Decisión 7480 de 2020 — SIC

(14 OCTUBRE 2020) VERSIÓN PÙBLICA “Por la cual se imponen unas sanciones” Radicación 18-230292 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de las siguientes sociedades GENERAL SERVICE DE COLOMBIA SAS identificada con Nit 900.325.660-1, COMSERVICE ASISTENCIA S.A.S, identificada con Nit 901.066.050-0, EDITORIA RED PREFERENCIAL S.A.S identificada con Nit 901.119.668-0, CCG SOLUCIONES S.A.S identificada con Nit 900.554.831-6,en adelante, individualmente, “la investigada”, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos narrados por el señor XXXXXXXXXXXXXXXXXXX identificado con la cédula de ciudadanía número XXXXXXXXXXXX: 1.1.

Asegura que el día 13 de junio de 2018, recibió una llamada telefónica de GENERAL SERVICE DE COLOMBIA S.A.S. mediante la cual, le solicitaban la confirmación de sus datos personales, a saber, como: número telefónico, nombres y apellidos completos, número de la cédula de ciudadanía y número de la tarjeta de crédito Olímpica MasterCard. 1.2.

Manifiesta que, le generó sorpresa que dicho agente comercial conociera con precisión el cupo de la tarjeta de crédito Olímpica MasterCard, cuando la información solo debía estar en conocimiento de SERVICIOS FINANCIEROS S.A. SERFINANZA COMPAÑÍA DE FINANCIAMIENTO y del suscrito 1.3. Asevera que, al poco tiempo de haber colgado la llamada, recibió una llamada telefónica de COMSERVICE ASISTENCIA S.A.S., mediante el cual se le solicitó la confirmación de sus datos personales, a saber: número telefónico, nombres y apellidos completos, número de la cédula de ciudadanía y número de la tarjeta de crédito Olímpica MasterCard. 1.4.

Así mismo, para el día 30 de junio de 2018, recibió una llamada telefónica de CCG SOLUCIONES S.A.S., mediante la cual le solicitaron la confirmación de sus datos personales a saber: número telefónico, nombres y apellidos completos, número de la cédula y número de la tarjeta de crédito Olímpica MasterCard. 1.5. Así las cosas, solicita se inicie investigación administrativa en contra de MEMBRESIA VIP CLUB S.A.S., GENERAL SERVICE DE COLOMBIA S.A.S., EDITORA RED PREFERENCIAL S.A.S., COMSERVICE ASISTENCIA S.A.S., CCG SOLUCIONES S.A.S., por la presunta violación de las disposiciones sobre administración de datos personales de carácter financiero, con el fin de proteger su interés particular, así como, el interés general de la comunidad.

SEGUNDO: Que a partir del análisis de las pruebas recolectadas por esta Dirección, este Despacho encontró que se habrían ejecutado conductas presuntamente violatorias de las normas sobre protección de datos personales, y en virtud de lo dispuesto en el artículo 19 y el literal b) del artículo 21 del de la Ley 1581 de 2012; razón por la cual procedió con la apertura de la investigación administrativa de la referencia y formuló cargos a través de la Resolución 7480 del 29 de marzo de 2019 en contra de las sociedades investigadas, así: 2.1 CARGOS A LA SOCIEDAD GENERAL SERVICE DE COLOMBIA S.A.S: HOJA N 2, “Por la cual se imponen unas sanciones” 2.1.1 Cargo primero: el presunto incumplimiento por parte de la investigada en su condición de Responsable del Tratamiento al deber de adoptar una Política de Tratamiento de Datos Personales para garantizar el adecuado cumplimiento del Régimen de Protección de Datos Personales de acuerdo a lo consagrado en el inciso 2 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015. 2.1.2 Cargo segundo: la presunta trasgresión de la investigada en su calidad de Responsable del Tratamiento al deber contemplado en el literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. 2.1.3 Cargo tercero: la presunta vulneración al deber que la investigada ostenta en su condición de Responsable del Tratamiento de informar al Titular sobre las finalidades del Tratamiento al que serán sometidos sus datos personales, de conformidad con lo establecido en el literal c) del artículo 17 en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 y el artículo 2.2.2.25.2.3 ejúsdem. 2.1.4 Cargo cuarto: la presunta vulneración al deber que la investigada ostenta en su condición de Responsable del Tratamiento de desarrollar e implementar un manual de Políticas de seguridad de conformidad con el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. 2.2 CARGOS A LA SOCIEDAD EDITORA RED PREFERENCIAL S.A.S. 2.2.1 Cargo único: la presunta trasgresión de la investigada en su calidad de Responsable del Tratamiento al deber contemplado en el literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. 2.3 CARGOS A LA SOCIEDAD COMSERVICE ASISTENCIA S.A.S Cargo único: la presunta trasgresión de la investigada en su calidad de Responsable del Tratamiento" al deber contemplado en el literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. 2.4 CARGOS A LA SOCIEDAD CCG SOLUCIONES S.A.S. 2.4.1 Cargo primero: el presunto incumplimiento por parte de la investigada en su condición de Responsable del Tratamiento al deber de adoptar una Política de Tratamiento de Datos Personales para garantizar el adecuado cumplimiento del Régimen de Protección de Datos Personales de acuerdo a lo consagrado en el inciso 2 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015. 2.4.2 Cargo segundo: la presunta trasgresión de la investigada en su calidad de Responsable del Tratamiento al deber contemplado en el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012. así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. 2.4.2 Cargo tercero: la presunta vulneración al de deber que la investigada ostenta en su condición de Responsable del Tratamiento de desarrollar e implementar un manual de Políticas de seguridad de conformidad con al literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. 2.4.4 Cargo cuarto: la presunta vulneración al de deber que la investigada ostenta en su condición de Responsable del Tratamiento de desarrollar e implementar un manual de HOJA N 3, “Por la cual se imponen unas sanciones” procedimiento para la atención de consultas y reclamos, de conformidad con el literal k) del artículo 17 de la Ley 1581 de 2012. 2.4.5 Cargo quinto: la presunta vulneración al deber que la investigada ostenta en su condición de Responsable del Tratamiento de desarrollar e implementar un procedimiento para la recolección, almacenamiento, uso circulación y supresión de la información, de conformidad con los previsto en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1. 2.4.6 Cargo sexto: la presunta contravención por parte de la investigada en su condición de Responsable del Tratamiento del deber de atender los requerimientos de la autoridad de protección de datos personales, consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012.

El día 29 marzo 2019, se inició la presente investigación administrativa mediante la expedición de la Resolución 7480 de 2019 radicada bajo el número 18-230292-15-1 del 1 de abril de 2019, por medio del cual se formularon: (i) CUATRO (4) CARGOS a la sociedad GENERAL SERVICE DE COLOMBIA, identificada con Nit. 900.325.660-1, (ii) CARGO ÚNICO (1) a la sociedad EDITORA RED PREFERENCIAL SAS identificada con Nit 901.119-668-0, (iii) CARGO ÚNICO (1) a la sociedad COMSERVICE ASISTENCIA identificada con Nit 901.066.050-0, (iv) SEIS (6) CARGOS a la sociedad CCG SOLUCIONES SAS identificada con Nit 900.554.831-6. • Que la Resolución 7480 del 29 de marzo de 2019 le fue notificada a la sociedad GENERAL SERVICE DE COLOMBIA mediante aviso 4199 el día 12 de abril de 2019, según consta en certificación expedida por la Secretaria General Ad-hoc de esta Superintendencia1, para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante. • Que la Resolución 7480 del 29 de marzo de 2019 le fue notificada a la sociedad EDITORA RED PREFERENCIAL SAS mediante aviso 4200 el día 12 de abril de 2019, según consta en certificación expedida por la Secretaria General Ad-hoc de esta Superintendencia2, para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante. • Que la Resolución 7480 del 29 de marzo de 2019 le fue notificada a la sociedad COMSERVICE ASISTENCIA mediante aviso 4201 el día 12 de abril de 2019, según consta en certificación expedida por la Secretaria General Ad-hoc de esta Superintendencia3, para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante. • Que la Resolución 7480 del 29 de marzo de 2019 le fue notificada personalmente el día 20 de mayo de 2019, a LUIS FERNANDO MARIN RODRIGUEZ en calidad de autorizado de la sociedad investigada CCG SOLUCIONES SAS, según consta en certificación expedida por la Secretaria General Ad-hoc de esta Superintendencia4, para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante.

Certificación expedida por la Secretaria General Ad-hoc de esta Superintendencia, radicada bajo el número 18-230292- -35 del 5 de junio Certificación expedida por la Secretaria General Ad-hoc de esta Superintendencia, radicada bajo el número 18-230292- -35 del 5 de junio Certificación expedida por la Secretaria General Ad-hoc de esta Superintendencia, radicada bajo el número 18-230292- -35 del 5 de junio Certificación expedida por la Secretaria General Ad-hoc de esta Superintendencia, radicada bajo el número 18-230292- -35 del 5 de junio de 2019. de 2019. de 2019. de 2019.

HOJA N 4, “Por la cual se imponen unas sanciones”

TERCERO: Que mediante escrito radicado bajo el número 18-230292- -00030-0001 de fecha 7 de mayo de 2019 la sociedad GENERAL SERVICE DE COLOMBIA presentó escrito de descargos a través de su representante legal CRISTIAN RUBIANO BERNAL, informando lo siguiente: 3.1.1 En primer término informó que: “cabe aclarar que MEMBRESIA VIP CLUB, es el nombre del portafolio o producto que se ofrece a los clientes, por tal motivo es GENERAL SERVICE DE COLOMBIA SAS quien ofrece dicho producto a clientes que cuenten con Tarjeta de Crédito.

GENERAL SERVICE DE COLOMBIA SAS, sociedad comercial, con domicilio en la ciudad de Bogotá, D.C., identificada bajo el número de NIT: 900325660-1 y debidamente Registrada ante la Cámara de Comercio de Bogotá (CCB), Representada Legalmente por CRISTIAN RUBIANO BERNAL, mayor de edad, vecina y con domicilio en esta ciudad; por medio del presente escrito nos permitimos dar contestación a su requerimiento, atendiendo a su solicitud, con número de radicado 18-230292 dentro de los siguientes términos: 1.

De acuerdo con lo solicitado, en el presente documento anexaremos, la respuesta al Derecho de Petición enviado por el accionante el señor XXXXXXXXXX. 2. De igual manera anexamos junto con este documento copia de los estados financieros específicamente, el Balance General y Estado de Pérdidas y Ganancias de los últimos tres (3) años”. 3.1.2 Así mismo aporta contestación de demanda de consumidor en la cual señaló: “Así mismo aportó contestación de demanda al consumidor del día 13 de noviembre de 2018: Señores de la SIC, ponemos en su consideración lo que pregona El artículo 47 de la Ley 1480 de 2011 consagra la figura del retracto en los siguientes términos: “En todos los contratos para la venta de bienes y prestación de servicios mediante sistemas de financiación otorgada por el productor o proveedor, venta de tiempos compartidos o ventas que utilizan métodos no tradicionales o a distancia, que por su naturaleza no deban consumirse o no hayan comenzado a ejecutarse antes de cinco (5) días, se entenderá pactado el derecho de retracto por parte del consumidor.

En el evento en que se haga uso de la facultad de retracto, se resolverá el contrato y se deberá reintegrar el dinero que el consumidor hubiese pagado. El consumidor deberá devolver el producto al productor o proveedor por los mismos medios y en las mismas condiciones en que lo recibió. Los costos de transporte y los demás que conlleve la devolución del bien serán cubiertos por el consumidor.

(…) Resaltado fuera del texto Ahora bien, doctrinariamente según Villalba Cuellar Juan. (2012). En su texto Introducción al Derecho del Consumidor. Bogotá, D.C.: Universidad Militar Nueva Granada. (Página 155) manifiesta que el Derecho de Retracto: (…) es una prerrogativa que se le da al consumidor en ciertos contratos de consumo de terminar con el mismo, arrepentirse o desistir de la celebración del contrato con posterioridad a su celebración durante un término previamente regulado en la ley (…) En cuanto a la naturaleza Jurídica del Derecho a Retracto el autor añade: “El Derecho de retracto se trata de una figura que marca un quiebre en el esquema de la contratación tradicional en el cual se sanciona la terminación unilateral de un contrato como regla general, y además constituye una excepción al principio pacta sunt servanda, el contrato se encuentra celebrado y en ejecución o ya ejecutado, sin embargo, el consumidor tiene la prerrogativa de resolverlo sin una causa justificada.

No se trata pues de una especie de ineficacia, el contrato es plenamente válido, se podría concebir como una condición resolutoria meramente potestativa que depende de la voluntad del consumidor”. (pág. 155) Adicionalmente a la definición del concepto de Derecho de Retracto, es importante señalar los casos en que procede tal derecho: •Contratos de venta de bienes y prestación de servicios mediante sistemas de financiación otorgada directamente por el productor o proveedor, •Venta de tiempos compartidos. •Ventas que utilizan métodos no tradicionales, las cuales se clasifican en el artículo 3° del Decreto 1499 de 2014, como aquellas que son realizadas en el lugar de residencia o de trabajo del consumidor, en las que el consumidor es abordado intempestivamente por fuera del establecimiento de comercio y aquellas en las que es llevado a escenarios especialmente dispuestos para aminorar su capacidad de discernimiento.

HOJA N 5, “Por la cual se imponen unas sanciones” •Ventas a distancia que en los términos del numeral 18 del artículo 5° de la Ley 1480 de 2011, ocurren cuando el consumidor no tiene contacto directo previo con el producto que adquiere a través de correo, teléfono, catálogo, comercio electrónico o cualquier otra técnica de comunicación a distancia. Se exceptúan del derecho de retracto, los siguientes casos: 1.

En los contratos de prestación de servicios cuya prestación haya comenzado con el acuerdo del consumidor; 2. En los contratos de suministro de bienes o servicios cuyo precio esté sujeto a fluctuaciones de coeficientes del mercado financiero que el productor no pueda controlar; 3. En los contratos de suministro de bienes confeccionados conforme a las especificaciones del consumidor o claramente personalizados; 4.

En los contratos de suministro de bienes que, por su naturaleza, no puedan ser devueltos o puedan deteriorarse o caducar con rapidez; 5. En los contratos de servicios de apuestas y loterías; 6. En los contratos de adquisición de bienes perecederos; 7. En los contratos de adquisición de bienes de uso personal. El proveedor deberá devolverle en dinero al consumidor todas las sumas pagadas sin que proceda a hacer descuentos o retenciones por concepto alguno. En todo caso la devolución del dinero al consumidor no podrá exceder de treinta (30) días calendario desde el momento en que ejerció el derecho.” (Resaltado fuera de texto).

“A su vez, la Corte Constitucional en la Sentencia T-570 de 1992[1] la Corte el peticionario carece de interés jurídico ya que dejan de existir el sentido y objeto del amparo, razón por la cual habrá de declararse la cesación de la actuación impugnada. Sin embargo, y con el fin de hacer cumplir con nuestra ética corporativa nos ponemos en contacto con el cliente para llegar a una feliz conciliación ya que no contamos con clientes insatisfechos.

Por otra parte, estaríamos hablando de un hecho superado puesto que el día nueve (09) de noviembre de 2018 se le realizo la reversión de los XXXXXXXXXXXXXXXXXXXXXX/CTE) único valor percibido por la compañía. “A su vez, la Corte Constitucional en reiterada jurisprudencia ha explicado que la situación de hecho superado, se origina cuando desaparece la afectación al derecho fundamental invocado.

Por ejemplo, en la Sentencia T-570 de 1992[1] la Corte explica que, si bien la acción de tutela es el mecanismo eficaz para la protección de los derechos fundamentales cuando quiera que éstos resulten amenazados o vulnerados, si la perturbación que dio origen a la acción desparece o es superada, entonces el peticionario carece de interés jurídico ya que dejan de existir el sentido y objeto del amparo, razón por la cual habrá de declararse la cesación de la actuación impugnada.

Así lo reiteró la Corte en la Sentencia T-096 de 2006[2] cuando explicó que en virtud de la figura del hecho superado, si la amenaza actual e inminente que vulnera los derechos fundamentales de una persona deja de existir, entonces el amparo constitucional pierde toda razón de ser como mecanismo apropiado y expedito de protección judicial, pues la decisión que pudiese adoptar el juez respecto del caso específico resultaría inocua y, por lo tanto, contraria al objetivo constitucionalmente previsto para esta acción.” 3.2 Que mediante escrito radicado bajo el número 18-230292-00036-0001 el día 12 de junio 2019 la sociedad CCG SOLUCIONES S.A.S. presentó escrito de descargos a través de su representante legal JEISON ALEXANDER LARA, informando lo siguiente: 3.2.1 Indicó que no fue notificada de la resolución de formulación de cargos y, así mismo, manifestó lo siguiente: “En la página 27 del documento aportado por LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO indican que "el caso analizado, mediante oficio 18-230292-7 del 23 de octubre de 2018, se requirió a la investigada con el propósito de que, entre otras cosas, indicara si "contaba con un manual o procedimiento para la atención de consultas y reclamos", y fue enviado el día 30 de octubre de 2018 al correo electrónico XXXXXXXXXXXXXXXXXX de conformidad con el certificado de existencia y representación legal de la sociedad CCG SOLUCIONES SAS verificada en el RUES, NO obstante, la investigada no suministró respuesta".

Respecto a lo anterior queremos indicar que la empresa CCG SOLUCIONES SAS, identificada con NIT 900.554.831-6, nunca fue notificada de los hechos, como indica el documento entregado bajo el número de resolución 7480 de 2019, también que el correo XXXXXXXXXXXXXXX que hacen referencia en repetidas oportunidades no corresponde a correos de nuestra empresa, y no corresponde al registrado en el certificado de existencia ni en RUT.” HOJA N 6, “Por la cual se imponen unas sanciones” 3.2.2 Señaló la sociedad que fue víctima de estafa y engaño, razón por la cual interpusieron denuncia ante la fiscalía indicando lo siguiente: “Así mismo queremos por medio del presente notificar a la SUPERINTENDECIA DE INDUSTRIA Y COMERCIO que yo XXXXXXX identificado con cédula de ciudadanía N° XXXXXXX de la ciudad de Bogotá en calidad de representante legal de la empresa CCG SOLUCIONES SAS con NIT: 9 00.554.831-6, fui víctima de estafa y engaño y por ende la empresa CCG SOLUCIONES SAS no fue quien cometió las irregularidades mencionas en la notificación antes mencionada.” El pasado 18 de junio de 2018, se efectuó la venta de la empresa CCG SOLUCIONES SAS, con el señor XXXXXX, quien se identificó con cédula de ciudadanía No. XXXXX expedida en la ciudad de Manizales Caldas y quien vive en dicha ciudad, por valor de $ XXXX ( XXXXXX DE PESOS M/C ) el señor XXXXXX dio por pate de pago un valor de $ XXXX,oo (XXXXXX DE PESOS M/C ) quedando un saldo pendiente de $ XXXX (XXXXXXX ) No obstante luego de firmado el documento de compraventa el cual se acentuó en la notaría Catorce de Bogotá, el señor XXXXXX manifestó la urgencia de comenzar la posesión de la Empresa, teniendo el respaldo de un documentos de compraventa firmado por las partes, hicimos entrega inmediata y real de la empresa.” El señor XXXXXXXXXXXXXX, tomó posesión de la empresa y comenzó a efectuar la comercialización de servicio mediante la práctica de venta no tradicional -tele mercadeo, transcurrido un tiempo aproximado de Veinte (20) días en los cuales el señor XXXXX presentó evasivas para llevar a cabo el cambio de representación legal y no contestaba las llamadas telefónicas que realizábamos de forma urgente teniendo en cuenta el acuerdo suscrito; al no conocer ni tener conocimiento del paradero del señor XXXX o de su esposa, retomamos posesión de la empresa y se procedió a colocar denuncia por estafa ante la Fiscalía General de la Nación contra dicha persona.

Luego de retomar labores en la empresa nos dimos cuenta que habían llegado un sinnúmero de reclamaciones y llamadas de clientes indicando que habían sido contactados de parte de la empresa con la finalidad de hacerle ofrecimientos comerciales con cargo a sus tarjetas de crédito, situación que genero para nosotros alerta por la gran cantidad de reclamaciones Y quejas directas de los clientes, más teniendo en cuenta que seguíamos en la representación legal de la empresa.

En cuanto a la denuncia penal informó que: Interpuesta la denuncia por estafa ante la Fiscalía General de la Nación colocamos en conocimiento a nuestro Banco adquirente Bancolombia y a diferentes entidades que controlan las actividades de las ventas telefónicas como INCOCREDITO Y REDEBAN para que efectuaran los monitores correspondientes.

A la fecha de reportarles a ustedes las circunstancias presentadas no conocemos el paradero del señor XXXXXX y seguimos recibiendo notificaciones de clientes los cuales a su parecer no aceptaron la compra cargada a su tarjeta de crédito.” 3.2.3 Concluyó su escrito solicitando tener en cuenta la situación legal de la sociedad, afirmando que:”Siendo así solicitamos de la manera respetuosa a la SUPERINTENCIA DE INDUSTRIAS Y COMERCIO, tener en cuenta mi situación y la situación de la empresa CCG SOLUCIONES SAS en el momento de tomar acciones legales, así mismo tomar acciones en contra del señor XXXXXXX, identificado con cédula de ciudadanía No. XXXXXX expedida en la ciudad de Manizales - Caldas, que el único sitio de ubicación que tenemos de él es que tiene una discoteca Llamada DISCOTECA ZONA LATINA en la ciudad de Manizales” 3.3 Que la Resolución 7480 del 29 de marzo de 2019 le fue notificada a la sociedad EDITORA RED PREFERENCIAL SAS mediante aviso 4200 del 12 de abril de 2019 según consta en certificación expedida por la Secretaria General Ad-hoc de esta Superintendencia radicada bajo el número 18-230292- -35 del 5 de junio de 2019.

Que, una vez vencido el término concedido a la investigada, de quince (15) días hábiles, para que presentara los respectivos descargos y aportara las pruebas que pretendiera hacer valer en la presente investigación la sociedad EDITORA RED PREFERENCIAL SAS, guardó silencio. 3.4 Que la Resolución 7480 del 29 de marzo de 2019 le fue notificada a la sociedad COMERSERVICE ASISTENCIA SAS mediante aviso 4201 del 12 de abril de 2019 según consta en certificación expedida por la Secretaria General Ad-hoc de esta Superintendencia, radicada bajo el número 18-230292- -35 del 5 de junio de 2019.

CUARTO: Que mediante Resolución No. 24965 del 28 de junio 2019 radicada bajo el número 18-230292-37-1 del 3 de julio de 2019, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente con el valor legal que les corresponda, en el mismo acto administrativo esta se decretó de oficio, las siguientes pruebas: • “REQUERIR a la sociedad EDITORA RED PREFERENCIAL S.A.S., identificada con Nit. 901.119.668-0, que aporte, en caso de conservarla, la grabación de la llamada telefónica hecha al señor XXXXXXXXXX en la que se le solicitó la autorización expresa para el Tratamiento de sus datos personales, de la forma en que señala que lo hizo, especificando la fecha de tal llamada.” • “REQUERIR a la sociedad COMSERVICE ASISTENCIA S.A.S., identificada con Nit. 901.066.0500, que aporte, en caso de conservarla, la grabación de la llamada telefónica hecha al señor XXXXXXXXXXXXXXXXXX en la que se le solicitó la autorización expresa para el Tratamiento de sus datos personales, de la forma en que señala que lo hizo, especificando la fecha de tal llamada.” 4.1 Que la Resolución 24965 de 28 de junio de 2019 fue comunicada el 3 de julio de 2019 a la sociedad GENERAL SERVICE DE COLOMBIA S.A.S según consta en la certificación expedida por la secretaria general Ad-Hoc de esta Superintendencia visible en el expediente radicada bajo el número 18-230292- -42 del 26 de julio de 2019. 4.2 Que la Resolución 24965 de 28 de junio de 2019 fue comunicada el 3 de julio de 2019 a la sociedad EDITORA RED PREFERENCIAL S.A.S según consta en la certificación expedida por la secretaria general Ad-Hoc de esta Superintendencia visible en el expediente radicada bajo el número 18-230292- -42 del 26 de julio de 2019. 4.3 Que la Resolución 24965 de 28 de junio de 2019 fue comunicada el 3 de julio de 2019 a la sociedad COMSERVICE ASISTENCIA S.A.S según consta en la certificación expedida por la secretaria general Ad-Hoc de esta Superintendencia visible en el expediente radicada bajo el número 18-230292- -42 del 26 de julio de 2019. 4.4 Que la Resolución 24965 de 28 de junio de 2019 fue comunicada el 5 de julio de 2019 a la sociedad CCG SOLUCIONES SAS según consta en la certificación expedida por la secretaria general Ad-Hoc de esta Superintendencia visible en el expediente radicada bajo el número 18230292- -42 del 26 de julio de 2019.

Que, una vez vencido el término de diez (10) días hábiles otorgados por este despacho, las sociedades investigadas COMSERVICE ASISTENCIA S.A.S y EDITORA RED PREFERENCIAL S.A.S, guardaron silencio y no se manifestaron acerca de las pruebas decretadas.

QUINTO: Que mediante los oficios que se señalan a continuación, esta Dirección corrió traslado a las sociedades investigadas para que, en caso de considerarlo pertinente, arribara los alegatos de conclusión al proceso de la referencia, así: • Comunicación de traslado para presentar alegatos de conclusión por el Grupo de Trabajo de investigaciones administrativas, radicado bajo el número 18-230292-44-1 de fecha 5 septiembre 2019 dirigida a la sociedad GENERAL SERVICE DE COLOMBIA • Comunicación de traslado para presentar alegatos de conclusión por el Grupo de Trabajo de investigaciones administrativas, radicado bajo el número 18-230292-46 de fecha 5 septiembre 2019 dirigida a la sociedad EDITORA RED PREFERENCIAL • Comunicación de traslado para presentar alegatos de conclusión por el Grupo de Trabajo de investigaciones administrativas, radicado bajo el número 18-230292-45 de fecha 5 septiembre 2019 dirigida a la sociedad COMSERVICE ASISTENCIA SAS • Comunicación de traslado para presentar alegatos de conclusión por el Grupo de Trabajo de investigaciones administrativas, radicado bajo el número 18-230292-47, de fecha 30 septiembre 2019 dirigida a la sociedad CCG SOLUCIONES SAS HOJA N 8, “Por la cual se imponen unas sanciones” Que, dentro del término otorgado por los oficios anteriormente relacionados, para aportar alegatos de conclusión, las sociedades investigadas CCG SOLUCIONES SAS, GENERAL SERVICE DE COLOMBIA, COMSERVICE ASISTENCIA SAS, EDITORA RED PREFERENCIAL guardaron silencio.

SEXTO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

SÉPTIMO: Análisis del caso 7.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20115, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que, pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: i. El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

De conformidad con los hechos alegados por el reclamante y el acervo probatorio que obra en el expediente, se puede establecer que las conductas desplegadas por las investigadas se concretan en posible transgresión a los siguientes estamentos normativos: 7.1.1 Por parte de la sociedad GENERAL SERVICE DE COLOMBIA S.A.S: (i) El inciso 2 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015.

(ii) El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. (iii) El literal c) del artículo 17 en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 y el artículo 2.2.2.25.2.3 del mismo decreto (iv) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. 7.1.2 Por parte de la sociedad EDITORA RED PREFERENCIAL S.A.S: i) El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. 7.1.3 Por parte de la sociedad COMSERVICE ASISTENCIA S.A.S: i) El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. 7.1.4 Por parte de la sociedad CCG SOLUCIONES S.A.S: i) El inciso 2 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015. ii)El literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 5 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

HOJA N 9, “Por la cual se imponen unas sanciones” de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.iii) El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 iv) El literal k) del artículo 17 de la Ley 1581 de 2012. v) El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1. ejúsdem. vi)El literal o) del artículo 17 de la Ley 1581 de 2012.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por las sociedades investigadas dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, así como las razones de hecho y de derecho aducidas por las investigadas en los escritos de descargos, así como el conjunto de pruebas allegadas al expediente. 7.2 Valoración probatoria y conclusiones A continuación, se realizará un análisis de cada uno de los cargos imputados a las sociedades investigadas en la presente actuación, así como del acervo probatorio recaudado, para determinar si las conductas denunciadas constituyen infracción al Régimen de Protección de Datos Personales.

DE LOS CARGOS FORMULADOS A LA SOCIEDAD GENERAL SERVICE DE COLOMBIA S.A.S 7.2.1 Respecto al deber de adoptar una Política de Tratamiento de Datos Personales para garantizar el adecuado cumplimiento del Régimen de Protección de Datos Personales Conforme al principio de legalidad en materia de datos personales, cualquier forma de tratamiento de información personal desde su recolección hasta su disposición final se encuentra orientada por las normas contenidas no solamente en la Ley 1581 de 2012, sino también en la normatividad que sobre la materia se ha expedido, la cual, para el caso en particular, corresponde al Decreto Único Reglamentario 1074 de 20156; lo que se traduce en el hecho de que las disposiciones del referido decreto tienen la misma obligatoriedad y carácter vinculante que la ley estatutaria.

De esta manera, y mediante el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015, se establece el contenido mínimo que debe reunir el documento que haga sus veces de política de tratamiento de la información, el cual indica lo siguiente: "Artículo 2.2.2.25.3.1. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus Política s para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas.

Las Política s de Tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares. Dichas Política s deberán incluir, por lo menos, la siguiente información: 1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. 2.

Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. 3. Derechos que le asisten como Titular. 4. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. 5.

Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. 6. Fecha de entrada en vigencia de la política de tratamiento de la información y periodo de vigencia de la base de datos. Por medio del cual se expide el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, norma que compilo, entre otros, el Decreto 1377 de 2013 que reglamentó parte del articulado de la Ley 1581 de 2012.

HOJA N 10, “Por la cual se imponen unas sanciones” Cualquier cambio sustancial en las Política s de tratamiento, en los términos descritos en el artículo 5° del presente decreto, deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas Políticas." La reunión de estos elementos permiten garantizar "el ámbito de protección del derecho de habeas data'7 pues resultan oponibles al sujeto obligado en los procesos de recolección, tratamiento, circulación y disposición final de datos, así como también permite garantizar a los Titulares el pleno y efectivo ejercicio del derecho de Habeas Data, a través de la implementación y puesta en marcha, de los principios que rigen el Tratamiento de los datos personales mediante herramientas claramente definidas y los procedimientos para su implementación. En efecto, el Responsable tiene el deber de tratar la información que se encuentra almacenada en su base de datos bajo las medidas mínimas establecidas, por el Régimen de Protección de datos personales, pues así lo dispuso la Ley 1581 de 2012 cuando señaló en su artículo 25 inciso tercero, que "[l]as políticas de tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley", disposición que, igualmente, refuerza la hipótesis esgrimida entorno a que mediante la Política de Tratamiento se pretende cimentar los pilares de la protección del derecho.

Teniendo en cuenta lo anterior, para el presente caso, la Coordinación del Grupo de trabajo de Investigaciones Administrativas requirió a la sociedad GENERAL SERVICE DE COLOMBIA S.A.S mediante escrito radicado bajo el número 18-230292-4-1 del 23 de octubre de 2018, con el propósito de que informara, entre otras cosas, lo siguiente: “(…) ¿Cuáles son las políticas de tratamiento implementadas por ustedes para el manejo de datos personales? Sírvase remitir copia de las mismas.” En respuesta al citado requerimiento, la sociedad investigada GENERAL SERVICE DE COLOMBIA S.A.S, mediante escrito radicado bajo el número 18-230292-00010-0001 del 8 de noviembre de 2018, informó lo siguiente: “(…) Dando cumplimiento al numeral 4 de la orden, me permito anexar a este documento las políticas de tratamiento para el manejo de datos personales” Sin embargo, al revisar la documentación que integra el expediente de la referencia, se evidenció que la investigada no aportó copia de la Política de Tratamiento de la Información, con los requisitos establecidos en el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.

Así mismo, mediante escrito de descargos radicado bajo el número 18-230292- -00030-0001 de fecha 7 de mayo de 2019, la sociedad investigada no se pronunció ni controvirtió los hechos que fundamentan el presente cargo, pues no aportó prueba que demuestre la implementación del manual de políticas de tratamiento de datos. Es menester indicar que aun cuando se envió comunicación de traslado para presentar alegatos de conclusión por el Grupo de Trabajo de Investigaciones Administrativas, mediante escrito radicado bajo el número 18-230292-44-1, de fecha 5 septiembre 2019, la sociedad investigada guardó silencio, encentrándose plenamente demostrado el incumplimiento al precepto legal, según el cual, el Responsable del tratamiento debe desarrollar e implementar una política de datos personales.

Por lo anterior, se procederá a imponer la respectiva sanción de multa correspondiente a: VEINTE MILLONES ONCE MIL CIENTO TREINTA Y CUATRO PESOS M/CTE ($20.011.134) equivalentes a QUINIENTOS SESENTA Y DOS (562) en UVT Unidades de Valor Tributario, derivada del incumplimiento del deber adoptar una política de tratamiento de datos personales consagrado en el inciso 2 del artículo 25 de la ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1 del decreto único reglamentario 1074 de 2015.

M.P, Maria Victoria Calle Correa HOJA N 11, “Por la cual se imponen unas sanciones” • Implemente, "política de tratamiento de datos personales" en los términos establecidos en el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015. 7.2.2 Del deber del Responsable del Tratamiento de contar con la autorización previa y expresa de los Titulares El artículo 15 de la Constitución Política establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base datos.

At respecto la Corte Constitucional mediante sentencia C- 748 de 2011, ha señalado lo siguiente: "Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.

Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

Los principios rectores, además, deben confluir en cuanto a su aplicación con Los deberes y derechos contenidos en la Ley 1581 de 2012, específicamente en el presente caso, es relevante mencionar los deberes que tienen los Responsables de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data. Al respecto, la Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realiza el análisis constitucional de la Ley estatutaria 1581 de 2012, manifestó: "De conformidad con la jurisprudencia de esta Corporación, dentro de las prerrogativas contenidos mínimos- que se desprenden de este derecho encontramos por lo menos las siguientes: (i) el derecho de las personas a conocer -acceso- la información que sobre ellas están recogidas en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información;

(ii) el derecho a incluir nuevos datos con el fin de se provea una imagen completa del titular; (iii) el derecho a actualizar la información, es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada o corregida, de tal manera que concuerde con la realidad;

(v) el derecho a excluir información de una base de datos, bien por que se está haciendo un uso indebido de ella, o por simple voluntad del titular-salvo las excepciones previstas en la normativa." A su turno Decreto Único Reglamentario 1074 de 2015 estableció en los Artículo 2.2.2.25.2.2 y 2.2.2.25.2.5 que: “El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso. entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y l a finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar aI momento de implementar las nuevas políticas.

HOJA N 12, “Por la cual se imponen unas sanciones” Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento." (Subrayado fuera de texto). Artículo 2.2.2.25.2.5: "Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos.” En el caso bajo estudio, la investigación administrativa tuvo lugar en virtud de la denuncia presentada por el Titular de la información, en la que señala que recibió una llamada mediante la cual le solicitaron confirmación de datos personales sin contar con autorización previa.

En consecuencia, de la referida denuncia esta Dirección solicitó información preliminar a la sociedad GENERAL SERVICE DE COLOMBIA S.A.S, mediante escrito radicado bajo el número 18-230292-4-1 del 23 de octubre de 2018, con el propósito de que informara, entre otras cosas, lo siguiente: (…) En los términos del artículo 9 de la ley 1581 de 2012 ¿Cuenta con autorización expresa, previa e informada del titular XXXXXXXXXXXXXX, para el tratamiento de sus datos personales? En caso de ser afirmativa su respuesta, remitir copia del formulario y/o formato mediante el cual se realiza este procedimiento y se informa al titular la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, aporte si informa las finalidades” En respuesta al citado requerimiento, la sociedad investigada, mediante escrito radicado bajo el número 18-230292-000-10 del 8 de noviembre de 2018, informó lo siguiente: (…) “Para dar cumplimiento al numeral 3 de la investigación, me permito aportar el audio en donde se evidencia que sin ninguna presión y con su propia voz el señor XXXXXXXXXXXXXX aporta los datos completos para llevar a cabo la venta del portafolio de servicios, dicho esto la compañía GENERAL SERVICE DE COLOMBIA SAS, recolecto sus datos de una manera pertinente; una vez proporcionados, la única persona que podría volverlos a tratar y a utilizar es la abogada que lidera el Departamento Jurídico, toda vez que se llegare a presentar alguna reclamación por parte de la titular.” Sin embargo, revisando los documentos obrantes en el expediente, la sociedad no acreditó contar con la autorización del señor XXXXXXXXXXXXX para contactarlo, pues no aportó constancia alguna del consentimiento otorgado por el titular para recolectar sus datos personales y dar tratamiento a los mismos, lo que originó la formulación de cargos por parte de esta Dirección en contra de la sociedad GENERAL SERVICE DE COLOMBIA S.A. En el escrito de descargos radicado bajo el número 18-230292- -00030-0001 de fecha 7 de mayo de 2019, la sociedad investigada no se manifestó frente a este cargo, ni aportó o controvirtió pruebas y tampoco presentó alegatos de conclusión, razón por la cual la presente investigación se basará en el análisis de la información presentada por el denunciante y pruebas allegadas al proceso.

Por ello, dentro de la actuación administrativa se encuentra que la sociedad, no acreditó contar con la autorización otorgada el Titular para el tratamiento de sus datos personales. Del material probatorio obrante en el expediente y los argumentos expuestos por el denunciado, este Despacho concluye que, con respecto al primer cargo, no fue desvirtuado el incumplimiento del deber que como Responsable del tratamiento le asiste a la sociedad GENERAL SERVICE DE COLOMBIA S.A de contar con la autorización previa y expresa del Titular, conforme lo prevé literal b) el artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la ley 1581 de 2012,asi como el inciso primero del artículo 2.2.2.25.2.2 del decreto único reglamentario 1074 de 2015, motivo por el cual se impondrá sanción de multa correspondiente a: VEINTE MILLONES ONCE MIL CIENTO TREINTA Y CUATRO PESOS M/CTE ($20.011.134) equivalentes a QUINIENTOS SESENTA Y DOS (562) en UVT Unidades de Valor Tributario.

Suprimir, de manera definitiva, de sus bases de datos la totalidad de los datos personales que no hayan sido obtenidos y tratados con el consentimiento de su respectivo titular. 7.2.3 Respecto del deber de informar al titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. Sea lo primero aclarar, que el principio de finalidad que se traduce en el deber de informar al Titular lo que se pretende hacer con su información, se encuentra contenido en el artículo 17 de la Ley 1581 de 2012, así: Ley 1581 de 2012 "Artículo 17.

Deberes de los Responsables del Tratamiento Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: ( ) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;

Como puede observarse, el principio de finalidad, que se encuentra íntimamente ligado al principio de libertad, impone unos límites al tratamiento de los datos que estén siendo administrados por el Responsable; dichos limites se derivan de la naturaleza de la información y del uso que se dará a los datos recolectados. En palabras de la Corte Constitucional "( ) tanto el acopio, el procesamiento y la divulgación de los datos personales, debe obedecer a una finalidad constitucionalmente legitima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista ( )8.

Dicho principio se hace efectivo al momento en que se solicita autorización al Titular, pues es alii en que esta se cumple el término máximo para informarle al Titular los fines de la recolección de su información, ya que como lo dispuso el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 20159 "el Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento".

Por lo indicado, en el momento en que se solicita información al titular se le debe informar: (i) el Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo (ii) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes (iii) los derechos que le asisten como titular y;

(iv) la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. Ahora bien, abordando estos aspectos la Corte Constitucional en sentencia de constitucionalidad C- 748 de 2011, expuso lo siguiente: "( ) La definición establecida por el legislador estatutario responde a uno establecidos por la Corporación para el manejo de las bases de datos.

Sin e hacerse algunas precisiones. Por una parte, los datos personales deben ser procesados con un propósito específico y explícito. En ese sentido, la finalidad no solo debe ser legitima, sino que la referida información se destinara a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos.

Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Corte Constitucional, sentencia C-748 de 2011. M.P. María Victoria Calle Correa Norma que compiló el Decreto 1377 de 2013 "Por el cual se reglamenta parcialmente la Ley 1581 de 2012” HOJA N 14, “Por la cual se imponen unas sanciones” Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si este siendo usado para la finalidad por 61 autorizada.

Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato. Así mismo, los datos personales deben ser procesados solo en la forma que afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos cambia a formas que la persona razonablemente no espera, debe consentimiento previo del titular.

Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales no exceda del necesario para alcanzarla necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas ( )".

Con base en el marco normativo enunciado, esta Dirección solicitó información preliminar a la sociedad GENERAL SERVICE DE COLOMBIA S.A.S, mediante escrito radicado bajo el número 18-230292-4-1 del 23 de octubre de 2018, con el propósito de que informara, entre otras cosas, lo siguiente (…) remitir copia del formulario y/o formato mediante el cual se realiza este procedimiento y se informa al titular la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, aporte si informa las finalidades” En relación con lo anterior la sociedad investigada GENERAL SERVICE DE COLOMBIA S.A.S mediante escrito radicado bajo el número 18-230292-000-10, del 8 de noviembre de 2018 informó que: “Para dar cumplimiento al numeral 3 de la investigación, me permito aportar el audio en donde se evidencia que sin ninguna presión y con su propia voz el señor XXXXXXXXXXXXXXXXX aporta los datos completos para llevar a cabo la venta del portafolio de servicios, dicho esto la compañía GENERAL SERVICE DE COLOMBIA SAS, recolecto sus datos de una manera pertinente; una vez proporcionados, la única persona que podría volverlos a tratar y a utilizar es la abogada que lidera el Departamento Jurídico, toda vez que se llegare a presentar alguna reclamación por parte de la titular.” Sin embargo, al revisar y analizar los documentos obrantes en el expediente de la referencia, encuentra este Despacho que, no hay prueba que acredite que la sociedad investigada le haya informado al Titular de la información sobre las finalidades para las cuales se realizaba la recolección de sus datos personales; razón por la cual, este Despacho dio inicio a la presente investigación administrativa y formuló cargos a la sociedad GENERAL SERVICE DE COLOMBIA S.A. Al respecto, la sociedad presentó descargos mediante escrito radicado bajo el número 18-230292-00030-0001 de fecha 7 de mayo de 2019, sin embargo no se pronunció ni aportó prueba para desvirtuar el presente cargo, pues no se vislumbra que se haya informado de manera clara y expresa la finalidad al titular de la autorización previa para el tratamiento de datos personales, pues tal como se dijo en el cargo anterior, la sociedad GENERAL SERVICE DE COLOMBIA SAS no contaba con la autorización previa del titular al momento de contactarlo.

Así las cosas, en el caso en concreto se tiene que la sociedad, no acreditó ante esta Dirección el cumplimiento del deber de que le asiste, en su calidad de Responsable del Tratamiento de informar al Titular de la Información, de manera previa al Tratamiento, la finalidad o finalidades del tratamiento al que serían sometidos los datos recolectados, ni los derechos que como titular de la información le asistía. De lo anterior se desprende que la sociedad investigada no demostró por ningún medio prueba mediante la cual certificara que se le informó al titular sobre la finalidad de la recolección y los derechos que le asisten; razón por la cual es posible determinar que la sociedad GENERAL SERVICE DE COLOMBIA S.A, incumplió con el deber contenido en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la ley 1581 así como el inciso primero del artículo 2.2.2.25.2.2 del decreto único reglamentario 1074 de 2015, y el artículo 2.2.2.25.2.3 ejúsdem, razón por la cual se impondrá sanción de multa correspondiente a: VEINTE MILLONES ONCE MIL CIENTO TREINTA Y CUATRO PESOS M/CTE HOJA N 15, “Por la cual se imponen unas sanciones” ($20.011.134) equivalentes a QUINIENTOS SESENTA Y DOS (562) en UVT Unidades de Valor Tributario.

Dicho lo anterior, esta Dirección encuentra, adicionalmente, procedente imponer la sanción prevista en el literal b) del artículo 23 de la Ley 1581 de 2012, consistente en la suspensión de las actividades relacionadas con el tratamiento de datos personales por el término de 3 (tres) meses, entre tanto la sociedad investigada acredite que ha adoptado las siguientes acciones correctivas: • Implementar un mecanismo efectivo para informar previamente a los titulares sobre las finalidades del tratamiento de la información. 7.2.4 Respecto del deber de contar con un manual interno de políticas de seguridad Al respecto la Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realiza el análisis constitucional de la Ley estatutaria 1581 de 2012, manifestó: El legislador estatutario al regular de forma general la protección del dato personal, estaba facultado para señalar los términos en que los responsables y encargados del tratamiento del dato, públicos y privados, deben responder las consultas o peticiones que les eleve el titular del dato o sus causahabientes, con el fin de hacer exigibles entre otros, el derecho a conocer qué datos personales tiene un determinado banco de datos y la forma como éstos son manejados.

Compatible con esto, los artículos 17, literal k) y 18 literal f) del proyecto, establecen como uno de los deberes del responsable y encargado del tratamiento del dato, el de adoptar un manual interno de políticas y procedimiento especialmente para la atención de las consultas y reclamos por parte de los titulares. Igualmente, como una forma de lograr un mayor conocimiento por parte del titular de las bases de datos que operan en el país y cuáles pueden estar tratando su información, el proyecto crea el registro nacional de bancos de datos, artículo 25, el cual será objeto de análisis posteriormente.

El literal k) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: "Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos.

"Artículo 17. Deberes de los Responsables del Tratamiento Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: ( ) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;

( ) Artículo 4. Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: ( ) g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, perdida, consulta, uso o acceso no autorizado o fraudulento Decreto 1074 de 2015 Artículo 2.2.2.25.6.1.

Demostración. ( ) En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas:(…)” HOJA N 16, “Por la cual se imponen unas sanciones” Igualmente, conforme al principio de legalidad en materia de datos personales, cualquier forma de tratamiento de información personal desde su recolección hasta su disposición final se encuentra orientada por las normas contenidas no solamente en la ley 1581 de 2012 sino también en la normatividad que sobre la materia se ha expedido, la cual, para el caso en particular, el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, prevé: “Artículo 2.2.2.25.6.1.

Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”: Expuesto el marco normativo aplicable, es necesario precisar que los aspectos analizados en el presente cargo, guardan relación a los procedimientos internos que debe adoptar los Responsables de la Información con el fin de garantizar la adecuada protección de los datos personales que trata, en virtud del desarrollo de sus actividades; estas actividades van encaminadas a que los responsables, desarrollen políticas internas efectivas que demuestren el cumplimiento de las obligaciones establecidas en la Ley 1581 de 2012 y en su Decreto Reglamentario.

Sírvase remitir copia del manual de políticas de seguridad.” En respuesta al citado requerimiento, la sociedad investigada, mediante escrito radicado bajo el número 18-230292-000-10 del 8 de noviembre de 2018 informó que: “(…) para dar cumplimiento al numeral 10 de la investigación, anexamos a la misma el manual con las políticas de seguridad.” Sin embargo, al revisar y analizar los documentos obrantes en el expediente de la referencia, encuentra este Despacho que, no hay prueba que acredite que la sociedad investigada tenga implementado manual de políticas de seguridad; razón por la cual, esta Dirección dio inicio a la presente investigación administrativa y formuló cargos a la sociedad GENERAL SERVICE DE COLOMBIA S.A. En el mismo sentido, la sociedad presentó descargos mediante escrito radicado bajo el número 18230292- -00030-0001 del 7 de mayo de 2019, sin embargo, no hubo pronunciamiento ni se aportaron pruebas para desvirtuar el presente cargo referente al manual de políticas de seguridad.

Así las cosas, al demostrarse fehacientemente que la investigada no cuenta con un manual de políticas y procedimientos que garantice la seguridad de la información frente a la administración de los datos personales, obligación dispuesta en el literal k) del artículo 17 de la Ley 1581 de 2012 HOJA N 17, “Por la cual se imponen unas sanciones” en concordancia con e literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del decreto único reglamentario 1074 de 2015., se impondrá una orden y una sanción de multa correspondiente a: VEINTE MILLONES ONCE MIL CIENTO TREINTA Y CUATRO PESOS M/CTE ($20.011.134) equivalentes a QUINIENTOS SESENTA Y DOS (562) en UVT Unidades de Valor Tributario.

Dicho lo anterior, esta Dirección encuentra, adicionalmente, procedente imponer la sanción prevista en el literal b) del artículo 23 de la Ley 1581 de 2012, consistente en la suspensión de las actividades relacionadas con el tratamiento de datos personales por el término de 3 (tres) meses, entre tanto la sociedad investigada acredite que ha adoptado las siguientes acciones correctivas: • Desarrollar y documentar un manual interno de Políticas de seguridad a través del cual se describan de manera detallada las medidas de seguridad para el Tratamiento de los datos personales, determinando cómo se efectuará el almacenamiento de la información en sus bases de datos y especificando las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad en la custodia de la información personal a cargo de la sociedad GENERAL SERVICE DE COLOMBIA S.A., evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, incluyendo archivos físicos, digitales y magnéticos.

DEL CARGO FORMULADO A LA SOCIEDAD EDITORA RED PREFERENCIAL S.A.S 7.2.1. Respecto del deber solicitar y conservar autorización previa, expresa e informada del titular para el tratamiento de sus datos personales Sobre el particular, este Despacho considera pertinente señalar que la Constitución Política reconoce el derecho de las personas a decidir libremente frente al uso de la información que sobre ellas se haya recogido en banco de datos o archivos de entidades públicas o privadas, al artículo en cuestión establece: "Artículo 15.

Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De Igual modo, tienen derecho a conocer actualizar y rectificar las Informaciones que se hayan recogido sobre ellas en bancos de datos v en archivos de entidades públicas y privadas En la recolección, Tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución.” Al respecto la Corte Constitucional ha señalado lo siguiente: “Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la Información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de ja protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su imagen Informática.” Al respecto la Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realiza el análisis constitucional de la Ley estatutaria 1581 de 2012, manifestó: “El consentimiento del titular de la información es un presupuesto para la legitimidad constitucional de los procesos de administración de datos personales, tratándose de un consentimiento calificado: ya que debe ser previo, esto es, que la autorización debe ser suministrada en una etapa anterior a la incorporación del dato; expreso, en la medida que debe ser inequívoco; e informado, toda vez que el titular no sólo debe aceptar el tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. (…)” HOJA N 18, “Por la cual se imponen unas sanciones” Igualmente, es importante indicar que, en virtud del principio de libertad, citado líneas atrás, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la Ley 1581 de 2012 y, además, el deber de solicitar y conservar copla de la autorización de Tratamiento otorgada por el mismo, dispuesto en el literal b) del artículo 17 del mismo compendio normativo.

Así, se tiene entonces que el derecho al habeas data se concreta en la facultad del Titular de la información de decidir, voluntariamente, que la Información sobre sí mismo sea sometida a Tratamiento por parte de terceros. Por ello mismo, es que en el literal c) del artículo 4 de la Ley 1581 de 2012 se señala como principio de libertad que "El tratamiento sólo puede ejercerse con consentimiento, previo, expreso, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización o en ausencia de mandato legal o judicial que revele el consentimiento" (Subrayado fuera del texto original). A su vez, el artículo 9 del mismo precepto normativo, establece: “Artículo 9°. Autorización del titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.” Frente a este deber, el Decreto Único Reglamentario 1074 de 2015 en el inciso primero del artículo 2.2.2.25.2.2 establece: “Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.” Con base en lo anterior, esta Dirección solicitó información preliminar a la sociedad EDITORA RED PREFERENCIAL S.A.S, mediante escrito radicado bajo el número 18-230292-5-1 del 23 de octubre de 2018, con el propósito de que informara, entre otras cosas, lo siguiente: (…) En los términos del artículo 9 de la ley 1581 de 2012 ¿Cuenta con autorización expresa, previa e informada del titular XXXXXXXXXXXX, para el tratamiento de sus datos personales? En caso de ser afirmativa su respuesta, remitir copia del formulario y/o formato mediante el cual se realiza este procedimiento y se informa al titular la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, aporte si informa las finalidades” En respuesta al citado requerimiento, la sociedad investigada, mediante escrito radicado bajo el número No. 18-230292- 00013 del 14 de noviembre de 2018, la sociedad investigada manifestó que: (…) "si, en el momento de contactar al señor XXXXXXXXXXXXXXX se le solicita la autorización o aceptación para el tratamiento de datos personales con la siguiente invitación y aceptación expresa con 'le recordamos que sus datos serán personales, serán registrados de acuerdo a la Lev 1581 2012' haciendo clara remisión a la normatividad que reza sobre el tratamiento específico de éste tipo de datos y con lo cual el cliente asume y reconoce que sus datos personales sean tratados de acuerdo a la normatividad vigente en el tema.”.

De acuerdo con lo anterior, y una vez revisado el material probatorio obrante en el expediente, se pudo evidenciar que la sociedad investigada no contaba con la autorización del Titular para contactarlo, así mismo frente a la prueba ordenada mediante resolución 24965 del 28 de junio de 2019 radicado bajo el número 18-230292-37-1 del 3 de julio de 2019, consistente en aportar la grabación de la llamada telefónica hecha al titular en la cual solicitó la autorización expresa para el Tratamiento de sus datos personales; encuentra esta Dirección que, la sociedad investigada no suministró respuesta al respecto.

HOJA N 19, “Por la cual se imponen unas sanciones” En este punto es importante señalar que la sociedad investigada no presentó escrito de descargos, aportó o controvirtió pruebas y tampoco presentó alegatos de conclusión, razón por la cual la presente investigación se basará en el análisis de la información presentada por el denunciante, información preliminar y pruebas allegadas al proceso.

Por ello, dentro de la actuación administrativa se encuentra que la sociedad EDITORA RED PREFERENCIAL SAS. no acreditó contar con la autorización otorgada por la Titular para el tratamiento de sus datos personales. Se concluye entonces, que la sociedad investigada incumplió con el deber establecido en el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4, y el artículo 9 de la ley 1581 de 2012, así como el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, toda vez que no fue aportada prueba que diera cuenta de la copia o formato de la autorización para el Tratamiento de la información del titular, razón por la cual, se impondrá sanción de multa correspondiente a: CINCUENTA MILLONES SESENTA Y TRES MIL CUATROCIENTOS CUARENTA Y DOS PESOS M/CTE ($50.063.442) equivalentes a MIL CUATROCIENTOS SEIS (1.406) en UVT Unidades de Valor Tributario.

Suprimir, de manera definitiva, de sus bases de datos la totalidad de los datos personales que no hayan sido obtenidos y tratados con el consentimiento de su respectivo titular. DEL CARGO FORMULADO A LA SOCIEDAD COMSERVICE ASISTENCIA S.A.S 7.2.1 Respecto del deber solicitar y conservar autorización previa, expresa e informada del titular para el tratamiento de sus datos personales.

Sobre el particular, este Despacho considera pertinente señalar que la Constitución Política reconoce el derecho de las personas a decidir libremente frente al uso de la información que sobre ellas se haya recogido en banco de datos o archivos de entidades públicas o privadas, al artículo en cuestión establece: "Artículo 15. Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar.

De Igual modo, tienen derecho a conocer actualizar y rectificar las Informaciones que se hayan recogido sobre ellas en bancos de datos v en archivos de entidades públicas y privadas En la recolección, Tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución.” Al respecto la Corte Constitucional ha señalado lo siguiente: “Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de ja protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su imagen Informática.” Al respecto la Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realiza el análisis constitucional de la Ley estatutaria 1581 de 2012, manifestó: HOJA N 20, “Por la cual se imponen unas sanciones” “El consentimiento del titular de la información es un presupuesto para la legitimidad constitucional de los procesos de administración de datos personales, tratándose de un consentimiento calificado: ya que debe ser previo, esto es, que la autorización debe ser suministrada en una etapa anterior a la incorporación del dato; expreso, en la medida que debe ser inequívoco; e informado, toda vez que el titular no sólo debe aceptar el tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. (…)” Igualmente, es importante indicar que, en virtud del principio de libertad, citado líneas atrás, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la Ley 1581 de 2012 y, además, el deber de solicitar y conservar copla de la autorización de Tratamiento otorgada por el mismo, dispuesto en el literal b) del artículo 17 del mismo compendio normativo.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización o en ausencia de mandato legal o judicial que revele el consentimiento" (Subrayado fuera del texto original). A su vez, el artículo 9 del mismo precepto normativo, establece: “Artículo 9°. Autorización del titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.” Frente a este deber, el Decreto Único Reglamentario 1074 de 2015 en el inciso primero del artículo 2.2.2.25.2.2 establece: “Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.” En consecuencia, la Coordinación del Grupo de Trabajo de Investigaciones de esta Dirección requirió a COMSERVICE ASISTENCIA S.A.S En respuesta al citado requerimiento, la sociedad investigada, mediante escrito radicado bajo el número 18-230292-6-1 del 23 de octubre de 2018, con el propósito de que informara, entre otras cosas, lo siguiente: (…) En los términos del artículo 9 de la ley 1581 de 2012 ¿Cuenta con autorización expresa, previa e informada del titular XXXXXXXXXX, para el tratamiento de sus datos personales? En caso de ser afirmativa su respuesta, remitir copia del formulario y/o formato mediante el cual se realiza este procedimiento y se informa al titular la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, aporte si informa las finalidades” En respuesta al citado requerimiento, la sociedad investigada, mediante escrito radicado bajo el número No 18-230292-00011-0001 el 13 de noviembre de 2018, manifestó que (…) “si, en el momento de contactar a señor XXXXXXXXXXXXXXXXX se le solicita la autorización o aceptación expresa con 'le recordamos que sus datos serán personales, serán registrados de acuerdo a la Lev 1581 2012' haciendo clara remisión a la normatividad que reza sobre el tratamiento específico de éste tipo de datos y con lo cual el cliente asume y reconoce que sus datos personales sean tratados de acuerdo a la normatividad vigente en el tema7.

De acuerdo con lo anterior, y una vez revisado el material probatorio obrante en el expediente, se pudo evidenciar que la sociedad investigada no contaba con la autorización del Titular para contactarlo. Así mismo, frente a la prueba ordenada mediante Resolución 24965 del 28 de junio de 2019 radicado bajo el número 18-230292-37-1 del 3 de julio de 2019, consistente en aportar la grabación de la llamada telefónica realizada al titular, mediante la cual solicitó autorización expresa para el Tratamiento de sus datos personales; encuentra esta Dirección que, la sociedad investigada HOJA N 21, “Por la cual se imponen unas sanciones” no suministró respuesta al respecto.

En este punto es importante señalar que la sociedad investigada no presentó escrito de descargos, aportó o controvirtió pruebas y tampoco presentó alegatos de conclusión, razón por la cual la presente investigación se basará en el análisis de la información presentada por el denunciante, información preliminar y pruebas allegadas al proceso.

Por ello, dentro de la actuación administrativa se encuentra que la sociedad COMSERVICE ASISTENCIA S.A.S. no acreditó contar con la autorización otorgada por la Titular para el tratamiento de sus datos personales. Por ello, dentro de la actuación administrativa se encuentra que la sociedad COMSERVICE ASISTENCIA S.A.S. no acreditó contar con la autorización otorgada por el Titular para el tratamiento de sus datos personales, incumpliendo con el deber establecido en el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4, y el artículo 9 de la ley 1581 de 2012, así como el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, toda vez que no fue aportada prueba que diera cuenta de la copia o formato de la autorización para el Tratamiento de la información del titular, razón por la cual, se impondrá sanción de multa correspondiente a: CINCUENTA MILLONES SESENTA Y TRES MIL CUATROCIENTOS CUARENTA Y DOS PESOS M/CTE ($50.063.442) equivalentes a MIL CUATROCIENTOS SEIS (1.406) en UVT Unidades de Valor Tributario.

Suprimir, de manera definitiva, de sus bases de datos la totalidad de los datos personales que no hayan sido obtenidos y tratados con el consentimiento de su respectivo titular. DE LOS CARGOS FORMULADOS A LA SOCIEDAD CCG SOLUCIONES S.A.S 7.2.1 Respecto al deber de adoptar una Política de Tratamiento de Datos Personales para garantizar el adecuado cumplimiento del Régimen de Protección de Datos Personales Conforme al principio de legalidad en materia de datos personales, cualquier forma de Tratamiento de información personal desde su recolección hasta su disposición final se encuentra orientada por las normas contenidas no solamente en la Ley 1581 de 2012 sino también en la normatividad que sobre la materia se ha expedido, la cual, para el caso en particular, corresponded Decreto Único Reglamentario 1074 de 201510; lo que traduce en el hecho de que las disposiciones del referido decreto tienen la misma obligatoriedad y carácter vinculante que la ley estatutaria.

De esta manera, y mediante el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015, se establece el contenido mínimo que debe reunir el documento que haga sus veces de política de tratamiento de la información: "Artículo 2.2.2.25.3.1. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas.

Las políticas de Tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares. Dichas políticas deberán incluir, por lo menos, la siguiente información: 7. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. 8.

Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. Por medio del cual se expide el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, norma que compilo, entre otros, el Decreto 1377 de 2013 que reglamento parte del articulado de la Ley 1581 de 2012.

HOJA N 22, “Por la cual se imponen unas sanciones” 9. Derechos que le asisten como Titular. 10. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. 11. Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. 12.

Fecha de entrada en vigencia de la política de tratamiento de la información y periodo de vigencia de la base de datos. Cualquier cambio sustancial en las Política s de tratamiento, en los términos descritos en el artículo 5° del presente decreto, deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas Política s." La reunión de estos elementos permiten garantizar "el ámbito de protección del derecho de habeas data'11 pues resultan oponibles al sujeto obligado en los procesos de recolección, tratamiento, circulación y disposición final de datos, así como también permite garantizar a los Titulares el pleno y efectivo ejercicio del derecho de Habeas Data a través de la implementación y puesta en marcha, de los principios que rigen el Tratamiento de los datos personales mediante herramientas claramente definidas y los procedimientos para su implementación. En efecto, el Responsable tiene el deber de tratar la información que se encuentra almacenada en su base de datos bajo las medidas mínimas establecidas, por el régimen de protección de datos personales, pues as! lo dispuso la Ley 1581 de 2012 cuando señalo en su artículo 25 inciso tercero, que "[l]as políticas de tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley", disposición que, igualmente, refuerza la hipótesis esgrimida entorno a que mediante la política de tratamiento se pretende cimentar los pilares de la protección al derecho.

En el caso objeto de estudio, se encuentra que el titular puso en conocimiento ante esta Superintendencia mediante escrito radicado bajo el número 18-230292-0-0 del 13 de septiembre de 2018 que sociedad CCG SOLUCIONES S.A.S estaba incumpliendo presuntamente las normas sobre protección de datos personales. En consecuencia, la coordinación del Grupo de Trabajo de Investigaciones de esta Dirección requirió a CCG SOLUCIONES S.A.S mediante escrito radicado bajo el número 18-230292-7-1 del 23 de octubre de 2018, con el propósito de que informara, entre otras cosas, lo siguiente: (…) ¿Cuáles son las políticas de tratamiento implementadas por ustedes para el manejo de datos personales? Sírvase remitir copia de las mismas.

Con respecto lo anterior la sociedad no atendió al requerimiento de información razón por la cual se formularon cargos, posteriormente mediante escrito de descargos manifiesta lo siguiente: (…) “Respecto a lo anterior queremos indicar que la empresa CCG SOLUCIONES SAS, identificada con NIT 900.554.831-6, nunca fue notificada de los hechos, como indica el documento entregado bajo el número de resolución 7480 de 2019, también que el correo XXXXXXXXXXXXXXXXXXX que hacen referencia en repetidas oportunidades no corresponde a correos de nuestra empresa, y no corresponde al registrado en el certificado de existencia ni en RUT.

En este punto es importante señalar que la sociedad investigada presentó escrito de descargos, sin embargo, no se manifestó, ni aportó pruebas frente a este cargo, así mismo, aun cuando se envió comunicación de traslado para presentar alegatos de conclusión por el Grupo de Trabajo de Investigaciones Administrativas, mediante escrito radicado bajo el número 18-230292-47-1, de fecha 30 septiembre 2019, la sociedad investigada guardó silencio, demostrándose el Corte Constitucional, sentencia C-748 de 2011.

M.P, Maria Victoria Calle Correa HOJA N 23, “Por la cual se imponen unas sanciones” incumplimiento al precepto legal, según el cual, el Responsable debe desarrollar e implementar una política de tratamiento de datos personales. Por lo anterior, se impondrá sanción de multa correspondiente a: TRECE MILLONES TRESCIENTOS CINCUENTA Y DOS MIL SEISCIENTOS VEINTICINCO PESOS M/CTE ($13.352.625) equivalentes a TRESCIENTOS SETENTA Y CINCO (375) en UVT Unidades de Valor Tributario, derivada del incumplimiento del deber de adoptar una política de tratamiento de datos personales consagrado en el inciso 2 del artículo 25 de la ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1 del decreto único reglamentario 1074 de 2015.

Todas las personas tienen derecho a su intimidad personal y familiar y a su bien nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”. Este establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos.

Al respecto la Corte Constitucional ha señalado lo siguiente: “Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su “imagen informática12” Los principios rectores, además, deben confluir en cuanto a su aplicación con los deberes y derechos contenidos en la ley 1581 de 2012, específicamente en el presente caso, es relevante mencionar los deberes que tienen los Responsables de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

Igualmente, es importante indicar que, en virtud del principio de libertad, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la ley 1581 de 2012 y, además, el deber de solicitar y conservar copia de la autorización de Tratamiento otorgada por el mismo, dispuesto en el literal b) del artículo 17 de la ley mencionada, normatividad transcrita anteriormente.

Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP Jorge Ignacio Pretelt Chaljub HOJA N 24, “Por la cual se imponen unas sanciones” Ley 1581 de 2012 “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

(…) ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; (…) Decreto Único Reglamentario 1074 de 2015 “ARTÍCULO 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento”. En el caso objeto de estudio, se encuentra que el titular recibió una llamada mediante la cual le solicitaron confirmación de datos personales sin contar con autorización previa, razón por la cual puso en conocimiento ante esta Superintendencia denuncia mediante escrito radicado bajo el número 18230292-0-0 del 13 de septiembre de 2018 que sociedad CCG SOLUCIONES S.A.S estaba incumpliendo presuntamente las normas sobre protección de datos personales.

En consecuencia, de lo anterior, la Coordinación del Grupo del Trabajo de Investigaciones Administrativas de esta Dirección requirió a la sociedad CCG SOLUCIONES S.A.S mediante escrito radicado bajo el número 18-230292-7-1 del 23 de octubre de 2018, con el propósito de que informara, entre otras cosas, lo siguiente: (…) HOJA N 25, “Por la cual se imponen unas sanciones” “En los términos del artículo 9 de la ley 1581 de 2012 ¿Cuenta con autorización expresa, previa e informada del titular XXXXXXXXXXX, para el tratamiento de sus datos personales? En caso de ser afirmativa su respuesta, remitir copia del formulario y/o formato mediante el cual se realiza este procedimiento y se informa al titular la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, aporte si informa las finalidades” Con respecto lo anterior la sociedad no atendió al requerimiento de información, razón por la cual, este Despacho dio inicio a la presente investigación administrativa y formuló cargos a la sociedad CCG SOLUCIONES SAS.

En este punto es importante señalar que la sociedad investigada presentó escrito de descargos, manifestando, entre otras cosas lo siguiente: (…) “Respecto a lo anterior queremos indicar que la empresa CCG SOLUCIONES SAS, identificada con NIT 900.554.831-6, nunca fue notificada de los hechos, como indica el documento entregado bajo el número de resolución 7480 de 2019, también que el correo XXXXXXXXXXXXXXXXXX que hacen referencia en repetidas oportunidades no corresponde a correos de nuestra empresa, y no corresponde al registrado en el certificado de existencia ni en RUT.

Sin embargo, esta Dirección encuentra que una vez revisado el Registro Único Empresarial y Social RUES en el Certificado de Existencia y Representación Legal expedido por la Cámara de Comercio de la sociedad CCG SOLUCIONES SAS, figura registrada la dirección de correo electrónico para notificación: XXXXXXXXXXXXXXXX, a la cual fue remitida la comunicación radicada bajo el número 18-230292-7-1 del 23 de octubre de 2018 En este punto es importante señalar que la sociedad investigada en escrito de descargos no aportó ni controvirtió pruebas y tampoco presentó alegatos de conclusión, razón por la cual la presente investigación se basará en el análisis de la información presentada por la denunciante y pruebas allegadas al proceso.

Por ello, dentro de la actuación administrativa se encuentra que la sociedad CCG SOLUCIONES S.A.S., no acreditó contar con la autorización otorgada por la Titular para el tratamiento de sus datos personales. Esta Dirección encuentra que la sociedad investigada incumplió con el deber establecido en el literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4, y el artículo 9 de la misma norma, así como el artículo 22.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, toda vez que no fue aportada prueba que diera cuenta de la copia o formato de la autorización para el Tratamiento de la información del titular, razón por la cual se impondrá sanción de multa correspondiente a: TRECE MILLONES TRESCIENTOS CINCUENTA Y DOS MIL SEISCIENTOS VEINTICINCO PESOS M/CTE ($13.352.625) equivalentes a TRESCIENTOS SETENTA Y CINCO (375) en UVT Unidades de Valor Tributario.

Suprimir, de manera definitiva, de sus bases de datos la totalidad de los datos personales que no hayan sido obtenidos y tratados con el consentimiento de su respectivo titular. 7.2.3 Del Deber desarrollar e implementar un manual de Políticas de seguridad: Al respecto la Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realiza el análisis constitucional de la Ley estatutaria 1581 de 2012, manifestó: El legislador estatutario al regular de forma general la protección del dato personal, estaba facultado para señalar los términos en que los responsables y encargados del tratamiento del dato, públicos y privados, deben responder las consultas o peticiones que les eleve el titular del dato o sus causahabientes, con el fin de hacer exigibles entre otros, el derecho a conocer qué datos personales tiene un determinado banco de datos y la forma como éstos son manejados.

Igualmente, como una forma de lograr un mayor conocimiento por parte del titular de las bases de datos que operan en el país y cuáles pueden estar tratando su información, el proyecto crea el registro nacional de bancos de datos, artículo 25, el cual será objeto de análisis posteriormente. El literal k) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: "Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos "Artículo 17.

Deberes de los Responsables del Tratamiento Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: ( ) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;

Demostración. ( ) En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas: ( )" Al respecto, es necesario precisar que los aspectos analizados en el presente cargo, guardan relación a los procedimientos internos que debe adoptar los Responsables de la Información con el fin de garantizar la adecuada protección de los datos personales que trata, en virtud del desarrollo de sus actividades; estas actividades van encaminadas a que los responsables, desarrollen políticas internas efectivas que demuestren el cumplimiento de las obligaciones establecidas en la Ley 1581 de 2012 y en su Decreto Reglamentario.

Por lo anterior, es preciso traer a colación lo dispuesto en el párrafo final del artículo 2.2.2.25.6.1 del Decreto Reglamentario 1074 de 2015, por cuanto prevé que " En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas." Una vez mencionada la normatividad aplicable al caso concreto, es necesario aludir a los hechos que dieron origen a la presente investigación administrativa: En consecuencia, la coordinación del Grupo del Trabajo de Investigaciones de esta Dirección requirió a CCG SOLUCIONES S.A.S mediante escrito radicado bajo el número 18-230292-7-1 del 23 de octubre de 2018, con el propósito de que informara, entre otras cosas, lo siguiente: HOJA N 27, “Por la cual se imponen unas sanciones” (…) “sírvase remitir copia del manual de políticas de seguridad” Sin embargo, la sociedad no atendió al requerimiento de información razón por la cual se formularon cargos, posteriormente mediante escrito de descargos manifiesta lo siguiente: (…) Respecto a lo anterior queremos indicar que la empresa CCG SOLUCIONES SAS, identificada con NIT 900.554.831-6, nunca fue notificada de los hechos, como indica el documento entregado bajo el número de resolución 7480 de 2019, también que el correo XXXXXXXXXXXXX que hacen referencia en repetidas oportunidades no corresponde a correos de nuestra empresa, y no corresponde al registrado en el certificado de existencia ni en RUT.” Sin embargo, esta Dirección encuentra que una vez revisado el Registro Único Empresarial y Social RUES en el Certificado de Existencia y Representación Legal expedido por la Cámara de Comercio de la sociedad CCG SOLUCIONES SAS, figura registrada la dirección de correo electrónico para notificación: XXXXXXXXXXXX, a la cual fue remitida la comunicación radicada bajo el número 18230292-7-1 del 23 de octubre de 2018.

Por lo anterior, es necesario precisar que los aspectos analizados en el presente cargo, guardan relación a los procedimientos internos que debe adoptar los Responsables de la Información con el fin de garantizar la adecuada protección de los datos personales que trata, en virtud del desarrollo de sus actividades; estas actividades van encaminadas a que los responsables, desarrollen políticas internas efectivas que demuestren el cumplimiento de las obligaciones establecidas en la Ley 1581 de 2012 y en su Decreto Reglamentario.

En este punto es importante señalar que la sociedad investigada presentó descargos el día 12 de junio 2019 mediante escrito radicado bajo el número 18-230292-00036- 0001, sin embargo, no se manifestó ni aportó pruebas frente a este cargo y tampoco presentó alegatos de conclusión, razón por la cual, encuentra que la sociedad CCG SOLUCIONES S.A.S, no acreditó contar con la implementación de un manual de políticas de seguridad.

Así las cosas, al demostrarse fehacientemente que la investigada no cuenta con un manual de políticas y procedimientos que garantice la seguridad de la información frente a la administración de los datos personales, obligación dispuesta en el literal k) del artículo 17 de la ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, se impondrá sanción de multa correspondiente a: TRECE MILLONES TRESCIENTOS CINCUENTA Y DOS MIL SEISCIENTOS VEINTICINCO PESOS M/CTE ($13.352.625) equivalentes a TRESCIENTOS SETENTA Y CINCO (375) en UVT Unidades de Valor Tributario.

Dicho lo anterior, esta Dirección encuentra, adicionalmente, procedente imponer la sanción prevista en el literal b) del artículo 23 de la Ley 1581 de 2012, consistente en la suspensión de las actividades relacionadas con el tratamiento de datos personales por el término de 3 (tres) meses, entre tanto la sociedad investigada acredite que ha adoptado las siguientes acciones correctivas: • Desarrollar y documentar un manual interno de Políticas de seguridad a través del cual se describan de manera detallada las medidas de seguridad para el Tratamiento de los datos personales, determinando cómo se efectuará el almacenamiento de la información en sus bases de datos y especificando las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad en la custodia de la información personal a cargo de la sociedad CCG SOLUCIONES S.A.S, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, incluyendo archivos físicos, digitales y magnéticos. 7.2.4 Respecto del deber de contar con un manual interno de procedimientos para garantizar el cumplimiento de la ley 1581 de 2012 y en especial para la atención de consultas, quejas y reclamos.

La Corte Constitucional en la sentencia C 748 de 2011 mediante la cual realiza el análisis constitucional de la ley estatutaria 1581 de 2012, manifestó: el legislador estatutario al regular de forma general la protección del dato personal, estaba facultado para señalar los términos en que los responsables y encargados del tratamiento del dato, públicos y privados, deben responder las consultas o peticiones que les eleve el titular del dato o sus causahabientes, con el fin de hacer exigibles entre otros, el derecho a conocer qué datos personales tiene un determinado banco de datos y la forma como éstos son manejados.

HOJA N 28, “Por la cual se imponen unas sanciones” Compatible con esto, los artículos 17, literal k) y 18 literal f) del proyecto, establecen como uno de los deberes del responsable y encargado del tratamiento del dato, el de adoptar un manual interno de políticas y procedimiento especialmente para la atención de las consultas y reclamos por parte de los titulares.

Igualmente, como una forma de lograr un mayor conocimiento por parte del titular de las bases de datos que operan en el país y cuáles pueden estar tratando su información, el proyecto crea el registro nacional de bancos de datos, artículo 25, el cual será objeto de análisis posteriormente. "Artículo 17. Deberes de los Responsables del Tratamiento.

Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: ( ) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;

Al respecto, es menester precisar que los aspectos analizados en el presente cargo, guardan relación a los procedimientos internos que debe adoptar los responsables de la información con el fin de garantizar la adecuada protección de los datos personales que trata, en virtud del desarrollo de sus actividades; estas actividades van encaminadas a que los responsables, desarrollen políticas internas efectivas que demuestren el cumplimiento de las obligaciones establecidas en la ley 1581 de 2012 y en su decreto reglamentario.

En consecuencia de lo anterior, la Coordinación del Grupo de Trabajo de Investigaciones Administrativas de esta dirección requirió a CCG SOLUCIONES S.A.S mediante escrito radicado bajo el número 18-230292-7-1 del 23 de octubre de 2018, con el propósito de que informara, entre otras cosas, lo siguiente: (…) sírvase manifestar si cuentan con un manual o procedimiento para la atención de consultas y reclamos.

Remita copia del mismo" Con respecto lo anterior la sociedad no atendió al requerimiento de información razón por la cual se formularon cargos, posteriormente mediante escrito de descargos manifiesta lo siguiente: (…) Respecto a lo anterior queremos indicar que la empresa CCG SOLUCIONES SAS, identificada con NIT 900.554.831-6, nunca fue notificada de los hechos, como indica el documento entregado bajo el número de resolución 7480 de 2019, también que el correo XXXXXXXXXXXXXXXXXX que hacen referencia en repetidas oportunidades no corresponde a correos de nuestra empresa, y no corresponde al registrado en el certificado de existencia ni en RUT.

Así mismo, la investigada presentó descargos el día 12 de junio 2019 mediante escrito radicado bajo el número 18-230292-00036- 0001, sin embargo, no se manifestó ni controvirtió los hechos que fundamentan este cargo y tampoco presentó alegatos de conclusión, razón por la cual, encuentra que la sociedad CCG SOLUCIONES S.A.S, no acreditó contar con la implementación de un manual para la atención de consultas, quejas y reclamos.

Por ello, para esta Dirección es claro que la investigada no cuenta con un manual interno para la atención de quejas y reclamos, razón por la cual incumplió con el deber establecido en el literal k del artículo 17 de la ley 1581 de 2012, razón por la cual se impondrá sanción de multa correspondiente a: TRECE MILLONES TRESCIENTOS CINCUENTA Y DOS MIL SEISCIENTOS VEINTICINCO PESOS M/CTE ($13.352.625) equivalentes a TRESCIENTOS SETENTA Y CINCO (375) en UVT Unidades de Valor Tributario.

Dicho lo anterior, esta Dirección encuentra, adicionalmente, procedente imponer la sanción prevista en el literal b) del artículo 23 de la Ley 1581 de 2012, consistente en la suspensión de las actividades relacionadas con el tratamiento de datos personales por el término de 3 (tres) meses, entre tanto la sociedad investigada acredite que ha adoptado las siguientes acciones correctivas: HOJA N 29, “Por la cual se imponen unas sanciones” • Implemente un manual de procedimiento para la atención de consultas y reclamos, con el propósito principal de garantizar en todo momento el derecho fundamental de habeas data de los titulares. 7.2.5 del deber de desarrollar e implementar un procedimiento para la recolección, almacenamiento, uso circulación y supresión de la información. La corte constitucional en la sentencia C 748 de 2011 mediante la cual realiza el análisis constitucional de la ley estatutaria 1581 de 2012, manifestó: “En el proyecto de ley estatutaria el legislador enlistó en preceptos separados los deberes de los responsables y de los encargados del tratamiento, deberes que, en términos generales, buscan garantizar el pleno ejercicio del derecho al habeas data por parte de los titulares, así como los principios de la administración de datos personales.

Estos deberes en cabeza del responsable y del encargado del tratamiento, permiten garantizar, prima facie, el ámbito de protección del derecho de habeas data, por cuanto, como lo precisó esta Corporación en la sentencia C-1011 de 2008, todos los principios de administración de datos personales identificados por la jurisprudencia constitucional, son oponibles a todos los sujetos involucrados en los procesos de recolección, tratamiento y circulación de datos, independientemente de la posición que ocupen en el tratamiento del dato.

Como es posible que un encargado del tratamiento resulte convirtiéndose en responsable al definir la finalidad y los elementos esenciales del medio, razón por la que sus deberes no solo serán los que señala el proyecto para su condición inicial sino para la que llegue a ostentar y en tal evento en que concurran las calidades de responsable y encargado del tratamiento en la misma persona, le será exigible el cumplimiento de los deberes previstos para cada uno. En el mismo sentido, cuando esa calidad llegue a mudar por el tratamiento que uno de ellos llegue a dar al dato personal.

Asimismo, pese al uso de una terminología diversa a la que emplea la Ley 1266 de 2008, lo cierto es que tanto el responsable como el encargado del tratamiento tienen responsabilidades claras, concretas y precisas frente al titular del dato, por cuanto ambos sujetos están obligados a garantizar el ejercicio pleno y efectivo del derecho al habeas data, el cual se irradia por todos los principios que rigen el tratamiento de datos, en donde el titular dispone de todos los medios para lograr la actualización, rectificación y supresión o cancelación de la información, según lo analizado en el acápite anterior.

En estos términos, tanto el responsable como el encargado del tratamiento tienen una responsabilidad concurrente frente a la veracidad, integridad, finalidad e incorporación del dato, si se tiene en cuenta que la recolección y procesamiento de datos no es una actividad neutra que impida al encargado del tratamiento responder, incluso por la veracidad de la información sujeta a proceso, pues a éste le corresponde cerciorarse que se cumplan los requisitos para que un dato personal pueda ser objeto de tratamiento, y si no fuere posible identificar de forma clara la posición de uno y otro, tendrán que responder de forma solidaria y no podrán excusar sus deberes de actualización, rectificación y exclusión o supresión del dato.” Ley 1581 de 2012 "Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: ( ) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos".

Decreto 1074 de 2015 "Artículo 2.2.2.25.2.1. Recolección de datos personales. En desarrollo de los principios de finalidad y libertad, la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos conforme a la normatividad vigente. Salvo en los casos expresamente previstos en la ley, no se podrán recolectar datos personales sin autorización del Titular A solicitud de la Superintendencia de Industria y Comercio, los Responsables deberán proveer una descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso.

No se podrán utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales. HOJA N 30, “Por la cual se imponen unas sanciones” ( ) Artículo 2.2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso".

Al respecto, es necesario precisar que los aspectos analizados en el presente cargo, guardan relación a los procedimientos internos que debe adoptar los Responsables de la Información con el fin de garantizar la adecuada protección de los datos personales que trata, en virtud del desarrollo de sus actividades; estas actividades van encaminadas a que los responsables, desarrollen políticas internas efectivas que demuestren el cumplimiento de las obligaciones establecidas en la Ley 1581 de 2012 y en su Decreto Reglamentario.

En consecuencia de ello, la Coordinación del Grupo de Trabajo de Investigaciones Administrativas de esta Dirección requirió a CCG SOLUCIONES S.A.S mediante escrito radicado bajo el número 18-230292-7-1 del 23 de octubre de 2018, con el propósito de que informara, entre otras cosas, lo siguiente: (…) sírvase manifestar si cuentan con un manual en el que se describan los procedimientos usados para la recolección, uso. circulación y supresión de la información " Con respecto lo anterior la sociedad no atendió al requerimiento de información razón por la cual se formularon cargos, posteriormente mediante escrito de descargos manifiesta lo siguiente: (…) Respecto a lo anterior queremos indicar que la empresa CCG SOLUCIONES SAS, identificada con NIT 900.554.831-6, nunca fue notificada de los hechos, como indica el documento entregado bajo el número de resolución 7480 de 2019, también que el correo XXXXXXXXXXXXXXXX que hacen referencia en repetidas oportunidades no corresponde a correos de nuestra empresa, y no corresponde al registrado en el certificado de existencia ni en RUT.

Sin embargo, esta Dirección encuentra que una vez revisado el Registro Único Empresarial y Social RUES en el Certificado de Existencia y Representación Legal expedido por la Cámara de Comercio de la sociedad CCG SOLUCIONES SAS, figura registrada la dirección de correo electrónico para notificación: XXXXXXXXXXXXX, a la cual fue remitida la comunicación radicada bajo el número 18230292-7-1 del 23 de octubre de 2018 En el caso en concreto encontramos que la sociedad CCG SOLUCIONES S.A.S no cuenta con un manual de procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de la información, en donde se describan las finalidades para la cuales la información es recolectada.

En este punto es importante señalar que la sociedad investigada presentó descargos mediante escrito radicado bajo el número 18- 230292-00036- 0001 el día 12 de junio 18, sin embargo, no se pronunció ni controvirtió los hechos que fundamentan este cargo, pues no aportó copia del manual en el que se describan los procedimientos usados para la recolección, uso, circulación y supresión de la información. HOJA N 31, “Por la cual se imponen unas sanciones” En consecuencia, para esta Dirección es claro que la investigada Incumplió lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1. ejúsdem; razón por la cual se impondrá sanción de multa correspondiente a TRECE MILLONES TRESCIENTOS CINCUENTA Y DOS MIL SEISCIENTOS VEINTICINCO PESOS M/CTE ($13.352.625) equivalentes a TRESCIENTOS SETENTA Y CINCO (375) en UVT Unidades de Valor Tributario.

Dicho lo anterior, esta Dirección encuentra, adicionalmente, procedente imponer la sanción prevista en el literal b) del artículo 23 de la Ley 1581 de 2012, consistente en la suspensión de las actividades relacionadas con el tratamiento de datos personales por el término de 3 (tres) meses, entre tanto la sociedad investigada acredite que ha adoptado las siguientes acciones correctivas: • Desarrollar e implementar un manual que contenga un procedimiento para la recolección, tratamiento, circulación, y supresión de la información de datos personales. 7.2.6 Respecto del deber del Responsable del tratamiento de la información de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio La Corte Constitucional en la sentencia C 748 de 2011 mediante la cual realiza el análisis constitucional de la ley estatutaria 1581 de 2012, manifestó: el artículo 18 señala que los encargados del tratamiento del dato, al igual que los responsables, están obligados a garantizar el derecho al habeas data al titular.

En consecuencia, tienen deberes de: (i) actualizar, rectificar y suprimir los datos cuando a ello haya lugar y en los tiempos indicados para el efecto, literales c) y d). Por tanto, como una forma de cumplir con estos deberes, se le impone (ii) la obligación de incluir en la información que suministre, leyendas tales como “información en discusión judicial” cuando la autoridad judicial lo notifique sobre el particular, o “reclamo en trámite”, tal como lo indica el artículo 15, numeral 2 del proyecto en revisión, literales g) y h), (iii) no circular información que por orden de la autoridad de control este bloqueada mientras se adopta la decisión definitiva;

(iv) tramitar los reclamos y consultas. Para el efecto, debe adoptar un manual que no solo le permita el adecuado cumplimiento de la ley sino responder en forma eficaz y eficiente a los reclamos y a las consultas que se le efectúen en los términos indicados en el título IV de la ley; (v) al igual que los responsables, informar cualquier violación a los códigos de seguridad y administración de la información y (vi) cumplir las instrucciones y requerimientos del órgano de vigilancia y control del dato personal. ' Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: ( ) o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio". De conformidad con la fundamentación fáctica de la investigación de la referencia, el segundo deber involucrado en el caso sub-examine es establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, el cual exige del Responsable del Tratamiento de los datos personales, cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio en su calidad de Autoridad de Protección de Datos Personales en Colombia.

En esa medida, se encuentra responsable administrativamente de la trasgresión de este deber a aquellos Responsables del Tratamiento que, al haberse requerido o dado instrucciones por parte de la autoridad administrativa competente, no de respuesta o acate las instrucciones impartidas por la misma, en este caso, como ya se dijo, los requerimientos fueron expedidos por esta Superintendencia encontrándose debidamente facultada para hacerlo.

En el caso en concreto, se observa en la actuación administrativa que en atención de los hechos denunciados por el Señor XXXXXXXXXXXXX esta Dirección requirió a la sociedad CCG SOLUCIONES S.A.S., mediante escrito radicado bajo el número 19-230292-7 del 23 de octubre de 2018 el cual fue enviado al correo electrónico XXXXXXXXXXXXXX.com de conformidad con el certificado de existencia y representación legal de la sociedad verificada en el RUES, en el cual, se solicitaba: HOJA N 32, “Por la cual se imponen unas sanciones” 1.

¿Cuáles son los mecanismos implementados por ustedes para la obtención de la información personal almacenada en sus bases de datos? 2. Manifieste cuál fue el mecanismo implementado por ustedes para la recolección de los datos personales del Titular XXXXXXXXXXX. 3. En los términos del artículo 9 de la Ley 1581 de 2012 ¿cuenta con la autorización expresa, previa e informada del Titular XXXXXXXXXXX para la recolección y tratamiento de sus datos personales? En caso de ser afirmativa su respuesta, remitir copia del formulario y/o formato mediante el cual se realiza este procedimiento y se informa al Titular la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, aporte si informa las finalidades. 4.

¿Cuáles son las Políticas de Tratamiento implementadas por ustedes para el manejo de datos personales? Sírvase remitir copia de las mismas. 5. Aclare a este Despacho si el Tratamiento que realiza a las bases de datos que tiene almacenadas lo hace en calidad de Responsable y/o Encargado. 6. Señale puntualmente qué tipo de información (correos electrónicos personales y/o corporativos, direcciones de domicilio, nombre, números telefónicos, imágenes, etc.) se encuentra almacenada en su base de datos del señor XXXXXXXXXXXX, como de los demás Titulares que se encuentran allí registradas. 7.

De conformidad con el artículo 2.2.2.25.4.4 sección 4 capítulo 25 del Decreto Único Reglamentario 1074 de 2015; ¿quién es la persona o área designada por el Responsable y Encargado que asuma la función de protección de datos personales, que dará tramite a las solicitudes de los Titulares, para el ejercicio de los derechos a que se refiere la Ley 1581 de 2012 y el decreto antes citado? 8.

Manifieste que personas tienen acceso a sus bases de datos y que protocolos de seguridad tiene implementados ustedes para evitar que los funcionaros que manejan dichas bases de datos las usen, sustraigan o accedan de manera no autorizada o fraudulenta. 9. Sírvase indicar cuáles son los canales dispuestos por ustedes para la atención de consultas y reclamos presentados por los Titulares de información. 10.

Sírvase remitir copia del manual de Políticas de Seguridad. 11. Sírvase manifestar si cuentan con un manual o procedimiento para la atención de consultas y reclamos. Remita copia del mismo. 12. Sírvase manifestar si la sociedad cuenta con un manual en el que se describan los procedimientos usados para la recolección, uso, circulación y supresión de la información almacenada en sus bases de datos.

Remita copia de la misma. 13. Sírvase informar si la sociedad SERVICIOS FINANCIEROS S.A SERFINANZA COMPAÑÍA DEFINANCIAMIENTO le ha cedido o transferido la información personal almacenada en sus bases de datos. 14. Informe a este Despacho si ha suscrito contrato de transmisión de datos personales con la sociedad SERVICIOS FINANCIEROS S.A SERFINANZA COMPAÑÍA DE FINANCIAMIENTO en los términos del artículo 2.2.2.25.5.2. del Decreto Único Reglamentario 1074 de 2015 o cuenta con algún otro mecanismo jurídico que determine los alcances y finalidades del Tratamiento.

Sin embargo, la sociedad CCG SOLUCIONES S.A.S., no suministró respuesta a este Despacho, por ende, se procedió a la apertura de investigación y formulación de cargos. Así mismo presentó descargos el día 12 de junio de 2019, mediante escrito radicado bajo el número 18-230292-00036-0001 en los cuales manifestó lo siguiente: “Respecto a lo anterior queremos indicar que la empresa CCG SOLUCIONES SAS, identificada con NIT 900.554.831-6, nunca fue notificada de los hechos, como indica el documento entregado bajo el número de resolución 7480 de 2019, también que el correo CCCCCCCCCCCCC que hacen referencia en repetidas oportunidades no corresponde a correos de nuestra empresa, y no corresponde al registrado en el certificado de existencia ni en RUT.” Sin embargo, esta Dirección encuentra que una vez revisado el Registro Único Empresarial y Social RUES en el Certificado de Existencia y Representación Legal expedido por la Cámara de Comercio de la sociedad CCG SOLUCIONES SAS, figura registrada la dirección de correo electrónico para notificación: XXXXXXXXXXXXXXXXXXXXXX, a la cual fue remitida la comunicación radicada bajo el número 18-230292-7-1 del 23 de octubre de 2018 HOJA N 33, “Por la cual se imponen unas sanciones” En conclusión, la sociedad investigada frente al cargo aquí endilgado no presentó argumentación o prueba alguna que acreditara su respuesta al requerimiento o que justificara el incumplimiento de los mismos.

Por lo anterior, esta Dirección encuentra probado que la sociedad, respecto de los requerimientos mencionados anteriormente, no cumplió con el deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, puesto que no demostró haber cumplido las instrucciones y requerimientos impartidos por esta Superintendencia en su calidad de Autoridad Nacional Competente en materia de protección de datos personales y en los términos señalados en la ley aplicable.

Por lo que, amerita la imposición de la correspondiente sanción de multa correspondiente a: TRECE MILLONES TRESCIENTOS CINCUENTA Y DOS MIL SEISCIENTOS VEINTICINCO PESOS M/CTE ($13.352.625) equivalentes a TRESCIENTOS SETENTA Y CINCO (375) en UVT Unidades de Valor Tributario, dada la evidente transgresión del sistema normativo de habeas data.

OCTAVO: Que el parágrafo del artículo 2 de la Ley 1581 de 2012 13 señala que los principios sobre protección de datos serán aplicables a todas las bases de datos incluidas las exceptuadas en el mismo artículo,. De ahí que es procedente solicitar a la investigada que garantice el cumplimiento del principio de responsabilidad demostrada desarrollado en el artículo 2.2.2.25.6.1 y subsiguiente del Decreto Único Reglamentario 1074 de 201514.

Al respecto, es oportuno resaltar lo conceptuado en la Resolución No. 83882 del 15 de noviembre de 2018, emanada del Despacho del Superintendente Delegado Para la Protección de Datos Personales, respecto de la responsabilidad de los administradores, acto administrativo en el que se señaló lo siguiente: “(…) 6.1. Responsabilidad de los administradores en materia de tratamiento de datos personales.

El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.

La efectividad de los derechos humanos es un asunta de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, 13Ley 1581 de 2012, artículo 2: “Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.

(…)

PARÁGRAFO. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal. En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley.” 14Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.6.1: Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas. HOJA N 34, “Por la cual se imponen unas sanciones” la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.

En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.

En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas.

Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la ley 222 de 1995 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias” (subrayamos) (…) Nótese que el artículo 24 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”.

NOVENO: De acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones: GENERAL SERVICE DE COLOMBIA S.A.S • • • • • Implementar una Política de Tratamiento de Información que cumpla todos los requisitos que exige artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y ponerla en conocimiento de los Titulares.

Implementar un mecanismo efectivo para obtener la autorización previa expresa e informada de los titulares. Suprimir, de manera definitiva, de sus bases de datos la totalidad de los datos personales que no hayan sido obtenidos y tratados con el consentimiento de su respectivo titular. Implementar un mecanismo efectivo para informar previamente a los titulares sobre las finalidades del tratamiento de la información. Adoptar e Implementar un manual de políticas de seguridad con las medidas apropiadas y efectivas para que la información de los titulares permanezca bajo las condiciones de seguridad necesarias para impedir su adulteración, perdida, consulta, uso o acceso no autorizado.

De lo anteriormente ordenado la sociedad GENERAL SERVICE DE COLOMBIA S.A.S deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo. HOJA N 35, “Por la cual se imponen unas sanciones” EDITORA RED PREFERENCIAL SAS • Implementar un mecanismo efectivo para obtener la autorización previa expresa e informada de los titulares. • Suprimir, de manera definitiva, de sus bases de datos la totalidad de los datos personales que no hayan sido obtenidos y tratados con el consentimiento de su respectivo titular.

De lo anteriormente ordenado la sociedad EDITORA RED PREFERENCIAL SAS deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo. COMSERVICE ASISTENCIA • Implementar un mecanismo efectivo para obtener la autorización previa expresa e informada de los titulares. • Suprimir, de manera definitiva, de sus bases de datos la totalidad de los datos personales que no hayan sido obtenidos y tratados con el consentimiento de su respectivo titular.

De lo anteriormente ordenado la sociedad COMSERVICE ASISTENCIA deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo. CCG SOLUCIONES S.A.S • • • • • • Implementar una Política de Tratamiento de Información que cumpla todos los requisitos que exige el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y ponerla en conocimiento de los Titulares.

Implementar un mecanismo efectivo para obtener la autorización previa expresa e informada de los titulares. Suprimir, de manera definitiva, de sus bases de datos la totalidad de los datos personales que no hayan sido obtenidos y tratados con el consentimiento de su respectivo titular. Adoptar e Implementar un manual de políticas de seguridad con las medidas apropiadas y efectivas para que la información de los titulares permanezca bajo las condiciones de seguridad necesarias para impedir su adulteración, perdida, consulta, uso o acceso no autorizado.

Adoptar e Implementar un manual de atención de consultas y reclamos, con el propósito principal de garantizar en todo momento el derecho fundamental de habeas data de los titulares. Desarrollar e implementar un manual que contenga un procedimiento para la recolección, tratamiento, circulación, y supresión de la información de datos personales.

De lo anteriormente ordenado la sociedad CCG SOLUCIONES SAS deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO: Imposición y graduación de la sanción 10.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIÓN ES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones es: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; HOJA N 36, “Por la cual se imponen unas sanciones” c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 15.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción sociedad como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanción es, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanción es, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanción es o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e sociedad dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: Multa en UVT De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibídem establece unos criterios de graduación que permiten garantizar el respeto de Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. HOJA N 37, “Por la cual se imponen unas sanciones” las garantías del artículo 29 Constitucional16 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta. Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f).

De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sanciónador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad” 17 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. También se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros18. La imposición de sanción es por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razón amientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”19.

Por eso, según dicho documento, se considera “esencial que los 16 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 17 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 18 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 19 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos HOJA N 38, “Por la cual se imponen unas sanciones” derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia20.

La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sanciónatoria que se concreta en el artículo 2321 de la misma ley. Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 10.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sanción ador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Respecto de la sanción administrativa, la proporcionalidad implica también que 20 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 21Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e sociedad al hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva..” HOJA N 39, “Por la cual se imponen unas sanciones” ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”22 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados23.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. Para el caso que nos ocupa, quedó demostrado que la sociedad GENERAL SERVICE DE COLOMBIA S.A.S vulneró los deberes contemplados en: • • • • El inciso 2 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015 Por cuanto la investigada no acreditó contar con una Política de Tratamiento de la Información. El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. toda vez que la sociedad no aportó copia de la respectiva autorización previa e informada de la Titular para el Tratamiento de la información. El literal c) del artículo 17 en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2del Decreto Único Reglamentario 1074 de 201555 y el artículo 2.2.2.25.2.3 ejúsdem, la sociedad no aportó prueba que diera cuenta que informa las Finalidades de la recolección al Titular de la información. El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. la sociedad no adoptó manual de políticas y procedimientos internos de seguridad.

Para el caso que nos ocupa, quedó demostrado que la sociedad EDITORA RED PREFERENCIAL S.A.S vulneró el deber contemplado en: • El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. toda vez que la sociedad no aportó copia de la respectiva autorización previa e informada del Titular para el Tratamiento de la información. Para el caso que nos ocupa, quedó demostrado que la sociedad COMSERVICE ASISTENCIA S.A.S vulneró el deber contemplado en: • El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. toda vez que la sociedad no aportó copia de la respectiva autorización previa e informada del Titular para el Tratamiento de la información. 22 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 23 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e sociedad al hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada.

En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” HOJA N 40, “Por la cual se imponen unas sanciones” Para el caso que nos ocupa, quedó demostrado que la sociedad CCG SOLUCIONES S.A.S vulneró los deberes contemplados en: • • • • • • El inciso 2 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015 la sociedad investigada no cuenta con una Política de Tratamiento de la Información. El literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. toda vez que la sociedad no aportó copia de la respectiva autorización previa e informada del Titular para el Tratamiento de la información. El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, la sociedad no adoptó manual de políticas y procedimientos internos de seguridad.

El literal k) del artículo 17 de la Ley 1581 de 2012 toda vez que la sociedad no cuenta con un manual o procedimiento documentado para la atención de quejas y reclamos. El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1. ejúsdem.

Al respecto, la sociedad CCG SOLUCIONES S.A.S. no demostró que cuenta con la implementación de un manual en el que se describan los procedimientos usados para la recolección, uso, circulación y supresión de la información. El literal o) del artículo 17 de la Ley 1581 de 2012. teniendo en cuenta que la sociedad no suministró respuesta al requerimiento de información que este Despacho le solicitó mediante oficio 18-230292-7-1 del 23 de octubre de 2018. 10.1.4 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

Tampoco se tendrá en cuenta el criterio de atenuación señalado en el literal f) por cuanto, la investigada no admitió la comisión de la infracción de los hechos materia de investigación DÉCIMO PRIMERO: CONCLUSIÓN Se procederá a imponer una sanción por las siguientes razones: • Se comprobó que la sociedad GENERAL SERVICE DE COLOMBIA infringió abiertamente las normas sobre protección de datos personales, en tanto, i) no acreditó contar con una Política de Tratamiento de la Información ii) no aportó copia de la respectiva autorización previa e informada del Titular para el Tratamiento de la Información iii) no demostró por ningún medio prueba mediante la cual certificara que se informó las finalidades de la recolección de los datos personales, así como los derechos que le asisten al titular iv) no cuenta con un manual de políticas de seguridad de la información. Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer la sanción prevista en el literal b) del artículo 23 de la Ley 1581 de 2012, consistente en la suspensión de las actividades relacionadas con el tratamiento de datos personales por el término de 3 (tres) meses, entre tanto la sociedad investigada acredite que ha adoptado las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo, adicionalmente una sanción de multa correspondiente a OCHENTA MILLONES CUARENTA Y CUATRO MIL QUINIENTOS TREINTA Y SEIS PESOS M/CTE ($80.044.536) equivalente a DOS MIL DOSCIENTOS CUARENTA Y OCHO 2.248 (UVT) Unidad de Valor Tributario a la sociedad GENERAL SERVICE DE COLOMBIA, por la violación a la siguiente normatividad: (i) El inciso 2 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015.

HOJA N 41, “Por la cual se imponen unas sanciones” (ii) El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. (iii) El literal c) del artículo 17 en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 y el artículo 2.2.2.25.2.3 del mismo decreto (iv) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 • Se comprobó que la sociedad EDITORA RED infringió abiertamente las normas sobre protección de datos personales, en tanto, i) no aportó copia de la respectiva autorización previa e informada del Titular para el Tratamiento de la Información. Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente a imponer la sanción prevista en el literal b) del artículo 23 de la Ley 1581 de 2012, consistente en la suspensión de las actividades relacionadas con el tratamiento de datos personales por el término de 3 (tres) meses, entre tanto la sociedad investigada acredite que ha adoptado las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo, adicionalmente una sanción de multa correspondiente a CINCUENTA MILLONES SESENTA Y TRES MIL CUATROCIENTOS CUARENTA Y DOS PESOS M/CTE ($50.063.442) equivalentes a MIL CUATROCIENTOS SEIS (1.406) Unidades de Valor Tributario (UVT) a la sociedad EDITORA RED, por la violación a la siguiente normatividad: i) El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 • Se comprobó que la sociedad COMSERVICE ASISTENCIA S.A.S infringió abiertamente las normas sobre protección de datos personales, en tanto, i) no aportó copia de la respectiva autorización previa e informada del Titular para el Tratamiento de la Información. Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente a imponer la sanción prevista en el literal b) del artículo 23 de la Ley 1581 de 2012, consistente en la suspensión de las actividades relacionadas con el tratamiento de datos personales por el término de 3 (tres) meses, entre tanto la sociedad investigada acredite que ha adoptado las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo, adicionalmente una sanción de multa correspondiente a CINCUENTA MILLONES SESENTA Y TRES MIL CUATROCIENTOS CUARENTA Y DOS PESOS M/CTE ($50.063.442) equivalentes a MIL CUATROCIENTOS SEIS (1.406) Unidades de Valor Tributario (UVT) a la sociedad COMSERVICE ASISTENCIA S.A.S, por la violación a la siguiente normatividad: i) El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 • Se comprobó que la sociedad CCG SOLUCIONES SAS infringió abiertamente las normas sobre protección de datos personales, en tanto, i) no acreditó contar con una Política de Tratamiento de la Información ii) no aportó copia de la respectiva autorización previa e informada del Titular para el Tratamiento de la Información iii) no cuenta con un manual de políticas de seguridad de la información. iv) no cuenta con un manual para la atención de consultas y reclamos, v) no ha implementado un manual donde se encuentre un procedimiento para la recolección, tratamiento, circulación, y supresión de la información. vi) no suministró respuesta al requerimiento de información que este Despacho le solicitó mediante oficio radicado bajo el número 18-230292-7 del 23 de octubre de 2018.

Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente a imponer la sanción prevista en el literal b) del artículo 23 de la Ley 1581 de 2012, consistente en la suspensión de las actividades relacionadas con el tratamiento de datos personales por el HOJA N 42, “Por la cual se imponen unas sanciones” término de 3 (tres) meses, entre tanto la sociedad investigada acredite que ha adoptado las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo, adicionalmente una sanción de multa correspondiente a OCHENTA MILLONES CIENTO QUINCE MIL SETECIENTOS CINCUENTA PESOS M/CTE ($80.115.750) equivalentes a DOS MIL DOSCIENTOS CINCUENTA (2.250) (UVT) Unidades de Valor Tributario (UVT) a la sociedad CCG SOLUCIONES SAS, por la violación a la siguiente normatividad: i) ii) iii) iv) v) vi) El inciso 2 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015.

El literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 El literal k) del artículo 17 de la Ley 1581 de 2012.

El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1. ejúsdem. El literal o) del artículo 17 de la Ley 1581 de 2012.

DÉCIMO SEGUNDO: Que, en virtud de la situación actual, teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que las sociedades GENERAL SERVICE DE COLOMBIA S.A, EDITORA RED PREFERNCIAL S.A.S, COMSERVICE ASISTENCIA S.A.S, CCG SOLUCIONES S.A.S deben: (i) (ii) Enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando: número de radicado, nombre completo de la persona que va a consultar el expediente, número de identificación y correo electrónico autorizado;

Una vez reciba respuesta positiva respecto de la solicitud de acceso, la sociedad debe registrarse en servicios en línea link https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo link posteriormente al registro puede consultar el expediente de manera digital. No obstante, en aras de garantizar los derechos de defensa y contradicción de la sociedad investigada, en el caso en que la misma considere necesario el acceso del expediente en físico, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá. Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.

En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER a la sociedad GENERAL SERVICE DE COLOMBIA SAS identificada con Nit 900.325.660-1, una sanción pecuniaria de OCHENTA MILLONES CUARENTA Y CUATRO MIL QUINIENTOS TREINTA Y SEIS PESOS M/CTE ($80.044.536) equivalente a DOS MIL DOSCIENTOS CUARENTA Y OCHO 2.248 (UVT) Unidad de Valor Tributario, por la violación a lo dispuesto en (i) El inciso 2 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015.

HOJA N 43, “Por la cual se imponen unas sanciones”

ARTÍCULO SEGUNDO: IMPONER a la sociedad EDITORIA RED PREFERENCIAL S.A.S identificada con Nit 901.119.668-0, una sanción pecuniaria de CINCUENTA MILLONES SESENTA Y TRES MIL CUATROCIENTOS CUARENTA Y DOS PESOS M/CTE ($50.063.442) equivalentes a MIL CUATROCIENTOS SEIS (1.406) UVT) Unidad de Valor Tributario, por la violación a lo dispuesto en i) El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 ARTÍCULO TERCERO: IMPONER a la sociedad COMSERVICE ASISTENCIA SAS identificada con Nit 901.066.050-0, una sanción pecuniaria de CINCUENTA MILLONES SESENTA Y TRES MIL CUATROCIENTOS CUARENTA Y DOS PESOS M/CTE ($50.063.442) equivalentes a MIL CUATROCIENTOS SEIS (1.406) UVT) Unidad de Valor Tributario, por la violación a lo dispuesto en i) El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 ARTÍCULO CUARTO: IMPONER a la sociedad CCG SOLUCIONES S.A.S identificada con Nit 900.554.831-6, una sanción pecuniaria de OCHENTA MILLONES CIENTO QUINCE MIL SETECIENTOS CINCUENTA PESOS M/CTE ($80.115.750) equivalentes a DOS MIL DOSCIENTOS CINCUENTA (2.250) (UVT) Unidad de Valor Tributario, por la violación a lo dispuesto en i) El inciso 2 del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015. ii)El literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.iii) El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artículo 4 de la ley en cita y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 iv) El literal k) del artículo 17 de la Ley 1581 de 2012. v) El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 2 del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del artículo 2.2.2.25.6.1. ejúsdem. vi) El literal o) del artículo 17 de la Ley 1581 de 2012.

PARÁGRAFO PRIMERO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO QUINTO: IMPONER la sanción de suspensión de actividades relacionadas con el Tratamiento de Datos Personales por un término de tres (3) meses a partir de la ejecutoria del presente acto administrativo a la sociedad GENERAL SERVICE DE COLOMBIA SAS identificada con Nit 900.325.660-1, hasta que acredite que ha adoptado las siguientes acciones correctivas: • Implementar una Política de Tratamiento de Información que cumpla todos los requisitos que exige artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y ponerla en conocimiento de los Titulares.

Para ello deberá aportar copia del manual implementado. • • Implementar un mecanismo efectivo para obtener la autorización previa expresa e informada de los titulares. Suprimir, de manera definitiva, de sus bases de datos la totalidad de los datos personales que no hayan sido obtenidos y tratados con el consentimiento de su respectivo titular.

Para ello deberá aportar copia del mecanismo utilizado para la obtención de la autorización de los datos personales de los titulares de la información y evidencia técnica de la eliminación de todos los datos personales de los titulares tratados sin autorización previa expresa e informada. • Implementar un mecanismo efectivo para informar previamente a los titulares sobre las finalidades del tratamiento de la información. HOJA N 44, “Por la cual se imponen unas sanciones” Para ello deberá aportar copia del mecanismo utilizado para informar previo al tratamiento de a información, sobre la finalidad de la recolección de datos personales. • Adoptar e Implementar un manual de políticas de seguridad con las medidas apropiadas y efectivas para que la información de los titulares permanezca bajo las condiciones de seguridad necesarias para impedir su adulteración, perdida, consulta, uso o acceso no autorizado.

Para ello deberá aportar copia del manual implementado.

ARTÍCULO SEXTO: IMPONER la sanción de suspensión de actividades relacionadas con el Tratamiento de Datos Personales por un término de tres (3) meses a partir de la ejecutoria del presente acto administrativo a la sociedad EDITORIA RED PREFERENCIAL S.A.S identificada con Nit 901.119.668-0, hasta que acredite que ha adoptado las siguientes acciones correctivas: • • Implementar un mecanismo efectivo para obtener la autorización previa expresa e informada de los titulares.

Suprimir, de manera definitiva, de sus bases de datos la totalidad de los datos personales que no hayan sido obtenidos y tratados con el consentimiento de su respectivo titular. Para ello deberá aportar copia del mecanismo utilizado para la obtención de la autorización de los datos personales de los titulares de la información y evidencia técnica de la eliminación de todos los datos personales de los titulares tratados sin autorización previa expresa e informada.

ARTÍCULO S ÈPTIMO: IMPONER la sanción de suspensión de actividades relacionadas con el Tratamiento de Datos Personales por un término de tres (3) meses a partir de la ejecutoria del presente acto administrativo a la sociedad COMSERVICE ASISTENCIA SAS identificada con Nit 901.066.050-0, hasta que acredite que ha adoptado las siguientes acciones correctivas: • • Implementar un mecanismo efectivo para obtener la autorización previa expresa e informada de los titulares.

ARTÍCULO OCTAVO: IMPONER la sanción de suspensión de actividades relacionadas con el Tratamiento de Datos Personales por un término de tres (3) meses a partir de la ejecutoria del presente acto administrativo a la sociedad CCG SOLUCIONES S.A.S identificada con Nit 900.554.831-6, hasta que acredite que ha adoptado las siguientes acciones correctivas: • Implementar una Política de Tratamiento de Información que cumpla todos los requisitos que exige artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y ponerla en conocimiento de los Titulares.

Para ello deberá aportar copia del manual implementado. HOJA N 45, “Por la cual se imponen unas sanciones” • Adoptar e Implementar un manual de atención de consultas y reclamos, con el propósito principal de garantizar en todo momento el derecho fundamental de habeas data de los titulares. Para ello deberá aportar copia del manual implementado. • Desarrollar e implementar un manual que contenga un procedimiento para la recolección, tratamiento, circulación, y supresión de la información de datos personales.

Para ello deberá aportar copia del manual implementado.

PARÁGRAFO PRIMERO: Dentro de dicho término, las sociedades GENERAL SERVICE DE COLOMBIA SAS identificada con Nit 900.325.660-1, EDITORIA RED PREFERENCIAL S.A.S identificada con Nit 901.119.668-0, COMSERVICE ASISTENCIA SAS identificada con Nit 901.066.050-0, CCG SOLUCIONES S.A.S identificada con Nit 900.554.831-6, deberán implementar las medidas señaladas.

PARÁGRAFO SEGUNDO: Vencido dicho término, esta Superintendencia verificará el cumplimiento de lo ordenado. En caso de incumplir con lo señalado, se impondrá la sanción dispuesta en el literal c) del artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: "Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: ( ) c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la PARÁGRAFO TERCERO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a las sociedades GENERAL SERVICE DE COLOMBIA SAS identificada con Nit 900.325.6601, EDITORIA RED PREFERENCIAL S.A.S identificada con Nit 901.119.668-0, COMSERVICE ASISTENCIA SAS identificada con Nit 901.066.050-0, CCG SOLUCIONES S.A.S identificada con Nit 900.554.831-6, acreedora de las sanciones previstas en la ley.

ARTÍCULO NOVENO: Notificar personalmente el contenido de la presente resolución a las sociedades GENERAL SERVICE DE COLOMBIA SAS identificada con Nit 900.325.660-1, EDITORIA RED PREFERENCIAL S.A.S identificada con Nit 901.119.668-0, COMSERVICE ASISTENCIA SAS identificada con Nit 901.066.050-0, CCG SOLUCIONES S.A.S identificada con Nit 900.554.831-6, a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación. ARTÍCULO DÈCIMO: COMUNICAR el contenido de la presente decisión al señor XXXXXXXXXXXX, identificado con C.C. XXXXXXXXXX

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 14 OCTUBRE 2020 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó JMBG Reviso LMRZ Aprobó: CESM “Por la cual se imponen unas sanciones” NOTIFICACIÓN: Investigadas: Entidad: GENERAL SERVICE DE COLOMBIA S.A Identificación: Nit 900.325.660-1 Representante Legal: Cristian Rubiano Bernal Identificación: C.C. 1.032.376.501 Dirección: Calle 63 Sur No. 71 H - 98 Oficina 301 Correo electrónico: Rubiano.cristian@gmail.com Ciudad: Bogotá D.C. Entidad: EDITORA RED PREFERENCIAL S.A.S. Identificación: Nit 901.119.668-0 Representante Legal: Jhon Fernando Muñoz Lopera Identificación: C.C. 1.060.646.802 Dirección: Carrera 5 No. 6 - 2 8 Correo electrónico: redpreferencialplatinum@hotmail.com Ciudad: Villamaria –Caldas Entidad: COMSERVICE ASISTENCIA S.A.S Identificación: Nit 901.066.050-0 Representante Legal: Miguel Ángel Patino Tejada Identificación: C.C. 75.097.052 Dirección: Carrera 5 No. 6 - 28 Correo electrónico: comserviceasistencias@gmail.com Ciudad: Villamaria – Caldas Entidad: CCG SOLUCIONES S.A.S Identificación: Nit 900.554.831-6 Representante Legal: Jeison Alexander Lara Hoyos Identificación: C.C. 1.024.498.317 Dirección: Calle 53 B No. 2 8 - 1 1 0 f 102 Correo electrónico: jeisonccgsoluciones@ccsoluciones.com Ciudad: Bogotá D.C. COMUNICACIÓN: Señor: XXXXXXXXXXX Identificación: C.C. NoXXXXXXXXXX Dirección: XXXXXXXXXXX Ciudad: XXXXXXXXXXX HOJA N 46,

Resolución sancionatoria N° 7480 de 2020

CONSIDERANDO

RESUELVE