUCION NUMERO HOJA 3 SEXTO: Competencia de la Superintendencia de Industria y Comerelo El articuib 19 de la Ley 1581 de 2012, establece la funciôn de vigilancia que le corresponde a la personales se respeten los principios, derechos, garantias y procedimientos previstos en la ley.
SEPTIMO: Análisis del caso 7.1 Adecuaciôn tipica La Code Constitucional mediante sentencia C-748 de 2011, establecio lo siguiente en relacion con el principio de tipicidad en el derecho administrativo sancionatorio: "En relaciOn con e!pr/ncipio de tip/c/dad, encuentra la Sale que pese ala general/dad de la ley, as determinable ía /nfracciOn administrative an Ia med/cia en que se seña/a qua Ia constituye el incumplimiento de las disposiciones de la ley, esto es, en témi/nos especificos, ía regulaciOn qua hacen los artIculos 17 y 18 del proyecto de lay, en los qua se sane/an los deberes de los responsables y encargados del tratamiento del dato".
Atendiendo los parãmetros senalados par la citada jurisprudencia, para el caso especifico se tiene q ue: (i) El articulo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del Tratamiento respecto del manejo de los datos personales de los Titulares. El incumplimiento de tales requisitos dara lugar a la aplicacion de las sanciones definidas especificamente en el articulo 23 de la Ley 1581 de 2012.
(U) De conformidad con el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada par la investigada se concreta en la posible vulneracion de: (i) el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia cone? articulo 25 deJa misma norma, asi coma el articulo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015;
(ii) el inciso segundo del articulo 2.2.2.25.3.1 del Decreto (mica Reglamentario 1074 de 2015, en concordancia con los articulos 2.2.2.25.3.2 y 2.2.2.25.3.5 de la misma disposiciOn; (iii) el literal b) del articulo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del articulo 4 y los articulos 5,6 y 9 de la misma disposicion, asi como el inciso primero del articulo 2.2.2.25.2.2 y los articulos 2.2.2.25.2.3 y 2.2.2.25.2.9 del Decreto Unico Reglamentario 1074 de 2015;
(iv) el literal c) del articulo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del articulo 4 y los articulos 6 y 12 de la misma disposiciOn, asi como el inciso primero del artIculo 2.2.2.25.2.2 y el articulo 2,2.2.25.2.3 del Decreto Unico Reglamentario 1074 de 2015 y (v) el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con e literal g) del articulo 4 de la referida norma, asi coma los articulos 2.2.2.25.2.1 y 2.2.2.25.6.2 del Decreto Unico Reglamentario 1074 de 2015.
En ese orden de ideas, este Despacho procederá a tener en cuenta: (i) los resultados obtenidos en la visita de inspeccion; (U) el material probatorio que obra dentro del expediente; (iv) la Ley 1581 de 2012 y, finalmente, (v) la jurisprudencia que ha proferido la Carte Constitucional sobre la materia. 7.2 Valoracion probatoria y conclusiones 7.2.1 de Conforme al principio de legalidad en materia de datos personales, cualquier forma de Tratamiento de informacion personal desde su recolecciOn hasta su disposiciOn final se encuentra orientada por las normas contenidas no solamente en Ia Ley 1581 de 2012 sino también en la normatividad que sabre la materia se ha expedido, la cual, para el caso en particular, corresponde al Decreto Unico Reglamentario 1074 de 2015; lo que traduce en el hecho de que las disposiciones del referido decreto tienen la misma obligatoriedad y caracter vinculante que la ley estatutaria. 3 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaijub, seis (6) de octubre de dos nil once (2011).
Por medio del cual se expide el Decreto Unico Reglamentarlo del Sector Comercio, Industria y Turismo, norma que conipilO, entre otros, el Decreto 1377 de 2013 que reglamentó parte del articulado de la Ley 1581 de 2012. RESOLUCION HOJA 4 Por ía cual so impone tine sanciOn El articulo 2.22.25.3.1 del Decreto Unico Reglamentario 1074 de 2015, se establece el contenido minirno Clue debe reunir el documento que haga sus veces de politica de tratamiento de la informacion, el cual indica lo siguiente: "Articulo 2.2.2.25.3.1.
Politicas de Trataniiento de la information. Los responsables del tratamiento deberan desarrollar sus politicos pare el tratamiento de los datos persona/es y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas. Las politicas de Tratamiento do Ia informacion deberan constar an medio fisico o elect ronico, an un lenguaje claro y sencillo y ser puestas an conocimiento de los Titulares.
Dichas pollilcas deberan incluir, por to menos, la siguiente informaciOn: 1. Nombre o razOn social, domicilio, direcciOn, correo electranico y teléfono del Responsable. 2. Tratamiento al cual seran sometidos los datos y finalidad del mismo cuando esta no so haya informado med/ante el aviso de privacidad. 3.Derechos quo le asisten como Titular. 4.
Persona o area responsable de la atencion do peticiones, consultas y reclamos ante la cual el titular de la informacion puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorizaciOn. 5. Procedimiento pare qua los titulares de la informaciOn puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir informaciOn y revocar Ia autorizaciOn. 6.Fecha do entrada an vigencia do la politica do tratamiento do la informaciOn y periodo de vigencia de la base do datos.
Cualquier cambio sustancial en las politicas de tratamiento, an los tArminos descritos an of an'iculo 50 del presente decreto, debera sor comunicado oportunamente a los titulares de los datos personales de tine manera eficiente, antes de implementar las nuevas polIticas." De otra parte, es deber de los responsables adopter tin manual interno de politicas y procedimientos pare garantizar el adecuado cumplimiento de la presente ley y en especial, pare la atenciOn do consultas y reclamos, contemplado en el literal k) del artIculo 17 de la Ley 1561 de 2012.
La reuniOn de estos elementos permiten garantizar "el ámbito de protecciOn del derecho do habeas data'6 pues resultan oponibles al sujeto obligado en los procesos de recoleccion, tratamiento, circulation y disposición final de datos, asI como tambien permite garantizar a los Titulares el pleno y efectivo ejercicio del derecho do Habeas Data a traves de la implementaciOn y puesta en marcha, de los principios que rigen el Tratamiento de los datos personales mediante herramientas claramente definidas y los procedimientos pare su implementaciOn.
En efecto, el Responsable tiene el deber de tratar la informaciOn que se encuentra almacenada en su base de datos bajo las medidas minimas establecidas, por el regimen de protección do datos personales, pues asi lo dispuso la Ley 1581 de 2012 cuando senalo en su articulo 25 inciso tercero, que "[l]as politicas de tratamiento en nm gUn caso podran ser inferiores a los deberes contenidos en la presente ley", disposición quo, igualmente, refuerza la hipOtesis esgrimida entorno a que mediante Ia politica de tratamiento se pretende cimentar los pilares de la protecciOn a! derecho.
Sin perjuicio de lo anterior, el Decreto Unico Reglamentario 1074 do 2015 otorgO la posibilidad pare que en caso en que no sea posible poner a disposiciOn del Titular las politicas de tratamiento de la informaciOn, los responsables puedan informar por medio de un aviso de privacidad sobre la existencia de tales politicas y la forma de acceder a las mismas, de manera oportuna y en todo caso a màs tardar al momento de la recolecciOn de los datos porsonales, siempre y cuando se observen los requisitos del articulo 2.2.2.25.3.3 del decreto en cita.
Asi las cosas, en el presente caso particular, se tieno Clue en la diligencia de inspecciOn, la institución educative invostigada no contaba con una Politica de Tratamiento de la lnformaciOn, de acuerdo a lo previsto on [as normas previamente citadas, lo quo permite a este Despacho establocer Cone Constitucional, seniencia 0-748 de 2011. M.P. Maria Victoria Cal le Cornea RESOLUCIÔN NUMERO DE HOJA 5 Por la coal so impone una sancion que el LICEO CERVANTES, no ha implementado una Politica de Tratamiento de la InformaciOn, con el fin de establecer los lineamientos que son necesarios, para garantizar a los Titulares de la informaciOn, un adecuado tratamiento de sus datos y en todo caso una correcta proteccian do su derecho de Habeas Data, asi mismo se evidenció que no tienen un aviso de privacidad como alternativa para dare a conocer a los titulares la existencia de las Politicas de Tratamiento de la lnformaciOn y que tampoco cuenta con un manual interno de pollticas y procedimientos que garantice el correcto cumplimiento de la ley y en especial el relacionado con Ia atenciOn de quejas y reclamos.
Respecto del aviso de privacidad el Decreto Cinico Reglamentanio 1074 de 2015, establece to siguierite: Articulo 2.2225.3.2. Aviso de privacidad. En los casos an los qua no sea posible poner a disposiciOn del Titular las politicas de tratamiento do la informaciOn, los responsables deberan informer por medio do un aviso do privacidad al titular sobre la existencia do tales politicas y /a forma de acceder a las mismas, de manera oportuna y an todo caso a més tardar al momento de la reco/ecciOn de los datos personales.
Articulo 2.2.2.25.3.5. Medios de difusiOn del aviso de privacidad y de las politicas de tratamiento de la informaciOn. Para la difusión del aviso de privacidad y de la politica de tratamiento de la informaciOn, el responsable podia valerse de documentos, formatos electrOnicos, medios verbales o cualquier otra tecnologia, siempre y cuando garantice y cumpla con el deber de informar al titular.
Es asi como, los anteriores preceptos indican que los Responsables de información deben adoptar un aviso de privacidad, con el propOsito de darle a conocer a los Titulares, sobre la existencia de la Politica de Tratamiento de la Informacion, asi como establecer los medios de difusiOn del aviso y a su vez de dichas politicas, situaciOn que en el presente caso no se aplica, teniendo en cuenta que Ia institution educativa investigada, al momento de efectuar la visita de inspecciOn no contaba ni con una politica implementada y por ende con el aviso de privacidad respectivo.
Ahora bien y como quiera que el LICEO CERVANTES, durante la presente investigaciOn no demostrO haber implementado estos documentos; y dado que no se pronuncio en los descargos ni en los alegatos do conclusion, este Despacho encuentra que dicha instituciOn continua al tratando datos personales, sin la adopciOn de politicas efectivas que permitan garantizar el derecho de Habeas Data de los Titulares.
Como consecuencia de to anterior, esta Direccion encuentra que la instituciOn investigada al no contar con una Polltica de Tratamiento do la lnformaciOn debidamente implementada, incumpliO con el deber establecido en el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el articulo 25 de la misma norma, asi como el articulo 21.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015 asi como el deber contemplado en el inciso segundo del articuto 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015, en concordancia con los articulos 2.2.2.25.3.2 y 2.2.2.25.3.5 do la misma disposicion, razOn por la cual impondra la correspondiente sanciôn. El articulo 15 de la ConstituciOn Politica establece que las personas, en desarrollo de sus derechos a la autodeterminaciOn informatica y el principio de libertad, son quienes de forma expresa deben autonizar quo Ia informacian que sobre ellos sea recaudada pueda ser incluida en una base datos.
Al respecto la Code Constitucional ha senalado lo siguiente: "Principio de libertad: El tratamiento solo puede ejercerse con el consentirniento, pre vio, expreso e informado del titular. Los datos personales no podran ser obtenidos o divulgados sin pre via autorizaciOn, o en ausencia de mandato legal o judicial qua releve el consentimiento.
Este pr/nc/plo, pilar fundamental de la administraciôn de datos, permite al ciudadano elegir voluntariamente si so informacion personal puede ser utilizada o no an bases de datos. TambiOn impide qua la informacion ya registrada do un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo qua Ia utilice con fines distintos pare los qua fue autorizado inicialmente.
RESOLUCION NO HOJA 6 Par Is cual se impone una sanciOn El literal c) del Proyecto de Ley Estatutaria no sOlo desarrolla el objeto fundamental de ía proteccion del habeas data, sino qua se encuentra en intima re/ac/On con otms derechos fundamentales como el de intimidad y el fibre desarrollo de la personalidad. En efecto, el ser humano goza de Ia garantia de determiner qué datos quiero Sean conocidos y tiene el derecho a determiner Ia que podria denominarse su imagen informatica'4.
Los principios rectores, ademas, deben confluir en cuanto a su aplicaciOn con los deberes y derechos contenidos en la Ley 1581 de 2012, especIficamente en el presente caso, es relevante mencionar los deberes que tienen los Responsables do garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data. Al respecto la Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realiza el anàlisis constitucional de la Ley estatutaria 1581 de 2012, manifesto: "De con formidad con Ia jurisprudencia de esta Corporacion, dentro de las prerrogativas contenidos minimos- que se desprenden de este derecho encontramos par 10 menos las siguientes: (i) of derecho de las personas a conocer —acceso- la informaciOn que sabre ellas estOn recogidas an bases do datos, 10 qua con//eva el acceso a las bases de datos donde se encuentra dicha informacion;
(ii) el derecho a incluir nuevos datos con elfin de se pro yea una imagen camp/eta del titular; ('iii) el derecho a actualizar la informaciOn, es docir, a poner a) dia el contenido de dichas bases do datos; (iv) el derecho a que la informaciOn contenida an bases de datos sea rectificada o corregida, do tal manera que concuerde con Ia realidad;
(v) el derecho a excluir inforrnaciOn de una base de datos, bien par que se esta hacienda un usa indebido de ella, a par simple voluntad del titular—salvo las excepciones previstas an /a normativa." De esta manera, debe precisar este Despacho que, tal como lo maniflesta la Code Constitucional, el derecho de habeas data otorga Ia facultad al Titular de ]as datas personales de exigir el acceso, correcciOn, adicion, actualizacion y eliminaciOn de su informaciOn, par lo que resulta apenas clara, que los Responsables y Encargados de la informaciOn deben implementar mecanismos que le permita al Titular acceder en cualquier momenta a su informaci6n.
Igualmente, es importante indicar que en virtud del principio de libertad, citado lineas atrás, el legislador impusa a ]as Responsables del Tratamiento de datos personales la exigencia de requerir la autorizaciOn previa, expresa e informada del Titular, consagrada en el articula 9 de la Ley 1581 de 2012 y, además, el deber de solicitar y conservar copia de la autorizacion de Tratamiento otorgada par el mismo, dispuesto en el literal b) del articulo 17 del mismo compendio normativo8.
De lo anterior, vale la pena precisar que la jurisprudencia constitucional, en sentencia mencionada lineas atrás, se refiere a las caracteristicas de los datos personales al analizar la constitucionalidad del proyecto de ley de proteccion de datos personales, a saber: ";) Estar referidos a aspectos exclusivos y propios de una persona natural; it) Permitir identificar a la persona, en mayor a manor medida, gracias a Ia visiOn do conjunto quo se (ogre con e/ mismo y con afro datos; ill) Su pro piedad reside exciusivamente en el titular del mismo, situaciOn quo no so altera par su obtenciOn par pane do un tercero de man era licita a i/ic/ta; iv) su tratamiento esta sometido a reg/as espociales (principios) en to re/ativo a su captaciOn, administraciOn y divulgaciOn", caracteristicas que se adicionan al concepto de data personal establecido en la Ley, consistente en un derecho de propiedad sobre éste, que se radica en cabeza del titular.
Sumado a Ia anterior, el mismo Responsable debe conservar una copia de Ia autorizaciOn otorgada par el Titular de la informaciOn de forma tar que, en el momento en que sea solicitada para consulta, cuente con la misma. A este respecto, se evidencio en la visita de inspecciOn adelantada por este Despacho, que la investigada recolecta la informacion de los aspirantes a trav(§s del formulario de inscripciOn contenido es su pagina web www.liceodecervantesretiro.edu.co, el cual debe ser diligenciado y °Ver en: Code constitucional Sentencia C-746 del 6 do octubre de 2011 MP.
Jorge Ignacio Preteft Chaijub. Lay 1581 do 2012. "Articulo 9. Autorización del Titular. Sin perjuicio do /as excepciones pro vistas on to Icy, an at Tratamiento se mquiere to autoAzacion pie via o informada do! Titular, Ia cual deberé ser obtenide pot cue/quiet media quo puoda sor objeta de consulta posterior. Ley 1581 de 2012. "A,ticulo 17.
Deberes do los Responsables del Tratamiento. Los Rosponsables del Tratarniento doborén cump/ir los siguientos debates, sin pe4uicio de las dames disposicionos pro vistas an to presente fey yen otras quo rijan su ach y/dad: ( ) b) Solicitor conserver, on las condiciones pm vistas an to presonto icy, copia do to respective autodzacion oto,ada pore! Titular (.1: RESOLUCION NUMERO ThE HOJA 7 radicado en las instalaciones del colegio junto con los documentos soportes y el formulario denominado "formato intercolegial", asi mismo y cuando los padres de familia requieren servicio de transporte, se solicita diligenciar otro formulario con datos de ubicaciOn para 10 pertinente, sin embargo, se advierte clue en ninguno de los formularios manejados por la institución se solicita la autorizaciOn para el tratamiento de datos personales.
Para el caso especifico, segün los resultados arrojados por la visita de inspecciOn realizada el 28 de septiembre de 2015, se pudo evidenciar clue Ia investigada realiza tratamiento de los datos personales recolectados de los aspirantes, asi como de los empleados del Responsable, tales como los Nombres, Apellidos, Fecha, Lugar de nacimiento, Tipo de identificacion, ldentificaciOn, ProfesiOn, Correo electrOnico, Telefono, DirecciOn, Estrato, Localidad, E.P.S, Tipo de Sangre, etc., sin embargo se aprecia clue el Responsable de la informaciOn no solo recolecta estos datos de personas mayores de edad, sino clue tambien recolecta esta informaciOn de menores de edad.
En este sentido es necesario precisar 10 dispuesto en el articulo 5 de la Ley 1581 de 2012, sobre la definiciOn de datos sensibles: "Articulo 5 0. Datos sensibles. Para los propOsitos de la presente ley, se entiende por datos sensibles aquellos qua afectan la mt/rn/dad del Titular o cuyo uso indebido puede generar su discrimmnaciOn, tales corno aquatics qua revelen el origen racial o étnico, la orientacion polltica, las con vicciones religiosas o filosOficas, la pertenencia a sindicatos, organize clones sociales, de derechos humanos o qua prornueva intereses de cualquier partido politico o que garanticen los derechos y gararitias de part/dos politicos de oposiciOn asi corno los dates relativos a ía salud, a Ia vida sexual y los dabs biornAtricos." En la sentencia clue analizO Ia constitucionalidad del Proyecto de Ley que posteriormente se conociO como Ley 1266 de 2008, la Corte Constitucional explicO, respecto de los datos sensibles, clue "1)/a naturaleza de esos datos pertenece at nOc/eo esencial del derecho a la intimidad, entendido come aquella esfera 0 espacio de vida privada no susceptible de la interferencia arbitraria de las demas personas, que at ser considerado un elemento esencial del sec se concrete en el derecho a poder actuar libremente en la mencionada esfera o nOcleo, en ejercicio de la libertad personal y familiar, sin mas limitaciones que los derechos de los demas y el ordenamientojuridico".
Entonces el dato sensible no es una informaciOn clue solamente esté relacionada con la garantia propia del ejercicio del derecho de habeas data, sino clue va ligada tambien al derecho fundamental a la intimidad, el cual, igualmente, es sujeto de protección constitucional. Obrando en consecuencia con la importancia constitucional y legal atribuida al dato sensible, el legislador estatutaric, en el articulo 6 de la Ley 1581 de 2012 prohibio, por regla general, el tratamiento de informaciOn sensible de los titulares, de tal forma que solo consagrO unas excepciones taxativas a dicha exclusion, las cuales responden a la necesidad de garantizar otros derechos constitucion ales tales como la vida, la educaciOn y el derecho de asociaciOn.
Teniendo presente tal situaciOn, el legislador estatutario dispuso clue, para clue el Responsable del Tratamiento pueda tratar datos sensibles debe realizarlo conforme a 10 establecido en el articulo 6 de la Ley 1581 de 201210 y ademas requiere clue se le comunique al titular que los datos que esta pretendiendo recoger son sensibles y que no está obligado a entregarlos.
Condiciones relevantes Clue garantizarán clue el titular entregue o no su consentimiento de manera informada, circunstancia esencial para clue proceda el tratamiento de los datos sensibles por parte del Responsable de acuerdo a la ley. En este sentido, respecto de la categorla especial de datos, también se encuentran incluidos los datos personales de los niños, niñas y adolescentes y su especial protecciOn, para lo cual la Ley 1581 de 2012, dispone lo siguiente: c-i Oil del 16 de octubre de 2008.
M.P. Jaime Côrdoba Irivino "Adiculo 60. Tratamionto do dabs sons/bios. Se pro hibe at Tratamionto de deWs sensibles, excepto cuando: a)El Titular haya dada su autorizacian expilcita a dicho Tratanjiento, salvo an los casos quo pot fey no sea requerido of oborgemiento do dicha autorizaciOn; b) El Tratamiento sea necesario pare salvaguardar at inte,s vital del Titular y este so encuentre tisica o fur!dicarnente incapacitado.
En estos eventos, los representantes to gales deberan otorgar su auborizaciOn; c)El Tratarniento sea efecluado an of curso de las actividades Iegitimas y con (as debidas garantias par perle de una fundaciOn, OP/C, asociaciôn a cue!quiet otro organisnio sin aniino de lucro, cuya tinalidad sea poll/ca, filosO free, religiose o sindicat, siernpre quo se refieran exclusivamonte a sus rniernbms a alas personas quo mentengen cant act as regularos par razOn do su final/dad.
En estos eventos, los datos nose podran surninistrar a tercoros sin ía autoflzaciOn del Titular, d)El Trataniiento se retlera a datos quo soon necesaflos pare of reconocirniento, ejemicio a defense do un derocho an un proceso judicial; e) El Tratarniento tongs tine finalidad histórica, estadistice o ciontifica. En este evenlo doberán adoptarso las modidas conducentes a to supresiOn do identidad do los Tilt/ares." 9 Carte Constitucional.
Sentencia RESOLUCION Por Ia cual se impone una sa nc/On HOJA 8 "Articulo 70• Derechos de los niflos, ninas y adolescentes. En el Tratamiento se aseguraré el respeto a los derechos prevalentes de los niños, niñas y adolescentes. Queda proscrito el Tratamiento de datos persona/es de niños, niñas y adolescentes, salvo aquellos datos qua seen de naturaleza pUb//ca.
Es tarea del Estado y las entidades educativas de todo tipo proveer informaciOn y capacitar a los representantes legales y tutores sobre los eventuales riesgos a los qua se enfrentan los ninos, ninas y adolescentes respecto del Tratamiento indebido de sus datos persona/es, y proveèr de conocimiento acerca del uso responsable y seguro por pafle de niños, nines y adolescentes de sus datos personales, su derecho a la privacidad y protecciOn de su informaciOn personal y la de los demas.
El Gobiemo Nacional reglamentara Ia mater/a, dentro de los seis (6) meses siguientes a la promulga c/On de esta ley." Entonces bajo en anterior precepto, el legislador dispuso una especial protecciOn para los niños, niñas y adolescentes, al tenor de los derechos fundamentales salvaguardados por la Constitucion Nacional, de suerte que el Estado, la familia, las instituciones educativas y la instituciOn en general deben intervenir en la protecciOn de estos derechos.
Esta diferencia que realiza el legislador, respecto de la categoria especial de datos y en especial el de los niños, niñas y adolescentes, no debe entenderse de manera restrictiva por cuanto los Responsables de la lnformaciOn pueden tratar los datos personales sometidos a esta categoria, siempre y cuando atiendan los requisitos especiales previstos en la ley, la cual dispone: "Articulo 2.2.2.25.2.9.
Requisitos especiales para el tratamiento tie datos personales de niños, niñas y adolescentes. El Tratamiento de datos personales de niños, niñas y adolescentes esta prohibido, excepto cuando se trate de datos de naturaleza pUblica, de conform/dad con to establecido an el articulo 7 de la Ley 1581 de 2012 y cuando dicho Tratamiento cumpla con los siguientes parametros y requisitos: 1.Que responda y respete el interés superior de los n/nos, n/ñas y adolescentes. 2.Que se asegure el respeto de sus derechos fundamentales.
Cumpl/dos los anteriores requisitos, el representante legal del n/no, nine o adolescente otorgara la autorizac/on previo ejerc/cio del manor de su derecho a ser escuchado, opinion que sera valorada ten/endo an cuenta la madurez, autonomia y capac/dad pare entender el asunto. Todo responsable y encargado involucrado an el tratamiento de los datos personales de niños, n/nas y adolescentes, debera velar por el uso adecuado de los mismos.
Para este fin deberan aplicarse los pr/nc/p/os y obligaciones establecidos an Ia Ley 1581 de 2012 y el presente capitulo. La fam/lia y la sociedad deben velar porque los responsables y encargados del tratamiento de los datos personales de los menores de edad cumplan las obligaciones establecidas an Ia Ley 1581 de 2012 y el presente capitulo.11" En conclusion, el tratamiento de esta categoria especial de datos, debe realizarse atendiendo lo dispuesto en el anterior precepto, dado que es deber del Responsable de la lnformaciOn, adoptar todas las medidas necesarias, a fin de garantizar el correcto Tratamiento de este tipo de datos que se recolectan y a su vez realizar el procedimiento para obtener las autorizaciones previas, expresas e informadas de los padres yio acudientes de los menores de edad, sobre los cuales van a tratar sus datos personales.
Por otra parte, el principio de finalidad que se traduce en el deber de informar al Titular lo que se pretende hacer con su informaciOn, se encuentra contenido en el articulo 12 de la Ley 1581 de 2012, asi: Articulo 12. Deber de informar a! Titular. El Responsable del Tratam/ento, al momento de so/ic/tar al Titular la autorizaciOn, deberá informarle de manera clara y expresa to siguiente: a) El Tratamiento al cual saran sometidos sus datos personales y la final/dad del mismo.
Decreto [inico Reglamentado 1074 de 2015. 'Pot medlo del cual so oxpide of Decreto Unico Reglarnonlario del Sector Comercio, lndustfla y Turfsmo" RESOLUCION NUMERO HOJA 9 b) El carécter facultativo de la respuesta a las preguntas qua le seen hechas, cuando estas (sic) versen sobre datos sensibles o sobre los datos de las niñas, ninos y adolescentes. c)Los derechos qua le asisten como Titular. d)La identificacion, direcciOn fisica o electrOnica y telOforio del Responsable del Tretamiento.
PARAGRAF0. El Responsable del Tratamiento debera con server prueba del cumplimiento de lo pre visto en el presente articulo y, cuando el Titular 10 solicite, entregarle copia de esta". Como puede observarse, el principia de finalidad, que se encuentra intimamente ligado al principio de libertad, impone unos limites al tratamiento de los datos que estan siendo administrados par el Responsable; dichos limites se derivan de la naturaleza de la informaciOn y del uso que se dará a los datos recolectados.
En palabras de la Carte Constitucional "( ) [t]anto el acopia, elprocesamiento y Ia divulgaciOn de los datos personates, debe obedecer a una finalidad constitucionalmente legitima, definida de manera Clara, suficiente y pre y/a; do tal forma que queda prohibida la recopilaciOn de datos sin la Clara especificaciOn acerca de la f/nalidad de los mismos, asi como el USO 0 divulgaciOn de datos para una final/dad diferente a la inicialmente pro vista ()fl12 Dicho principio se hace efectiva al momenta en que se solicita autorizacion al Titular, pues es alli en que esta se cumple el termino maxima para informarle al Titular los fines de la recolecciOn de su informaciOn, ya que como 10 dispuso el artIculo 2.2.2.25.2.2 del Decreto Unico Reglamentario 1074 de 201513 'Tell Responsable del Tratamiento debera adoptar procedimientos para solicitar, a niãs tardar en el momento de la recolecciOn do sus datos, la autorizaciOn del Titular para el Tratamiento do los mismos e informarle los datos personates que serén recolectados asi como todas las finalidades especificas del Tratamiento para las cuales so obtiene el consentimiento".
Par Ia indicado, en el momenta en que se solicita informaciOn al titular se le debe informar: (I) el Tratamiento al cual serán sametidos sus datos personales y la finalidad del misma (ii) el caracter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles 0 sabre los datos de las ninas, niños y adalescentes (iii) los derechos que le asisten coma titular y;
(iv) la identificacion, direccion fisica a electronica y telefono del Responsable del Tratamiento. Ahora bien, abordando estas aspectos la Carte Constitutional en sentencia de canstitucionalidad C748 de 2011, expusa Ia siguiente: "( ) La definiciOn establecida por el legislador estatutario responde a uno de los criterios establecidos por ía Corporecion pare el manejo do las bases de datos.
Sin embargo, debe hacerse algunas precisiones. Par una parte, los datos personates deben ser procesados con un propOsito especifico y explicito. En ese sentido, la finalidad no solo debe ser legitima sino qua la referida informacion se destinara a realizer los fines exclusivos pare los cue/es fue entregada pore/ titular. Por a/b, so debera informar at Titular del dato de manera clara, suficiente y previa acerca do la finalidad de la informaciOn suministrada y por tenth, no podra recopilarse datos sin la clara especificacion acerca do Ia finalidad do los mismos.
Cualquier utilizaciOn diverse, deberé ser autorizada en forma expresa POT el Titular. Este precisiOn as re/a vante en la medida qua permite un control par parte del titular del dato, en tanto Ia es posible verificar si esta siendo usado pare la finalidad por 41 autorizada. Es una herramienta Util pare evitar arbitrariedades an el manejo de Ia informaciOn par parte de quien trata el dato.
Asi mismo, los datos personates deben ser procesados solo en Ia forma que ía persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas qua la persona razonablemente no espera, debe obtenerse at consentimiento previo del titular. Per otro lado, do acuerdo la jurisprudencia constitucional y los estandares internacioneles relacionados previamente, se observe qua a/ principio do finalidad imp/ice tambien: (i) un âmbito temporal, es decir queel per/edo de conservaciOn de los datos persona/es no exceda del necesario pare alcanzar la necesidad con quo se han registrado y (ii) wi ambito Corte Constitucional, sentencia C-748 de 2011.
M.P. Maria Victoria Calle Correa. Norma que compilô el Decreto 1377 de 2013 'Pore/cue/se reg!amenta parcia!mente la Lay 1581 de 2012". RESOLUCION NUMER04 881 E HOJA 10 Por la cuel so impone one sanciOn material, quo ox/ge quo los datos recaudados seen los estrictamente necesarios pare las fina!idades perseguidas (4". Por lo mencionado, es claro pare este Despacho que la LICEO CERVANTES incumplio los principios de finalidad y libertad consagrados en los literales b) y c) del artIculo 4 de la Ley 1581 de 2012, de los cuales se desprenden los deberes de solicitar y conserver copia de la autorizaciOn previa, expresa e informar debidamente la finalidad de la recolecciOn y los derechos que le asisten al titular; al igual que tener un especial tratamiento de informacion personal de ninos, niñas y adolescentes, es decir informer al momento de la recolecciôn de la autorizaciOn el carécter facultativo de las respuestas cuando las preguntas versen sobre datos sensibles o de ninos, niñas y adolescentes.
Asi, debe recordarse que el tratamiento de datos personales de menores está permitido siempre y cuando se acuda a una interpretación restringida, segUn la cual ese uso de la informacion se debe sujetar a la interpretacion señalada por la Code Constitucional cuando analizO la exequibilidad del articulo 7 de la Ley 1581 de 2012. Aun cuando el texto original de la nomia estableciO en principio que quedaba "proscrito e/ Tratamiento do datos persona/es de ninos, nifias y ado/escentes, salvo aquellos datos que seen de natura/eza pUb/ice", la Code en sentencia C-748 de 2011 aclarO que dicha disposiciOn "no debe entenderse en el sent/do de que ex/ste una prohibic/On absolute del tratamiento do los datos de los menores de 18 años, exceptuando los do naturaleza pUb//ca, pues ello, dana lugar a ía no gao/On do otros derechos super/ores e esta poblac/On (.4".
Siguiendo esa linea de interpretaciOn, esa Corporacion concluyO que "( ) en el tratam/ento de los datos persona/es do menores do 18 anos, at margen do su naturaleza, pueden ser objeto de tratamiento siempre y cuando ol fin que se pers/ga con dicho tratam/ento responda at interés superior de los n/nos, ninas y adolescentes y so asegure sin excepciOn alguna el respeto de sus derechos prevalentes".
Tal interpretaciOn fue recogida por el Decreto (inico Reglamentario 1074 de 2015, el cual estableciO que pare el tratamiento de datos personales de ninos, niñas y adolescentes, excepto cuando se trate de datos de naturaleza püblica, debera cumplirse con los siguientes parámetros y requisitos: (i) quo responda y respete el interes superior de los niños, niñas y adolescentes y (h) que se asegure el respeto de sus derechos fundamentales.
Cumplidos los anteriores requisitos, el representante legal del niño, nina o adolescente otorgará la autorizaciOn previo ejercicio del menor de su derecho a ser escuchado, opinion que sera valorada teniendo en cuenta la madurez, autonomia y capacidad para entender el asunto. A su vez, la citada norma tambien estableciO que "Todo responsable y encargado /nvo/ucrado en el tratamiento de los datos persona/es de n/nos, n/nas y adolescentes, debera velar por e/ uso adecuado de los mismos.
Para este fin deberan aplicarse los princip/os y obligaciones establecidos en la Ley 1581 de 2012 y el presente decreto". De manera concordante con lo expuesto, en la recoleccion de la autorizacion, tal y como lo expone el literal b) del articulo 12 de la Ley 1561 de 2012, "el Responsable del Tratamiento at momento de so//c/tar at Titular la autor/zaciOn, debera informarle do manera clara y expresa to sigu/ente: ( ) El carácter facu/tativo de la respuesta a las preguntas que le sean hechas, cuando versen sobre datos sensibles o sobre los datos do n/nos, n/nas y ado/escentes".
A la Iuz de 10 dispuesto pare el tratamiento de los datos personales de los menores, este Despacho advierte quo la LICEO CERVANTES, no cuenta con una autorización disponible en el formulario electrOnico habilitado en su sitio web o en fisico, asi como tampoco informa la finalidad para las cuales los datos son recolectados y cuales de los datos recolectados son datos personales sensibles y respecto de la facultad que tienen de entregar o no la informacion quo verse sobre datos sensibles o de menores, incumpliendo con el deber do solicitar la autorizaciOn en las condiciones quo prevé la ley, y vulnerando el derecho a la protecciOn do datos do los menores de edad.
Por otra parte so evidencia que tampoco fue demostrado que se contara con la autorizaciônpara realizar el tratamiento de datos sensibles en los términos del articulo 2.2.2.25.2.3 del Decreto Linico Reglamentario do 2015 que señala 10 siguiente: Articulo 2.2.2.25.2.3. De la autorizacion pan el Tratamiento de datos personales sensibles. El Tratamiento cia los datos sons/b/es a que so ref/ere el articulo 5 do la Lay 1581 RESOLUCION NCJMERÔ HOJA 11 Por la coal so impono una sanciOn do 2012 esth prohibido, a oxcopciOn do los casos exprosamento senalados en el articulo 6 do la citada by.
En el Tratamionto de datos persona/es sensibbes, cuando dicho Tratamionto sea posiblo con forme a to ostab/ocido an el articubo 6 de la Loy 1581 do 2012, deberén cumplirse las siguiontos obligaciones: 1. Informer a) titular quo por tratarse do datos sons/b/es no está obligado a autorizar su Tratamionto. 2. Informer at titular do forma explicita y pre y/a, edemas do los requisitos genera/es do la autorizacion pare la recolecciOn de cualquior tipo do data personal, cuales do los datos qua serán objeto do Tratamiento son sons/b/es y la final/dad del Tratamiento, asi como obtenor su consent/mien to oxpreso.
Ninguna act/v/dad podrá condicionarse a quo el Titular sumin/stre datos porsonales sens/bles. En consecuencia este Despacho concluye que la institución investigada incumplió con los deberes que como responsable tiene en virtud de Ic previsto en (i) el literal b) del artIculo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del articulo 4 y los artIculos 5,6 y 9 do ía misma disposiciOn, asi como el inciso primero del articulo 2.2.2.25.2.2 y los articulos 2.2.2.25.2.3 y 2.2.2.25.2.9 del Decreto lJnico Reglamentaric 1074 de 2015 y;
(ii) el literal c) del articulo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del articulo 4 y los articulos 6 y 12 de la misma disposicion, asi como el inciso primero del artIculo 2.2.2.25.2.2 y el articulo 2.2.2.25.2.3 del Decreto Unico Reglamentario 1074 de 2015, razôn por la cual este Despacho impondrá Ia correspondiente sanciOn e impartirá una orden administrativa. 7.2.3 reclamos.
El literal k) del articulo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Informacion, el cual establece: "ArtIculo 17. Doboros do los Rosponsables del Tratam/onto. Los Rosponsablos do) Tratam/onto deberan cumplir los siguientes doberes, sin porjuicio do las demas disposiciones previstas an la prosonto by yen otras quo ryan su act/v/dad: k) Adopter on manual interno do pobiticas y procodimientos pare garantizar 01 adecuado cumplimionto do Ia prosonte toy y on especial, pare la atenciOn do consultas y roclamos 1•)" Al respecto es necesario precisar que los aspectos analizados en el presente cargo, guardan relacion a los procedimientos internos que debe adoptar los Responsables de la lnformaciôn con el fin do garantizar la adecuada protecciOn de los datos personales que trata, en virtud del desarrollo de sus actividades; estas actividades van encaminadas a que los responsables, desarrollen politicas internas efectivas que demuestren el cumplimiento de las obligaciones establecidas en la Ley 1581 de 2012 yen su Decreto Reglamentario.
Par 10 anterior, es preciso traer a colaciOn Ia dispuesto en el parrafo final del articulo 2.2.2.25.6.2 del Decreto Reglamentario 1074 de 2015, por cuanto preve que "la verificacion POT parto do la Suporintondoncia de Industrie y Comercio do la existoncia do modidas y potificas ospocIfices pare el mariojo adecuado do los deWs personates que admirtistra un Rosponsablo sera tonida en cuonta at momonto do eva/oar la impos/ciOn de sanciones por violac/On a los doberes y obligaciones ostablocidos on la ley y en et prosonte capitulo.
En este punto y del resultado arro,jado en la visita do inspecciOn realizada en las instalaciones de la institucion investigada, la misma no cuenta con politicas y procedimientos internos en especial los relacionados con la de atencion do consultas, quejas y reclamos, razOn par la cual esta DirecciOn encuentra que el LICEC CERVANTES, incumpliO con el deber establecido en el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con e literal g) del articulo 4 de la referida norma, asi coma los articulos 2.2.2.25.2.1 y 2.2.2.25.6.2 del Decreto Unico Reglamentario 1074 de 2015.
RESOLUCION NUMER6 8 8 ' 3DE HOJA 12 Par Ia eval so impone twa sanciôn Como consecuencia de Ia anterior al no demostrar la investigada, haber implementado los manuales internos respectivos, para garantizar el cumplimiento de la Ley 1581 de 2012, esta DirecciOn impondrã la correspondiente sanción. Por tal razón, esta DirecciOn precisa que la iristituciOn investigada, debe documentar y poner a disposiclon de los titulares la Politica de Tratamiento de Datos Personales y documentar e implementar el Manual lnterno de Politicas y Procedimientos, con el propOsito principal de garantizar en todo momento el derecho fundamental de habeas data de los titulares.
OCTAVO: lmposicion y graduación de la sanción 8.1 Facultad sancionatoria La Ley 1581 de 2012 le conflriO a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el articulo 23 de la Ley 1581 de 2012, estableciendo algunos criterios de graduaciOn que se encuentran señalados en el artIculo 24 ibidem, por 10 tanto, atendiendo dichos criterios, este Despacho entrara a determinar cuales debera tener en cuenta en el caso concreto, asi: 8. 1.1 ImposiciOn y graduaciOn de la sanciOn Respecto a las sanciones que se imponen par la infracciOn a los deberes contenidos en la Ley 1581 de 2012, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionadora en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanciOn y la finalidad de la norma que fuera trasgredida, asi como la proporcionalidad entre el hecho constitutivo de la infracciOn y la sanciOn aplicada.
Asi las cosas, con el objeto de realizar una correcta adecuaciOn entre los hechos y la sanciOn aplicable, esta DirecciOn debe analizar en primera instancia la dimension del dana a peligro a los intereses juridicos tutelados, asi coma el posible beneficio econOmico, de suerte que luego se analicen las demas circunstancias objeto de graduaciOn de la sanciOn, como 10 son, Ia capacidad econOmica del investigado, la reincidencia en la comisiOn de la infracciOn, la colaboraciOn del investigado en el esclarecimiento de los hechos objeto de investigaci6n14.
Tambien se tendra en cuenta para la dosificaciOn de la sanciôn, la naturaleza jurIdica del investigado, los ingresos operacionales, su patrimonio, y en general, su información financiera, de tal manera que Ia sanciOn resulte disuasoria más no confiscatoria. Finalmente, se tendra en cuenta la conducta investigada durante el trámite de la investigacion administrativa.
En el caso sub-examine, es clara que la instituciOn educativa investigada incumpliO con los deberes senalados por la Ley como Responsable de la informaciOn, en razOn a que la instituciOn educativa, no ha implementado los procedimientos establecidos par la Ley 1581 de 2012 y el Decreto Unico Reglamentario 1074 de 2015, que permitan garantizar el adecuado tratamiento de los datos personales de los titulares y en especial de los menores que forman parte del plantel estudiantil, pues coma bien se expusa y se dernostro a Ia largo de la presente investigaciOn, el LICEO CERVANTES, (i) recolectO informaciOn privada y sensible sin autorizacion, previa, expresa e informada de los titulares de informaciOn;
(H) no informO a los titulares sabre la finalidad de la recalecciOn y los derechos qua le asisten par virtud de la autorización otargada; (Hi) no contaba can una pal Itica para el tratamiento de la informacion, el aviso de privacidad, ni con el manual intemo para el tratamiento de la informacion y; (iv) no cantaba con un procedimiento para la atenciOn para consultas, quejas y reclamos y tampoco divulgO un canal de atención para que los titulares pudieran ejercer sus derechos.
Ley 1581 de 2012. ARTicULO 24. CR/TEll/OS PAPA GRADIJAR LAS SANCIONES. Las sanciones pot infracciones a las quo so refloren at articulo anterior, so graduarán atendiendo los siguientes chierios, an cuanto resuften aplicables: a) La dimension del dana a peligro a los intereses juridicos tute/ados POT /a presente by; b) El bone ticio econOmico obtenido pore! infractor a torceros, an virtud de ía comisiOn de ía infracciOn: c) La reincidencia an la comisiOri do la infracciOn; d) La resistencia, negative u obstrucciOn a ía accibn invesfigadora o do vigilancia do la Suparin!endencia do Industria y Comercio; e) La ronuencia a desacato a cum p/ic las Ordenes impartidas pot la Superintendoncia do Industha y Comercio;
I) El reconocimiento a aceptaciOn expresos quo haga el invostigado sabre Ia comisiOn do la infracciOn antes do la imposiciOn do la sancion a quo hubiore lugar. RESOLUCION NCJMERd DE HOJA 13 Pot- la cual se imporie una sanción Lo anterior coniteva a esta DirecciOn a concluir que con la conducta mencionada, vulnerO el derecho fundamental de habeas data de los titulares, el cual se encuentra expresamente protegido par la Constitucion Politica y enmarcado dentro de los principios de la administraciOn de datos, establecidos en el articulo 4 de la Ley 1581 de 2012, que para el caso particular, LICEO CERVANTES en calidad de Responsable de informadôn, debe enmarcar sus actuaciones de conformidad con los principios previstos en la mentada ley.
En consecuencia, no hay lugar a dudas para esta Direcciôn acerca de Ia dimensiOn del dano que efectivamente se materializO en el caso en cuestiOn, por cuanto LICEO CERVANTES no observO deberes de obligatorio cumplimiento cantemplados en el articulo 17 de la Ley 1581 de 2012, par to tanto es evidente que los intereses juridicos tutelados par la Ley Estatutaria de Habeas Data fueron vulnerados.
Coma quiera que es claro que la instituciOn educativa investigada vulnerO los deberes contempladas en (i) el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el articulo 25 de la misma norma, asi como el articula 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015: (ii) el inciso segundo del articulo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015, en concordancia con los articulos 2.2.2.25.3.2 y 2.2.2.25.3.5 de la misma disposiciOn;
(iii) el literal b) del artIculo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artIculo 4 y las articulos 5,6 y 9 de la misma disposiciOn, asi corno el inciso primero del articulo 2.2.2.25.2.2 y los artIculos 2.2.2.25.2.3 y 2.2.2.25.2.9 del Decreto Unico Reglamentario 1074 de 2015; (iv) el literal c) del articulo 17 de la Ley 1581 de 2012 en concardancia con el literal b) del articula 4 y las articulos 6 y 12 de la misma disposiciOn, asi como el inciso primera del articula 2.2.2.25.2.2 y el articulo 2,2.2.25.2.3 del Decreto Unico Reglamentaria 1074 de 2015 y (v) el literal k) del articulo 17 de la Ley 1581 de 2012 en concardancia cane literal g) del articulo 4 de la referida norma, asi coma las articulos 2.2.2.25.2.1 y 2.2.2.25.6.2 del Decreto Unica Reglamentarlo 1074 de 2015, esta Superintendencia impondrá par esta conducta camo sanciOn, la suma de CUATROCIENTOS (400) salarios minimos legales mensuales vigentes. 8.1.2 Otros criterios de graduaciOn Par Ultimo se aclara que los criterios de graduaciOn de la sanciOn senalados en los literales b), c), d), e) y f) del artIculo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encantrO que la investigada hubiera obtenido beneficio ecanomico alguna par la comisiOn de la infracciOn, (ii) no hubo reincidencia en la comisión de la infraccion, (Hi) no hubo resistencia u obstrucciOn a la accián investigativa de la Superintendencia, (iv) no hubo renuencia a desacato a cumplir las Ordenes e instrucciones del Despacho, y (v) no reconaciO la camisiOn de la infraccion.
En merito de lo expuesta este Despacha, RES U E LV E ARTICULO PRIMERO: Impaner una sanciôn pecuniaria al colegio PROVINCIA NUESTRA SEISIORA DE LA GRACIA DE COLOMBIA - LICEO CERVANTES EL RETIRO, identificado con el Nit. 860.006.764-6, de TRESCIENTOS DOCE MILLONES CUATROCIENTOS NOVENTA V SEIS MIL OCHOCIENTOS PESOS M/cte. ($312.496.800.00), equivalentes a CUATROCIENTOS (400) salarias minimos legales mensuales vigentes, par el incumplimiento del deber establecida en (I) el literal k) del articuio 17 de la Ley 1581 de 2012 en concordancia con el artIcula 25 de la misma narma, asi coma el articulo 2.2.2.25.3.1 del Decreto Unica Reglamentaria 1074 de 2015: (H) el inciso segundo del articulo 2.2.2.25.3.1 del Decreto Unica Reglamentario 1074 de 2015, en concardancia con los articulos 2.2.2.25.3.2 y 2.2.2.25.3.5 de la misma dispasiciOn;
(iii) el literal b) del articulo 17 de la Ley 1581 de 2012, en cancardancia con el literal c) del articulo 4 y las articulos 5,6 y 9 de la misma disposiciOn, asi como el incisa primero del articulo 2.2.2.25.2.2 y los artIculos 2.2.2.25.2.3 y 2.2.2.25.2.9 del Decreto Unico Reglamentario 1074 de 2015; (iv) el literal a) del articulo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del articula 4 y los articulos 6 y 12 de Ia misma disposicion, as[ coma el incisa primero del articulo 2.2.2.25.2.2 y el articula 2.2.2.25.2.3 del Decreto (ffiica Reglamentaria 1074 de 2015 y (v) el literal k) del articulo 17 de la Ley 1581 de 2012 en RESOLUCION NUMERO' bE HOJA 14 Por la cual so impone una sanción concordancia con e literal g) del articulo 4 de la referida norma, asi como los articulos 2.2.2.25.2.1 y 2.2.2.25.6.2 del Decreto Unico Reglamentario 1074 de 2015.
PARAGRAFO: El valor de la sanciOn pecuniaria que por esta resolucion se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de DirecciOn del Tesoro Nacional - Fondos Comunes, Codigo RentIstico No. 350300, Nit. 899999090-2. En el recibo debera indicarse el nUmero del expediente y el nUmero de la presente resolucion.
El pago debera acreditarse ante la pagaduria de esta Superintendencia, con el original de la consignacion, dentro de los cinco (5) dias habiles siguientes a la ejecutoria de esta resoluciOn.
ARTICULO SEGUNDO: Notificar personalmente el contenido de la presente resoluciOn al colegio al colegio PROVINCIA NUESTRA SENORA DE LA GRACIA DE COLOMBIA - LICEO CERVANTES EL RETIRO, identificado con el Nit. 860.006.764-6, a traves de su apoderado o representante legal, entregándoles copia de la misma e informandoles que contra ella procede recurso de reposicion ante el Director de lnvestigacion de Proteccion de Datos personales y el de apelacion ante el Superintendente Delegado para la Proteccion de Datos Personales, dentro de los diez (10) dias siguientes a la diligencia de notificaciOn.
NOTIFIQUESE,
COMUNIQUESE V CCJMPLASE Dada en Bogota D. C., El Director de Investigacion de Proteccion de Datos Personales,12 JUL2018 Prayecto: YLAC Revise: CESM Aprobo: CESM NOTIFICACION: Investigada: PROVINCIA NUESTRA SENORA DE LA GRACIA DE COLOMBIA LICEO CERVANTES EL RETIRO Identificacion: Nit. 860.006.764-6 Representante Legal: MARINO ANTONIO PIEDRAHITA IdentificaciOn: C.C. No. 16.252.666 DirecciOn: Carrera 8 No. 83 - 29.
Ciudad: Bogoté D.C.