(Julio 10 de 2023) Radicación 19-250553 VERSIÓN ÚNICA LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y CONSIDERANDO:
PRIMERO. Que, mediante Resolución No. 41824 del 30 de junio de 2022, la Dirección de Investigación de Protección de Datos Personales, respecto de la actuación adelantada en contra del LICEO CRISTIANO VIDA NUEVA EU (en adelante LICEO CRISTIANO), resolvió lo siguiente: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad LICEO CRISTIANO VIDA NUEVA EU identificada con el Nit. 900.029.126-0, de TREINTA Y CUATRO MILLONES DOSCIENTOS TRES MIL SEISCIENTOS PESOS ($34.203.600) M/CTE, correspondiente a (900) unidades de valor tributaria- UVT, por la violación a lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 de la norma en mención.”
SEGUNDO. Que el LICEO CRISTIANO, a través de su representante legal (en adelante la RECURRENTE) interpuso recurso de reposición y en subsidio de apelación 1, en contra de la Resolución No. 41824 del 30 de junio de 2022, cuyos argumentos son los señalados en el escrito del recurso obrante en el consecutivo 27 del radicado 19-250553 del 27 de julio de 2022.
TERCERO. Que, mediante Resolución No. 72689 del 18 de octubre de 2022, la Dirección de Investigación de Protección de Datos Personales, resolvió el recurso de reposición interpuesto, confirmando en todas sus partes la Resolución No. 41824 del 30 de junio de 2022.
CUARTO. Que este Despacho coincide con la Dirección de Investigación de Protección de Datos Personales en el análisis y conclusiones respecto al cumplimiento de la oportunidad, presentación y cumplimiento de los requisitos del recurso objeto de estudio y la competencia de esta Superintendencia.
QUINTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, confirmará el acto administrativo impugnado, conforme a los siguientes argumentos: 1. Deber de Cumplir con las Órdenes Impartidas por parte de la Superintendencia de Industria y Comercio. Manifestó la RECURRENTE en su escrito que, “desde el primer momento, que se efectuaron las observaciones por parte de su despacho, se tomaron medidas de manera inmediata a fin de salvaguardar y proteger no pasa nada los datos e información recogida y tratada por nuestra institución educativa prueba de lo anterior no solo los documentos que se adjuntan al presente recurso de reposición sino que además es claro para la entidad que no ha habido una sola queja de ningún usuario por mal manejo de los datos e información suministrada a la institución”. 1 la Resolución No. 42063 del 7 de julio de 2022 fue notificada el 8 de julio de 2022.
Indica que, “[p]ara la fecha de erradicación del presente recurso nos encontramos al día con todos los requisitos de ley exigidos en cuanto al manejo tratamiento sistemas de seguridad y una política de manejo de la información y de los datos sensibles de nuestros usuarios y de toda la comunidad educativa política que adjunto al presente documento, así como los pantallazos de que nos encontramos habilitados y con los correspondientes registros CIR”.
Conforme a los anteriores argumentos, afirma la RECURRENTE que ha dado estricto cumplimiento a la Ley 1581 de 2012, y demás normatividad reglamentaria que regula la materia, allega para tal efecto, el soporte de la actividad realizada de acuerdo con lo ordenado en la Resolución No. 61273 del 7 de noviembre de 2019 y las recomendaciones de la Resolución No. 41824 del 30 de junio de 2022, veamos: Pues bien, de conformidad con lo establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, los Responsables del tratamiento están en la obligación de cumplir con las instrucciones y requerimientos que imparta esta Superintendencia. La presente actuación administrativa sancionatoria, tuvo su origen en el incumplimiento de la orden impartida al LICEO CRISTIANO por la Dirección de Investigación de Protección de Datos Personales, contenida en la Resolución No. 61273 del 7 de noviembre de 2019.
“ARTÍCULO PRIMERO: ORDENAR a la sociedad LICEO CRISTIANO VIDA NUEVA que documente, implemente y monitoree una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, perdida, consulta, uso o acceso no autorizado o fraudulento.
La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengas datos sensibles.
ARTÍCULO SEGUNDO: La sociedad LICEO CRISTIANO VIDA NUEVA deberá cumplir lo ordenado en esta resolución dentro de los seis (6) meses siguientes a la ejecutoria del presente acto administrativo.
PARÁGRAFO PRIMERO: Para demostrar el cumplimiento deberá remitir una certificación suscrita por el Representante Legal de la sociedad LICEO CRISTIANO VIDA NUEVA que acredite que se han implementado las medidas ordenadas". Nótese que la Dirección de Investigación de Protección de Datos Personales otorgó al LICEO CRISTIANO un término perentorio de seis (6) meses siguientes a la ejecutoria de la decisión, para cumplir con la orden impartida en el Artículo Primero, y su demostración consistía en el envío de una certificación suscrita por el Representante Legal del LICEO CRISTIANO. Conforme a las pruebas allegadas a la presente actuación administrativa, para el momento en que se impuso la sanción que se revisa, el LICEO CRISTIANO no había acreditado el cumplimiento de la orden.
Ahora bien, frente a la captura de pantalla allegada por la RECURRENTE con el recurso, relacionada con la actualización del registro realizado en el RNBD el día 27 de julio de 2022, este Despacho comparte las consideraciones hechas por la Dirección cuando resolvió el recurso de reposición: “Por lo tanto (i) esta acción es posterior a la decisión y no desvirtúa la necesidad de la misma, pues es claro que a raíz de la decisión impartida es que la sociedad procedió a registrar en el RNBD las medidas de seguridad implementadas; y (ii) que las órdenes impartidas no se limitan a registrar las medidas de seguridad en el RNBD sino que debe tenerlas documentadas, implementadas y ser de conocimiento de sus trabajadores, de lo contrario no lo sería un registro que no correspondería a la realidad” En virtud de lo expuesto y conforme al material probatorio obrante en el expediente, esta Dirección encuentra que se encuentra la negligencia de la recurrente respecto del cumplimiento de las órdenes impartidas por esta Dirección y que ha (sic) la fecha no se ha acreditado que la sociedad LICEO CRISTIANO VIDA NUEVA EU haya (i) documentado, implementado y monitoreado una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar la seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento dentro de los seis (6) meses siguientes a la ejecutoria del acto administrativo 61273 de 2019 y que (ii) haya remitido una certificación suscrita por el representante legal en la que acredite la implementación de los ordenado.” Como se observa, el LICEO CRISTIANO no cumplió con la orden impartida por parte de la Dirección de Investigación de Protección de Datos Personales en la Resolución No. 61273 del 7 de noviembre de 2019, en la medida que para la fecha en que fue impuesta la sanción que se revisa, no se allegó la certificación suscrita por el Representante Legal, que acreditara que se había implementado la política de seguridad de la información. Haber realizado una actualización del registro en el RNBD el día 27 de julio de 2022, como lo señala la RECURRENTE la imagen allegada con el recurso, no satisface los términos en que fue impartida la ya citada orden, con mayor razón cuando para esta fecha ya había transcurrido el término señalado para dar cumplimiento a la orden impartida.
Conforme a lo anterior, la conducta desplegada por el LICEO CRISTIANO vulnera el deber establecido en el literal o) del artículo 17 de la Ley 1581 de 20122, razón por la cual se confirmará la Resolución No. 41824 del 30 de junio de 2022. En mérito de lo expuesto, este Despacho, RESUELVE:
ARTÍCULO 1. CONFIRMAR la Resolución No. 41824 del 30 de junio de 2022, de conformidad con lo expuesto en la parte motiva de la presente resolución.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución al LICEO CRISTIANO VIDA NUEVA EU, identificado con NIT. 900.029.126-0, a través de su Representante Legal o apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 3. INFORMAR el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., Julio 10 de 2023 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CIELO ANGELA PENA RODRIGUEZ Fecha: 2023.07.10 17:34:01 -05'00' CIELO ÁNGELA PEÑA RODRIGUEZ Proyectó: HFTM Revisó: NTL 2 ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio. NOTIFICACIÓN: Sociedad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: LICEO CRISTIANO VIDA NUEVA EU NIT. 900.029.126-0 OLGA LUCIA LUQUE LOPEZ C.C. 39.664.240 Carrera 3 No 19-47 Soacha (Cundinamarca) info@vidanueva.edu.co