(02 JULIO 2020) “Por la cual se impone una sanción y se imparten unas órdenes” Radicación 18-262421 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto Ordinario 4886 de 2011 y
CONSIDERANDO
PRIMERO: Que mediante denuncia trasladada por la Delegatura de Asuntos Jurisdiccionales de la SIC, a través de auto No. 96797 del 21 de septiembre de 2018, este Despacho tuvo conocimiento de la presunta vulneración de las normas de Protección de Datos Personales, contenidos en la Ley 1581 de 2012, por parte de la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL, identificada con el Nit. 800.077.074-8, por la presunta vulneración al Régimen de Protección de Datos Personales.
Folio 14.
SEGUNDO: Que a través de oficio No. 18-262421- 3-1, del 19 de diciembre de 2018 se requirió a la investigada, para que informara Io siguiente: “1. ¿Cuáles son las Políticas de Tratamiento implementadas por ustedes para el manejo de datos personales? Sírvase remitir a esta Superintendencia copia de las mismas. 2. Manifieste a este Despacho si cuenta con la autorización para el tratamiento de la información de los copropietarios, sírvase remitir a esta Superintendencia el modelo del mismo. 3.
Señale puntualmente qué tipo de información (correos electrónicos personales y/o corporativos, direcciones de domicilio, nombre, números telefónicos, datos sensibles, etc.) se encuentra almacenada en su base de datos 4. ¿Qué procedimientos, medidas de seguridad y mecanismos de protección ha establecido para la recolección, tratamiento, circulación y supresión de la información de las personas naturales contenida en sus bases de datos? 5.
Sírvase remitir copia del manual de políticas de seguridad. 6. Sírvase manifestar si la organización cuenta con un manual en el que se describan los procedimientos usados para la recolección, uso, circulación y supresión de la información almacenada en su base de datos. Remita copia de la misma. 7. De conformidad con el artículo 2.2.2.25.4.4 de la sección 4 del capítulo 25 del Decreto Único Reglamentario 1074 de 2015;
¿Quién es la persona o área designada por el Responsable y Encargado que asuma la función de protección de datos personales, que dará tramite a las solicitudes de los titulares para el ejercicio de los derechos a que se refiere la Ley 1581 de 2012 y el decreto antes citado? 8. Sírvase manifestar si cuentan con un manual o procedimiento para la atención de consultas y reclamos.
Remita copia del mismo. 9. Manifieste a este Despacho las finalidades del Tratamiento de la información contenida en su base de datos. 10. Allegue a este Despacho copia del certificado de Propiedad Horizontal.” Folio 15. Frente al anterior requerimiento, la Represente Legal de la Investigada, informó lo siguiente: “(…) Respecto al punto 1: Conforme a lo expuesto la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY RESIDENCIAL, la información recopilada por parte de la administración tiene como único objetivo tener la información básica de cada unidad residencial por cuestiones de seguridad de cada uno de los residentes, quien es única y exclusivamente de reserva de la administración y se encuentra reposada dentro de las carpetas de cada apartamento, donde nadie más que la administración tiene el acceso a la misma, sin divulgarla a terceros, dicha información es a potestad de cada HOJA N 2, “Por la cual se impone una sanción y se imparten unas órdenes” uno de los copropietarios o arrendatarios y es adquirida mediante un formato que lo diligencia cada uno de los residentes y es entregado directamente a la administración. Respecto al punto 2: La ley 675 también establece que debe administrar con diligencia y cuidado los bienes de dominio de la persona jurídica.
El administrador de un conjunto es la representación de la persona jurídica y es elegido en la asamblea de propietarios. El artículo 51 del capítulo XI de dicha ley, establece que esta persona tiene facultades de ejecución, conservación, representación y recaudo y enuncia cada una de sus funciones. Es la persona de confianza e idónea, para recopilar información de los residentes de la copropiedad, y bajo su responsabilidad guardar la Información en la base de datos para cualquier eventualidad que pueda ocurrir dentro del conjunto.
Respecto al punto 3: La información que se encuentra archivada en la base de datos por parte de la administración, y cuyo objetivo es recaudarla para la recopilación de la protección de datos, contemplada en la Ley 1531 de 2012 reglamentada en los decretos 1377 de 2013, 1074 de 2015 y 1759 de 2016, así como con las Circulares Externas 001 de 2016 y 001 de 2017 expedidas por la Superintendencia de Industria y Comercio (SIC).
De igual manera esta información es importante tenerla por parte de la administración para cuando se presenta alguna eventualidad en caso de emergencia o contingencia y por seguridad. Funciones que se encuentran establecidas en el artículo 51 de la 675 de 2001 por parte de la administración, dentro de la base de datos se encuentra: ▪ ▪ ▪ ▪ ▪ ▪ ▪ Nombres completos Cédula de ciudadanía Número de apartamento Si es propietario o inquilino Si ocupan algún parqueadero Número de contacto Correo electrónico Respecto al punto 4.
Con anterioridad a la implementación de protección de datos se envió un formato con hoja membretada del conjunto, a cada uno de los apartamentos, que el residente entregaba personalmente a la administración ya diligenciado, este se recepciona y se sube a la base de datos SISCO, donde existe un usuario y una clave de acceso, quien solo puede acceder el Revisor Fiscal, Contador y administrador (a).
Respecto al punto 5. La copropiedad se encuentra en estos momentos implementando el manual de políticas de seguridad según lo establecido en la norma en los tiempos otorgados por la misma. Respecto al punto 6. La copropiedad se encuentra en estos momentos implementando el manual de procedimientos usados para recolección, uso y circulación y supresión de la información almacenada en su base de datos.
Según lo establecido en la norma en los tiempos otorgados por la misma. Por tal motivo se ha solicitado la información a los residentes para la actualización de datos. Respecto al punto 7. La persona designada para el manejo de la protección de datos personales y quien da el trámite a las solicitudes de los titulares en ejercicio de sus derechos, como refiere la ley 1581 de 2012 y su decreto reglamentario, es la representante legal quien a la fecha es MARIANELA BERTEL ALTAMIRANO, administradora encargada de la seguridad de la información, como parte de sus funciones.
Respecto al punto 8. En la Asamblea General de Propietarios, se elige las personas que integran el Comité de Convivencia, las funciones están consagradas en la Ley 675 de 2001. y tienen como objetivo dirimir las controversias y a fortalecer las relaciones de vecindad. Existe el Manual de Convivencia, donde está todo lo relacionado, con la atención de los Copropietarios.
(…) HOJA N 3, “Por la cual se impone una sanción y se imparten unas órdenes” Del mismo modo como los demás manuales, la copropiedad está implementando y recopilando según la Ley y para fortalecer el mejor funcionamiento de su administración, en beneficio de sus residentes. Respecto al punto 9. La información que se obtiene de los residentes de la copropiedad son [sic] exclusivamente de información por parte de la administración para cuando se presentan alguna eventualidad en caso de emergencia o contingencia y por seguridad.
Funciones que se encuentran establecidas en el artículo 51 de la 675 de 2001 por parte de la administración, dentro de la base de datos se encuentra datos básicos de los residentes. Que son de exclusiva confidencialidad de la administración. (…)”.
TERCERO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: i) el inciso 3 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015; ii) el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; iii) el literal c) del artículo 17 en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; iv) el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; v) el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1. ejúsdem y vi) el literal k) del artículo 17 de la Ley 1581 de 2012.
El 4 de abril del 2019, se inició la presente investigación administrativa mediante la expedición de la Resolución No. 8284, por medio de la cual se formularon seis (6) cargos, a la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL, identificada con Nit. 800.077.074-8. Folio 24 a 30. La mencionada Resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada a la denunciante.
Folio 40.
CUARTO: Que mediante escrito radicado el día 15 de mayo del 2019, el Apoderado de la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL, dio respuesta a la formulación de cargos, informando lo siguiente: 4.1 “AL CARGO PRIMERO. De acuerdo como Responsable del tratamiento de base de datos LA AGRUPACION DE VIVIENDA RINCON [sic] DE MANDALAY está adoptando en el momento las respectivas políticas, para el tratamiento de datos personales contemplados en la ley 1581 de 2012 y decreto reglamentario 1074 de 2015”.
Folio 44. 4.2 “AL CARGO SEGUNDO. De acuerdo a la calidad de Responsable del tratamiento de datos por parte de la AGRUPACION DE VIVIENDA RINCON [sic] DE MANDALAY A TRAVEZ [sic] DE SU ADMINISTRADORA, se hizo entrega por escrito a los copropietarios para la, de vida autorización como quiera que es el titular de sus datos y su respectivo tratamiento de acuerdo a la ley 1581 DE 2012, como el decreto reglamentario 2015”.
Folio 44. 4.3 “AL CARGO TERCERO. Por parte de la AGRUPACION DE VIVENDA RINCON [sic] DE MANDALAY y explícito en la ley 1581 de 2012 y cumpliendo la finalidad del tratamiento de datos por parte de la administración, si se informó a los copropietarios como responsable de la misma de las actuaciones que se adelantarían con la compilación en la misma base y se guardaría la confidencialidad de la misma, y no darla a conocer a terceros ni tampoco manejo inadecuado”.
Folio 44. HOJA N 4, “Por la cual se impone una sanción y se imparten unas órdenes” 4.4 “AL CARGO CUARTO. Por otra parte, como quiera no se está vulnerando la condición de responsable de la base de datos por parte de la AGRUPACION DE VIVIENDA RINCON [sic] DE MANDALAY de acuerdo con los datos personales ya que se está adelantando, desarrollando e implementando el manual de políticas de seguridad como las garantías de acuerdo con el cumplimiento para la atención de consultas y reclamos con la debidas medidas técnicas administrativas y humanas necesarias para tal fin sin ninguna adulteración de acuerdo a la ley 1581 de 2012 y decreto reglamentario 1074 de 2015..”.
Folio 44. 4.5 “AL CARGO QUINTO. De acuerdo al acápite por parte de la AGRUPACION DE VIVIENDA RINCON [sic] DE MANDALAY se encuentra desarrollando e implementando un procedimiento tanto para la recolección, tratamiento, circulación, de la información en la base de datos de conformidad con la ley 1581 de 2012 y el decreto reglamentario 1074 de 2015”.
Folio 44. 4.6 “AL CARGO SEXTO. De conformidad con la responsabilidad de la AGRUPACION DE VIVIENDA RINCON [sic] DE MANDALAY con base en la atención de consultas, reclamos, y quejas está adelantando y adoptando, un manual interno de procedimientos y políticas con el debido cumplimiento con medidas apropiadas como lo establece la ley 1581 de 2012”.
Folio 45.
QUINTO: Que mediante Resolución No. 24779 del 28 de junio del 2019, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 18-262421, folios 1 a 75, con el valor legal que les corresponda, declarando agotada la etapa probatoria y corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.
Folio 76 y 77.
SEXTO: Que mediante Radicado número 18-262421-17, de 12 de junio del 2019, el Apoderado de la investigada allegó a la investigación Copia del Manual de políticas y tratamiento de la base de datos, como el manejo de los PQRS de la propiedad horizontal investigada; copia original de la autorización del manejo de datos personales, solicitud de los PQRS de los copropietarios de la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL, y copia original de la autorización del manejo de datos personales para terceros.
Folio 65 a 75.
SÉPTIMO: Que mediante comunicado radicado bajo el No. 18-262421-20, la Secretaria General Ad-Hoc de esta Superintendencia, certificó que el 4 de julio de 2019 le fue comunicada la Resolución No. 24779 del 28 de junio de 2019, la cual concedió diez (10) días hábiles para que la Propiedad horizontal investigada ejerciera su derecho de defensa y contradicción y presentara los alegatos respectivos de acuerdo con lo establecido por el inciso segundo del artículo 48 del Código Administrativo y de lo Contencioso Administrativo.
Una vez vencido el término establecido para allegar alegatos de conclusión, la Propiedad Horizontal investigada guardó silencio.
OCTAVO: Competencia de La Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.
NOVENO: Análisis del caso 9.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20111, estableció, en relación con el Principio de Tipicidad en el Derecho administrativo sancionatorio, lo siguiente: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). “Por la cual se impone una sanción y se imparten unas órdenes” HOJA N 5, Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico, se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento, respecto del manejo de los datos personales de los titulares.
El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas, específicamente en el artículo 23 de la Ley 1581 de 2012. (ii) De conformidad con los hechos alegados por la denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de: i) el inciso 3 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015; ii) el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; iii) el literal c) del artículo 17 en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; iv) el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; v) el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1. ejúsdem y vi) el literal k) del artículo 17 de la Ley 1581 de 2012.
En ese orden de ideas, corresponde a esta Dirección establecer si la conducta desplegada por la investigada da lugar o no a la imposición de una sanción y/o una orden administrativa, para que se proceda a decidir lo que en derecho corresponde en la investigación que se adelanta contra la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL.
La presente decisión tendrá en cuenta (i) los hechos narrados por la denunciante; (ii) las razones de hecho y de derecho aducidas por la investigada en los descargos; (iii) el material probatorio que obra dentro del expediente, y (iv) las normas y jurisprudencia aplicables al caso. 9.2 Valoración probatoria y conclusiones 9.2.1 Del Cargo Primero - Respecto del deber legal de contar con una política del tratamiento de datos personales puesta en conocimiento de los Titulares El artículo 25 de la Ley 1581 de 2012, reglamentado por el Decreto Nacional 886 del 2014 estableció el Registro Nacional de Bases de Datos, el cual es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país, en el mencionado registro se estableció que “los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes.
Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley.” El contenido mínimo de las mencionadas políticas de tratamiento fue establecido en el artículo 13 del Decreto 1377 de 2013 compilado en la sección 3 del Capítulo 25 del Decreto Único Reglamentario 1074 de 2015, el cual señala lo siguiente: “Artículo 2.2.2.25.3.1.
Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas. Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares.
Dichas políticas deberán incluir, por lo menos, la siguiente información: 1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. 2. Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. 3. Derechos que le asisten como Titular.
“Por la cual se impone una sanción y se imparten unas órdenes” HOJA N 6, 4. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. 5. Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. 6.
Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente Decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas.” En este sentido, esta Dirección, encontró preliminarmente que la investigada incumplió el deber legal de contar con una política de tratamiento de datos personales y de ponerla en conocimiento de los titulares; deberes estos consagrados en el inciso 3 del artículo 25 de la Ley 1581 de 2012, en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015.
Frente al Cargo Primero objeto de estudio, la investigada a través de su Apoderado, en el escrito de descargos señaló que su poderdante está adoptando las respectivas políticas, para el tratamiento de datos personales contemplados en la Ley 1581 del 2012 y el Decreto Reglamentario 1074 de 2015. Ante la anterior afirmación, presentada en los descargos2, se infiere que la misma conlleva el reconocimiento tácito de la infracción al deber legal previsto en el Cargo Primero; que a su vez es corroborada por la investigada, en respuesta al oficio con Radicado No. 18-262421 – 3, donde se le requirió para que informara las políticas de tratamiento implementadas y en caso de tenerlas remitiera copia de la misma a esta Superintendencia3.
Al atender el requerimiento efectuado por esta Dirección en etapa de indagación preliminar, la Representan legal, no dio respuesta sobre el hecho investigado, relacionado con el Cargo Primero; pues mediante Radicado 18-262421-5, de 11 de enero del 2019, manifestó que los datos personales recopilados, tienen como único objetivo tener la información básica de cada unidad residencial por cuestiones de seguridad de los residentes4, sin responder la pregunta sobre el desarrollo e implementación de las respectivas políticas para el tratamiento de datos personales contemplados, en la Ley 1581 del 2012 y su respectivo Decreto Reglamentario.
Aunado a lo anterior, la Investigada no aportó documento alguno que acredite que contaba con unas políticas de tratamiento de datos personales vigentes, previo a la fecha del requerimiento de información efectuado por esta Dirección, en las averiguaciones preliminares; así como tampoco, en los descargos presentados por el Apoderado de la Investigada se aportaron las respectivas políticas de tratamiento de datos personales vigentes.
Fue sólo hasta el 12 de junio del 2019, con Radicado 18-262421-17, que la investigada a través de su abogado allegó una copia de su Manual de políticas y tratamiento de su base de datos. Folio 60 y siguientes. Ahora bien, la Investigada aportó un Manual de política de tratamiento de protección de datos personales, de la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL5, que, si bien debía ser implementado previo al inicio de la presente investigación administrativa, se procederá a analizar el mismo con el fin de verificar si se adecua al contenido mínimo establecido en la Ley 1581 de 2012 y a lo establecido en el artículo 2.2.2.25.3.1 del Decreto 1074 de 20156: • “1.
Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable.” Folio 44 y 45. Folio 15. Folio 18. Folio 66 a 72. Por medio del cual se expide el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo. “Por la cual se impone una sanción y se imparten unas órdenes” HOJA N 7, El documento aportado como Manual de Política de Tratamiento no contiene los datos de domicilio, dirección, correo electrónico y teléfono de la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL, quien es el Responsable del Tratamiento. • “2.
Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad.” En las políticas de tratamiento indica lo siguiente: • “3. Derechos que le asisten como Titular.” Se encuentra que la investigada incluyó un acápite “Derechos de los Titulares de la información” en el que incluye los derechos como lo establece la Ley. • “4.
Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización.” Al respecto, se encuentra que la Investigada incluyó lo siguiente: No obstante, al referirse al “administrador” no es claro ante qué persona especifica o área encargada dentro de la investigada debe el Titular presentar las peticiones, consultas y reclamos. • “5.
Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización.” Se encuentra que en el acápite “Derechos de los Titulares de la información” se señala el procedimiento para que los titulares puedan ejercer los derechos, no obstante, no se indican los canales establecidos por la Investigada para recepcionar las peticiones, quejas y reclamos. • “6.
Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos.” “Por la cual se impone una sanción y se imparten unas órdenes” HOJA N 8, En ninguna parte del Documento aportado, obrante a los folios 68 a 73, existe referencia alguna a la fecha de entrada en vigencia de la política de tratamiento de la información, así como tampoco un período de vigencia de la base de datos. • “Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente Decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas.” Finalmente, la investigada indica en el documento lo siguiente: Esta Dirección advierte que el párrafo resaltado podría inducir a error a los Titulares, así como contrariar lo señalado en las mismas políticas respecto a un cambio en la finalidad del tratamiento que expresa “se solicitará una nueva autorización del titular”, en la medida en que el párrafo resaltado se evidencia una presunta autorización tácita para la modificación de la política de tratamiento de protección de datos.
Lo allí previsto, es una clara violación a lo establecido en el Decreto Reglamentario 1074 del 2015, toda vez que el artículo 2.2.2.25.2.2. ibídem, consagra que en caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento estipulados en la sección 38, del capítulo 25, del citado Decreto, relacionados con la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular, antes de o a más tardar al momento de implementar las nuevas políticas, obteniendo del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento.
Por lo anterior, queda plenamente demostrado el incumplimiento al deber legal de contar con una política de tratamiento de datos personales y de ponerla en conocimiento de los titulares; pues la Investigada previo al inicio de la presente investigación administrativa estaba realizando tratamiento de datos personales en calidad de Responsable sin contar con el mencionado documento, por lo tanto debe ser sancionada por el Cargo Primero. Ahora bien, se evidenció que la Propiedad Horizontal procedió a crear e implementar unas políticas de tratamiento de datos personales, sin embargo, las mismas deben ser ajustadas a derecho por lo que este Despacho procederá a impartir unas ordenes administrativas a la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL, por el Cargo Primero, con el fin de que realice las correcciones de su Política de tratamiento de datos personales; ajustando lo dicho al contenido mínimo señalado en el artículo 2.2.2.25.3.1, del Decreto 1074 de 2015.
Imagen parcial folio 73. “POLÍTICAS DE TRATAMIENTO”. HOJA N 9, “Por la cual se impone una sanción y se imparten unas órdenes” 9.2.2 Del Cargo Segundo - Respecto del deber legal de solicitar y conservar copia de la autorización previa y expresa de los Titulares En relación con este Cargo, esta Dirección, encontró preliminarmente que la investigada incumplió el deber legal de solicitar y conservar copia de la autorización previa y expresa de los Titulares; deberes estos consagrados en el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.
El artículo 15 de la Constitución Política establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base datos. La Sentencia C- 748 del 2011, mediante la cual se realizó el análisis constitucional de la Ley Estatutaria 1581 del 2012, respecto del Principio de Libertad, consagrado en el literal c), del artículo 4, dijo: (…) “los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo y expreso del titular.
La Corporación ha relacionado el principio de libertad, con la prohibición del manejo de la información adquirida de manera ilícita, de tal forma que se encuentra prohibida la obtención y divulgación de los mismos, sin la previa autorización del titular o en ausencia de mandato legal o judicial. Así, en la sentencia SU082 de 1995, afirmó: "los datos conseguidos, por ejemplo, por medios ilícitos no pueden hacer parte de los bancos de datos y tampoco pueden circular.” En el mismo sentido, en la Sentencia T-176 de 1995, se consideró como una de las hipótesis de la vulneración del derecho al habeas data el de la recolección de la información "de manera ilegal, sin el consentimiento del titular de dato."9 (…) “Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular.
Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.
El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su ‘imagen informática’” 10.
Frente al Cargo Segundo, el Apoderado de la investigada adujo que la Administradora de la Propiedad Horizontal hizo entrega de la autorización a los copropietarios, por escrito, para la debida autorización, de acuerdo con la Ley 1581 de 2012 y su Decreto Reglamentario; y allegó al expediente, un modelo de autorización11. Frente al anterior argumento esgrimido por la defensa, en los descargos del 15 de mayo del 2019 12, cabe recordar que la autorización de cada uno de los titulares de los datos personales de la Propiedad Horizontal Investigada, debe ser expresa, informada y previa a la recolección de los datos, por lo que no basta la simple entrega de un formato de autorización en blanco; como en el caso bajo estudio en donde la Investigada no acreditó contar con la autorización previa y expresa de cada uno de los titulares cuyos datos realiza tratamiento.
Lo anterior, de acuerdo con lo establecido en literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP. Jorge Ignacio Pretelt Chaljub, página 176. Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP. Jorge Ignacio Pretelt Chaljub, página 189.
Folio 44. Folio 44 y 45. “Por la cual se impone una sanción y se imparten unas órdenes” HOJA N 10, de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. Por su parte, la Representante Legal de la Investigada, al dar respuesta13 al requerimiento hecho por esta Dirección, en las averiguaciones preliminares, de si contaba o no con autorización previa para la recolección de datos personales; manifestó14, que por mandato legal del artículo 51, de la Ley 675 del 2001, se faculta al administrador para recopilar información de los residentes de la copropiedad y bajo su responsabilidad guardar la información en la base de datos para cualquier eventualidad que pueda ocurrir dentro del conjunto.
(Folio 19). Este Despacho debe aclarar, que si bien la Ley Ordinaria 675 del 2001, en su artículo 51, numeral 2., faculta al administrador a llevar directamente o bajo su dependencia y responsabilidad, el registro de propietarios y residentes, también lo es, que la Ley Estatutaria 1581 del 2012, regula el derecho fundamental de Hábeas Data; la cual prima sobre la primera.
Por lo anterior, si la administradora de la Investigada lleva a cabo el registro de copropietarios debe efectuarlo de conformidad a lo previsto en la Ley Estatutaria 1581 del 2012 y su Decreto Reglamentario, más aún cuando realiza tratamiento de los datos de los residentes de la copropiedad para finalidades diferentes a la de “Llevar directamente o bajo su dependencia y responsabilidad, los libros de actas de la asamblea y de registro de propietarios y residentes, y atender la correspondencia relativa al edificio o conjunto”.
Si bien, mediante Radicado 18-262421-17, la investigada a través de su Apoderado allegó copia del formulario de autorización sin diligenciar, del manejo de datos personales, (folio 73 y 75), el problema radica en que la Investigada no contaba con un modelo previo al inicio de la investigación y que solo lo implementó en virtud de la misma, es decir el 12 de junio de 2019, por lo que se encuentra demostrado el actuar negligente de la investigada al realizar tratamiento de los datos de los residentes de la propiedad horizontal, así como de los terceros, sin tener el consentimiento previo de los titulares, vulnerando y limitando el derecho de autodeterminación informática, e impidiendo que los titulares, quienes son los dueños de los datos, sean quienes decidan y autoricen quién y cómo pueden realizar el tratamiento de sus datos personales.
Por otra parte, esta Dirección advierte que no existe congruencia entre las finalidades de la recolección de datos personales, como de la Política de tratamiento de Protección de Datos Personales de la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL, que obra al folio 71, con la autorización del Titular, de la citada Propiedad, allegado a folio 75 y en consecuencia se ordenará ajustar la referida Autorización previa a las finalidades previstas por la Política de tratamiento de Protección de Datos Personales, para que haya coherencia entre las mismas.
A fecha de hoy no existe en el expediente ninguna prueba que demuestre la autorización previa, otorgada por cada uno de los residentes de la Propiedad Horizontal Investigada; por lo tanto, resulta ajustado a derecho sancionar a la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL, por el Cargo Segundo. Además, se ordenará a la Investigada, que haga las correcciones de su modelo de Autorización; ajustando las finalidades de ésta a las de su Política de tratamiento de Protección de Datos Personales, como también se ordenará, se abstenga de realizar tratamientos de los datos sobre los cuales no tengan la autorización previa y expresa de los titulares. 9.2.3 Del Cargo Tercero - Respecto del deber legal de informar al Titular sobre las finalidades del tratamiento En lo atinente al Cargo tercero, esta Dirección en atención a la calidad de Responsable del tratamiento de datos personales que ostenta la Investigada, imputó el Cargo por el presunto incumplimiento a los deberes legales de informar a los Titulares sobre las finalidades del tratamiento, al que serán sometidos sus datos personales, como a la presunta omisión al Principio de Finalidad; deberes consagrados en el literal c) del artículo 17, en concordancia con el literal b) Folio 15.
Mediante Radicado 18-262421-514, de 11 de enero del 2019. HOJA N 11, “Por la cual se impone una sanción y se imparten unas órdenes” del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del Artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. La Sentencia C- 748 del 2011, mediante la cual se realizó el análisis constitucional de la Ley estatutaria 1581 del 2012, sobre el Principio de Finalidad, dijo: (…) “Principio de finalidad: En virtud de tal principio, el tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley, la cual debe ser informada al titular.
La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos. Sin embargo, debe hacerse algunas precisiones. Por una parte, los datos personales deben ser procesados con un propósito específico y explícito. En ese sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular.
Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos. Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad por él autorizada.
Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato”. Frente al Cargo Tercero, el Abogado de la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL, afirmó que se informó a los copropietarios de las actuaciones que se adelantarían con la compilación en la base, que se guardaría la confidencialidad, que no se daría a conocer a terceros y que tampoco se le daría un manejo inadecuado.
A pesar de lo dicho por el Apoderado de la investigada, en descargos, el mismo no sustentó su afirmación con ninguna prueba, fue tan sólo con posterioridad a los descargos, esto es, hasta el 12 de junio del 2019, que el mismo hizo llegar dentro las Políticas de tratamiento de Protección de Datos personales de la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL, lo referente a las finalidades de la recolección de datos.
Folio 70. El anterior Documento se aportó, con posterioridad a los descargos y después de que la denunciante, Señora XXXXX XXXXXXXXXX XXXXXXX XXXXXX, manifestara que: (…) “4- El día 2 de Agosto del 2018, en la portería de la agrupación me entregaron un formato que tiene por titulo [sic] "censo a residentes" en donde solicitan datos personales tanto del propietario del inmueble como de sus residentes, el día 3 de agosto del 2018 le envié un correo a la administradora, donde manifiesto mi inconformidad por la solicitud de los datos sin el previo cumplimiento de la Ley 1581 del 2012, (…)”., negrilla fuera de texto, folio 8.
(…) “5- Mi pretensión no es económica, solicito que la AGRUPACION DE VIVIENDA RINCON DE MANDALAY NIT 800077074-8 su representante Legal MARIANELLA BERTEL de cumplimiento a la Ley 1581 del 2012, derecho del Habeas data protección de datos personales, tanto para la información de datos de los residentes como de los visitantes. Los mensajes que he enviado a la administración se han enviado con copia al Revisor Fiscal de la Agrupación sin obtener respuesta”.
Negrilla fuera de texto, folio 8 y 9.” Además, si se admitiera, en gracia de discusión, que la Investigada informó a los titulares sobre la finalidad del tratamiento al que serían sometidos sus datos personales, en forma verbal, también lo es que el parágrafo del artículo 12 de la Ley 1581 del 2012, establece que el Responsable del Tratamiento, deberá conservar prueba de la información hecha a los titulares sobre las finalidades del tratamiento de la información, la cual no allegó al Expediente.
Por lo que no basta informar verbalmente a los titulares, antes de empezar a recolectar datos, sino que es necesario utilizar un mecanismo que permita la consulta posterior, de la referida información. HOJA N 12, “Por la cual se impone una sanción y se imparten unas órdenes” Lo anterior, demuestra la negligencia de la investigada en el cumplimiento al deber legal de informar a los Titulares sobre la finalidades de la recolección de datos personales, antes de empezar a recolectarlos, pues como ya se dijo, la investigada no allegó prueba que demuestre que informó, previo al tratamiento de los datos, sobre la finalidad de la recolección de datos personales, así como tampoco demostró que haya conservado prueba del cumplimiento del referido deber legal, por tanto es ajustado a derecho sancionar a la Investigada por este Cargo.
Además, se ordenará a la propiedad Horizontal Investigada, abstenerse de hacer uso de los datos personales recolectados, sin el cumplimiento del deber de informar previamente a los titulares sobre las finalidades del tratamiento de la información. 9.2.4 Del Cargo Cuarto - Respecto del deber legal de adoptar un manual interno de políticas y procedimientos de seguridad El Cargo Cuarto imputado por esta Dirección, en calidad de Responsable del tratamiento de datos personales que ostenta la investigada, por el presunto incumplimiento a los deberes legales de implementar un Manual de políticas de seguridad, como a la presunta omisión al Principio de Seguridad previstos en la Ley 1581 del 2012; consagrados en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la Ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, sobre lo cual la Corte dijo: “Principio de seguridad: Al amparo de este principio, la información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento” 15.
Como se advierte, el Principio de seguridad debe ser cumplido por los Responsables y Encargados de la información para garantizar el derecho de hábeas data de los titulares, pues la adopción de medidas de conservación de la información y de los controles de seguridad implementados depende de que se minimicen los riesgos de filtración de los datos personales.
Frente al Cargo cuarto, el abogado de la Investigada adujó que están adelantando, desarrollando e implementando el Manual de políticas de seguridad. Ante la anterior información,16 se debe decir que la misma constituye el reconocimiento tácito, del incumplimiento al deber legal de implementar un Manual de políticas de seguridad, así como a la omisión al Principio de Seguridad; aspecto que es corroborado, por la Representante legal de la Investigada, en atención al requerimiento hecho por esta Dirección; pues a través de su respuesta, con Radicado 18-262421-5, de 11 de enero del 201917, la misma, se limitó a describir unos procedimientos precarios e insuficientes, como medidas de seguridad y mecanismos de protección para la recolección, tratamiento, circulación y supresión de la información de las personas naturales contenidas en sus bases de datos, como se lee en los siguientes párrafos: “Con anterioridad a la implementación de protección de datos se envió un formato con hoja membretada del conjunto, a cada uno de los apartamentos, que el residente entregaba personalmente a la administración ya diligenciado, este se recepciona y se sube a la base datos SISCO, donde existe un usuario y una clave de acceso, quien solo puede acceder el Revisor Fiscal, Contador y administrador (a)”.
(Folio 20). “La copropiedad se encuentra en estos momentos implementando el manual de políticas de seguridad según lo establecido en la norma en los tiempos otorgados por la misma”. Subrayado fuera de texto. (Folio 20). Nótese de la anterior transcripción, que la Representante Legal, describe un procedimiento precario para garantizar la seguridad de la información almacenada en sus bases de datos, dejando claro que no tiene un manual de seguridad de la información. Ver en: Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP.
Jorge Ignacio Pretelt Chaljub. En los descargos del 15 de mayo del 2019 (folio 44 y 45). Folio 20. “Por la cual se impone una sanción y se imparten unas órdenes” HOJA N 13, Además del precario procedimiento descrito18 por la Representante legal, para el acceso al sistema de información de la Propiedad Horizontal, así como de que la Investigada carece de un Manual interno de procedimientos, políticas de seguridad, y a que la Investigada se limitó a indicar unas medidas muy generales, se procederá ordenar que la Propiedad Horizontal documente un manual interno que contenga procedimientos y políticas de seguridad adecuadas para la correcta protección de los datos personales de los titulares, tal como se precisó en el Cargo Imputado, siendo un tercero especializado o con conocimiento en el tema, el que certifique dicha condición. Asimismo, se debe resaltar que la investigada no ha allegado su Manual de Políticas de seguridad, para el tratamiento de los datos personales recolectados.
Finalmente, no es de recibo lo aducido por la Representante Legal de la Investigada, en el sentido de que “la copropiedad se encuentra en estos momentos implementando el manual de políticas de seguridad, según lo establecido en la norma en los tiempos otorgados por la misma”19 (subrayado fuera texto); pues lo que está demostrado en el Expediente, es que para la fecha en que se realizó el requerimiento en etapa de indagación preliminar, la Investigada no aportó documento alguno, y adicionalmente después de presentar descargos, aportó unos documentos, sin embargo, no obra en el expediente, manual interno de políticas y procedimientos de seguridad que cumpla con lo establecido en la Ley Estatuaria 1581 del 2012, respecto del deber objeto de estudio.
Con lo anterior, se demuestra que la Propiedad Horizontal actúa como Responsable del tratamiento de datos personales, sin tener implementado un Manual interno de procedimiento y políticas de seguridad, por lo cual queda demostrado el incumplimiento al deber legal de implementar un Manual de políticas de seguridad, como la omisión al Principio de Seguridad consagrado, en la Ley 1581, por parte de la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL.
Tampoco la Investigada, como ya se dijo, allegó prueba alguna que demuestre que tiene un Manual de Políticas de seguridad; por tanto resulta ajustado a derecho ordenar a la citada Propiedad Horizontal, por el Cargo Cuarto, implementar un Manual de políticas de seguridad. 9.2.5 Del Cargo Quinto – Respecto al deber legal de desarrollar e implementar un procedimiento para la recolección, almacenamiento, uso, circulación y supresión de la información En este sentido, esta Dirección, encontró preliminarmente que la investigada, en calidad de Responsable, incumplió el deber legal de desarrollar e implementar un procedimiento para la recolección, almacenamiento, uso, circulación y supresión de la información, en concordancia con los principios de Finalidad y Libertad de la Ley 1581 del 2012; deberes consagrados en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1. del mismo Decreto.
En lo atinente a este Cargo, el apoderado de la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL, argumentó que su representada se encuentra desarrollando e implementando un procedimiento tanto para la recolección, tratamiento y circulación de la información de las bases de datos de la propiedad horizontal, folio 44, de conformidad con la Ley 1581 del 2012 y el respectivo Decreto Reglamentario.
Con relación a la información que antecede, presentada en los descargos20, la misma constituye el reconocimiento tácito de la infracción a los deberes legales de desarrollar e implementar un procedimiento para la recolección, almacenamiento, uso, circulación y supresión de la información, en concordancia con los principios de finalidad y libertad de la Ley 1581 del 2012; reconocimiento que es corroborado, por la Representante Legal, en respuesta al Radicado 18-262421-5 de 11 de enero del 2019, folio 20, cuando informó lo siguiente: En cuanto a los procedimientos de control de acceso, de la Investigada, a la base de datos SISCO, si se tiene en cuenta que s e limita a decir que existe un usuario y contraseña para que puedan acceder el Revisor Fiscal, Contador y administrador; pues actualmente existen diferentes herramientas que permiten bloquear el acceso a un PC o a diferentes archivos contenidos dentro del mismo.
Folio 20. Del 15 de mayo del 2019 (folio 44 y 45). HOJA N 14, “Por la cual se impone una sanción y se imparten unas órdenes” “La copropiedad se encuentra en estos momentos implementando el manual de procedimientos usados para recolección, uso y circulación y supresión de la información almacenada en su base de datos. Según lo establecido en la norma en los tiempos otorgados por la misma.
Por tal motivo se ha solicitado la información a los residentes para la actualización de datos”. Subrayado fuera de texto. Folio 20. Asimismo, se advierte que, en ninguna de las etapas procesales, la investigada ha demostrado haber desarrollado e implementado un procedimiento para la recolección, almacenamiento, uso, circulación y supresión de la información de datos personales.
Tampoco, son de recibo los argumentos esgrimidos por la Representante Legal, en el sentido de que la implementación y desarrollo para la recolección, uso, circulación y supresión de la información de datos personales, se está efectuando acorde a los tiempos otorgados por la respectivas leyes, folio 20; pues lo que está demostrado en el Expediente, es que desde el 2 de agosto del 2018, la aquí Investigada, a través de su administradora, se encontraba recopilando datos personales, sin haber desarrollar e implementado previamente un procedimiento para la recolección, almacenamiento, uso, circulación y supresión de la información, tal como lo afirma la denunciante21.
Lo anterior, demuestra el incumplimiento al deber legal de implementar y desarrollar un procedimiento para la recolección, almacenamiento, uso, circulación y supresión de la información, por parte de la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL, más aún cuando la Investigada no allegó prueba alguna que demuestre que ha implementado o desarrollado los referidos procedimientos; por tanto resulta ajustado a derecho impartir una orden administrativa a la aquí Investigada.
En consecuencia, se ordenará a la citada Propiedad Horizontal, que implemente y documente un procedimiento para la recolección, almacenamiento, uso, circulación y supresión de la información de datos personales; así como que aclare la cantidad de bases de datos que maneja y en general que se plasme el ciclo que se le da a los datos personales dentro de la Propiedad horizontal.
Igualmente, debe destacarse, que el hecho de que la Investigada, en la actualidad se encuentre desarrollando e implementado los procedimientos de que trata el Cargo Quinto, tal circunstancia no la releva de la responsabilidad que le acarrea su incumplimiento. 9.2.6 El Cargo Sexto – Respecto al incumplimiento al deber legal de desarrollar e implementar un Manual de procedimientos para la atención de consultas y reclamos En este sentido, se imputó al Responsable del tratamiento de datos personales que ostenta la investigada, el presunto incumplimiento al deber legal de desarrollar e implementar un Manual de procedimientos para la atención de consultas y reclamos; deber consagrado en el literal k) del artículo 17 de la Ley 1581 de 2012.
Frente al Cargo Sexto objeto de estudio, por presuntamente no dar cumplimiento al deber legal de desarrollar e implementar un Manual de procedimientos para la atención de consultas y reclamos; la investigada a través de su Apoderado, en el escrito de descargos señaló que su poderdante está adoptando el respectivo Manual de procedimientos, como lo establece la Ley 1581 del 2012.
Ante la anterior afirmación, presentada en los descargos22, se infiere que la misma conlleva el reconocimiento tácito de la infracción al deber legal previsto en el Cargo Sexto; que a su vez es corroborada por la investigada, en respuesta al oficio con Radicado No. 18-262421 – 3, donde se le requirió para que informara sobre el desarrollo e implementación del Manual de procedimientos para la atención de consultas y reclamos; así como en caso de tenerlas remitiera copia de las misma a esta Superintendencia23.
En respuesta al requerimiento, la Representan legal, además de aceptar tácitamente la infracción al deber legal, imputada en el Cargo Sexto; mediante Radicado 18-262421-5, de 11 de enero del 2019, trato de justificar el incumplimiento a su deber, aduciendo que en virtud de la Ley 675 del Folio 8. Folio 44 y 45. Folio 15 y siguientes. HOJA N 15, “Por la cual se impone una sanción y se imparten unas órdenes” 2001, la copropiedad tiene un Comité y un Manual de Convivencia que sirven para dirimir las controversias de la vecindad.
Ante tal justificación, se recuerda que el deber legal de desarrollar e implementar un Manual de procedimientos para la atención de consultas y reclamos, respecto a la recolección de datos personales, es la prevista en la Ley Estatutaria 1581 del 2012; mientras que lo previsto en la Ley Ordinaria 675 del 2001, es para otros fines. Por último, debe resaltarse que el documento aportado con posterioridad a los requerimientos y descargos, obrante al folio 75, relacionado con el supuesto cumplimiento del deber legal de que trata el Cargo sexto, debe ir en el Manual Interno de políticas y no, como erróneamente lo hace el Investigado, en la autorización para la recolección de datos.
En consecuencia, se ordenará a la Investigada proceder a implementar la atención de consultas y reclamos dentro del Manual interno de políticas y procedimientos, de conformidad con lo previsto por el mandato legal del literal k) del artículo 17 de la Ley 1581 de 2012.
DÉCIMO: Imposición y graduación de la sanción 10.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 24.
Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.
Sin perjuicio, a la par ticipación que éstas tienen en la elaboración del PND. HOJA N 16, “Por la cual se impone una sanción y se imparten unas órdenes” En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.
En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.
En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.
Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2020 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibídem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional25 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.
Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad” 26 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de Hábeas Data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas.
(…) (negrita añadida). Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción y se imparten unas órdenes” HOJA N 17, responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de Hábeas Data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros27. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”28.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia29. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2330 de la misma ley.
Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio;
Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas.
Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que s e hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. “Por la cual se impone una sanción y se imparten unas órdenes” HOJA N 18, f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 10.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”31 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados32.
También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, es claro que la Propiedad Horizontal, no hay lugar a dudas para esta Dirección acerca de la puesta en peligro en el caso bajo estudio, del bien jurídico tutelado “Hábeas Data”, criterio previsto en literal a) del artículo 24 de la Ley 1581 del 2012, para graduar la sanción, por cuanto la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL: (i) Estaba realizando tratamiento de datos en calidad de Responsable, sin contar con una Política de tratamiento de datos personales y mucho menos sin ponerla en conocimiento de los titulares, por lo que se acreditó el actuar negligente en el cumplimiento del deber establecido en el inciso 3 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015, por lo tanto debe ser sancionada por el Cargo Primero. (ii) Realizó tratamiento de datos personales en calidad de responsable del tratamiento sin contar con la autorización previa y expresa de los titulares ni conservar copia de la misma, por lo que se Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.
Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. “Por la cual se impone una sanción y se imparten unas órdenes” HOJA N 19, acreditó el actuar negligente en el cumplimiento del deber establecido en el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, por lo que se impondrá sanción por el Cargo Segundo. (iii) No obró con la debida diligencia en el cumplimiento al deber legal de informar a los Titulares sobre la finalidades de la recolección de datos personales, antes de empezar a recolectarlos, pues como se encontró demostrado, la investigada no allegó prueba que demuestre que informó, previo al tratamiento de los datos, sobre la finalidad de la recolección de datos personales, así como tampoco demostró que haya conservado prueba del cumplimiento del referido deber legal, por lo anterior se demostró la negligencia en el incumplimiento del deber establecido en el literal c) del artículo 17 en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, por lo que se impondrá la sanción por el Cargo Tercero. En armonía con lo anterior, este Despacho encuentra que para el caso en concreto hubo una afectación efectiva al Derecho de Hábeas Data del Titular la cual no puede considerarse irrelevante en tanto se está ante la vulneración de: (i) un derecho fundamental autónomo;
(ii) cuya protección deriva en la garantía de otros derechos como el de intimidad, buen nombre, libre desarrollo de la personalidad, entre otros; (iii) un derecho que debe ser efectivamente salvaguardado en tanto se está en un contexto en el que el poder informático es creciente33. Por tanto, se impondrá como sanción: (i) Una multa de DOSCIENTOS OCHENTA Y CUATRO MIL OCHOCIENTOS CINCUENTA Y SEIS PESOS M/CTE ($284.856) equivalentes a OCHO (8) UVT (Unidades de Valor Tributario)34, vigentes por la vulneración del deber establecido en el inciso 3 del artículo 25 de la Ley 1581 de 2012, en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015.
(ii) Una multa de DOSCIENTOS OCHENTA Y CUATRO MIL OCHOCIENTOS CINCUENTA Y SEIS PESOS M/CTE ($284.856) equivalentes a OCHO (8) UVT (Unidades de Valor Tributario)35, vigentes por la vulneración del deber establecido en el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.
(iii) Una multa de DOSCIENTOS OCHENTA Y CUATRO MIL OCHOCIENTOS CINCUENTA Y SEIS PESOS M/CTE ($284.856) equivalentes a OCHO (8) UVT (Unidades de Valor Tributario)36, vigentes por la vulneración del deber establecido en el literal c) del artículo 17 en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. 10.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.
El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones.
DÉCIMO PRIMERO: Órdenes En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Corte Constitucional, Sentencia T-167 de 2015.
M.P: Jorge Ignacio Pretelt Chaljub. FJ: 3.4.1.10. De acuerdo con lo decido mediante Resolución 84 del 28 de noviembre de 2019, el valor de la UVT para el año 2020 será de 35.6 07. De acuerdo con lo decido mediante Resolución 84 del 28 de noviembre de 2019, el valor de la UVT para el año 2020 será de 35.607. De acuerdo con lo decido mediante Resolución 84 del 28 de noviembre de 2019, el valor de la UVT para el año 2020 será de 35.6 07.
“Por la cual se impone una sanción y se imparten unas órdenes” HOJA N 20, Superintendencia el “(…) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley; (…)”, esta Instancia procederá a impartir las siguientes instrucciones. • Respecto al Cargo Primero se evidenció que la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL, a pesar de implementar unas políticas de tratamiento de datos personales, las mismas deben ser ajustadas a derecho por lo que deberá corregir su Política de tratamiento de datos personales; ajustándolo al contenido mínimo señalado en el artículo 2.2.2.25.3.1, del Decreto 1074 de 2015, los cuales son: (i) nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable;
(ii) tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad; (iii) derechos que le asisten como Titular; (iv) persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización;
(v) procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización; (vi) fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. (vii) Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del Decreto 1074 de 2015 deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas. • Respecto al Cargo Segundo, se ordena a la Investigada, que haga las correcciones de su modelo de Autorización; ajustando las finalidades de ésta a las de su Política de tratamiento de Protección de Datos Personales, como también se ordena, se abstenga de realizar tratamientos de los datos personales sobre los cuales no tengan la autorización previa y expresa de los titulares. • Respecto al Cargo Tercero, se ordena a la propiedad Horizontal Investigada, abstenerse de hacer uso de los datos personales recolectados, sin la previa información hecha a los titulares sobre las finalidades del tratamiento de la información. • Respecto al Cargo Cuarto, se ordena que la Propiedad Horizontal documente un manual interno que contenga procedimientos y políticas de seguridad adecuadas para la correcta protección de los datos personales de los titulares, tal como se precisó en el Cargo Imputado, siendo un tercero especializado o con conocimiento en el tema, el que certifique dicha condición. • Respecto al Cargo Quinto, se ordena a la investigada, que implemente y documente un procedimiento para la recolección, almacenamiento, uso, circulación y supresión de la información de datos personales; así como que aclare la cantidad de bases de datos que maneja y en general que se plasme el ciclo que se le da a los datos personales dentro de la Propiedad horizontal. • Respecto al Cargo Sexto, se ordena a la Propiedad Horizontal aquí investigada, que implemente un manual interno de policitas y procedimientos para la atención de consultas y reclamos, de conformidad con lo previsto por el mandato legal del literal k) del artículo 17 de la Ley 1581 de 2012.
De lo anteriormente ordenado la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL, deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.
DÉCIMO SEGUNDO: Conclusiones (i) Se encontró plenamente demostrado que la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL, actuó con negligencia en el cumplimiento de los deberes establecidos en i) el inciso 3 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de “Por la cual se impone una sanción y se imparten unas órdenes” HOJA N 21, 2015; ii) el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; iii) y en el literal c) del artículo 17 en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015;
(ii) La AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL, realizó tratamiento de datos personales en calidad de responsable, sin contar con la autorización previa y expresa de los titulares para esto, sin informar previamente al tratamiento las finalidades específicas del mismo. (iii) Por lo que se impondrá una sanción dineraria total, por los cargos Primero, Segundo y Tercero de OCHOCIENTOS CINCUENTA Y CUATRO MIL QUINIENTOS SESENTA Y OCHO PESOS M/CTE ($ 854.568), equivalentes a VEINTICUATRO (24) UVT (Unidades de Valor Tributario)37.
(iv) Que al encontrar incongruencias en el cumplimiento de la Ley, se procede a ordenar a la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL, (i) implementar unas políticas de tratamiento de datos personales, las mismas deben ser ajustadas a derecho por lo que deberá corregir su Política de tratamiento de datos personales; ajustándolo al contenido mínimo señalado en el artículo 2.2.2.25.3.1, del Decreto 1074 de 2015;
(ii) corregir el modelo de Autorización; ajustando las finalidades de ésta a las de su Política de tratamiento de Protección de Datos Personales, como también abstenerse de realizar tratamientos de los datos personales sobre los cuales no tengan la autorización previa y expresa de los titulares; (iii) abstenerse de hacer uso de los datos personales recolectados, sin la previa información hecha a los titulares sobre las finalidades del tratamiento de la información;
(iv) implementar un Manual de políticas de seguridad; (v) implementar y documentar un procedimiento para la recolección, almacenamiento, uso, circulación y supresión de la información de datos personales; así como que aclare la cantidad de bases de datos que maneja y en general que se plasme el ciclo que se le da a los datos personales dentro de la Propiedad horizontal;
(vi) implementar un manual interno de políticas y procedimientos para la atención de consultas y reclamos, de conformidad con lo previsto por el mandato legal del literal k) del artículo 17 de la Ley 1581 de 2012. En mérito de lo expuesto este Despacho,
RESUELVE
ARTÍCULO PRIMERO: IMPONER sanción pecuniaria a la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL, identificada con el NIT. 800.077.074-8, de OCHOCIENTOS CINCUENTA Y CUATRO MIL QUINIENTOS SESENTA Y OCHO PESOS M/CTE ($ 854.568), equivalentes a VEINTICUATRO (24) UVT (Unidades de Valor Tributario)38, por los cargos Primero, Segundo y Tercero; por el incumplimiento de los deberes legales establecidos en: i) El inciso 3 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015; ii) el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 y iii) el literal c) del artículo 17 en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.
PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución De acuerdo con lo decido mediante Resolución 84 del 28 de noviembre de 2019, el valor de la UVT para el año 2020 será de 35.607.
De acuerdo con lo decido mediante Resolución 84 del 28 de noviembre de 2019, el valor de la UVT para el año 2020 será de 35.607. “Por la cual se impone una sanción y se imparten unas órdenes” HOJA N 22, sancionatoria. Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO SEGUNDO: ORDENAR a la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL, identificada con el NIT. 800.077.074-8, cumplir las instrucciones impartidas por esta Dirección las cuales son: (i) implementar unas políticas de tratamiento de datos personales, las mismas deben ser ajustadas a derecho por lo que deberá corregir su Política de tratamiento de datos personales; ajustándolo al contenido mínimo señalado en el artículo 2.2.2.25.3.1, del Decreto 1074 de 2015;
(ii) corregir el modelo de Autorización; ajustando las finalidades de ésta a las de su Política de tratamiento de Protección de Datos Personales, como también abstenerse de realizar tratamientos de los datos personales sobre los cuales no tengan la autorización previa y expresa de los titulares; (iii) abstenerse de hacer uso de los datos personales recolectados, sin la previa información hecha a los titulares sobre las finalidades del tratamiento de la información;
(iv) implementar un Manual de políticas de seguridad; (v) implementar y documentar un procedimiento para la recolección, almacenamiento, uso, circulación y supresión de la información de datos personales; así como que aclare la cantidad de bases de datos que maneja y en general que se plasme el ciclo que se le da a los datos personales dentro de la Propiedad horizontal;
(vi) implementar un manual interno de políticas y procedimientos para la atención de consultas y reclamos, de conformidad con lo previsto por el mandato legal del literal k) del artículo 17 de la Ley 1581 de 2012. Las citadas ordenes deberán cumplirse dentro del término de dos (2) meses, siguientes a la ejecutoria de la presente Resolución.
PARÁGRAFO PRIMERO: La AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL, identificada con NIT. 800.077.074-8, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta Entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este Acto Administrativo.
Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad.
PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL, identificada con NIT. 800.077.074-8, acreedora de las sanciones previstas en la ley.
ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la AGRUPACIÓN DE VIVIENDA RINCÓN DE MANDALAY – PROPIEDAD HORIZONTAL, identificada con NIT. 800.077.074-8, a través de su Apoderado y Representante Legal, entregándoles copia de la misma e informándoles que contra ella procede recurso de reposición ante el Director de Investigación de Protección de Datos personales y el de apelación ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a la diligencia de notificación.
ARTÍCULO CUARTO: COMUNICAR el contenido de la presente resolución a la denunciante Señora XXXXX XXXXXXXXXX XXXXXXX XXXXXX, identificada con C.C. XXXXXXX de Bogotá.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 02 JULIO 2020 “Por la cual se impone una sanción y se imparten unas órdenes” HOJA N 23, El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2020.07.06 13:16:52 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: BAGG Revisó: AMVJ Aprobó: CESM NOTIFICAR: Investigada: Identificación: Representante Legal: Identificación: Dirección: Apoderado: Identificación: Tarjeta Profesional: Dirección: Correo electrónico: AGRUPACIÓN DE VIVIENDA RINCÓN DE PROPIEDAD HORIZONTAL NIT. 800.077.074-8 XXXXXXXXXXXXXXXXXXXXXXXXXX C.C. XXXXXXXX XXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXX C.C. XXXXXXXX XXXXXX del Consejo Superior de la Judicatura XXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXX COMUNICAR: Denunciante: Identificación: Dirección: E-mail: XXXXXXXXXXXXXXXXXXXX C.C: XXXXXXXX XXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXX MANDALAY –