Resolución sancionatoria N° 76118 de 2021

(25 NOVIEMBRE 2021) “Por la cual se impone una sanción administrativa y se imparten órdenes” Radicación 19-125470 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad GB INVESMENT DE COLOMBIA S.A.S. identificada con Nit. 901.175.537-2, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos: “PRIMERO: Que la señora XXXXXXXX XXXXXX XXXXXXX, identificada con cédula de ciudadanía xxxxxxxxxxxxx, presentó denuncia bajo el radicado No. 19-125470-0 en contra de la sociedad GB INVESMENT DE COLOMBIA S.A.S. identificada con Nit. 901.175.573-2, por los siguientes hechos: 1.1 Expresó que “en el mes de Enero (sic) fui contactada por Master Sale (GB Investment SAS) para citarme a sus instalaciones a reclamar supuestamente de manera gratuita unos tiquetes aéreos que me obsequiarían sin haber autorizado previamente el tratamiento de mis datos personales para este fin, ellos aseguraron que mis datos personales los habían obtenido por el buen manejo de mis tarjetas de crédito”. 1.2 Igualmente, elevó petición ante la sociedad mediante correo electrónico enviado a la dirección gerencia@mastersale.com.co el días 26 de abril de 2019 solicitando que se le diera copia “(…) de la autorización ue (sic) había dado para el tratamiento de mis datos personales, sin embargo, evadieron la respuesta diciendo que yo autoricé en el momento en que me presenté a sus instalaciones, pero no supieron decirme de donde obtuvieron mis datos para el contacto inicial”. 1.3 Al respecto la sociedad en cuestión respondió que: “(…) sus datos personales fueron suministrados por usted al momento de la encuesta inicial previa a la celebración del contrato, razón por la cual son custodiados y contenidos acorde a los parámetros específicos que indica la Ley Habeas Data, hasta el momento que usted así lo decida.

Sobre el particular hecho de que haya recibido llamadas por parte de esta empresa es un hecho sobre el cual no tenemos responsabilidad ni dominio atribuible debido a que nuestra modalidad de venta es presencial, no a distancia (…)”. 1.4 Frente a la respuesta, la denunciante manifestó: “(…) El contrato al que hacen mención se celebró mediante publicidad engañosa e inducción al error en una visita presencial que realicé a sus instalaciones producto de una invitación realizadas por la asesora Xxxxxx Xxxxxxx en una llamada telefónica previamente recibida en mi número celular, de la cual tengo una grabación como constancia y antes de la cual no tenía conocimiento de Master Sale / GB Investment ni había autorizado el tratamiento de mi información. Solicito concretamente se me envíe SIN MAS EVASIVAS el consentimiento escrito a través del cual autoricé me realizaran la llamada inicial mediante el método no tradicional de venta que utilizaron para citarme en sus oficinas y ofrecerme un producto o servicio que no estaba buscando (…).”

SEGUNDO: Que en desarrollo de la etapa preliminar adelantada por el Grupo de Trabajo de Investigaciones Administrativas de la Dirección de Investigación de Protección de Datos Personales, se solicitaron y recaudaron los siguientes documentos y elementos de prueba: “Por la cual se impone una sanción administrativa y se imparten órdenes” HOJA N, 2.1.

Requerimientos número 19-125470-3-1 de fecha 14 de febrero de 2020, al interior de los cuales se le solicitó a la sociedad GB INVESMENT DE COLOMBIA S.A.S. que informara lo siguiente: “(…) En atención a la denuncia remitida a esta Superintendencia por parte de la señora XXXXXXXX XXXXXX XXXXXXX identificada con cédula de ciudadanía número xxxxxxxxxxxxx, radicada con el número 19-125470 el día 05 de junio de 2019, por la presunta vulneración al tratamiento de sus datos personales, en ejercicio de las funciones asignadas a esta Superintendencia por los artículos 19 y 21 de la Ley 1581 de 2012 le requerimos lo siguiente: 1.

Indique qué datos personales trata de la titular XXXXXXXX XXXXXX XXXXXXXX identificada con cédula de ciudadanía número xxxxxxxxxxxxx. 3. Informe si cuenta con una autorización para el tratamiento de los datos personales de la Titular. De ser afirmativa su respuesta, remita copia de dicha autorización e informe y acredite qué le comunicó las finalidades para el tratamiento de sus datos personales. 4.

Allegue copia de las peticiones, consultas o reclamaciones de la titular junto con la respuesta suministrada y los documentos que acrediten su entrega. Entre otros documentos, los relacionados con los reclamos presentados por la Titular el 26 de abril de 2019. 5. Manifieste detalladamente la manera en que la Sociedad: a. Obtiene los datos personales contenidos en sus bases de datos. b. Obtiene autorización del titular para el tratamiento de sus datos personales (remita copia del formato utilizado). c. Informa al titular las finalidades para las que se realiza el tratamiento de sus datos personales (remita copia del formato utilizado). d. Responde peticiones, consultas o reclamaciones relacionadas con el tratamiento de datos personales. e. Suprime datos personales de sus bases de datos por solicitud del titular. 6.

Aporte copia de la “encuesta inicial” que fue diligenciada por la señora XXXXXXXX XXXXXX XXXXXXX previa a la celebración del contrato con la compañía. 7. Informe qué tipo de datos personales reposan en sus bases de datos de manera detallada y la cantidad de titulares a los que estos pertenecen. 8. Manifieste y acredite cuáles son los canales dispuestos por la Sociedad para que los titulares de la información presenten peticiones, consultas o reclamos relacionados con el tratamiento de sus datos personales 9.

Envíe copia de la política de tratamiento de datos personales. 10. Informe qué bases de datos ha adquirido de terceros y remita copia de los documentos pertinentes. La respuesta al presente requerimiento deberá ser suscrita por el representante legal de GB INVESMENT DE COLOMBIA S.A.S. o por apoderado debidamente constituido en un plazo que vence dentro de los DIEZ (10) días hábiles siguientes a la fecha de recibo de la presente comunicación. (…)” El primero de dichos oficios fue entregado el día 19 de febrero de 2020 a la dirección física “Carrera 43 A # 34-95 Local 108 A” en la ciudad de Medellín el cual aparece registrado para efectos de notificación judicial en el Certificado de Existencia y Representación Legal de la sociedad GB INVESMENT DE COLOMBIA S.A.S. La guía del envío fue emitida por la empresa Servicios Postales Nacionales S.A. (4-72) con código XXXXXXXXXXXXXXX.

Frente a este asunto, este Despacho evidencia que la sociedad investigada GB INVESMENT DE COLOMBIA S.A.S., identificada con Nit 901.175.537-2, no dio respuesta a la solicitud de explicaciones a la cual debía dar respuesta a más tardar el 11 de marzo del 2020. “Por la cual se impone una sanción administrativa y se imparten órdenes” HOJA N, TERCERO: Que, con base en los hechos anotados, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, y en particular las disposiciones contenidas en: (i) El literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015;

(ii) El literal c) del artículo 17, en concordancia con el literal b) del artículo 4 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; (iii) El literal j) del artículo 17 en concordancia con el artículo 15 de la Ley 1581 de 2012 y el literal b) del artículo 8 de la misma ley;

(iv) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la misma normatividad y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015; y (v) El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma ley. El 31 de julio de 2020, se inició la presente investigación administrativa mediante la expedición de la Resolución N°. 43997, por medio de la cual se formularon cargos a la sociedad GB INVESMENT DE COLOMBIA S.A.S. La mencionada resolución de fue notificada a la sociedad investigada, con el finde que ejerciera a cabalidad su derecho de defensa y contradicción y aportara las pruebas que pretendiera hacer valer dentro del referido trámite.

Igualmente, se comunicó de la misma actuación a la denunciante.

CUARTO: Que la sociedad GB INVESMENT DE COLOMBIA S.A.S. guardó silencio frente a la formulación de cargos.

QUINTO: Que mediante Resolución N°. 57146 del 3 de septiembre de 2021, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 19-125470, con el valor legal que les corresponda, declarando agotada la etapa probatoria y corriendo traslado a la sociedad investigada para que rindiera los alegatos de conclusión respectivos.

Así las cosas, las pruebas que fueron incorporadas son las siguientes: 5.1 Denuncia, junto con sus anexos, radicada ante esta Superintendencia el día 5 de junio de 2019 bajo el número 19-125470. 5.2 Requerimiento de información por parte de la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad GB INVESTMENT DE COLOMBIA SAS, radicado el 14 de febrero de 2020 bajo el número 19-125470-3-1. 5.3 Copia de la guía de envío de la sociedad Servicios Postales Nacionales S.A. (4-72) número XXXXXXXXXXXXXX entregada el 19 de febrero de 2020. 5.4 Requerimiento de información por parte de la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad GB INVESTMENT SAS, radicado el 14 de febrero de 2020 bajo el número 19-125470-4-1. 5.5 Copia de la guía de envío número de la sociedad Servicios Postales Nacionales S.A. (4-72) XXXXXXXXXXXX devuelta con causal “No reside”. 5.6 Requerimiento de información por parte de la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad GB INVESTMENT SAS (, radicado el 5 de marzo de 2020 bajo el número 19-125470-7-1.

“Por la cual se impone una sanción administrativa y se imparten órdenes” HOJA N, 5.7 Requerimiento de información por parte de la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad MASTER TRAVEL SALE S.A.S. SIGLA MASTER SALE 38, radicado el 11 de junio de 2020 bajo el número 19-125470-8-1.

SEXTO: Que la sociedad GB INVESMENT DE COLOMBIA S.A.S. guardó silencio frente a la oportunidad procesal para presentar alegatos de conclusión.

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio De conformidad con lo establecido en los artículos 19 y 21 de la Ley 1581 de 2012 la Dirección de Investigación de Protección de Datos Personales es competente para investigar e imponer las sanciones pertinentes a los Responsables y Encargados del Tratamiento de datos una vez verifique el incumplimiento de las disposiciones en materia de protección de datos.

OCTAVO: Análisis del caso 8.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas, específicamente, en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por la reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo dispuesto en: • El literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; • El literal c) del artículo 17, en concordancia con el literal b) del artículo 4 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; • El literal j) del artículo 17 en concordancia con el artículo 15 de la Ley 1581 de 2012 y el literal b) del artículo 8 de la misma ley; • El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la misma normatividad y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015; y • El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma ley.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la sociedad investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). “Por la cual se impone una sanción administrativa y se imparten órdenes” HOJA N, en cuenta los hechos narrados por la denunciante, así como el conjunto de pruebas allegadas al expediente. 8.2 Valoración probatoria y conclusiones 8.2.1 De la calidad de Responsable del Tratamiento de datos personales La Ley Estatutaria 1581 de 2012 define al Responsable del tratamiento como la “persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos”.

Se trata del sujeto que directamente recolecta los datos y define los usos y los medios para el Tratamiento de los datos. Su actividad es reglada y la ley 1581 le impone obligaciones, entre otros, en el artículo 17 que, entre otras, ordena lo siguiente: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular; c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;

(…) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley; k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos; (…) o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.” Respecto de la calidad de Responsable, la Corte Constitucional mediante sentencia C- 748 de 20112, manifestó lo siguiente: “[E]l responsable del tratamiento es definido como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decide sobre la base de datos y/o el tratamiento de los datos.

(…) En efecto, de acuerdo con las definiciones acogidas por el proyecto de ley, los responsables del tratamiento tienen mayores compromisos y deberes frente al titular del dato, pues son los llamados a garantizar en primer lugar el derecho fundamental al habeas data, así como las condiciones de seguridad para impedir cualquier tratamiento ilícito del dato.

La calidad de responsable igualmente impone un haz de responsabilidades, específicamente en lo que se refiere a la seguridad y a la confidencialidad de los datos sujetos a tratamiento.” Por lo expuesto, y conforme a las pruebas que obran en el expediente de la referencia, la sociedad GB INVESMENT DE COLOMBIA S.A.S. ostenta la calidad de Responsable de la información de la señora XXXXXXXX XXXXXX XXXXXXX, en tanto decide sobre los fines y los medios del Tratamiento de sus datos personales y, por tanto, debe cumplir con los deberes previstos en el artículo 17 de la Ley Estatutaria 1581 de 2012. 8.2.2 Respecto del deber de solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular 2 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

“Por la cual se impone una sanción administrativa y se imparten órdenes” HOJA N, Conforme al principio de libertad consagrado en la Ley 1581 de 2012, según el cual “[e]l Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización” 3. es claro que el Tratamiento de los Datos solo puede ser el autorizado por el Titular de estos para la finalidad especificada.

Este principio es desarrollado por los artículos 9 y 17, literal b) de la norma ut supra; los cuales detallan que “en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior” y que el Responsable del Tratamiento de los Datos debe cumplir con varios deberes, entre ellos, el de "Solicitar y conservar, en las condiciones previstas en la presente ley., copia de la respectiva autorización otorgada por el Titular".

De este modo, es claro que el Responsable del Tratamiento debe adoptar los procedimientos adecuados para solicitar y conservar copia de la autorización otorgada por el Titular e informar los datos que serán recolectados junto con las finalidades específicas para las cuales se va a obtener el consentimiento del Titular. De igual manera, en la Ley 1581 de 2012 el consentimiento es tanto un principio rector (artículo 4 (literal c) como un elemento de legitimación constitucional de los procesos de administración de datos personales (artículos 9, 10, y artículo 26, literal a).

El artículo 9 establece que en el tratamiento se requiere la autorización previa, expresa, e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior, mientras que el artículo 10 prevé las excepciones o los otros fundamentos de legitimación constitucional del tratamiento de datos personales, incluidos los casos de urgencia manifiesta, tratamiento de información autorizado por la ley para fines históricos, estadísticos o científico, etc.

Por su parte, el literal a) del artículo 3 de la Ley 1581 de 2012 establece que el consentimiento o autorización exigida para el tratamiento de datos personales es, además, calificado, por cuanto debe ser previo, expreso e informado. En este sentido, la Corte Constitucional interpretó esta definición en sentencia C-748 del 2011 de la siguiente manera: “En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato.

Así por ejemplo, en la Sentencia T-022 de 1993, se dijo que la veracidad del dato no implica que el Responsable del Tratamiento no tenga el deber de obtener una autorización anterior. En igual sentido, la Sentencia T-592 de 2003 dijo que el derecho al habeas data resulta afectado cuando los administradores de la información recogen y divulgan hábitos de pago sin el consentimiento de su titular.

La Corte expresó que el consentimiento previo del titular de la información sobre el registro de sus datos económicos “en los procesos informáticos, aunado a la necesidad de que aquel cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, resultan esenciales para salvaguardar su derecho a la autodeterminación informática.” En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito.

Lo anterior, por varias razones: En primer lugar, la jurisprudencia constitucional ha exigido tal condición y ha dicho que el consentimiento debe ser explícito y concreto a la finalidad específica de la base de datos. (…) En segundo lugar, de una interpretación armónica de todo el articulado se deduce que el legislador estatutario tuvo una intención inequívoca que el consentimiento siempre fuese expreso.

Así, desde el artículo 3 se dice que éste debe ser “previo, expreso e informado”. Esto mismo se repite en el artículo 4. Posteriormente, el artículo 8 ordinal b), garantiza al Titular el derecho de solicitar prueba de la autorización, y señala que ésta sólo puede considerarse exceptuada en los casos consagrados en el artículo 10. El artículo 9 ordena que la autorización sea “obtenida por cualquier medio que pueda ser objeto de consulta posterior” Por otro lado, el artículo 10 señala, en forma taxativa, los casos en que no se requiere autorización, y no hace referencia alguna a la existencia de un consentimiento tácito, lo cual necesitaría expresa autorización legal.

Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). “Por la cual se impone una sanción administrativa y se imparten órdenes” HOJA N, (…) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. En este mismo sentido, en la Sentencia T-592 de 2003, la Corte señaló que la autorización debe ser cualificada y debía contener una explicación de los efectos de la misma.

Además, a pesar de que se presente la autorización, el Responsable y Encargado del Tratamiento debe actuar de buena fe. De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez. ( )”4 No existe, por tanto, otra interpretación legal y constitucional diferente a aquella que el consentimiento debe cumplir con los requisitos de ser previo, expreso e informado para que el mismo pueda considerarse legal, pues, de lo contrario, se estaría afectando, como lo señaló la Corte en la sentencia arriba citada, el derecho a la autodeterminación informática entendido como el núcleo esencial del derecho al habeas data y, en la práctica, el Titular perdería el control de sus datos personales.

Las definiciones de expreso, previo e informado contienen elementos claves que se analizan a continuación, con el fin de que se asegure que sólo el consentimiento que se interprete conforme a la Ley 1581 de 2012 será considerado como tal. Elementos del consentimiento: 1. Expreso: el término expreso significa la manifestación de voluntad libre del Titular para permitir el tratamiento de sus datos personales por parte de un tercero. Así mismo, esa necesidad de manifestación por parte de la persona impide que la falta de actuación - o quizás mejor, el comportamiento pasivo – constituya un consentimiento válido bajo la Ley 1581 de 2012, pues, como lo señaló la Corte Constitucional en la Sentencia C-748 de 2011, “no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito”.

Así sucede, por ejemplo, con formularios de recolección de datos en línea que no cuentan con casillas de aceptación. Esta situación obliga a los Responsables del Tratamiento a crear procedimientos para garantizar que las personas otorguen su consentimiento y, a su vez, proporcionan pruebas al Responsable del Tratamiento de que se ha obtenido el consentimiento.

Los ejemplos más clásicos son la firma manuscrita en la parte inferior de un formulario de papel y la selección de una casilla en un sitio web en Internet. El requisito de expreso para los datos sensibles se sustituye por un “consentimiento explícito”, pues para este tipo de datos se considera adecuado que exista un elevado nivel de control sobre los datos personales por parte de su Titular. 2.

Informado: el término informado significa que la persona debe conocer las finalidades del tratamiento de sus datos, la persona natural o jurídica, pública o privada, que decidirá sobre el tratamiento de los datos concernidos, los derechos relativos al tratamiento de sus datos, así como del modo de hacer valer sus derechos en relación con el tratamiento y, en general, las condiciones en que se efectuarán las actividades de acopio, recopilación y circulación del mismo. 3.

Previo: el término previo significa que la persona debe otorgar su consentimiento antes del comienzo del tratamiento de su información personal, debiendo cumplirse a más tardar en el momento en que el dato va a ser recogido, sin que sea admisible, en este punto, considerar su acatamiento con posterioridad a su recolección, pues sólo así quedaría garantizado el derecho de la persona a tener una apropiada información antes de otorgar su consentimiento.

En este sentido, el artículo 2.2.2.25.2.2., del Decreto 1074 de 2015 establece lo siguiente: Cfr. Corte Constitucional, sentencia C 748 del 2011 “Por la cual se impone una sanción administrativa y se imparten órdenes” HOJA N, “Artículo 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

(…)”. Visto lo anterior, el consentimiento, como uno de los fundamentos jurídicos del tratamiento de datos personales, para que sea válido bajo la Ley 1581 de 2012, debe cumplir los siguientes requerimientos legales: a) El consentimiento debe ser expreso. El Titular debe realizar alguna acción positiva que indique su consentimiento y debe tener la libertad de no consentir. b) El consentimiento debe estar informado.

El artículo 12 de la Ley 1581 de 2012 enumera la información que debe suministrársele al Titular; esa información debe ser claramente visible, destacada y completa. No basta con ponerla a disposición en algún sitio de la página web, sin que la persona no la conozca. c) El consentimiento debe ser previo. La obtención del consentimiento debe ser previa a la recolección de los datos.

El presente caso tuvo su génesis en la denuncia presentada por la señora XXXXXXXX XXXXXX XXXXXXX ante esta Superintendencia el día 5 de junio de 2019 bajo el número 19-125470-0, en la que manifestó, entre otras cosas, que la sociedad GB INVESMENT DE COLOMBIA S.A.S. estaba realizando Tratamiento de sus datos personales sin contar con su autorización, afirmación que acompañó con unas imágenes que contienen el cruce de mensajes de correo electrónico entre la Titular y la mencionada sociedad.

De las imágenes en cita, conviene extraer el siguiente aparte de la respuesta otorgada por la sociedad investigada a la Titular de los datos: “(…) sus datos personales fueron suministrados por usted al momento de la encuesta inicial previa a la celebración del contrato, razón por la cual son custodiados y contenidos acorde a los parámetros específicos que indica la Ley Habeas Data, hasta el momento que usted así lo decida (…)”.

Sobre el particular, esta Dirección encuentra imperioso realizar las siguientes precisiones: Advierte el Despacho un error mayúsculo por parte de la sociedad GB INVESMENT DE COLOMBIA S.A.S., en tanto el hecho de que la Titular de la información haya diligenciado una encuesta de manera previa a la celebración de un contrato, de ninguna manera se puede equiparar con la autorización previa, expresa e informada otorgada por la señora XXXXXXXX XXXXXX XXXXXXX.

Aunado a lo anterior, no encuentra esta Dirección que el procedimiento descrito por la sociedad investigada permita, por una lado, verificar que el consentimiento de la Titular se obtuvo con anterioridad al tratamiento de sus datos personales y, por otro, acreditar el cumplimiento de los preceptos contenidos en el artículos 9 y 12 de la Ley 1581 de 2012 referentes al consentimiento expreso e informado y la capacidad del Responsable de suministrar plena prueba del consentimiento de la señora XXXXXXXX XXXXXX XXXXXXX.

Ahora bien, frente a este deber, el Despacho evidenció, por medio de la Resolución N°. 43997 del 31 de julio de 2020, que: “En el caso bajo estudio esta Dirección requirió a la sociedad en referencia le fue entregado el requerimiento de información como consta en la guía de envío XXXXXXXXXXXXX – Certificado de Mensajería de Servicios Postales Nacionales S.A. 4-72 el día 19 de febrero de 2020; sin embargo, la sociedad GB INVESMENT DE COLOMBIA SAS no suministró respuesta a este Despacho, ni a la denunciante al no entregarle copia de la autorización solicitada por esta.

Así las cosas, preliminarmente, este Despacho advierte un presunto incumplimiento por parte de la sociedad GB INVESMENT DE COLOMBIA SAS al deber contenido en el literal b) del artículo “Por la cual se impone una sanción administrativa y se imparten órdenes” HOJA N, 17 de la ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

Al respecto, esta Dirección encontró que, habiéndosele otorgado la oportunidad procesal a la investigada y de haber remitido el requerimiento a la dirección de notificación de la empresa, la sociedad GB INVESMENT DE COLOMBIA S.A.S. no aportó copia de la autorización otorgada por la señora XXXXXXXXX XXXXXXX XXXXXXXX para el Tratamiento de sus datos personales.

De acuerdo con lo anterior, en el caso bajo estudio se debe tener en cuenta que el inciso primero del artículo 42 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo dispone lo siguiente: “Habiéndose dado oportunidad a los interesados para expresar sus opiniones, y con base en las pruebas e informes disponibles, se tomará la decisión, que será motivada”.

Por otra parte, el artículo 176 del Código General del Proceso señala que: “Las pruebas deberán ser apreciadas en conjunto, de acuerdo con las reglas de la sana critica, sin perjuicio de las solemnidades prescritas en la ley sustancial para la existencia o validez de ciertos actos ( )”. Atendiendo las reglas citadas, encontramos que, para el caso que nos ocupa, vencido el término otorgado por esta Superintendencia para que la investigada rindiera sus explicaciones y ejerciera su derecho de defensa y contradicción, esta guardó silencio respecto de la autorización expresa, previa e informada otorgada por parte de la Titular para el Tratamiento de sus datos personales.

Así las cosas, se evidencia el incumplimiento de la sociedad GB INVESMENT DE COLOMBIA S.A.S. al deber de solicitar y conservar, en las condiciones previstas en la Ley Estatutaria 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015, copia de la respectiva autorización otorgada por la Titular de la información para el tratamiento de sus datos personales; razón por la cual, se impondrá la sanción pecuniaria correspondiente. 8.2.3 Respecto del deber de informar al titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada El artículo 17 de la Ley 1581 de 2012 señala, que: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;

(…)” El precepto consagrado en el literal c) del artículo 17 de la Ley 1581 de 2012 hace referencia al deber de Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, dicho precepto se armoniza con el principio de finalidad, contenido en el literal b) del artículo 4 de la misma disposición y el literal a) del artículo 12 de la Ley Estatutaria.

Esta normatividad, a su vez, ha sido objeto de especial atención por parte de la Corte Constitucional, tal como quedó reflejado en la Sentencia C-748 de 2011, así: “En el título VI, “DE LOS DEBERES DE LOS RESPONSABLES Y ENCARGADOS DEL TRATAMIENTO DEL DATO”, el legislador enlistó en preceptos separados los deberes de los responsables y de los encargados del tratamiento.

Los deberes enumerados, en términos generales, buscan garantizar el pleno ejercicio del derecho al habeas data por parte de los titulares (…). Estos deberes hacen referencia, según el sujeto concernido, a lo siguiente: HOJA N 10, “Por la cual se impone una sanción administrativa y se imparten órdenes” (…) Específicamente se dispone que son deberes de esta parte de la relación: (i) Solicitar y conservar la autorización para el tratamiento del dato -en los términos descritos previamente, lo que se ajusta plenamente al principio de libertad y consentimiento expreso del titular del dato.

(ii) Informar al titular la finalidad de esa autorización y actuar en consecuencia; por tanto, el responsable no puede conducirse por fuera de los lineamientos de la autorización.” En referencia al principio de finalidad, este se traduce en el deber de informar al Titular lo que se pretende hacer con su información y se encuentra contenido en el artículo 12 de la Ley 1581 de 2012, así: “Artículo 12.

Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” Parágrafo.

El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” Como puede observarse, el principio de finalidad, que se encuentra íntimamente ligado al principio de libertad, impone unos límites al tratamiento de los datos que están siendo administrados por el Responsable; dichos límites se derivan de la naturaleza de la información y del uso que se dará a los datos recolectados.

En palabras de la Corte Constitucional “(…) [t]anto el acopio, el procesamiento y la divulgación de datos personales, debe obedecer a una finalidad constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista (…)”.5 Dicho principio se hace efectivo al momento en que se solicita autorización al Titular, pues es allí en que se cumple el término máximo para informarle al Titular los fines de la recolección de su información, ya que como lo dispuso el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015 “[e]l Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”.

Ahora bien, abordando estos aspectos la Corte Constitucional en Sentencia C-748 de 2011, expuso lo siguiente: “(…) La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos. Sin embargo, debe hacerse algunas precisiones. Por una parte, los datos personales deben ser con un propósito específico y explícito.

En este sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos.

Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad autorizada. Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato.

Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb. “Por la cual se impone una sanción administrativa y se imparten órdenes” HOJA N 11, Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular.

Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales n exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas (…)”.

Igualmente, en la guía titulada “FORMATOS MODELO PARA EL CUMPLIMIENTO DE OBLIGACIONES ESTABLECIDAS EN LA LEY 1581 DE 2012 Y SUS DECRETOS REGLAMENTARIOS”6 expedida el 22 de noviembre de 2017 por esta autoridad, se explica con claridad tanto la finalidad de la recolección de los datos personales, como el deber de informar a los Titulares de acuerdo con lo consagrado en el artículo 12 de la Ley 1581 de 2012.

Veamos: “(…)

2.5. FINALIDAD DE LA RECOLECCIÓN DE DATOS PERSONALES La recolección de datos personales debe tener una finalidad legítima y cierta, es decir, una razón de ser de esa recolección. Además, los datos recolectados deben ser pertinentes y adecuados para alcanzar dicho fin. (…)

2.6. DEBER DE INFORMAR AL TITULAR Además del deber de obtener el consentimiento de los titulares para el tratamiento de su información, quien recolecte datos personales debe informar de manera clara y expresa al titular lo siguiente: (i) El tratamiento al cual serán sometidos los datos personales recolectados y la finalidad de los mismos.

(ii) En caso de que la organización responsable recolecte datos personales sensibles (origen racial o étnico, orientación sexual, filiación política o religiosa, etc.) o de niños y adolescentes; debe explicarle el carácter sensible que posee este tipo de información y, además, debe darle la opción al titular de elegir si responde o no dichas preguntas.

(iii) Los derechos que tiene el titular de la información. (iv) La identificación, dirección física o electrónica y el teléfono de la organización o el responsable del tratamiento de los datos. (…)” Al respecto, esta Dirección encontró que, habiéndosele otorgado la oportunidad procesal a la investigada y de haber remitido el requerimiento a la dirección de notificación de la empresa, la sociedad GB INVESMENT DE COLOMBIA S.A.S. no aportó evidencia de haberle informado a la Titular de la información la finalidad de la recolección y los derechos que le asisten en virtud de la autorización otorgada para el Tratamiento de sus datos personales.

Ahora bien, de acuerdo con lo anterior, en el caso bajo estudio se debe tener en cuenta que el inciso primero del artículo 42 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo dispone lo siguiente: “Habiéndose dado oportunidad a los interesados para expresar sus opiniones, y con base en las pruebas e informes disponibles, se tomará la decisión, que será motivada”.

Por otra parte, el artículo 176 del Código General del Proceso señala que: “Las pruebas deberán ser apreciadas en conjunto, de acuerdo con las reglas de la sana critica, sin perjuicio de las solemnidades prescritas en la ley sustancial para la existencia o validez de ciertos actos ( )”. Atendiendo las reglas citadas, encontramos que, para el caso que nos ocupa, vencido el término otorgado por esta Superintendencia para que la investigada rindiera sus explicaciones y ejerciera Disponible en: https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Publicaciones/Cartilla_formatos_datos_Personales_nov22.pdf HOJA N 12, “Por la cual se impone una sanción administrativa y se imparten órdenes” su derecho de defensa y contradicción, esta guardó silencio respecto de haberle informado a la Titular la finalidad de la recolección y los derechos que le asisten en virtud de la autorización otorgada para el Tratamiento de sus datos personales.

Así las cosas, se evidencia el incumplimiento de la investigada del deber de informar debidamente a la Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, razón por la cual, se impondrá la sanción pecuniaria correspondiente. 8.2.4 Del deber de tramitar los reclamos formulados por la titular de la información Del deber de tramitar los reclamos formulados por la titular de la información El literal b) del artículo 8 de la Ley Estatutaria 1581 de 2012 establece uno de los derechos del Titular de los datos consistente en “[s]olicitar prueba de la autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10 de la presente ley”.

A su turno, el literal j) del artículo 17 de la Ley 1581 de 2012, establece uno de los deberes a cargo de los Responsables de la Información en los siguientes términos:

ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley; (…).” En línea con lo anterior, el artículo 15 del cuerpo normativo en cita dispone lo siguiente: “ARTÍCULO 15.

RECLAMOS. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1.

El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.

Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.

Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.

Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.” En referencia a los artículos en cita, la Cote Constitucional, mediante sentencia C- 748 de 20117, realizó las siguientes precisiones: “Sobre este mecanismo de reclamos que se consagra ante los responsables y encargados del dato, se puede advertir que los términos que se dieron para que el obligado conteste los requerimientos hechos son los mismos que se consagran para el derecho de petición en el Cfr. Corte Constitucional, sentencia C 748 del 2011, seis (6) de octubre de dos mil once (2011), de fecha Magistrado Ponente Jorge Ignacio Pretelt Chaljub HOJA N 13, “Por la cual se impone una sanción administrativa y se imparten órdenes” Código Contencioso Administrativo, razón por la que se pueden transpolar los comentarios que se dejaron consignados sobre el carácter instrumental del derecho de petición, en aras de permitir al titular del dato ejercer las facultades que se derivan del habeas data.

En la misma sentencia, la Corte de refirió a las características que debe tener la respuesta para que se entienda satisfecho el derecho de petición8, así: “En ese orden, tanto los responsables como los encargados del tratamiento están obligados a observar esos parámetros que en términos generales se pueden resumir de la siguiente manera: (i) la respuesta debe ser de fondo, es decir no puede evadirse el objeto de la petición, (ii) que de forma completa y clara se respondan a los interrogantes planteados por el solicitante, (iii) oportuna, asunto que obliga a respetar los términos fijados en la norma acusada.” Frente a este deber, el Despacho evidenció, por medio de la Resolución N°. 43997 del 31 de julio de 2020, que: “En el caso objeto de estudio, este Despacho encuentra que, de acuerdo con la denuncia presentada por la señora XXXXXXXX XXXXXX XXXXXXX, la sociedad GB INVESMENT DE COLOMBIA SAS posiblemente se abstuvo de emitir una respuesta congruente respecto de la solicitud de la denunciante en el sentido de que no envió a esta la copia de la autorización por ella requerida.

Así las cosas, preliminarmente, este Despacho advierte un presunto incumplimiento por parte de la sociedad GB INVESMENT DE COLOMBIA SAS al deber contenido en el literal j) del artículo 17 den concordancia con el artículo 15 de la Ley 1581 de 2012 y el literal b) del artículo 8 de la misma ley.” Ahora bien, este Despacho encuentra lo siguiente en relación con el acervo probatorio: La presente investigación administrativa tuvo su génesis en la denuncia presentada por la señora XXXXXXXX XXXXXX XXXXXXX ante esta Superintendencia el día 5 de junio de 2019 bajo el número 19-125470-0, en la que manifestó, entre otras cosas, haber remitido dos reclamos a la sociedad GB INVESMENT DE COLOMBIA S.A.S. el día 26 de abril de 2019.

Para efectos de trazabilidad de la información, a continuación, se relacionan los datos principales de dichas reclamaciones, así como las fechas en que la investigada debió dar respuesta: N° de reclamo Fecha de presentación 26 de abril de 2019 (9:06 a.m.) Dirección de correo electrónico de destino Solicitud "Solicito por favor se me envíe una prueba del consentimiento a través del cual autoricé que mis datos personales fueran utilizados por ustedes para recibir llamadas promocionales, en razón de la recibida en el mes de enero a través de la cual me ofrecieron sus "obsequios" y me citaron en sus instalaciones. gerencia@mastersale.com.co, atencionsocios@mastersale.com.co Mi requerimiento busca hacer efectivo el pleno y beneficios@mastersale.com.co respeto del derecho fundamental a la protección de datos personales.

Espero una pronta respuesta fundamentada en el deber de atender las consultas y reclamos presentadas por el titular." Idem Último día para dar respuesta 20 de mayo de 2019 “Por la cual se impone una sanción administrativa y se imparten órdenes” HOJA N 14, "Ref: Respuesta a su evasiva tras la violación a mi derecho fundamental a la protección de datos personales 26 de abril de 2019 (12:30 p.m.) El contrato al que hacen mención se celebró mediante publicidad engañosa e inducción al error en una visita presencial que realicé a sus instalaciones producto de la invitación realizada por la asesora Andrea Ramírez en una llamada telefónica previamente recibida en mi número gerencia@mastersale.com.co, celular, de la cual tengo una grabación como atencionsocios@mastersale.com.co constancia y antes de la cual no tenía y beneficios@mastersale.com.co conocimiento de Master Sale / GB Investment ni había autorizado el tratamiento de mi información. 20 de mayo de 2019 Solicito concretamente se me envíe SIN MÁS EVASIVAS el consentimiento escrito a través del cual autoricé me realizarán (sic) la llamada inicial mediante el método no tradicional de venta que utilizaron para citarme en sus oficinas y ofrecerme un producto o servicio que no estaba buscando." Fuente: Cuadro de elaboración propia Asimismo, la Titular aportó, junto con su escrito de denuncia 9, una captura de pantalla de un mensaje de correo electrónico que, si bien contiene un texto, no detalla los datos del remitente ni de la fecha de envío del mismo.

Para una mayor ilustración, se presenta a continuación la imagen de dicha captura de pantalla: Con el propósito de reunir elementos de juicio suficientes, la Coordinación del Grupo de Trabajo de Investigaciones Administrativas de esta Dirección requirió a la sociedad investigada el día 14 de febrero de 2020, bajo el número de radicación 19-125470-3, para que informara, entre otras cosas, allegara copia de las peticiones, consultas o reclamaciones presentadas por la Titular, junto con la respuesta suministrada y los documentos que acrediten su entrega.

Entre otros documentos, los relacionados con los reclamos presentados por la Titular el 26 de abril de 2019. No obstante lo anterior, la sociedad GB INVESMENT DE COLOMBIA S.A.S. guardó silencio frente al requerimiento realizado por esta autoridad. Que, con base en los hechos anotados y de acuerdo con las pruebas obrantes en el expediente, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, el 31 de julio de 2020 se inició la presente investigación administrativa mediante la expedición de la Resolución N°. 43997 de 2020, por medio de la cual se formularon cargos a la sociedad GB INVESMENT DE COLOMBIA S.A.S., entre otros, por el incumplimiento a las disposiciones contenidas en literal j) del artículo 17 en concordancia con el artículo 15 de la Ley 1581 de 2012 y el literal b) del artículo 8 de la misma ley.

Radicado 19-125470-0. “Por la cual se impone una sanción administrativa y se imparten órdenes” HOJA N 15, En este punto, resulta necesario reiterar que la sociedad investigada no presentó descargos, ni aportó pruebas que pretendiera hacer valer dentro de la investigación administrativa adelantada por esta Dirección y tampoco allegó escrito de alegatos de conclusión. Consecuencia de lo expuesto, encuentra este Despacho que: - Se encuentra acreditado, en virtud de los soportes documentales remitidos junto con el escrito de denuncia, que la señora XXXXXXXX XXXXXX XXXXXXX remitió dos reclamaciones a la sociedad GB INVESMENT DE COLOMBIA S.A.S. el día 26 de abril de 2019, a través de las direcciones de correo electrónico gerencia@mastersale.com.co, atencionsocios@mastersale.com.co y beneficios@mastersale.com.co. - Se puede inferir razonablemente que la sociedad GB INVESMENT DE COLOMBIA S.A.S. otorgó respuesta el 26 de abril de 2019 a la primera reclamación presentada por la Titular.

Lo anterior, debido a que, aunque la captura de pantalla del mensaje de correo electrónico no detalla los datos del remitente ni de la fecha de envío del mismo, sí contiene una respuesta que da lugar a la segunda reclamación presentada por la Titular de la información. Ahora bien, no puede perderse de vista que, aun cuando la sociedad GB INVESMENT DE COLOMBIA S.A.S. respondió la primera reclamación el mismo día en que esta fue presentada por la Titular, es decir, el 26 de abril de 2019; dicha respuesta no cumple con las características definidas por el Alto Tribunal Constitucional para el efecto, en la medida que: 1.

La respuesta evade el objeto de la petición, en tanto no atiende la solicitud de la señora XXXXXXXX XXXXXX XXXXXXXX en el sentido de que no le envió a esta la copia de la autorización por ella requerida. 2. La respuesta no responde de forma clara y completa los interrogantes planteados por la solicitante. - Frente a la segunda reclamación presentada por la señora XXXXXXXX XXXXXX XXXXXXX ante la sociedad investigada día 26 de abril de 2019, encuentra este Despacho que fenecido el término para que la sociedad GB INVESMENT DE COLOMBIA S.A.S. diera respuesta (20 de mayo de 2019), esta guardó silencio. - Se advierte por parte de este Despacho, que la sociedad investigada no aportó prueba que demuestre que, conforme a lo estipulado en el artículo 15 de la Ley Estatutaria 1581 de 20122, requirió a la interesada dentro de los cinco (5) días siguientes a la recepción del segundo reclamo para que completara los datos de su solicitud, así como tampoco haberle informado a la Titular sobre posibles motivos de demora de la respuesta y la fecha en la que sería atendido su reclamo, como lo ha manifestado la Corte Constitucional en reiterada jurisprudencia, insistiendo que, aún en ese escenario, dicha extensión temporal en ningún caso podría superar los ocho (8) días hábiles siguientes al vencimiento del primer término para otorga respuesta.

Así las cosas, se encuentra suficientemente acreditado que la sociedad GB INVESMENT DE COLOMBIA S.A.S.: (i) no otorgó una respuesta de fondo que atendiera la solicitud y los interrogantes formulados por la señora XXXXXXXX XXXXXX XXXXXXX en el primer reclamo presentado el día 26 de abril de 2019 y (ii) no atendió de forma oportuna, es decir, dentro del término legal previsto para el efecto, el segundo reclamo presentado por la Titular de la información; conductas con las que transgredió el deber dispuesto en el literal j) del artículo 17 en concordancia con el artículo 15 de la Ley 1581 de 2012 y el literal b) del artículo 8 de la misma ley.

Consecuencia de lo anterior, se impondrá la respectiva sanción pecuniaria. 8.2.5 Del deber de adoptar una Política de Tratamiento de datos personales y darla a conocer a los Titulares de la información El principio de transparencia definido en el literal e) del artículo 4 de la Ley 1581 de 2012 establece que los Responsables del Tratamiento están obligados a garantizarle al Titular, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.

El anterior principio se materializa, entre otros mecanismos jurídicos, a través de la Política de Tratamiento de Información Personal. “Por la cual se impone una sanción administrativa y se imparten órdenes” HOJA N 16, El literal k) del artículo 17 de la Ley 1581 de 2012 señala que los Responsables deberán adoptar manuales internos de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley Estatutaria.

“Artículo 17. Deberes De Los Responsables Del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;

(…) Artículo 25. Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes.

Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en este los Responsables del Tratamiento”.

(Subrayado y negrita adicionados) Al respecto, el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015 señala que los Responsables del Tratamiento deberán (i) escribir sus políticas para el tratamiento de los datos personales; (ii) implementarlas en medio físico o electrónico, en un lenguaje claro y sencillo; y (iii) ser puestas en conocimiento de los Titulares.

El artículo también especifica la información que debe incluir en la política, que en ningún caso debe ser inferior a lo establecido en dicha norma, de conformidad con el artículo 25 de la Ley 1581 de 2012. Cita la norma: “(…) Artículo 2.2.2.25.3.1. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas.

Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares. Dichas políticas deberán incluir, por lo menos, la siguiente información: 1. 2. 3. 4. 5. 6. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable.

Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. Derechos que le asisten como Titular. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos.

Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente Decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas. “Por la cual se impone una sanción administrativa y se imparten órdenes” HOJA N 17, (…)”.

Adicionalmente, la norma otorga la posibilidad de dar a conocer la Política de Tratamiento de datos personales a través del aviso de privacidad, el cual está regulado conforme a las siguientes disposiciones contenidas en el Decreto Único Reglamentario 1074 de 2015, así: “Artículo 2.2.2.25.3.2. Aviso de privacidad. En los casos en los que no sea posible poner a disposición del Titular las políticas de tratamiento de la información, los responsables deberán informar por medio de un aviso de privacidad al titular sobre la existencia de tales políticas y la forma de acceder a las mismas, de manera oportuna y en todo caso a más tardar al momento de la recolección de los datos personales.

Artículo 2.2.2.25.3.3. Contenido mínimo del Aviso de Privacidad. El aviso de privacidad, como mínimo, deberá contener la siguiente información: 1. Nombre o razón social y datos de contacto del responsable del tratamiento. 2. El Tratamiento al cual serán sometidos los datos y la finalidad del mismo. 1. Los derechos que le asisten al titular. 4.

Los mecanismos dispuestos por el responsable para que el titular conozca la política de Tratamiento de la información y los cambios sustanciales que se produzcan en ella o en el Aviso de Privacidad correspondiente. En todos los casos, debe informar al Titular cómo acceder o consultar la política de Tratamiento de información. No obstante lo anterior, cuando se recolecten datos personales sensibles, el aviso de privacidad deberá señalar expresamente el carácter facultativo de la respuesta a las preguntas que versen sobre este tipo de datos.

En todo caso, la divulgación del Aviso de Privacidad no eximirá al Responsable de la obligación de dar a conocer a los titulares la política de tratamiento de la información, de conformidad con lo establecido en este capítulo Artículo 2.2.2.25.3.4. Deber de acreditar puesta a disposición del aviso de privacidad y las políticas de Tratamiento de la información. Los Responsables deberán conservar el modelo del Aviso de Privacidad que utilicen para cumplir con el deber que tienen de dar a conocer a los Titulares la existencia de políticas del tratamiento de la información y la forma de acceder a las mismas, mientras se traten datos personales conforme al mismo y perduren las obligaciones que de este se deriven.

Para el almacenamiento del modelo, el Responsable podrá emplear medios informáticos, electrónicos o cualquier otra tecnología que garantice el cumplimiento de lo previsto en la Ley 527 de 1999". En torno a este asunto, es importante señalar que: (1) La Política de Tratamiento es una herramienta que permite a los Titulares de la Información pedir, en cualquier tiempo, cuentas a los Responsables del Tratamiento, controlar el uso de sus datos personales y ejercer sus derechos de acceso, actualización, supresión y rectificación de sus datos personales y de revocatoria de la autorización. (2) Este documento debe ser transparente y de fácil acceso para los Titulares de la Información, ya sea por medio escrito10, formatos electrónicos11, medios verbales o cualquier otra tecnología disponible, siempre y cuando garantice y cumpla con el deber de informar al Titular de la Información, y estar redactados un lenguaje sencillo y claro.

El requisito de que el lenguaje sea claro y sencillo significa que, por ejemplo, la política sea comprensible para el tipo de personas a la que se dirige; esto reviste una importancia especial cuando se trata de niños, niñas o adolescentes, o personas con alguna discapacidad, o personas de la tercera edad, o personas que no hablen el idioma castellano, etc., razón por la cual, en una política de tratamiento se debe evitar, entre otras cosas, a: (i) contener un lenguaje o terminología de naturaleza excesivamente legal, técnica o especializada; e (ii) incluir ambigüedades, oraciones y estructuras lingüísticas complejas.

Por ejemplo: medios impresos, anuncios impresos, formularios, etc. Electrónicamente - en mensajes de texto; en los sitios web; en correos electrónicos; en aplicaciones móviles. “Por la cual se impone una sanción administrativa y se imparten órdenes” HOJA N 18, (3) Los Responsables del Tratamiento deberán poner en conocimiento al Titular de la Información, a más tardar al momento de la recolección de los datos personales, la política de tratamiento de información personal.

La reunión de estos elementos permiten garantizar “el ámbito de protección del derecho de habeas data”12, pues resultan oponibles al sujeto obligado en los procesos de recolección, tratamiento, circulación y disposición final de datos, así como también permite garantizar a los Titulares el pleno y efectivo ejercicio del derecho de habeas data a través de la implementación y puesta en marcha, a su vez, de los principios que rigen el tratamiento de los datos personales mediante herramientas claramente definidas y los procedimientos para su implementación. Así las cosas, la Política de Tratamiento de Datos Personales es el mecanismo dispuesto por la ley para hacer efectivo el derecho de los Titulares al habeas data, al ser la máxima expresión del principio de transparencia al reflejar ante los Titulares el modo de hacer valer su derecho al habeas data.

Ahora bien, se tiene que el día 14 de febrero de 2020, bajo comunicación con radicado número 19125470-3, esta Dirección a través del Grupo de Trabajo de Investigaciones Administrativas, le solicitó a la sociedad GB INVESMENT DE COLOMBIA S.A.S. que allegara, entre otros, el siguiente documento: “8. Envíe copia de la política de tratamiento de datos personales.” No obstante lo anterior, la investigada no suministró respuesta alguna a esta Superintendencia, motivo por el cual, el día 5 de marzo de 2020, bajo radicado número 19-125470-7, esta Dirección, a través del Grupo de Trabajo de Investigaciones Administrativas, le solicitó por segunda vez a la sociedad GB INVESMENT DE COLOMBIA S.A.S. que remitiera el documento solicitado.

Frente a lo cual, la investigada tampoco realizó pronunciamiento alguno. De acuerdo con lo expuesto, en el presente caso se debe tener en cuenta que el inciso primero del artículo 42 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo dispone lo siguiente: “Habiéndose dado oportunidad a los interesados para expresar sus opiniones, y con base en las pruebas e informes disponibles, se tomará la decisión, que será motivada”.

Por otra parte, el artículo 176 del Código General del Proceso señala que: “Las pruebas deberán ser apreciadas en conjunto, de acuerdo con las reglas de la sana critica, sin perjuicio de las solemnidades prescritas en la ley sustancial para la existencia o validez de ciertos actos ( )”. Atendiendo las reglas citadas, encontramos que, para el caso que nos ocupa, vencido el término otorgado por esta Superintendencia para que la investigada rindiera sus explicaciones y ejerciera su derecho de defensa y contradicción, esta guardó silencio respecto del deber de adoptar una Política de Tratamiento de datos Personales y darla a conocer a los Titulares de la información. Así las cosas, se evidencia el incumplimiento de la sociedad GB INVESMENT DE COLOMBIA S.A.S. al deber consagrado en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la misma normatividad y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015; razón por la cual, se impondrá la correspondiente sanción pecuniaria. 8.2.6 Respecto del deber de cumplir con las instrucciones de la Superintendencia de Industria y Comercio El literal o) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: 12 Corte Constitucional, sentencia C-748 de 2011 HOJA N 19, “Por la cual se impone una sanción administrativa y se imparten órdenes” (…) o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.” En esta medida, es claro que los Responsables deben cumplir con las instrucciones (ordenes) impartidas por las autoridades de seguimiento y vigilancia por mandato legal.

En este punto, vale la pena hacer énfasis sobre la naturaleza de esta entidad y sus funciones, así: De acuerdo con el artículo 25 del Decreto 2974 del 03 de diciembre de 196813, por el cual se creó la Superintendencia de Industria y Comercios, esta entidad tiene la obligación legal de ejercer funciones de vigilancia y control de acuerdo con las normas vigentes que le corresponden.

De forma que, con la expedición del Decreto 4886 del 2011, esta entidad ejerce la vigilancia y control sobre el régimen de habeas data, que se encuentra consagrado en el artículo 15 de la Constitución Platica de 1991 y, en este caso particular, en la Ley 1581 de 2012. En esa medida, esta Superintendencia protege el derecho fundamental de habeas data, es decir, el derecho que tiene todo Titular de información de conocer, actualizar y rectificar los datos personales que sobre ellos se encuentren en cualquier base de datos.

Para el caso particular, la protección está amparada en la Ley 1581 de 2012, la cual establece que la protección será aplicable a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. Así mismo, esta Superintendencia, a través de esta Dirección de Investigación de Protección de Datos Personales, ejercerá la vigilancia de las funciones de los Responsables y Encargados del Tratamiento y podrá ordenar la corrección, actualización o retiro de datos personales de una base de datos, cuando así se determine dentro de la investigación. Finalmente, no debe perderse de vista que la Ley 1581 de 2012 se expidió para desarrollar el derecho constitucional de habeas data consagrado en el artículo 15 de la Carta Política de 1991; es decir, esta Ley desarrolla el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos, y los demás derechos, libertades y garantías constitucionales relacionadas con la recolección, tratamiento y circulación de datos personales.

Igualmente, importante resulta el concepto de “ley estatutaria”, la cual, según la sentencia C-687 de 2002, está dispuesta para regular ciertas materias que el Constituyente consideró de especial importancia en nuestra sociedad. Esta figura legislativa tiene una especial jerarquía, ya que una ley se entenderá pertenecer a tal jerarquía cuando se cumplen los siguientes requisitos: (i) el asunto trata de un derecho fundamental y no de un derecho constitucional de otra naturaleza, (ii) cuando por medio de la norma está regulándose y complementándose un derecho fundamental, (iii) cuando dicha regulación toca los elementos conceptuales y estructurales mínimos de los derechos fundamentales, y (iv) cuando la normatividad tiene una pretensión de regular integralmente el derecho fundamental.

Por lo anterior y bajo el entendido que estamos ante una legislación de especial jerarquía sobre el resto de las leyes nacionales en la medida en que regula el derecho fundamental a la protección de datos personales, todo Responsable del Tratamiento de dichos datos debe obligatoriamente ajustarse a los requisitos y deberes que les impone la ley por tratase de un derecho fundamental.

Así las cosas, esta Ley faculta a esta Dirección a exigir de los Responsables del Tratamiento los deberes que estos deben cumplir de conformidad con el artículo 17 de la Ley en cita. De esta manera, se reitera que la sociedad GB INVESMENT DE COLOMBIA S.A.S. debe, de una parte, atender los diferentes llamados de esta Superintendencia y, de otro, demostrar el cumplimiento de los deberes a los que se encuentra obligada por ser Responsable del Tratamiento de Datos Personales.

Decreto 2974 del 3 de diciembre de 1968, “por el cual se reorganiza el Ministerio de Fomento y se dictan otras disposiciones”. “Por la cual se impone una sanción administrativa y se imparten órdenes” HOJA N 20, Así, mediante oficio 19-125470-3 del 14 de febrero de 2020 se requirió a la sociedad GB INVESMENT DE COLOMBIA S.A.S. con el fin de que suministrara respuesta a los interrogantes planteados, dentro de los diez (10) días hábiles siguientes al recibo de dicha comunicación. Dicho requerimiento fue (i) enviado a la dirección de notificaciones registrada en el Certificado de Existencia y Representación Legal de esa sociedad y (ii) entregado el 30 de octubre de 2018.

En virtud de ello, la investigada debía suministrar la respuesta a este requerimiento el 19 de febrero de 2019, como consta en la guía de envío XXXXXXXXXXXXXX. No obstante lo anterior, la investigada no suministró respuesta alguna a esta Superintendencia, motivo por el cual, el día 5 de marzo de 2020, bajo radicado número 19-125470-7, esta Dirección, a través del Grupo de Trabajo de Investigaciones Administrativas, le solicitó por segunda vez a la sociedad GB INVESMENT DE COLOMBIA S.A.S. que remitiera el documento solicitado.

Frente a lo cual, la sociedad investigada nuevamente guardó silencio. Ahora bien, de acuerdo con lo anterior, en el caso bajo estudio se debe tener en cuenta que el inciso primero del artículo 42 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo dispone lo siguiente: “Habiéndose dado oportunidad a los interesados para expresar sus opiniones, y con base en las pruebas e informes disponibles, se tomará la decisión, que será motivada”.

Por otra parte, el artículo 176 del Código General del Proceso señala que: “Las pruebas deberán ser apreciadas en conjunto, de acuerdo con las reglas de la sana critica, sin perjuicio de las solemnidades prescritas en la ley sustancial para la existencia o validez de ciertos actos ( )”. Atendiendo las reglas citadas, encontramos que, para el caso que nos ocupa, vencido el término otorgado por esta Superintendencia para que la investigada rindiera sus explicaciones y ejerciera su derecho de defensa y contradicción, esta guardó silencio respecto del deber de cumplir con las instrucciones y requerimientos que imparta esta Superintendencia. Así las cosas, se evidencia el incumplimiento de la investigada del deber de cumplir con las instrucciones y requerimientos que imparta esta Superintendencia, razón por la cual se impondrá la sanción correspondiente, por lo que a la fecha han transcurrido un total de veintinueve (29) meses desde que se realizó el primer requerimiento de información sin recibir respuesta de la investigada.

NOVENO: Respecto de la Responsabilidad de los Administradores en materia de Datos Personales Así mismo, en este punto es oportuno traer a acotación lo conceptuado en la Resolución No.83882 del 15 de noviembre de 2018, emanada del Despacho del Superintendente Delegado Para la Protección de Datos Personales, respecto de la responsabilidad de los administradores, el cual prevé lo siguiente: “Responsabilidad de los administradores en materia de tratamiento de datos personales.

El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.

La efectividad de los derechos humanos es un asunta de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien “Por la cual se impone una sanción administrativa y se imparten órdenes” HOJA N 21, común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.

En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.

En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas.

Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la ley 222 de 199514 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”15 (subrayamos) (…) Nótese que el artículo 2416 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”17 En este sentido, es de suma importancia resaltar la responsabilidad jurídica y económica, que radica no sólo en las personas jurídicas, sino también en cabeza de sus administradores, de suerte que este Despacho es enfático en aclarar que los mismos deben obrar con profesionalismo y diligencia en su gestión para tratamiento de datos personales.

En virtud de lo anterior, EXHORTAMOS a los Representantes Legales de GB INVESMENT DE COLOMBIA S.A.S., para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los titulares de los datos. 3) Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la principio de responsabilidad demostrada (accountability)”18”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” Crf.

Numeral 2 del artículo 23 de la ley 222 de 1995 El texto completo del artículo 24 de la 222 de 1995 dice lo siguiente: “Artículo

24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así:

ARTICULO 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten. En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador.

De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia. En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar.

Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades ante dichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos Crf.

Parte inicial del artículo 24 de la ley 222 de 1995 18 El texto puede consultarse en: http://www.sic.gov.co/noticias/guia-para-la-implementacion-del-principio-de-responsabilidad-demostrada HOJA N 22, “Por la cual se impone una sanción administrativa y se imparten órdenes” adoptadas para garantizar en la práctica los derechos de los titulares de los datos personales. 5) Demostrar, en los casos que se requiera, que los procedimientos adecuados al interior de la entidad se apliquen en debida forma. 6) Hacer efectivo el pleno respeto del derecho fundamental a la protección de datos de las personas.

DÉCIMO: En este orden de ideas, de acuerdo con lo expuesto en líneas precedentes, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “( )lmpartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley ( )”, esta Instancia procederá a impartir las siguientes instrucciones: • Ordenar a la sociedad GB INVESMENT DE COLOMBIA S.A.S. que desarrolle e implemente una política para el tratamiento de los datos personales que administra, de acuerdo con lo establecido en la Ley 1581 de 2012 y con los requisitos previstos en el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015. • La sociedad GB INVESMENT DE COLOMBIA S.A.S. deberá implementar los procedimientos necesarios para solicitar y conservar copia de la autorización previa, expresa e informada de los titulares que contacta, adicionalmente debe eliminar la información personal de los titulares respecto de los cuales no conserve copia de la mentada autorización. • Implementar procedimientos efectivos para cumplir con el deber de informar debidamente a los Titulares sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.

Adicionalmente, debe abstenerse de hacer uso de los datos personales recolectados sin la previa información hecha a los titulares sobre las finalidades del tratamiento de la información. • Implementar un mecanismo para dar respuesta a todos los requerimientos de este Despacho y de la Delegatura de Protección de Datos Personales. De lo anteriormente ordenado la sociedad GB INVESMENT DE COLOMBIA S.A.S. deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO PRIMERO: Imposición y graduación de la sanción 11.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; “Por la cual se impone una sanción administrativa y se imparten órdenes” HOJA N 23, c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 19.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝐿𝑉 UVT vigente 2021 = Multa en UVT 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional20 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) “Por la cual se impone una sanción administrativa y se imparten órdenes” HOJA N 24, De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”21 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros22. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”23.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia24. 21 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 22 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 23 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm HOJA N 25, “Por la cual se impone una sanción administrativa y se imparten órdenes” La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2325 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 11.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”26 25Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva..” 26 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp. Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra.

“Por la cual se impone una sanción administrativa y se imparten órdenes” HOJA N 26, De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados27.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. Como se ha expuesto, la sociedad GB INVESMENT DE COLOMBIA S.A.S.: Infringió el deber de solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por la Titular de la información, transgrediendo el deber establecido en el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; razón por la cual, se impondrá una sanción pecuniaria de DOS MILLONES QUINIENTOS CUARENTA Y UN MIL QUINIENTOS SESENTA PESOS M/CTE ($2.541.560) equivalentes a SETENTA (70) Unidades de Valor Tributario vigentes.

No le informó a la Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, con lo que transgredió el deber establecido en el literal c) del artículo 17, en concordancia con el literal b) del artículo 4 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; razón por la cual, se impondrá una sanción pecuniaria de DOS MILLONES QUINIENTOS CUARENTA Y UN MIL QUINIENTOS SESENTA PESOS M/CTE ($2.541.560) equivalentes a SETENTA (70) Unidades de Valor Tributario vigentes.

No otorgó una respuesta de fondo que atendiera la solicitud y los interrogantes formulados por la señora XXXXXXXX XXXXXX XXXXXXX en el primer reclamo presentado el día 26 de abril de 2019 y no atendió de forma oportuna, es decir, dentro del término legal previsto para el efecto, el segundo reclamo presentado por la Titular de la información; conductas con las que transgredió el deber dispuesto en el literal j) del artículo 17 en concordancia con el artículo 15 de la Ley 1581 de 2012 y el literal b) del artículo 8 de la misma ley; razón por la cual, se impondrá una sanción pecuniaria de DOS MILLONES QUINIENTOS CUARENTA Y UN MIL QUINIENTOS SESENTA PESOS M/CTE ($2.541.560) equivalentes a SETENTA (70) Unidades de Valor Tributario vigentes.

No cuenta con una Política de Tratamiento de Datos Personales que haya dado a conocer a los Titulares de la información, transgrediendo con ello el deber contemplado en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la misma normatividad y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015; razón por la cual, se impondrá una sanción pecuniaria de DOS MILLONES QUINIENTOS CUARENTA Y UN MIL QUINIENTOS SESENTA PESOS M/CTE ($2.541.560) equivalentes a SETENTA (70) Unidades de Valor Tributario vigentes.

Infringió el deber de cumplir con los requerimientos realizados por esta Superintendencia, en tanto, obvio dar respuesta a los oficios radicados bajo los números 19-125470-3 del 14 de febrero de 2020 y 19-125470-7 del 5 de marzo de 2020, dentro del término otorgado para el efecto; conducta con la que transgredió el deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma ley.En consecuencia, se impondrá una sanción pecuniaria de DOS MILLONES QUINIENTOS CUARENTA Y UN MIL QUINIENTOS 27 Ley 1581 de 2012 “Artículo 23.

La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” “Por la cual se impone una sanción administrativa y se imparten órdenes” HOJA N 27, SESENTA PESOS M/CTE ($2.541.560) equivalentes a SETENTA (70) Unidades de Valor Tributario vigentes.

Así las cosas, en vista de la gravedad de los cargos imputados y probados aunado al hecho que la investigada no se pronunció frente a la formulación de cada uno de los cargos imputados, este Despacho encuentra procedente imponer la sanción dispuesta en el literal a) y el literal b) del artículo 23 de la Ley 1581 de 2012. Por lo tanto, se impondrá la sanción pecuniaria tasada, así como la sanción de “(…) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar (…)”. 11.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581de 2012 no se aplicará toda vez que la investigada no reconoció de manera expresa la comisión de la infracción al deber contemplado en el literal en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con los artículos 14 y 15 de la misma ley.

DÉCIMO SEGUNDO: CONCLUSIÓN Según lo expuesto por esta Dirección, la sociedad GB INVESMENT DE COLOMBIA S.A.S.: 1. Incumplió el deber de solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por la Titular de la información. 2. No le informó a la Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. 3.

No otorgó una respuesta de fondo que atendiera la solicitud y los interrogantes formulados por la señora XXXXXXXX XXXXXX XXXXXXX en el primer reclamo presentado el día 26 de abril de 2019 y no atendió de forma oportuna, es decir, dentro del término legal previsto para el efecto, el segundo reclamo presentado por la Titular de la información. 4.

No cuenta con una Política de Tratamiento de Datos Personales. 5. Infringió el deber de cumplir con los requerimientos realizados por esta Superintendencia, en tanto, obvio dar respuesta a los oficios radicados bajo los números 19-125470-3 del 14 de febrero de 2020 y 19-125470-7 del 5 de marzo de 2020, dentro del término otorgado para el efecto.

DÉCIMO TERCERO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad GB INVESMENT DE COLOMBIA S.A.S. con Número de Identificación Tributaria 901.175.537-2, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial de la sociedad invesment@mastersale.com.co, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

“Por la cual se impone una sanción administrativa y se imparten órdenes” HOJA N 28, En caso de que la sociedad requiera un acceso adicional de consulta del expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Finalmente, se indica que la totalidad del expediente se encuentra digitalizado para su consulta por medios virtuales. Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad GB INVESMENT DE COLOMBIA S.A.S., identificada con Nit. 901.175.537-2, de DOCE MILLONES SETECIENTOS SIETE MIL OCHOCIENTOS PESOS M/CTE ($12.707.800) equivalentes a TRESCIENTAS CINCUENTA (350) Unidades de Valor Tributario (UVT) vigentes por la violación a lo dispuesto en: (i) El literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015;

(ii) El literal c) del artículo 17, en concordancia con el literal b) del artículo 4 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; (iii) El literal j) del artículo 17 en concordancia con el artículo 15 de la Ley 1581 de 2012 y el literal b) del artículo 8 de la misma ley;

(iv) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la misma normatividad y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015; y (v) El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal f) del artículo 21 de la misma ley.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: IMPONER a la sociedad GB INVESMENT DE COLOMBIA S.A.S., identificada con Nit. 901.175.537-2, la sanción de suspensión de las actividades relacionadas con el Tratamiento de Datos Personales por un término de seis (6) meses; termino dentro del cual deberá implementar las correcciones señaladas en el artículo siguiente.

PARÁGRAFO PRIMERO: Vencido dicho término, la sociedad GB INVESMENT DE COLOMBIA S.A.S., identificada con Nit. 901.175.537-2, deberá acreditar ante esta Superintendencia el cumplimiento de lo ordenado en la presente Resolución. En caso de incumplir con lo señalado, se impondrá la sanción dispuesta en el literal d) del artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “Por la cual se impone una sanción administrativa y se imparten órdenes” HOJA N 29, “Artículo 23.

Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: (…) d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles; (…)”.

ARTÍCULO TERCERO: ORDENAR a la sociedad GB INVESMENT DE COLOMBIA S.A.S., identificada con Nit. 901.175.537-2, cumplir con las siguientes instrucciones: • Desarrollar e implementar una política para el tratamiento de los datos personales que administra, de acuerdo con lo establecido en la Ley 1581 de 2012 y con los requisitos previstos en el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015. • Implementar los procedimientos necesarios para solicitar y conservar copia de la autorización previa, expresa e informada de los titulares que contacta, adicionalmente debe eliminar a información personal de los titulares respecto de los cuales no conserve copia de la mentada autorización. • Implementar procedimientos efectivos para cumplir con el deber de informar debidamente a los Titulares sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.

Adicionalmente, debe abstenerse de hacer uso de los datos personales recolectados sin la previa información hecha a los titulares sobre las finalidades del tratamiento de la información. • Implementar un mecanismo para dar respuesta a todos los requerimientos de este Despacho y de la Delegatura de Protección de Datos Personales.

PARÁGRAFO PRIMERO: La sociedad GB INVESMENT DE COLOMBIA S.A.S., identificada con Nit. 901.175.537-2, deberá acreditar el cumplimiento de lo ordenado mediante certificación firmada por el representante legal y la documentación pertinente dentro del término de los tres (3) meses siguientes a la ejecutoria de la presente decisión.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad GB INVESMENT DE COLOMBIA S.A.S., identificada con Nit. 901.175.537-2, acreedora de las sanciones previstas en la ley.

ARTÍCULO CUARTO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad GB INVESMENT DE COLOMBIA S.A.S., identificada con Nit. 901.175.537-2, a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO QUINTO: COMUNICAR a la señora XXXXXXXX XXXXXX XXXXXXX, identificada con cédula de ciudadanía xxxxxxxxxxxxx, el contenido de la presente decisión.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 25 NOVIEMBRE 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.11.25 21:42:25 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: MRFA Revisó: SRB Aprobó: CESM “Por la cual se impone una sanción administrativa y se imparten órdenes” NOTIFICACIÓN: Investigada: Sociedad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: GB INVESMENT DE COLOMBIA S.A.S. Nit. 901.175.537-2 RODRIGO JOSÉ OLIVERA HAYDAR 12.695.971 CARRERA 43 A NO. 34 95 LOCAL 108 A Medellín, Antioquia invesment@mastersale.com.co COMUNICACIÓN: Señora: Identificación: Dirección: Ciudad: Correo electrónico: XXXXXXXX XXXXXX XXXXXX XXXXXXXXXXX XXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXX xxxxxxxxxxxxxxxxxxxxxxxxx HOJA N 30,