(29 de agosto de 2025) “Por la cual se impone una sanción y se imparten órdenes administrativas” Radicación: 23-159904 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los literales a) y b) del artículo 21 de la Ley 1581 de 2012, el numeral 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM, (en adelante “la investigada”), identificada con Nit. 900.262.398-4, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos narrados por la señora XXXXX XXXXXXXXXXX: 1.1 La Titular señala que se compartieron datos sensibles como diplomas y cédulas de más de 10 participantes de forma masiva mediante correo electrónico el 19 de diciembre de 2022.1 1.2 Informa que presentó dos reclamos y no recibió respuesta. 2 SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: el literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma, el 27 de septiembre de 2024, se inició la presente investigación administrativa mediante la expedición de la Resolución No. 56941 por medio de la cual se formuló un (1) cargo a la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM, identificada con Nit. 900.262.398-4 La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante.
TERCERO: Que la investigada fue notificada electrónicamente de la Resolución N.º 56941 del 27 de septiembre de 2024 el 2 de octubre de 2024 de acuerdo con la certificación expedida por la Secretaria General AD-HOC de esta 1 Expediente digital, consecutivo 0, página 1 2 Expediente digital, consecutivo 0, página 1 “Por la cual se impone una sanción y se imparten órdenes administrativas” Superintendencia, expediente. disponible en el consecutivo 23-159904- -15 del CUARTO: Que mediante escrito radicado el día 23 de octubre de 2024 con radicado 23-159904- -00016 la apoderada de la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM., encontrándose dentro del término establecido para el efecto, dio respuesta a la formulación de cargos informando lo siguiente: 4.1 Indicó que los documentos compartidos en el correo electrónico corresponden a constancias de asistencia al curso: “Estrategia Educativa acompañando al Cuidador” y los datos que contienen son: “(…) el nombre de la persona que asistió al curso, el número de cédula, el nombre del curso, el nombre de la institución que emite el diploma, las firmas de los responsables del curso y la fecha.” 3 4.2 Informó que los datos personales compartidos son públicos y no requieren autorización para ser divulgados con terceros4. 4.3 También aclara que el correo enviado el 19 de diciembre de 2022 se envió de forma controlada únicamente a doce personas, que fueron quienes asistieron al curso, y no se divulgaron datos semiprivados como lo son los correos de los destinatarios. 5 4.4 La investigada acepta la infracción del cargo formulado y solicita que se tenga en cuenta el literal f) del artículo 24 de la Ley 1581 de 2012. 6 4.5 Informa que la investigada cuenta con una Política de Tratamiento de Datos Personales implementada mediante el Acuerdo N° 5 de 2018, así mismo, que se encuentra inscrita en el Registro Nacional de Bases de Datos.7 4.6 Solicita que se tengan en cuenta las serias dificultades económicas por las que ha atravesado la investigada.8 4.7 Solicita que se tenga en cuenta la naturaleza pública de los datos y que es la primera vez que la investigada es objeto de este tipo de investigación y solicita que se le imponga una sanción pedagógica. 9 4.8 Solicita que se preserve la confidencialidad y reserva de la información financiera que se remite junto con el escrito de descargos. 10 QUINTO: Que mediante Resolución N.º 14095 del 21 de marzo de 202511, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 23-159904, consecutivos 0 a 16, con el valor legal que les corresponda, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.
Las pruebas son las siguientes: 3 Expediente digital, consecutivo 16, página 2, folio 2 4 Expediente digital, consecutivo 16, página 2, folio 2 5 Expediente digital, consecutivo 16, página 2, folio 3 6 Expediente digital, consecutivo 16, página 2, folio 3 7 Expediente digital, consecutivo 16, página 2, folio 3, 4 88 Expediente digital, consecutivo 16, página 2, folio 5,6 9 Expediente digital, consecutivo 16, página 2, folio 6 10 Expediente digital, consecutivo 16, página 2, folio 6 11 Resolución No. 14095 del 21 de marzo de 2025 obrante en el expediente digital 23-159904 “Por la cual se impone una sanción y se imparten órdenes administrativas” 5.1 Certificado expedido a la señora XXXXXXXXXXXXX FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM.12 por la 5.2 Certificado expedido a la señora XXXXXXXXXXXXXXXXX XXXXXXXX por la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM.13 5.3 Certificado expedido a la señora XXXXXXXXXXXXXX por la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM.14 5.4 Certificado expedido a la señora XXXXXXXXXXXXXXXXXXXXXX por la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM.15 5.5 Certificado expedido a la señora XXXXXXXXXXXXXXXXXXXX XXXXX por la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM.16 5.6 Certificado expedido a la señora XXXXXXXXXXXXXXXXXXX XXXXXX por la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM.17 5.7 Certificado expedido a la señora XXXXXXXXXXXXXXXXXXXXXX por la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM.18 5.8 Certificado expedido a la señora XXXXXXXXXXXXXXXXXXXXX por la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM.19 5.9 Certificado expedido a la señora XXXXXXXXXXXXXXXXXXX XXXXXX por la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM.20 5.10 Certificado expedido a la señora XXXXXXXXXXXXXXXXXX XXXXXXX por la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM.21 5.11 Certificado expedido a la señora XXXXXXXXXXXXXXXXXXXXXXX por la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM.22 5.12 Certificado expedido a la señora XXXXXXXXXXXXXXXX por la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM.23 5.13 Certificado expedido a la señora XXXXXXXXXXXXXXXX por la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM.24 5.14 Correo electrónico enviado por la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM del 19 de diciembre de 2022 con los certificados de los titulares que asistieron al curso. 25 12 Expediente digital, consecutivo 0, página 2 13 Expediente digital, consecutivo 0, página 3 14 Expediente digital, consecutivo 0, página 4 15 Expediente digital, consecutivo 0, página 5 16 Expediente digital, consecutivo 0, página 6 17 Expediente digital, consecutivo 0, página 7 18 Expediente digital, consecutivo 0, página 8 19 Expediente digital, consecutivo 0, página 9 20 Expediente digital, consecutivo 0, página 10 21 Expediente digital, consecutivo 0, página 11 22 Expediente digital, consecutivo 0, página 12 23 Expediente digital, consecutivo 0, página 13 24 Expediente digital, consecutivo 0, página 13 25 Expediente digital, consecutivo 0, página 14 “Por la cual se impone una sanción y se imparten órdenes administrativas” 5.15 Queja de la titular enviada a la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM el 19 de diciembre de 2022. 26 5.16 Queja de la titular enviada a la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM el 10 de enero de 2023.27 5.17 Queja de la señora XXXXXXXXXXXXXXX radicada ante esta Superintendencia el 31 de marzo de 2023 con radicado 23-159904- 00000.28 5.18 Requerimiento a la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM del 25 de septiembre de 2023 con radicado 23-159904-4.29 5.19 Comunicación dirigida a la señora XXXXXXXXXXXXXXXXXXX en el que se le informa el inicio de una averiguación preliminar con radicado 23-159904- -5 del 25 de septiembre de 2023.30 5.20 Respuesta al requerimiento de esta Superintendencia por parte de la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM del 6 de octubre de 2023 con radicado 23-159904- -00007. 31 5.21 Política de tratamiento de datos personales de la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM. 32 5.22 Escrito de descargos del 23 de octubre de 2024 con radicado 23159904- -00016. 33 5.22.1 Poder especial otorgado a CAVELIER ABOGADOS S.A.S. por la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM. 34 5.22.2 Estados financieros de 2020, 2021, 2022 y 2023 la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM. 35 SEXTO: Que dentro del plazo otorgado por la Resolución N.º 14095 del 21 de marzo de 2025, la sociedad investigada mediante comunicado del 4 de abril de 2025 con radicado 23-159904-23, presentó alegatos de conclusión reiterando lo señalado en los descargos.
SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.
OCTAVO: Análisis del caso 8.1 Adecuación típica 26 Expediente digital, consecutivo 0, página 14 27 Expediente digital, consecutivo 0, página 15 28 Expediente digital, consecutivo 0, página 17 29 Expediente digital, consecutivo 4 30 Expediente digital, consecutivo 5 31 Expediente digital, consecutivo 7 32 Expediente digital, consecutivo 7, página 4 33 Expediente digital, consecutivo 16 34 Expediente digital, consecutivo 16, página 2, folio 7 y 8 35 Expediente digital, consecutivo 16, página 2, 10 al 174 “Por la cual se impone una sanción y se imparten órdenes administrativas” La Corte Constitucional mediante sentencia C-748 de 201136, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 18 de la Ley 1581 de 2012 establece los deberes que les asisten a los Encargados del Tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.
(ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración en el literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma.
En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 8.2 Valoración probatoria y conclusiones 8.2.1 Respecto del deber de conservar la información personal bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento Este deber se deriva del literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la citada Ley, que preceptúan lo siguiente: Ley 1581 de 2012 “Artículo 18.
Deberes de los Encargados del Tratamiento. Los Encargados del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
(…) 36 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). “Por la cual se impone una sanción y se imparten órdenes administrativas” Artículo 4°. Principios para el tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;
Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley; g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma.
Frente a este deber la Corte Constitucional en sentencia C-748 de 2011 señaló́: “2.6.5.2.7. Principio de seguridad: Al amparo de este principio, la información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
De este principio se deriva entonces la responsabilidad que recae en el administrador del dato. El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto “diluvio de datos” [240], a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior transferencias, no cesa de aumentar.
Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Ello también aumenta los riegos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.
En estos términos, el Responsable o Encargado del Tratamiento debe tomar las medidas acordes con el sistema de información correspondiente. Así, por ejemplo, en materia de redes sociales, empieza a presentarse una preocupación de establecer medidas de protección reforzadas, en razón al manejo de datos reservados. En el “Por la cual se impone una sanción y se imparten órdenes administrativas” año 2009, el Grupo de Trabajo Sobre Protección de Datos de la Unión Europea señaló que en los Servicios de Redes Sociales” o “SRS debe protegerse la información del perfil en el usuario mediante el establecimiento de “parámetros por defecto respetuosos de la intimidad y gratuitos que limiten el acceso a los contactos elegidos”.[241] Existe entonces un deber tanto de los Responsables como los Encargados de establecer controles de seguridad, de acuerdo con el tipo de base de datos que se trate, que permita garantizar los estándares de protección consagrados en esta Ley Estatutaria.
(…) (iii) Adoptar las medidas para garantizar la seguridad del dato, a efectos de que no se pierda, no se adultere, no se utilice o acceda por fuera de la autorización, lo cual es desarrollado en el literal d) en concordancia con el principio de seguridad en la transferencia del dato. Por tanto, el responsable está obligado a exigir y controlar las condiciones de seguridad que está empleando el encargado del tratamiento -literal a), como informar oportunamente a la autoridad encargada de la protección del dato sobre violaciones a los códigos de seguridad y la existencia de riesgos en la administración de la información de los titulares- literal n); siendo estos deberes, sin lugar a dudas, también desarrollo del principio de seguridad jurídica.” En este sentido, esta Dirección encontró de manera preliminar que, la investigada remitió un correo electrónico con copia oculta a los participantes, incluyendo el email XXXXXXXXXXXXXXXXXXX perteneciente a la Titular que presenta la denuncia, en el que adjuntó los certificados de todos los participantes del curso “ESTRATEGIA EDUCATIVA ACOMPAÑANDO AL CUIDADOR”, también se evidencia que la investigada reconoció que si compartió información personal de la Titular y de todos los participantes sin su autorización, argumentando que se trató de datos de carácter público, entre los que se encuentran: el nombre completo tanto de los participantes como de la Directora de la Escuela de Enfermería y la Gerente de Salud de Famisanar y el número de cédula de cada asistente al curso.
En consecuencia, este Despacho encontró preliminarmente que, la investigada compartió los datos personales de la titular con terceros no autorizados, por lo tanto, presuntamente no cumplió con el deber de conservar la información bajo las condiciones de seguridad, ni implementó las medidas idóneas, para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
Ahora bien, revisado el acervo probatorio que obra en el expediente se encuentra lo siguiente: Correo Electrónico del 19 de diciembre de 2022 con asunto “CERTIFICADOS ACOMPAÑANDO AL CUIDADOR GRUPO 14” enviado desde el correo electrónico educacióncontinuada@unicafam.edu.co con copia al correo electrónico XXXXXXXXXXXXXXXXXXXXXXXX, en el que se encuentran anexos todos los certificados de participación en el mencionado curso de 12 titulares, el cual fue enviado al correo electrónico de la titular XXXXXXXXXXXXXXXXXXXX.37 37 Expediente digital, consecutivo 0, página 33 “Por la cual se impone una sanción y se imparten órdenes administrativas” Reclamación presentada por la titular ante la investigada mediante correo electrónico del 19 de diciembre de 202238: Reclamación presentada por la titular ante la investigada mediante correo electrónico del 10 de enero 202339: 38 Expediente digital, consecutivo 0, página 31 39 Expediente digital, consecutivo 0, página 32 “Por la cual se impone una sanción y se imparten órdenes administrativas” Certificado de participación en el curso “ESTRATEGIA EDUCATIVA ACOMPAÑANDO AL CUIDADOR” de la señora XXXXXXXXXXXXXX XXXXX40: Respuesta de la investigada al requerimiento efectuado por este Despacho del 6 de octubre de 2023 en la que informa lo siguiente41: “2.
En virtud del artículo 9 de la Ley 1581 de 2012, informen si cuentan con autorización para el tratamiento de los datos personales de los titulares que participaron en la "ESTRATEGIA EDUCATIVA ACOMPAÑANDO AL CUIDADO" llevada a cabo del 19 de septiembre al 24 de octubre de 2022, e indiquen si esta contemplaba la posibilidad de compartir estos, con terceros.
Acrediten su respuesta. Sí. En cumplimiento del Artículo 9 de la Ley 1581 de 2012 y de acuerdo al contrato de prestación de servicios LG-2032 firmado entre EPS Famisanar SAS y la Fundación Universitaria Cafam-UNICAFAM, la cláusula décima sexta, titulada “Uso de datos personales", establece lo siguiente: “Por la suscripción del presente contrato, FAMISANAR, en calidad de cliente corporativo del CONTRATISTA, declara que los datos personales de los usuarios han sido objeto de autorización previa por parte de aquellos a la persona natural o jurídica que, en calidad de cliente y responsable de la información, suministrará dicha información al CONTRATISTA en calidad de encargado.
Por lo tanto, FAMISANAR se compromete a mantener indemne al CONTRATISTA y sus autorizadas, 40 Expediente digital, consecutivo 0, página 2 41 Expediente digital, consecutivo 7, página 2, folio 2 “Por la cual se impone una sanción y se imparten órdenes administrativas” filiales y/o subordinadas de cualquier reclamación que los titulares de los datos personales suministrados realicen.” Se aclara que la autorización aportada por la investigada en la respuesta al requerimiento no da el consentimiento para compartir los datos personales de los titulares por medio de correo electrónico.
Al respecto, es importante recordar que el principio de acceso y circulación restringida establece claramente que el tratamiento de los datos, se sujeta a los límites que se derivan de la naturaleza de los mismos, y que el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la Ley 1581 de 2011, ahora bien, en este caso se hizo tratamiento de datos personales públicos para certificar que los titulares asistieron a un curso impartido por la investigada, razón por la cual, se convierten en datos de naturaleza privada toda vez que la finalidad para la cual fueron tratados, solo es de interés del titular.
De manera que, el hecho de que se traten datos personales de naturaleza pública no faculta a los Responsables ni Encargados para circular esta información de forma deliberada y sin consentimiento previo del titular, puesto que el uso indebido puede vulnerar el derecho fundamental de habeas data y permitir que personas no autorizadas accedan a información de su esfera privada.
Pues bien, el nombre y el número de cédula son datos públicos, no obstante, en el presente caso, el hecho de conocer por parte de terceros que un titular realizó el curso “ESTRATEGIA EDUCATIVA ACOMPAÑANDO AL CUIDADOR”, los convierte automáticamente en datos privados, por lo cual, la investigada no podía compartirlos sin autorización previa de la titular, en tanto que el conjunto de datos contenidos en dicha certificación hacen que la información sea de naturaleza privada.
Sobre la definición de este tipo de datos la Ley dice lo siguiente: Ley 1266 de 2008 ARTÍCULO 3°. Definiciones. Para los efectos de la presente ley, se entiende por: “(…) e) Dato personal. Es cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica.
Los datos impersonales no se sujetan al régimen de protección de datos de la presente ley. Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal. Los datos personales pueden ser públicos, semiprivados o privados; (…) h) Dato privado. Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular.” En este sentido, se concluye que los datos expuestos en el correo electrónico enviado el 19 de diciembre de 2022 por la investigada, eran datos privados, para lo cual se requería la autorización expresa de la titular.
De igual manera, el principio el principio de acceso y circulación restringida dice que los datos personales “no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o “Por la cual se impone una sanción y se imparten órdenes administrativas” terceros autorizados conforme a la presente ley”; 42sin embargo, en este caso los datos fueron difundidos masivamente en un correo electrónico que se envió a todos los asistentes al curso, compartiendo sus datos personales contenidos en los certificados, lo cual demuestra que no se implementaron medidas de seguridad que controlaran que el acceso a la información se permitiera únicamente a los titulares, y no a terceros no autorizados.
Así mismo, cabe resaltar que en los certificados se encuentra un código QR que al escanearse permite el acceso a los certificados del titular digitando su número de cédula, lo que demuestra que cualquier persona puede acceder a los mismos y enterarse de los cursos que ha tomado el titular con la FUNDACIÓN UNIVERSITARIA CAFAM -UNICAFAM sin requerirse la autorización del mismo para realizar dicha consulta, lo cual pone en peligro el derecho fundamental de habeas data de estas personas. Ahora bien, la investigada tanto en el escrito de descargos y como en el de alegatos de conclusión aceptó la infracción del deber formulado44: “Sin perjuicio de que los datos personales remitidos en el correo en cuestión sean datos públicos, conforme con la postura de esta Superintendencia, los principios de finalidad, necesidad y utilidad constituyen un límite a la recolección, almacenamiento, uso, circulación de datos personales de naturaleza pública.
Por lo anterior, se acepta la infracción a la obligación establecida en el apartado b) del artículo 18 de la Ley 1581 de 2012 en cabeza de UNICAFAM como encargado del tratamiento de los datos personales, que corresponde al cargo único imputado en la Resolución No. 56941 de 2024.” Al respecto, dicha aceptación del incumplimiento del deber formulado será tenido en cuenta dentro de los criterios de graduación de la sanción. Así pues, en virtud de lo expuesto, se encuentra que la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM incumplió el deber de conservar la información personal bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, toda vez que envió un correo electrónico el 19 de diciembre de 2022 divulgando 42 2Artículo 4°.
Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;
Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley;2 43 Expediente digital, consecutivo 0, página 31 44 Expediente digital, consecutivo 16, página 2, folio 3 “Por la cual se impone una sanción y se imparten órdenes administrativas” datos personales como el nombre y número de cédula de la señora XXXXXX XXXXXXXXXXXXXXX y otros titulares, los cuales se encontraban en las certificaciones de asistencia al curso “ESTRATEGIA EDUCATIVA ACOMPAÑANDO AL CUIDADOR” que se adjuntaron al correo en mención, sin acreditar que la investigada contara con la autorización previa para compartir los datos por este medio.
Por otra parte, se aclara que, si bien el nombre y el número de cédula son datos personales públicos, estos no pueden ser tratados para cualquier finalidad por parte de los Responsables y Encargados, sino que debe solicitarse previamente al titular su autorización expresa para el tratamiento. En conclusión, la investigada incumplió el deber consagrado en el literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma.
Por lo tanto, procede una sanción pecuniaria.
NOVENO: FRENTE A LA APLICACIÓN RESPONSABILIDAD DEMOSTRADA DEL PRINCIPIO DE En vista de todos los hechos y situaciones probadas en este expediente, este Despacho encuentra pertinente hacer unas anotaciones relativas a la aplicación del principio de responsabilidad demostrada. Esta Superintendencia ha sido enfática en señalar que las disposiciones contenidas en los artículos 2.2.2.25.6.1 y siguientes del Decreto 1074 de 2015, en relación con la adopción de políticas y procedimientos efectivos para el adecuado cumplimiento de la Ley 1581 de 2012 implica que concurran una serie de presupuestos que permitan evidenciar que los procedimientos implementados, en la práctica son reales y efectivos.
Así, la regulación colombiana le impone al Responsable o al Encargado del tratamiento la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica ni formal, sino real y demostrable. Téngase presente que según nuestra jurisprudencia “existe un deber constitucional de administrar correctamente y de proteger los archivos y las bases de datos que contengan información personal o socialmente relevante”45.
Adicionalmente, los Responsables o Encargados del tratamiento no son dueños de los datos personales que reposan en sus bases de datos o archivos. En efecto, ellos son meros tenedores que están en el deber de administrar de manera correcta, apropiada y acertada la información de las personas porque su negligencia afecta los derechos humanos de los titulares de los datos.
En virtud de lo anterior, el capítulo III del Decreto 1377 del 27 de junio de 2013 -incorporado en el decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2646 -titulado DEMOSTRACIÓN- establece que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de Corte Constitucional, Sentencia T-227 de 2003 El texto completo del artículo 26 del decreto 1377 de 2013 ordena lo siguiente: Artículo 26.
Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1. La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta sí se trata de una micro pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2.
La naturaleza jurídica de los datos personales objeto del tratamiento. 3. El tipo de tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.
En respuesta a un requerimiento de la “Por la cual se impone una sanción y se imparten órdenes administrativas” la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”. Así resulta imposible ignorar la forma en que el responsable o encargado del tratamiento debe probar que pone en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.
Con el propósito de dar orientaciones sobre la materia, esta Superintendencia expidió el 28 de mayo de 2015 la “Guía para la implementación del principio de responsabilidad demostrada (accountability)”47. El término “accountability” a pesar de los diferentes significados ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.
Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, consisten principalmente en diseñar y activar un Programa Integral de Gestión de Datos Personales (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente, requiere la implementación de controles de diversa naturaleza, desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP, y demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales.
El principio de responsabilidad demostrada -accountability- demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. El mismo, exige que los Responsables y Encargados del tratamiento implementen medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia.
Dichas medidas deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales. El principio de responsabilidad demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones por parte de las organizaciones para garantizar el debido tratamiento de los datos personales.
El éxito de la aplicación y efectiva implementación de este principio dependerá del compromiso y demostración real por parte de todos los miembros de la organización, pero especialmente, de los directivos de las organizaciones, ya que sin su dirección y apoyo, todo esfuerzo será insuficiente para diseñar, implementar, revisar, actualizar y evaluar los programas de gestión de datos personales.
El principio de responsabilidad demostrada se articula con el concepto de “compliance” en la medida que este hace referencia “al conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”48. suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”.
El texto de Accountability.pdf la guía puede consultarse en https://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia- Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/quees-compliance.php (última consulta 20 de abril de 2020) “Por la cual se impone una sanción y se imparten órdenes administrativas” Así las cosas, la identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del “compliance” y de la efectiva aplicación del principio de responsabilidad demostrada (accountability).
De ahí que, se considere fundamental que las organizaciones desarrollen y pongan en marcha, entre otros, un sistema de administración de riesgos asociados al tratamiento de datos personales, que les permita identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales.
Aunado a lo anterior, el cumplimiento de tal principio implica necesariamente garantizar y velar por el cumplimiento estricto de la normatividad aplicable al caso y poder demostrar que los documentos elaborados han sido diligenciados e implementados para que, a través de estos, se pueda demostrar el cumplimiento de la normatividad consagrada en el régimen de protección de datos personales contenido en la Ley Estatutaria 1581 de 2012.
Además de lo anterior, el cumplimiento de este principio busca que los Responsables y encargados del Tratamiento, demuestre que dentro de su organización se cuenta con: (i) Una estructura de gobierno corporativo en el sentido de que la formulación de políticas y procedimientos para el tratamiento reflejen una cultura de respeto a la protección de los datos personales;
(ii) Un programa corporativo que tenga controles efectivos, que responda al tamaño y estructura de la organización, destinado al cumplimiento, implementación y consolidación del régimen de protección de datos; y (iii) Una evaluación y revisión continúa de los controles que lo integran, con el fin de determinar la pertinencia y eficacia del plan de gestión para lo cual deberán desarrollarse auditorías internas para evaluar, en una fase preliminar, el grado de cumplimiento con la normatividad de protección de datos.
Así las cosas, este Despacho se permite reiterar que no basta con tener una cultura que propenda por el respeto en la teoría, sino que dicha cultura debe materializarse en la práctica a través del efectivo cumplimiento de la Ley 1581 de 2012, más allá de que esta autoridad requiera a la investigada sobre su cumplimiento, ya que es un deber de la organización dar pleno cumplimiento a tal normatividad y es un derecho constitucional del ciudadano que se le respeten sus datos personales.
En el presente caso, la sociedad FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM debe propender por que se dé cumplimiento a la normativa de Protección de Datos Personales. En consecuencia, se hace necesario que la sociedad FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM no solo implemente procedimientos internos eficaces para cumplir con la Ley 1581 de 2012, sino que también promueva activamente el respeto a los derechos de los titulares de datos.
El cumplimiento de la normativa no debe depender exclusivamente de los requerimientos de las autoridades, sino de un compromiso integral por parte de la sociedad para garantizar la protección de los datos personales, tal como lo establece la Constitución. En virtud de lo anterior, EXHORTAMOS a los Representantes Legales de la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM para que adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: “Por la cual se impone una sanción y se imparten órdenes administrativas” 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los titulares de los datos. 3) Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los titulares de los datos personales. 5) Demostrar, en los casos que se requiera, que los procedimientos adecuados al interior de la entidad se apliquen en debida forma. 6) Hacer efectivo el pleno respeto del derecho fundamental a la protección de datos de las personas DÉCIMO: En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones: La FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM deberá implementar un procedimiento para el envío de correos electrónicos con las certificaciones de asistencia a los cursos ofrecidos, en el que se establezca que únicamente se enviara el certificado al titular que asistió al curso a su correo electrónico, y no se enviaran correos masivos con las certificaciones de los demás asistentes a varios titulares al mismo tiempo. La FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM deberá llevar a cabo como mínimo dos (2) capacitaciones al año para sus empleados respecto a las medidas de seguridad que deben tener en cuenta frente al tratamiento de datos personales, especialmente con relación al envío de correos electrónicos. La FUNDACIÓN UNIVERSITARIA CAFAM deberá eliminar el código QR que se incluye en los certificados de asistencia o implementar una medida adicional de seguridad de tal manera que sólo pueda acceder al mismo el Titular autorizado, con el fin de que se restrinja el acceso a terceros no autorizados con el número de cédula del Titular. La FUNDACIÓN UNIVERSITARIA CAFAM deberá reforzar las medidas de seguridad para impedir el acceso a los certificados de asistencia a los cursos por parte de terceros no autorizados, y permitir que la consulta de los mismos solo sea realizada por el Titular.
De lo anteriormente ordenado la sociedad FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo. “Por la cual se impone una sanción y se imparten órdenes administrativas”
DÉCIMO PRIMERO: Imposición y graduación de la sanción 11.1 Facultad sancionatoria Que, la presente investigación se realiza con el fin de determinar si es procedente o no imponer una de las sanciones establecidas en el artículo 18 de la Ley 1266 de 2008, de conformidad con la función consagrada a esta Superintendencia en el numeral 6 del artículo 17 de la misma ley, o impartir las órdenes necesarias para hacer efectivo el derecho de Hábeas Data tal como lo menciona el numeral 1 y 6 del artículo 17 ejusdem, que expresamente señalan: “Artículo 17.
Función de vigilancia. La Superintendencia de Industria y Comercio ejercerá la función de vigilancia de los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto se refiere a la actividad de administración de datos personales que se regula en la presente ley.
(…) Para el ejercicio de la función de vigilancia a que se refiere el presente artículo, la Superintendencia de Industria y Comercio y la Superintendencia Financiera de Colombia, según el caso, tendrán en adición a las propias las siguientes facultades: 1. Impartir instrucciones y órdenes sobre la manera como deben cumplirse las disposiciones de la presente ley relacionadas con la administración de la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países fijar los criterios que faciliten su cumplimiento y señalar procedimientos para su cabal aplicación. (…) 6.
Iniciar de oficio o a petición de parte investigaciones administrativas contra los operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, con el fin de establecer si existe responsabilidad administrativa derivada del incumplimiento de las disposiciones de la presente ley o de las órdenes o instrucciones impartidas por el organismo de vigilancia respectivo, y si es del caso imponer sanciones u ordenar las medidas que resulten pertinentes.
(…) Artículo 18. Sanciones. La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: Multas de carácter personal e institucional hasta por el equivalente a dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción49, por violación a la presente ley, normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas por dicha Superintendencia. Las multas aquí previstas podrán ser sucesivas mientras subsista el incumplimiento que las originó. Suspensión de las actividades del banco de datos, hasta por un término de seis (6) meses, cuando se estuviere llevando a cabo la administración de la información en violación grave de las condiciones 49 Calculados en los términos establecidos en el artículo del artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026 “Por la cual se impone una sanción y se imparten órdenes administrativas” y requisitos previstos en la presente ley, así como por la inobservancia de las órdenes e instrucciones impartidas por las Superintendencias mencionadas para corregir tales violaciones.
Cierre o clausura de operaciones del banco de datos cuando, una vez transcurrido el término de suspensión, no hubiere adecuado su operación técnica y logística, y sus normas y procedimientos a los requisitos de ley, de conformidad con lo dispuesto en la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos que administren datos prohibidos”.
De otra parte, la Ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: Dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional 50 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.
Esos criterios, según la sentencia C748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”51 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta 50 Artículo 29.
El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 51 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción y se imparten órdenes administrativas” en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros52. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”53.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia54. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2355 de la misma ley.
Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: 52 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 53 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 54 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 55Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” “Por la cual se impone una sanción y se imparten órdenes administrativas” a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 11.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”56 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados.57 56 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.
Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 57 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones “Por la cual se impone una sanción y se imparten órdenes administrativas” También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que la investigada incumplió el deber de conservar la información personal bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, toda vez que envió un correo electrónico el 19 de diciembre de 2022, divulgando datos personales como el nombre y número de cédula y el programa culminado, de la señora XXXXXXXXXXXXXXXXXXXX y otros titulares sin contar con su autorización previa y sin tener en cuenta que pese a que se trata de datos públicos, el hecho de que se encuentren en una certificación de asistencia a un curso, los convierte en datos privados por referirse a información reservada, que solo es relevante para el titular.
Deber consagrado en el literal b) del artículo 18 de la Ley 1581 de 2012 en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma. Por lo tanto, procede una sanción pecuniaria, equivalente a CATORCE (14) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes MIL SEISCIENTOS VEINTICUATRO (1.624) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DIECIOCHO MILLONES SETECIENTOS SESENTA MIL CUATROCIENTOS CUARENTA Y OCHO PESOS M/CTE ($18.760.448)58 11.1.2 El reconocimiento o aceptación de la comisión de una aceptación El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581de 2012 se aplicará toda vez que la investigada, en su escrito de descargos del 23 de octubre 2024 con radicado 23-159904- -00016 y alegatos del 4 de abril de 2025 con radicado 23-159904- -00023, reconoció la comisión de infracción al deber contemplado en literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma indicando expresamente: “Sin perjuicio de que los datos personales remitidos en el correo en cuestión sean datos públicos, conforme con la postura de esta Superintendencia, los principios de finalidad, necesidad y utilidad constituyen un límite a la recolección, almacenamiento, uso, circulación de datos personales de naturaleza pública.
Por lo anterior, se acepta la infracción a la obligación establecida en el apartado b) del artículo 18 de la Ley 1581 de 2012 en cabeza de UNICAFAM como encargado del tratamiento de los datos personales, que corresponde al cargo único imputado en la Resolución No. 56941 de 2024. En consecuencia, con fundamento en lo señalado en el apartado f) del artículo 24 de la Ley 1581 de 2012 se solicita atentamente al Despacho tener en cuenta la aceptación de la infracción al momento de tasar la sanción que corresponda.” En virtud de lo expuesto, se procederá a reducir la sanción impuesta en el único cargo por la vulneración al deber establecido en literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción y se imparten órdenes administrativas” la precitada norma en OCHO (8) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes NOVECIENTOS VEINTIOCHO (928) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DIEZ MILLONES SETECIENTOS VEINTE MIL DOSCIENTOS CINCUENTA Y SEIS PESOS M/CTE ($10.720.256)59. 11.1.3 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.
DÉCIMO SEGUNDO: CONCLUSIÓN Se procederá a imponer una sanción por las siguientes razones: i. Se comprobó que la investigada en calidad de Encargada del Tratamiento, infringió abiertamente las normas sobre protección de datos personales consagradas en el literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma. ii.
Con dicha conducta, la investigada como Encargada del Tratamiento, vulneró el derecho de habeas data del titular, pues quedó demostrado que incumplió el deber de conservar la información personal bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, toda vez que envió un correo electrónico el 19 de diciembre de 2022 divulgando datos personales como el nombre y número de cédula de la señora XXXXXXXXXXXXX XXXXXX y otros titulares. iii.
Los datos personales públicos como nombre y cédula que fueron tratados para emitir la certificación de asistencia al curso “ESTRATEGIA EDUCATIVA ACOMPAÑANDO AL CUIDADOR” se convierten en datos privados, porque generan información reservada que solo debe ser conocida por el Titular, por lo tanto, su divulgación solo es permitida si se cuenta con el consentimiento del mismo. iv.
De igual manera, es de gran importancia reforzar las medidas de seguridad para acceder a los certificados de asistencia a los cursos, pues estos únicamente les debe interesar a los titulares que toman los cursos o capacitaciones, teniendo en cuenta que en los certificados aportados se encuentra un código QR que permite la consulta por parte de cualquier persona que registre el número de cédula del titular, de manera que, se debe restringir el acceso a terceros no autorizados.
Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer a la sanción correspondiente OCHO (8) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes NOVECIENTOS VEINTIOCHO (928) Unidades de Valor Básico – UVB Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción y se imparten órdenes administrativas” Vigentes para el año 2025 – equivalentes a DIEZ MILLONES SETECIENTOS VEINTE MIL DOSCIENTOS CINCUENTA Y SEIS PESOS M/CTE ($10.720.256)60, por la violación al literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma a la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM.
DÉCIMO TERCERO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM identificada con NIT. 900.262.398-4, con el correo electrónico de notificación judicial notificaciones.judiciales@unicafam.edu.co, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 23-159904. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1: Imponer una sanción pecuniaria a la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM identificada con el Nit. 900.262.3984 de OCHO (8) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes NOVECIENTOS VEINTIOCHO (928) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DIEZ MILLONES SETECIENTOS VEINTE MIL DOSCIENTOS CINCUENTA Y SEIS PESOS M/CTE ($10.720.256)61, por la violación a lo dispuesto en literal b) del artículo 18 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma.
Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO 2: Ordenar a la FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM identificada con el Nit. 900.262.398-4, cumplir las instrucciones impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva, dentro del término de un (1) mes siguiente a la ejecutoria de la presente decisión. Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción y se imparten órdenes administrativas” La orden en la siguiente: La FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM deberá implementar un procedimiento para el envío de correos electrónicos con las certificaciones de asistencia a los cursos ofrecidos, en el que se establezca que únicamente se enviara el certificado al titular que asistió al curso a su correo electrónico, y no se enviaran correos masivos con las certificaciones de los demás asistentes a varios titulares al mismo tiempo. La FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM deberá llevar a cabo como mínimo dos (2) capacitaciones al año para sus empleados respecto a las medidas de seguridad que deben tener en cuenta frente al tratamiento de datos personales, especialmente con relación al envío de correos electrónicos. La FUNDACIÓN UNIVERSITARIA CAFAM deberá eliminar el código QR que se incluye en los certificados de asistencia o implementar una medida adicional de seguridad de tal manera que sólo pueda acceder al mismo el Titular autorizado, con el fin de que se restrinja el acceso a terceros no autorizados con el número de cédula del Titular. La FUNDACIÓN UNIVERSITARIA CAFAM deberá reforzar las medidas de seguridad para impedir el acceso a los certificados de asistencia a los cursos por parte de terceros no autorizados, y permitir que la consulta de los mismos solo sea realizada por el Titular.
Parágrafo primero: La sociedad FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM identificada con el Nit. 900.262.398-4, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.
Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad. Parágrafo segundo: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM identificada con el Nit. 900.262.398-4, acreedora de las sanciones previstas en la Ley.
ARTÍCULO 3: Notificar personalmente el contenido de la presente resolución a la sociedad FUNDACIÓN UNIVERSITARIA CAFAM – UNICAFAM identificada con Nit. 900.262.398-4 a través de su apoderada en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante la Directora de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.
ARTÍCULO 4: COMUNICAR a la señora XXXXXXXXXXXXXXXXXXX, identificado con cédula de ciudadanía N.º XXXXXXXXXX el contenido de la presente decisión.
ARTÍCULO 5: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co “Por la cual se impone una sanción y se imparten órdenes administrativas” - Sede principal: Carrera 13 # 27-00 piso 3, edificio Bochica en la ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 29 de agosto de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2025.08.29 15:08:48 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Elaboró: DR Revisó: YA Aprobó: CG