Resolución sancionatoria N° 3201 de 2025

(29 de agosto de 2025) “Por la cual se impone una sanción administrativa” Radicación 22-325553 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022 y,

CONSIDERANDO

PRIMERO: Que, mediante comunicación obrante bajo el radicado 22-3225530-0 del 19 de agosto de 2022, la señora xxxxxxxxxxxxxxxxx puso en conocimiento de esta Superintendencia, la comisión de unos hechos presuntamente infractores de las normas de protección de datos personales, contenidas en la Ley 1581 de 2012 y su Decreto reglamentario 1074 de 2015, por parte de la sociedad OLIMPIA IT S.A.S., identificada con Nit 900.032.7744 en adelante OLIMPIA o LA INVESTIGADA.

De la comunicación recibida se extrajeron los siguientes supuestos fácticos: 1.1 En primer lugar, señaló la denunciante que “cuando me acerqué al Centro de Enseñanza Automovilística AUTOSTOP (Av. Suba Carrera 60 N° 99-43 Piso 2) para tomar el curso para aprender a manejar me pidieron mi información personal, escanearon mi cédula, me tomaron una foto y la huella, y no me pidieron ninguna autorización para el tratamiento de datos personales.

Por lo anterior, le pregunté a la recepcionista ¿por qué no se me solicita la autorización del usuario a través de algún documento de protección de datos personales? La respuesta de la recepcionista del Centro de Enseñanza Automovilística fue que el sistema SISEC-CEA autorizado por la Superintendencia de Transporte, (sic) genera el documento y ya se encuentra firmado con la firma que se obtiene del escaneo de mi cédula”. 1.2 Continuó, expresando que “ante esta respuesta le pregunté que si lo pueden imprimir para que lo firme, pues un escaneo de la cédula no puede tomarse como consentimiento por mi parte.

La respuesta fue que el sistema SISEC-CEA no la deja imprimir porque el documento de “Protección de datos Personales ante la RNEC” ya trae incorporada la firma escaneada desde mi cédula. Por lo anterior, solicité que me mostrara el contenido del documento de Protección (sic) de datos personales. La respuesta de la persona encargada del registro en el Centro de Enseñanza Automovilística fue que lo podía ver en el computador del Centro de Enseñanza Automovilística solamente”. 1.3 Expuso, asimismo que “Al entrar a mirar en el sistema SISEC-CEA dicho documento se llama “AUTORIZACIÓN PARA EL TRATAMIENTO Y CONSULTA DE DATOS PERSONALES ANTE LA RNEC”, y no se puede leer de corrido en una sola pantalla, pues toca desplazarse para leer por trozos de 7-8 “Por la cual se impone una sanción administrativa”. líneas y dicho sistema SISEC-CEA no permite imprimir la supuesta Autorización (sic), pues nunca es firmado por el titular de la misma.

Además, noto que aparece mi firma debajo de la autorización en cada fragmento de cada párrafo que se visualiza en la pantalla del Sistema de Control y Vigilancia SISEC y, efectivamente, es tomada de la firma que se encuentra en mi cédula. Verificó (sic) si era la misma firma de la que está en mi cédula, y dice debajo de dicha firma el siguiente mensaje “Firma tomada del documento de identidad”.

(…) Me doy cuenta de que hay un aparato que sirve para capturar la firma, en el mostrador junto al computador de la recepción. Le pregunto a la persona que me está atendiendo ¿por qué no me deja leer y posteriormente firmar a través de dicho aparato la “AUTORIZACIÓN PARA EL TRATAMIENTO DE DATOS PERSONALES ANTE LA RNEC”? La funcionaria del Centro de Enseñanza Automovilística me informa y me dice que no funciona con el Sistema de Control y Vigilancia SISEC que por eso está desconectado.

Después me pide que me ubique al frente de una cámara y me hace ubicar varias veces hasta que quede en el centro de un círculo en el sistema. Luego la funcionaria me pide que coloque solamente la huella del índice derecho sobre un huellero o lector de huellas, y me dice que la coloque tres veces hasta que el sistema le verifique bien”.

SEGUNDO: Que, dentro de la actuación administrativa adelantada por el Grupo de Trabajo de Investigaciones Administrativas, se recolectaron los elementos materiales de prueba que sirvieron como fundamento para dar apertura a la presente investigación de carácter sancionatorio.

TERCERO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas en la etapa preliminar de esta investigación, mediante Resolución 10645 del 15 de marzo de 2024 se le formularon cargos a la sociedad OLIMPIA IT S.A.S., identificada con Nit 900.032.774-4, por la presunta vulneración de las normas de protección de datos personales, en particular las contenidas en el literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3, los literales a) y c) del artículo 4, y los artículos 5 y 9 de la precitada ley; en concordancia con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

CUARTO: Que la Resolución 10645 del 15 de marzo de 2024 le fue notificada electrónicamente el 15 de marzo de 2054 a SIMBAD CEBALLOS ÁVILA, en representación de la sociedad OLIMPIA IT S.A.S., según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, obrante bajo el radicado 22-325553-42 del 20 de marzo de 2024.

Asimismo, el referido acto administrativo le fue comunicado al denunciante dentro de la presente actuación administrativa.

QUINTO: Que, mediante escritos radicados bajo los números 22-325553 consecutivos 45, 46, 47 y 48 del 11 de abril de 2024, RICARDO PARADA MARTÍNEZ, en calidad de Representante Legal suplente de la sociedad OLIMPIA IT S.A.S., presentó ante esta Superintendencia los descargos, así como el material probatorio que pretende hacer valer en la presente investigación.

SEXTO: Que mediante Resolución 48944 del 27 de agosto de 2024, este Despacho resolvió: 1. Incorporar las pruebas obrantes hasta la fecha en el expediente 22325553. 2. Decretar, por solicitud de la sociedad investigada, la prueba consistente en la realización de un informe pericial respecto de los elementos materiales probatorios recolectados por los funcionarios de la administrativa llevada a cabo los días 16 y 17 de febrero de 2023, conforme a las previsiones hechas por los artículos 226 y siguientes de la Ley 1564 de 2012, Código General del Proceso.

“Por la cual se impone una sanción administrativa”.

SÉPTIMO: Que, mediante escritos radicados bajo los números 22-325553, consecutivos 68, 69, 70, 71 y 72, la sociedad OLIMPIA IT S.A.S. aportó el respectivo informe pericial rendido por el perito Juan Diego Jiménez. A su turno, bajo el radicado 22-325553-73 del 16 de abril de 2025 quedó consignado el análisis técnico de expedientes realizado por Germán Daniel Ballén Rodríguez y Jairo Orlando Montealegre Motta, ingenieros adscritos a la Delegatura de Protección de Datos Personales de la Superintendencia de Industria y Comercio.

OCTAVO: Que mediante Resolución 27603 del 13 mayo de 2025, la Dirección de Investigaciones de Protección de Datos Personales resolvió incorporar todas las pruebas obrantes en el expediente hasta la fecha, declarar agotada la etapa probatoria y correr traslado para alegar a la sociedad investigada. Así las cosas, la totalidad de las pruebas incorporadas en el expediente son las que, se enlistan a continuación: 8.1 Pruebas recolectadas por esta Dirección: 8.1.1 Denuncia, junto con sus respectivos anexos, presentada por la señora XXXXXXXXXXXXXX, obrante bajo el radicado 22-325553-0 del 19 de agosto de 2022. 8.1.2 Acta de visita de inspección a la sociedad OLIMPIA IT S.A.S., obrante bajo el radicado 22-325553-10-1 del 23 de septiembre de 2022. 8.1.3 Complemento de información remitido por la sociedad OLIMPIA IT S.A.S., obrante bajo el radicado 22-325553-12 del 23 de septiembre de 2022. 8.1.4 Complemento de información remitido por la sociedad OLIMPIA IT S.A.S., obrante bajo el radicado 22-325553-13 del 23 de septiembre de 2022. 8.1.5 Requerimiento de información remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad OLIMPIA IT S.A.S., obrante bajo el radicado 22-325553-15 del 06 de octubre de 2022. 8.1.6 Respuesta al requerimiento de información remitida por la sociedad OLIMPIA IT S.A.S., obrante bajo el radicado 22-325553-17 del 07 de octubre de 2022. 8.1.7 Respuesta al requerimiento de información, junto con sus anexos, remitida por la sociedad OLIMPIA IT S.A.S., obrante bajo los radicados 22-325553 consecutivos 18, 19, 20 y 21 del 10 de octubre de 2022. 8.1.8 Requerimiento de información remitido a la Registraduría Nacional del Estado Civil por la Dirección de Investigaciones de Protección de Datos Personales, obrante bajo el radicado 22-325553-22 del 21 de octubre de 2022. 8.1.9 Respuesta al requerimiento de información, junto con sus anexos, remitida por la Registraduría Nacional del Estado Civil, obrante bajo el radicado 22325553-24 del 17 de noviembre de 2022. 8.1.10 Requerimiento de información remitido por la Dirección de Investigaciones de Protección de Datos Personales a la sociedad OLIMPIA IT S.A.S., obrante bajo el radicado 22-325553-25 del 22 de noviembre de 2022. 8.1.11 Respuesta al requerimiento de información, junto con sus anexos, remitida por la sociedad OLIMPIA IT S.A.S., obrante bajo el radicado 22325553-27 del 24 de noviembre de 2022. 8.1.12 Acta de visita de inspección a la sociedad OLIMPIA IT S.A.S., obrante bajo el radicado 22-325553-30 del 23 de febrero de 2023.

“Por la cual se impone una sanción administrativa”. 8.1.13 Acta de visita de inspección a la sociedad RECONOSER ID S.A.S., obrante bajo el radicado 22-325553-31 del 23 de febrero de 2023. 8.1.14 Requerimiento de información remitido a la Registraduría Nacional del Estado Civil por la Dirección de Investigaciones de Protección de Datos Personales, obrante bajo el radicado 22-325553-32 del 14 de marzo de 2023. 8.1.15 Respuesta al requerimiento de información, junto con sus anexos, remitida por la Registraduría Nacional del Estado Civil, obrante bajo el radicado 22-325553-33 del 22 de marzo de 2023. 8.1.16 Acta de unificación de evidencias digitales, junto con sus respectivos anexos, suscrita por ingenieros adscritos al Grupo de Trabajo de Informática Forense y Seguridad Digital de esta Superintendencia, obrante bajo el radicado 22-325553-34 del 04 de abril de 2023. 8.1.17 Acta de unificación de evidencias digitales, junto con sus respectivos anexos, suscrita por ingenieros adscritos al Grupo de Trabajo de Informática Forense y Seguridad Digital de esta Superintendencia, obrante bajo el radicado 22-325553-35 del 04 de abril de 2023. 8.1.18 Informe final de visitas de inspección a las sociedades OLIMPIA IT S.A.S., GUTIÉRREZ PASTOR S.A.S. y GESTIONES EMPRESARIALES DE OCCIDENTE S.A.S., obrante bajo el radicado 22-325553-36 del 25 de mayo de 2023. 8.2.

Pruebas obrantes en el expediente 22-290287 (acumulado al expediente 22-325553) 8.2.1. Denuncia presentada de manera anónima en contra de la sociedad OLIMPIA IT S.A.S., obrante bajo el radicado 22-325553-0 del 26 de julio de 2022. 8.2.2 Requerimiento de información al denunciante, remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas, obrante bajo el radicado 22-290287-4 del 09 de septiembre de 2022. 8.3.

Pruebas obrantes en el expediente 22-325555 (acumulado al expediente 22-325555) 8.3.1 Denuncia, junto con sus respectivos anexos, presentada por la señora XXXXXXXXXXXXXXXXXXX, obrante bajo el radicado 22-325555-0 del 19 de agosto de 2022. 8.4 Pruebas aportadas por la sociedad investigada 8.4.1 Pruebas aportadas al interior del escrito de descargos 8.4.1.1 Imagen descriptiva denominada “Etapas del trámite ante un CRC” 8.4.1.2 Imagen descriptiva denominada “Diagrama 2 – Etapas de un trámite ante el CEA para obtener un certificado de capacitación en conducción” 8.4.1.3 Imagen descriptiva denominada “Diagrama 3 – Proceso de validación de identidad con biometría facial”. 8.4.1.4 Imagen descriptiva “Diagrama 4 – Proceso de validación de identidad a través de huellas”.

“Por la cual se impone una sanción administrativa”. 8.4.2 Pruebas aportas como anexo o posteriores al escrito de descargos 8.4.2.1 Certificación expedida por la DIRECCIÓN DE IMPUESTOS Y ADUANAS NACIONALES (DIAN) que acredita a la sociedad Olimpia IT S.A.S. como operador homologado de facturación electrónica. 8.4.2.2 Certificación expedida por el Organismo Nacional de Acreditación (ONAC) que acredita a la sociedad Olimpia IT S.A.S. como Entidad de Certificación Digital Abierta. 8.4.2.3 Documento denominado “INFORMES SOC SOBRE CONTROLES EN UNA ORGANIZACIÓN DE SERVICIOS RELEVANTES PARA LA SEGURIDAD, DISPONIBILIDAD, CONFIENCIALIDAD Y PRIVACIDAD”. 8.4.2.4 Copia de la certificación ISO/IEC 27001:2013 de la sociedad OLIMPIA IT S.A.S. 8.4.2.5 Copia de la certificación ISO 9001:2015 de la sociedad OLIMPIA IT S.A.S 8.4.2.6 Copia de la certificación ISO/IEC 20000-1:2018 de la sociedad OLIMPIA IT S.A.S. 8.4.2.7 Copia de la Resolución 3201 de 2017 expedida por la Superintendencia de Puertos y Transporte, “por la cual se autoriza a Olimpia Management S.A., como proveedor de los Sistemas de Control y Vigilancia de los Centros de Reconocimiento de Conductores (CRC’s)”. 8.4.2.8 Copia de la Resolución 45775 de 2017 expedida por la Superintendencia de Puertos y Transporte, por la cual se autoriza a Olimpia Management S.A., como proveedor de los Sistemas de Control y Vigilancia de los Centros de Enseñanza Automotriz (CEA’s)”. 8.4.2.9 Certificado No 0014 expedido por la Registraduría Nacional del Estado Civil que acredita a la sociedad OLIMPIA IT S.A.S. como operador biométrico. 8.4.2.10 Certificado No 0027 expedido por la Registraduría Nacional del Estado Civil que acredita a la sociedad OLIMPIA IT S.A.S. como operador biométrico. 8.4.2.11 Certificado No 0036 expedido por la Registraduría Nacional del Estado Civil que acredita a la sociedad OLIMPIA IT S.A.S. como operador biométrico. 8.4.2.12 Imagen titulada “Autorización para consulta ante la Registraduría Nacional del Estado Civil”. 8.4.2.13 Copia del formato de autorización del titular XXXXXXXXXXXXXXXXX. 8.4.2.14 Copia del formato XXXXXXXXXXXXXXXXXXXXXXX. de autorización del titular 8.4.2.15 Copia del formato XXXXXXXXXXXXXXXXXXXXXXXXXX. de autorización del titular 8.4.2.16 Copia del formato de autorización del titular XXXXXXXXXXXXXXXXXX 8.4.2.17 Copia del formato de autorización del titular XXXXXXXXXXXXXXXXXXX 8.4.2.18 Copia del formato de autorización del documento de identificación XXXXXXXXXXXXXXXX. 8.4.2.19 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXXX.

“Por la cual se impone una sanción administrativa”. 8.4.2.20 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXX. 8.4.2.21 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXX. 8.4.2.22 Copia del formato de autorización asociado al documento de identificación XXXXXXXX. 8.4.2.23 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXX. 8.4.2.24 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXX. 8.4.2.25 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXX. 8.4.2.26 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXX. 8.4.2.27 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXX. 8.4.2.28 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXXXX. 8.4.2.29 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXX. 8.4.2.30 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXXX. 8.4.2.31 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXX. 8.4.2.32 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXX. 8.4.2.33 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXXX. 8.4.2.34 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXX. 8.4.2.35 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXXX. 8.4.2.36 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXX. 8.4.2.37 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXX. 8.4.2.38 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXXXX. 8.4.2.39 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXX. 8.4.2.40 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXXX.

“Por la cual se impone una sanción administrativa”. 8.4.2.41 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXXX. 8.4.2.42 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXXXX. 8.4.2.43 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXX. 8.4.2.44 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXX. 8.4.2.45 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXX. 8.4.2.46 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXX. 8.4.2.47 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXXX. 8.4.2.48 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXX. 8.4.2.49 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXXX. 8.4.2.50 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXX. 8.4.2.51 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXXX. 8.4.2.52 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXXX. 8.4.2.53 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXX. 8.4.2.54 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXX. 8.4.2.55 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXX. 8.4.2.56 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXX. 8.4.2.57 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXX. 8.4.2.58 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXXX. 4.4.2.59 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXX. 8.4.2.60 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXX. 8.4.2.61 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXX.

“Por la cual se impone una sanción administrativa”. 8.4.2.62 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXXXXX. 8.4.2.63 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXX. 8.4.2.64 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXX. 8.4.2.65 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXX. 8.4.2.66 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXXXX. 8.4.2.67 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXX. 8.4.2.68 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXXX. 8.4.2.69 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXX. 8.4.2.70 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXXX. 8.4.2.71 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXX. 8.4.2.72 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXX. 8.4.2.73 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXX. 8.4.2.74 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXX. 8.4.2.75 Copia del formato de autorización asociado al documento de identificación 1006689451. 8.4.2.76 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXXX. 8.4.2.77 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXX. 8.4.2.78 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXX. 8.4.2.79 Copia del formato de autorización asociado al documento de identificación 1075258877. 8.4.2.80 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXX. 8.4.2.81 Copia del formato de autorización asociado al documento de identificación XXXXXXXXXXXXX. 8.4.2.82 Certificación sobre controles tecnológicos en las plataformas de OLIMPIA IT S.A.S. “Por la cual se impone una sanción administrativa”. 8.4.2.83 Certificación instalación de Aviso de Privacidad de OLIMPIA IT S.A.S. en Centros de Enseñanza Automovilística y Centros de Reconocimiento de Conductores. 8.4.2.84 Copia de Aviso de Privacidad 8.4.2.85 Imagen de Aviso de Privacidad 8.4.2.86 Certificación expedida por Vanegas Morales Consultores S.A.S. 8.4.2.87 Anexo 1 denominado “Extracto de acta 35 INFORME PROTECCIÓN DE DATOS”. 8.4.2.88 Anexo 2 denominado “Extracto de acta 38 INFORME PROTECCIÓN DE DATOS”. 8.4.2.89 Anexo 3 denominado “Aknowledgement of Successful Achievement”. 8.4.2.90 Anexo 4 denominado “Control Documentos y Registros” 8.4.2.91 Anexo 5 denominado “Política de Gestión de Incidentes de Seguridad de la Información” 8.4.2.92 Anexo 7 denominada “Certificación curso Protección de Datos Personales Firmada”. 6.1.7 Anexo 8 denominado “PER-113 Risk Director”. 8.4.2.93 Anexo 9 denominado “PTO-119 Atención PQRS Protección de Datos Personales”. 8.4.2.94 Anexo 10 denominado “CAR-020 Caracterización Proceso Gestión Gobierno de la Información”. 8.4.2.95 Anexo 11 denominado “Implementación Sistema de Gestión de Seguridad de la Información” 8.4.2.96 Anexo 12 denominado “MAN-047 Manual De Protección De Datos Personales” 8.4.2.97 Anexo 13 denominado “GUI-013 Programa Interno Protección Datos Personales” 8.4.2.98 Anexo 14 denominado “Formación y Educación - Olimpia IT” 8.4.2.99 Anexo 16 denominado “PTO-140 Atención de Incidentes de Violación de Datos Personales” 8.4.2.100 Anexo 17 denominado “PTO-142 Reporte Novedades e Incidentes de Protección de Datos Personales” 8.4.2.101 Anexo 18 denominado “AVISO DE PRIVACIDAD CRC – CEA” 8.5 Pruebas aportadas en cumplimiento de lo ordenado por esta Dirección 8.5.1 Informe pericial, junto con todos sus anexos, obrante bajo los consecutivos 68, 69, 70, 71 y 72. 8.6 Pruebas radicadas por esta Dirección 8.6.1 Análisis Técnico de Expedientes de la Delegatura de Protección de Datos Personales, obrante bajo el radicado 22-325553-73 del 16 de abril de 2025.

“Por la cual se impone una sanción administrativa”.

NOVENO: Que la Resolución 27603 del 13 de mayo de 2025 le fue comunicada a SIMBAD CEBALLOS ÁVILA, en calidad de representante legal de la sociedad OLIMPIA IT S.A.S., el día 13 de mayo de 2025, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, obrante bajo el radicado 22-325553-77 del 19 de mayo de 2025.

Que dentro del término concedido para el efecto, mediante comunicación radicada bajo el número 22-325553-78 del 27 de mayo de 2025, la sociedad OLIMPIA IT S.A.S., por medio de su representante legal suplente presentó los respectivos alegatos de conclusión.

DÉCIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO PRIMERO: Análisis del caso 11.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.

(…)” (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012. (ii) De conformidad con los hechos alegados por la denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en el literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5° y 9° de la precitada ley; en concordancia con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por la denunciante, los argumentos de hechos y de derecho esgrimidos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente.

Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008. M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación. “Por la cual se impone una sanción administrativa”. 11.2 Valoración probatoria y conclusiones 11.2.1 Consideraciones previas frente a la calidad que ostenta la sociedad OLIMPIA IT S.A.S. en el tratamiento de datos personales.

El representante de la sociedad investigada entregó al Despacho una descripción detallada de la labor que esta desempeña en los roles que asume en sus distintas líneas de negocio, señalando que “como parte de la Investigación (sic) iniciada por la SIC y en virtud de la queja presentada, la Autoridad ha hecho referencia específica al papel que desempeña Olimpia IT en el proceso de expedición y renovación de licencias de conducción. Es por ello que, con el fin de aclarar a la Autoridad las actividades que desarrolla la Compañía en este proceso, a continuación presentamos los roles que ejerce y la entidad que la faculta para estos efectos: (…) En virtud de lo anterior, manifestó que “(…) es importante señalar que el papel que cumple Olimpia IT es el de Operador del Sistema de Control y Vigilancia – SICOV homologado por la SuperTransporte para CRC, CEA y CIA, para lo cual, Olimpia IT desarrolló los softwares SISEC CRC INTEGRAL y SISEC CEA & CIA” por tanto, aseguró que “Olimpia IT, en su calidad de operador del SICOV, tanto para CRC como para CEA, actúa en calidad de Encargado del tratamiento de los datos personales de los aspirantes.

Su rol no es el de Responsable2. De hecho, la Resolución 5790 de 2016 expedida por la SuperTransporte, señala: “Artículo 7. Tratamiento de datos sensibles. Los Centros de Enseñanza Automovilística – CEA, los Centros Integrales de Atención – CIA y los Organismos de tránsito que dicten capacitaciones a los conductores infractores, serán responsables del tratamiento de los datos sensibles según lo previsto al respecto por la Ley 1581 de 2012.” Escrito de descargos, obrante en el expediente digital bajo el radicado 22-325553-48-1 del 11 de abril de 2024.

“Por la cual se impone una sanción administrativa”. Sobre este punto, es pertinente reseñar los parámetros establecidos en las normas de protección de datos para determinar cuál es la calidad que poseen los sujetos intervinientes en la administración de datos y, en consecuencia los deberes que dicha condición trae consigo. Así, de acuerdo con las definiciones entregadas por la Ley 1581 de 2012, literales d) y e) del artículo 3°, se considera: “Artículo 3°.

Definiciones. Para los efectos de la presente ley, se entiende por: (…) d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos” Sobre esto, la Corte Constitucional se pronunció al realizar el estudio de constitucionalidad del entonces proyecto de Ley 1581 de 2012, mediante Sentencia C-748 de 20113, en los siguientes términos: “(…) También es necesario precisar, como lo señala la directiva en cita, que no basta con que una ley o un contrato señalen expresamente que una determinada persona o grupo de personas son responsables del tratamiento, por cuanto en cada caso corresponderá analizar el contexto de las actuaciones de los agentes concernidos en el tratamiento del dato para establecer su verdadera posición y, en este orden, sus obligaciones y régimen de responsabilidad.

En ese orden de ideas, corresponderá a la autoridad competente de asegurar la vigilancia, control y garantía del dato personal, examinar la posición que ocupa cada agente en el tratamiento del dato, en especial, porque como lo señala la misma definición de responsable y de encargado del tratamiento, éstos pueden estar constituidos por una pluralidad de sujetos que pueden tener distintos grados de responsabilidad.” (subraya añadida) Conforme a lo expuesto, es claro que, aun cuando la Resolución 5790 del 12 de febrero de 2016, proferida por la Superintendencia de Puertos y Transporte dispone que, en la implementación del Sistema de Control y Vigilancia (SICOV), respecto al tratamiento de datos sensibles, son los Centros de Enseñanza Automovilística-CEA, los Centros Integrales de Atención - CIA y los Organismos de tránsito quienes tienen la condición de Responsables del tratamiento, de acuerdo con lo señalado por el Alto Tribunal en la providencia arriba citada, la facultad de establecer quién ostenta la calidad de Responsable y quién la de Encargado frente a determinada base de datos, se encuentra en cabeza de esta Superintendencia, como autoridad nacional de protección de datos personales.

Para ello, en la presente causa será imperioso remitirse al modelo de operación descrito a los miembros del Despacho en el curso de las visitas administrativas por las sociedades GUTIÉRREZ PASTOR S.A.S.-CEA AUTO STOP NORTE, GESTIONES EMPRESARIALES DE OCCIDENTE S.A.S., y la investigada OLIMPIA IT S.A.S., así como las piezas probatorias recolectadas para sustentar las afirmaciones de cada una de ellas.

Así las cosas, consta en el informe de visita4 suscrito para el efecto por los funcionarios adscritos a la Dirección de Investigaciones de Protección de Datos Personales, que “para la ejecución de los procedimientos de la academia se deben vincular a un sistema de control y vigilancia llamado SISEC ENSEÑANZA, el servicio fue adquirido mediante un “Contrato de suministro de servicios sistema SISEC CEA”, celebrado con OLIMPIA, esta plataforma realiza controles Sentencia C-748 del 06 de octubre de 2011.

Magistrado Ponente: Dr. Jorge Ignacio Pretelt Chaljub. Informe de visita obrante en el expediente digital bajo el radicado 22-325553-36-1 del 25 de mayo de 2023. “Por la cual se impone una sanción administrativa”. de validación de identidad por medio de huellas dactilares, después de 3 intentos se valida el rostro, así mismo hace control de asistencia a las clases de conducción teórica y práctica”.

Asimismo, se evidenció que “para la ejecución de los procedimientos del centro se deben vincular a un sistema de control y vigilancia llamado SISEC CRC INTEGRAL, el servicio se estableció mediante un “Contrato de suministro de servicios sistema SISEC CRC INTEGRAL”, celebrado con la sociedad OLIMPIA, en su rol de Operador Biométrico, esta plataforma realiza controles de validación de identidad por medio de huellas dactilares (3 intentos) y/o el rostro y el registro de los exámenes que se realizan para evaluar la aptitud de los conductores”.

También puede apreciarse en el referido informe la verificación técnica del proceso de validación de identidad llevado a cabo en el marco de los servicios proveídos tanto en el Centro de Enseñanza Automovilística como en el Centro de Reconocimiento de Conductores. Al respecto, se observó lo siguiente: “(…) a fin de constatar la forma en que se lleva a cabo el procedimiento de verificación de identidad, se realizó una revisión de la aplicación SISEC ENSEÑANZA por medio de las pruebas de campo realizadas durante la visita administrativa.

Se determinó, entonces, que la aplicación realiza validación de identidad contra la base de datos de la RENEC5, solicitando la huella dactilar de cualquiera de los 10 dedos de las manos (3 intentos) o se realiza validación del rostro lo indicado por el representante legal en la declaración “220917_0051.mp3”. (…) Para la ejecución del procedimiento es necesario el uso de dispositivos físicos que permiten la recolección de datos personales, entre ellos biométricos, de los usuarios que van a tomar un curso de conducción en el CEA.

(…) Acceso a SISEC: Para el inicio de la validación de Identidad se ejecuta el software SISEC instalado en los equipos dispuestos en el CEA, para su acceso solicita usuario, contraseña y validación de Huella dactilar Autorizada. En cuanto al procedimiento ante los CRC “se realizó la revisión del procedimiento de validación de identidad por medio de la aplicación “SISEC CRC INTEGRAL”, proveído por la sociedad OLIMPIA IT S.A.S., por medio de las pruebas de campo realizadas durante la visita administrativa” (…) Acceso a SISEC CRC INTEGRAL: Para el inicio de la validación de identidad se ejecuta el software SISEC instalado en los equipos dispuestos en el CRC, para su acceso solicita usuario, contraseña y validación de Huella digital Autorizada”.

En igual sentido, la sociedad investigada informó al Despacho en su escrito de descargos que, parte de los servicios que esta le presta a los CEA´s y los CRC´s consiste en grabar en un mecanismo redundante6 de identificación e información el resultado de la comparación de las huellas dactilares, de manera que este le permita registrar, autenticar y validar la identidad del usuario durante todo el proceso para la expedición o renovación de la licencia de conducción. A partir de todo lo descrito, se colige entonces que, OLIMPIA es la proveedora de los equipos técnicos, del software y del mecanismo para almacenar los registros biométricos de los titulares en el trámite las licencias de conducción. Al respecto, se señaló en el informe de visita que7 “La sociedad Olimpia IT SAS presta servicios de validación biométrica a entidades públicas o privadas por medio de “Convenios” y haciendo uso de software propio que consulta – a través Base de datos biométricos administrada por la Registraduría Nacional del Estado Civil.

De acuerdo con lo señalado en el numeral 5° del artículo 3° Resolución 5790 de 2016. Superintendencia de Puertos y Transporte “El mecanismo redundante es un mecanismo alterno que se utiliza después de realizar la autenticación y validación biométrica dactilar contra la base de datos de la Registraduría Nacional del Estado Civil, que graba en un dispositivo externo los templates de las huellas que fueron autenticados por la Registraduría y utiliza la información para realizar posteriores validaciones de las huellas”.

Informe de visita administrativa, obrante en el expediente digital bajo el radicado 22-325553-36 del 25 de mayo de 2023. “Por la cual se impone una sanción administrativa”. del servicio web – la información en la base de datos replica de la RNEC. También se encuentra habilitada por el ministerio de transporte como operador del sistema SICOV – Sistema de Control y Vigilancia – y con base en ello gestiona aplicaciones propias que almacenan la información recolectada por los Centros de Reconocimiento de Conductores CRC´S y por los Centros de Enseñanza Automovilística – CEA´S, en las bases de datos de esta sociedad”.

(énfasis añadido). En virtud de lo expresado, esta Dirección concluyó “conforme a las indagaciones técnicas y las visitas de inspección realizadas a las tres (3) sociedades, se determinó que la sociedad OLIMPIA IT S.A.S., en su calidad de proveedor del Sistema de Control y Vigilancia es quien actúa como Responsable del tratamiento de datos personales, respecto de los datos personales recolectados por sus aliados comerciales Centros de Enseñanza Automovilística (CEA) y Centros de Reconocimiento de Conductores (CRC)”.

Ahora bien, frente a sus otras líneas de negocio, la sociedad investigada expuso que “Olimpia IT tiene varios tipos de modalidades de negocio con sus aliados comerciales, con quienes puede acordar diferentes servicios: (…) Cuando los aliados comerciales hayan incluido servicios de identificación facial, los aliados comerciales pueden elegir si aceptan o no aceptan que, al momento de la recolección de los datos personales del titular, le pongan a disposición de ese titular un formato de Olimpia IT (actuando como Responsable del tratamiento de datos), en el que solicita al titular su autorización para recolectar sus datos de biometría facial, principalmente para finalidades de verificación de identidad y prevención del fraude de suplantación. Si el servicio adquirido por el aliado comercial es únicamente el de validación de identidad a través de huella, en ningún caso se pone a disposición un formato de Olimpia IT solicitando la autorización del titular para la recolección y el tratamiento de sus datos. -Con o sin recolección de datos por parte de Olimpia Finalmente, dependiendo de lo anterior, en los casos de servicios de biometría facial en los que el aliado comercial sí haya aceptado poner a disposición del titular el formato de Olimpia IT, el titular tendrá la libertad de decidir si autoriza o no a Olimpia IT para el tratamiento de sus datos personales de biometría facial.

La aceptación o no aceptación es independiente al trámite que está adelantando el titular, y el hecho de no autorizar a Olimpia IT el tratamiento futuro de sus datos personales no le impide continuar con el trámite ante el aliado comercial. Únicamente en los casos en los que el titular autorice la recolección y tratamiento de sus datos de biometría facial, Olimpia IT conservará dichos datos en sus bases de datos y los utilizará posteriormente como fuente de consulta para futuras validaciones de identidad, las cuales, en consecuencia reposan en la base de datos de Olimpia IT denominada “Identidad Digital”.

Así, es claro que Olimpia IT maneja diferentes tipos de contratos con sus aliados comerciales, que pueden contener uno o más de los elementos enunciados anteriormente. Adicionalmente, expresó que “El aliado comercial, en calidad de Responsable del tratamiento de datos, es quien solicita al titular la autorización para la recolección y tratamiento de sus datos personales, entre otras, para procesos de validación de su identidad.

El aliado comercial hace la toma de fotografía o captura de la biometría facial del titular. Solamente si el contrato entre el aliado comercial y Olimpia IT así lo contempla, el aliado comercial pone a disposición el formato adicional de autorización para “Por la cual se impone una sanción administrativa”. que el titular decida si autoriza o no a que Olimpia IT recolecte y procese sus datos personales para finalidades propias.

Olimpia IT actúa como Encargado del tratamiento frente a los datos de la biometría facial del titular, a menos que el titular le otorgue su autorización para la recolección y tratamiento de sus datos de biometría facial, único caso en el cual Olimpia IT asumiría también el rol de Responsable. Una vez Olimpia IT recibe el dato biométrico facial del titular, lo consulta y contrasta contra sus bases de datos propias (ID Digital y Facial ReconoSer ID), y arroja un resultado numérico con un puntaje entre 0 y 100 que indica el grado de coincidencia del proceso de contraste.

Entre más cerca esté el puntaje a 100, más probabilidad existe sobre el grado de certeza de que la foto del titular, enviada por el aliado comercial corresponda a la identidad de la foto que reposa en las bases de datos de Olimpia IT”. De otra parte, expuso que “El aliado comercial, en calidad de Responsable del tratamiento de datos, es quien solicita al titular la autorización para la recolección y tratamiento de sus datos personales, entre otras, para procesos de validación de su identidad.

El aliado comercial hace la toma de huellas del titular. Olimpia IT actúa como Encargado del tratamiento frente a los datos de la biometría del titular. Una vez Olimpia IT recibe la huella del titular, teniendo en cuenta que es un operador biométrico homologado ante la RNEC, la consulta y contrasta contra el dato que recibió del aliado comercial, y arroja un resultado expresado en ‘HIT’ o ‘NO HIT’, asociado a un Número Único de Trámite (NUT).

En ningún caso, Olimpia IT envía datos biométricos al aliado comercial. En ningún caso, Olimpia IT conserva copia de las huellas para propósitos de validación de identidad”. Sin embargo, en relación con la calidad de Responsable y Encargado del tratamiento de datos personales, es claro para esta Dirección que la sociedad OLIMPIA se atribuye, a conveniencia, una y otra calidad de modo que le resulte favorable para exonerarse de los deberes que la Ley le ha impuesto.

Es así, por cuanto, pese a que la presente investigación se inició con ocasión de los registros obtenidos directamente de sus bases de datos, alude la figura del encargo, sin el debido sustento probatorio, hecho por parte de terceros para afirmar que, en caso de proceder, son estos quienes deben contar con la autorización del respectivo titular.

A este respecto, la Corte Constitucional, en sentencia C-748 de 2011, se pronunció en los siguientes términos: “El proyecto define al encargado del tratamiento como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el tratamiento de datos personales por cuenta del responsable del tratamiento.

Por otro lado, el responsable del tratamiento es definido como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decide sobre la base de datos y/o el tratamiento de los datos. (…) El Dictamen 1/2010 señala que lo que permite identificar al responsable de otros agentes que participan en el proceso, es que él es el que determina los fines y los medios esenciales del tratamiento de los datos.

También indica en relación con los medios, que se hablará de responsable cuando el sujeto realice un control o determine elementos esenciales de los medios, tales como el tiempo que los “Por la cual se impone una sanción administrativa”. datos deben permanecer almacenados, la forma cómo se hará su uso o se pondrán en circulación, el acceso a los mismos, etc.

Por su parte, precisa que el encargado es quien realiza el tratamiento por cuenta del responsable, es decir, por delegación y, por tanto, es natural y jurídicamente distinto del responsable. (se destaca) Los criterios de (i) definición de los fines y medios del tratamiento del dato personal y (ii) existencia de delegación, también resultan útiles en nuestro caso para establecer la diferencia entre responsable y encargado.

Ciertamente, el concepto “decidir sobre el tratamiento” empleado por el literal e) parece coincidir con la posibilidad de definir –jurídica y materialmente- los fines y medios del tratamiento. Usualmente, (…) el responsable es el propietario de la base de datos; sin embargo, (…) la definición del proyecto de ley es amplia y no se restringe a dicha hipótesis.

(…) Ahora bien, vale la pena advertir que el encargado del tratamiento no puede ser el mismo responsable, pues se requiere que existan dos personas identificables e independientes, natural y jurídicamente, entre las cuales una –el responsable- le señala a la otra –el encargadocomo quiere el procesamiento de unos determinados datos. En este orden, el encargado recibe unas instrucciones sobre la forma como los datos serán administrados”.

En este contexto advierte el Despacho que, si bien el representante de la sociedad investigada sostuvo en sus descargos que, en la mayoría de los casos esta posee la calidad de Encargado del tratamiento frente a la información almacenada en sus bases de datos, una vez revisado el expediente, no se encuentra pieza probatoria alguna que acredite un encargo por parte de las sociedades que fungen como Centro de Enseñanza Automovilística, Centro de Reconocimiento de Conductores, ni de los demás aliados comerciales a la sociedad OLIMPIA, así como tampoco los términos en que esta debía llevar a cabo el tratamiento de la respectiva información; razón por la cual, a juicio del Despacho no fueron desvirtuados los elementos necesarios para asegurar que esta actúa como Responsable del tratamiento de datos personales; y consecuentemente le es demandable el cumplimiento de los deberes previstos en la Ley 1581 de 2012 y su Decreto Reglamentario 1074 de 2015. 11.2.2.

Respecto del deber de solicitar y conserva copia de la respectiva autorización para el tratamiento de datos sensibles. El artículo 15 de nuestra Constitución contempla el derecho fundamental que tienen todas las personas a conocer, actualizar y rectificar toda la información que sobre ellas se haya recogido en las bases de datos. De esta prerrogativa de orden superior se derivan unos principios y deberes cuya observancia corresponde a quienes intervengan en el proceso de recolección, tratamiento y circulación de datos personales, en los términos señalados por la Corte Constitucional en la sentencia C-748 de 2011, así: “DERECHO AL HABEAS DATA EN TRATAMIENTO DE DATOS PERSONALES-Principios y garantías constitucionales El proyecto de ley estatutaria establece en materia de tratamiento de datos personales los principios de legalidad, el de finalidad, de libertad, de veracidad o calidad, de transparencia, de acceso y circulación restringida, de seguridad y el principio de confidencialidad, principios éstos que no obstan para que en el proceso de administración de bases de datos se dé aplicación a los principios rectores derivados directamente de la Constitución al igual que a aquellos derivados del núcleo temático del proyecto de ley estatutaria, los cuales pese a no encontrase numerados se entiende incorporados en razón de una lectura sistemática del proyecto de Ley Estatutaria”.

“Por la cual se impone una sanción administrativa”. En el citado pronunciamiento también se determinan las características de los datos personales, a saber: i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.”8, peculiaridades que se armonizan con el concepto de dato personal establecido en la Ley, consistente en un derecho que al asociarse a una persona natural, radica precisamente en cabeza del titular.

Ahora bien, el artículo 17 de ese cuerpo normativo contempla los deberes que les asisten, en particular a los responsables, siendo este “aquel que define los fines y medios esenciales para el tratamiento del dato”9, con el propósito de garantizar, de una parte el pleno ejercicio del derecho fundamental de hábeas data, y de otra, una correcta administración de la información personal.

Dentro de esos deberes se encuentra enlistado el de obtener la autorización previa, expresa e informada por parte de los titulares, para el tratamiento de sus datos personales. A su turno, los principios de legalidad y libertad establecen un marco en el cual solo el consentimiento de los titulares faculta para realizar tratamiento sobre los datos que les sean asociados.

En palabras de la Honorable Corte Constitucional es el “(…) pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

(…) En igual sentido, en la Sentencia SU-082 de 1995, la Corte basó toda la ratio decidendi, en el concepto de autodeterminación informática, cuyo elemento esencial recaía en el consentimiento. Sobre la particular la Corte se preguntó: “¿Cuál es el núcleo esencial del habeas data? A juicio de la Corte, está integrado por el derecho a la autodeterminación informática y por la libertad, en general, y en especial económica.

La autodeterminación informática es la facultad de la persona a la cual se refieren los datos, para autorizar su conservación, uso y circulación, de conformidad con las regulaciones legales.” Esa posición ha sido reiterada, entre muchas otras, en las Sentencias T-580 de 1995, T-448 de 2004, T-526 de 2004, T-657 de 2005, TT-684 de 2006, C-1011 de 2008, T-017 de 2011”.

De igual manera, el Gobierno Nacional reglamentó lo ateniente al mencionado deber, por medio de la sección 2 del Capítulo 25 del Decreto 1074 de 2015, respecto del cual se ha destacado para los fines de esta investigación, el artículo 2.2.2.25.2.2. En este orden de ideas, corresponde a los responsables del tratamiento de datos dar plena observancia a los deberes establecidos por el legislador en materia estatutaria, de solicitar y conservar copia de la autorización bajo las condiciones previstas en la norma, para realizar operaciones de uso, recolección, almacenamiento y/o circulación de su información personal y en particular de los datos biométricos.

Retomando el caso objeto de estudio, se observa que en el informe de visita, obrante en el expediente digital, bajo el radicado 22- 325553- 36-1 del 25 de mayo de 2023, se dejó consignado lo que, a continuación se cita: En relación con el análisis de los registros de consultas efectuadas a la información biométrica de los titulares “se redujo la muestra entregada por la sociedad, a aquellos registros que evidencian consultas realizadas por Corte Constitucional, C-748 de 2011.

Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). Corte Constitucional, C-748 de 2011. Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). “Por la cual se impone una sanción administrativa”. sociedades comerciales que no guardan relación o no intervienen en el proceso de concesión de licencias de conducción, de acuerdo con el procedimiento establecido para el efecto por la Superintendencia de Puertos y Transporte ha expedido a través de la Resolución 9699 de 2014, Resolución 6246 de 2016, Resolución 5790 de 2016 y Resolución 60832 de 2016.

De ese modo, la muestra se redujo a información asociada a cincuenta y nueve (59) titulares distintos. En ese sentido, se analizó el flujo de información contenida en las bases de datos de la sociedad OLIMPIA IT S.A.S., proveniente de los Centros de Enseñanza Automovilística (CEA´S) y Centro De Reconocimiento de Conductores (CRC´S), las consultas realizadas a los datos personales biométricos de los titulares, contrastándose con la (s) respectiva (s) autorización (es) otorgada (s).

Para mejor comprensión se detalla el análisis efectuado, así: C.C. Corresponde al número de cédula del titular de la información BD: Base de datos en la cual se encontró la autorización de tratamiento de datos Datos recolectados: Detalle de los datos personales almacenados en las bases de datos de la sociedad OLIMPIA IT S.A.S., asociados al respectivo titular, privados, semiprivados y públicos.

Contenido de la autorización: Alcance de la autorización firmada por el titular y la finalidad. En la mayoría de los casos, la sociedad aportó más de una autorización, razón por la cual se verificó el contenido de cada una de ellas. Consultante: Tercero o aliado comercial de la sociedad OLIMPIA IT S.A.S. que consultó la información del titular para la verificación de su identidad.

Datos consultados: Datos biométricos consultados por el tercero. Huellas dactilares y/o registro facial. TA: Indica la totalidad de formatos de autorización asociados al respectivo titular. C.C. BD Datos recolectados Contenido de la autorización/finalidad Uso, comercialización y divulgación por parte de terceros. ¿A quién se autorizó? Consultante XXXXXXXXX CRC No se encuentra al titular en la pestaña “personas”.

XXXXXXXXX CEA XXXXXXXXX CRC XXXXXXXXX CRC XXXXXXXXX CRC XXXXXXXXX CEA XXXXXXXXX CEA XXXXXXXXX CRC XXXXXXXXX CEA Datos consultados Huellas dactilares. TA CRC, CEA Olimpia y terceros. Banco de Bogotá y Bogotá fijas. Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, correo electrónico, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS.

No se encuentra al titular en la pestaña “personas”. No se encuentra al titular en la pestaña “personas” Uso relacionado con la licencia de conducción. Autoriza solamente al CEA. Banco de Bogotá Huellas dactilares y registros faciales. Autorización con prospección comercial y diferentes usos. Autorización con prospección comercial y diferentes usos.

CRC, CEA, Olimpia y aliados comerciales. CRC, CEA, Olimpia y aliados comerciales Banco de Bogotá fijas. Banco de Bogotá Uso, comercialización y divulgación por parte de terceros. CRC, CEA Olimpia y terceros. Banco de Bogotá fijas Huellas dactilares. Huellas dactilares y registro facial. Huellas dactilares y registro facial. Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS.

Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS. Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS. Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS.

Fecha de nacimiento, fecha de expedición de la cédula, dirección, número Uso relacionado con la licencia de conducción. Solamente al CEA. Banco de Bogotá Huellas dactilares. Uso relacionado con la licencia de conducción. Solamente al CEA Banco de Bogotá fijas Huellas dactilares Uso, comercialización y divulgación por parte de terceros.

CRC, CEA Olimpia y terceros. Banco de Bogotá Huellas dactilares Uso relacionado con la licencia de conducción. Solamente al CEA. Banco Colpatria Huellas dactilares. “Por la cual se impone una sanción administrativa”. XXXXXXXXX CRC XXXXXXXXX CEA XXXXXXXXX CRC XXXXXXXXX CRC XXXXXXXXX CRC XXXXXXXXX CRC XXXXXXXXX CEA XXXXXXXXX CRC XXXXXXXXX CEA XXXXXXXXX CEA XXXXXXXXX CEA XXXXXXXXX CRC XXXXXXXXX CEA XXXXXXXXX CEA XXXXXXXXX CEA XXXXXXXXX CEA XXXXXXXXX CRC XXXXXXXXX CRC XXXXXXXXX CEA XXXXXXXXX CEA personal, correo electrónico, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS.

No se encuentra al titular en la pestaña “personas” Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, correo electrónico, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS. No se encuentra al titular en la pestaña “personas” Fecha de nacimiento, fecha de expedición de la cédula, número personal, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS.

Fecha de nacimiento, fecha de expedición de la cédula, número personal, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS. No se encuentra al titular en la pestaña “personas” Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS.

No se encuentra al titular en la pestaña “personas” Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, correo electrónico, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS. Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, correo electrónico, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS.

Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, correo electrónico, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS. No se encuentra al titular en la pestaña “personas” No se encuentra al titular en la pestaña “personas” Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, correo electrónico, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS.

Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS. Fecha de nacimiento, fecha de expedición de la cédula, número personal, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS. No se encuentra al titular en la pestaña “personas” Fecha de nacimiento, fecha de expedición de la cédula, número personal, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS.

Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, correo electrónico, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS. Fecha de nacimiento, fecha de expedición de la cédula, número personal, correo electrónico, estado civil, grado de escolaridad, Autorización con prospección comercial y diferentes usos.

No se encuentra autorización suscrita por la titular- CRC, CEA, Olimpia y aliados comerciales Sin autorización Banco de Bogotá Huellas dactilares Huellas dactilares. Uso relacionado con la licencia de conducción. Autorización con prospección comercial y diferentes usos. CEA, CRC y a Olimpia. Banco de Bogotá y Protección Colpatria Huellas dactilares Huellas dactilares Uso, comercialización y divulgación por parte de terceros.

CRC, CEA Olimpia y terceros. Banco de Bogotá Huellas dactilares Autorización con prospección comercial y diferentes usos. CRC, CEA, Olimpia y aliados comerciales Huellas dactilares. Autorización de validación de identidad RNEC. Solamente a Olimpia Banco de Bogotá y Crédito Fácil Codensa. Protección Huellas dactilares y registro facial.

Autorización con prospección comercial y diferentes usos. Uso, comercialización y divulgación por parte de terceros. CRC, CEA, Olimpia y aliados comerciales CRC, CEA Olimpia y terceros. Colpatria Huellas dactilares Huellas dactilares Uso relacionado con la licencia de conducción. Solamente al CEA. Cotrafa Huellas dactilares Uso relacionado con la licencia de conducción. Solamente al CEA.

Banco de Bogotá Huellas dactilares Autorización con prospección comercial y diferentes usos. No se encuentra autorización suscrita por el titular. Uso relacionado con la licencia de conducción. CRC, CEA, Olimpia y aliados comerciales Sin autorización. Banco de Bogotá Huellas dactilares Huellas dactilares Huellas dactilares. Uso relacionado con la licencia de conducción. Solamente al CEA Banco de Bogotá y Serfinansa.

Huellas dactilares y registro facial. Uso relacionado con la licencia de conducción. Solamente al CEA Banco de Bogotá Huellas dactilares Uso relacionado con la licencia de conducción Uso, comercialización y divulgación por parte de terceros. CEA, CRC y a Olimpia Certificamos ANSERMA Banco de Bogotá Huellas dactilares Huellas dactilares Uso relacionado con la licencia de conducción CEA, CRC y a Olimpia Colpatria Huellas dactilares.

Uso, comercialización y divulgación por parte de terceros. CRC, CEA Olimpia y terceros. Banco de Bogotá Huellas dactilares y registro facial. CRC, CEA, Olimpia y aliados comerciales Solamente al CEA CRC, CEA Olimpia y terceros. Banco de Bogotá Colpatria Banco de Bogotá y Colpatria. Serfinanza “Por la cual se impone una sanción administrativa”.

XXXXXXXXX CEA XXXXXXXXX CEA XXXXXXXXX CEA XXXXXXXXX CEA XXXXXXXXX CEA XXXXXXXXX CRC XXXXXXXXX CEA XXXXXXXXX CRC XXXXXXXXX CRC XXXXXXXXX CRC XXXXXXXXX CEA XXXXXXXXX CRC XXXXXXXXX CEA XXXXXXXXX CRC XXXXXXXXX CRC XXXXXXXXX CRC XXXXXXXXX CRC XXXXXXXXX CRC XXXXXXXXX CEA 78302873 CRC XXXXXXXXX CRC XXXXXXXXX CRC XXXXXXXXX CRC XXXXXXXXX grupo sanguíneo, ocupación, EPS Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, correo electrónico, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS.

No se encuentra al titular en la pestaña “personas” Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, correo electrónico, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS. Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, correo electrónico, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS.

Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, correo electrónico, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS. No se encuentra al titular en la pestaña “personas Uso relacionado con la licencia de conducción Solamente al CEA Banco de Bogotá Huellas dactilares y registro facial.

Autorización con prospección comercial y diferentes usos. Uso relacionado con la licencia de conducción CRC, CEA, Olimpia y aliados comerciales CEA, CRC y a Olimpia Banco de Bogotá Huellas dactilares. Huellas dactilares y registros faciales. No se encuentra autorización firmada por la titular. Sin autorización Banco de Bogotá Huellas dactilares y registros faciales.

No se encuentra autorización firmada por la titular. Sin autorización Banco de Bogotá Huellas dactilares. No se encuentra autorización firmada por la titular. Sin autorización Protección Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, correo electrónico, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS.

No se encuentra al titular en la pestaña “personas No se encuentra al titular en la pestaña “personas No se encuentra al titular en la pestaña “personas No se encuentra autorización firmada por la titular. Sin autorización Banco de Bogotá y Colpatria Huellas dactilares y registro facial. Huellas dactilares Autorización con prospección comercial y diferentes usos.

Autorización con prospección comercial y diferentes usos. Uso, comercialización y divulgación por parte de terceros. CRC, CEA, Olimpia y aliados comerciales CRC, CEA, Olimpia y aliados comerciales CRC, CEA Olimpia y terceros. Eteller Huellas dactilares. Huellas dactilares Huellas dactilares Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, correo electrónico, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS.

Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS. Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS. No se encuentra al titular en la pestaña “personas No se encuentra al titular en la pestaña “personas No se encuentra al titular en la pestaña “personas No se encuentra al titular en la pestaña “personas No se encuentra al titular en la pestaña “personas” Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, correo electrónico, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS.

No se encuentra al titular en la pestaña “personas” No se encuentra al titular en la pestaña “personas” No se encuentra autorización firmada por la titular. Sin autorización Colpatria Huellas dactilares Uso, comercialización y divulgación por parte de terceros. CRC, CEA Olimpia y terceros. Colpatria, Eteller y Protección. Huellas dactilares No se encuentra autorización firmada por la titular.

Sin autorización Banco de Bogotá Huellas dactilares Autorización con prospección comercial y diferentes usos. Uso relacionado con la licencia de conducción Autorización con prospección comercial y diferentes usos. Autorización con prospección comercial y diferentes usos. Uso relacionado con la licencia de conducción Uso relacionado con la licencia de conducción CRC, CEA, Olimpia y aliados comerciales CEA, CRC y a Olimpia Colpatria y Protección. Colpatria CRC, CEA, Olimpia y aliados comerciales CRC, CEA, Olimpia y aliados comerciales CEA, CRC y a Olimpia Banco de Bogotá Solamente al CEA Colpatria, Eteller y Protección. Huellas dactilares.

Huellas dactilares Huellas dactilares. Huellas dactilares Huellas dactilares Huellas dactilares. Autorización con prospección comercial y diferentes usos. Autorización con prospección comercial y diferentes usos. CRC, CEA, Olimpia y aliados comerciales CRC, CEA, Olimpia y aliados comerciales Banco de Bogotá Huellas dactilares Huellas dactilares y registro facial No se encuentra al titular en la pestaña “personas” No se encuentra al titular en la pestaña “personas” Autorización con prospección comercial y diferentes usos.

Uso, comercialización y divulgación por parte de terceros. CRC, CEA, Olimpia y aliados comerciales CRC, CEA Olimpia y terceros. Huellas dactilares. Huellas dactilares CRC No se encuentra al titular en la pestaña “personas” No se encuentra autorización firmada por la titular. Sin autorización Huellas dactilares XXXXXXXXX CRC Huellas dactilares.

Huellas dactilares CRC Autorización de validación de identidad RNEC. Uso relacionado con la licencia de conducción Solamente a Olimpia XXXXXXXXX No se encuentra al titular en la pestaña “personas” No se encuentra al titular en la pestaña “personas” CEA, CRC y a Olimpia Banco de Bogotá y Serfinansa. Banco de Bogotá y Protección. Medicolombia S.A.S. MULTISERVICIO S EN SALUD SAS Banco de Bogotá K.P. TERMINAL DE TRANSPORTES Serfinansa Banco de Bogotá Crédito Fácil Codensa y Protección. Protección K.P. TERMINAL DE “Por la cual se impone una sanción administrativa”.

XXXXXXXXX CRC XXXXXXXXX CEA XXXXXXXXX CRC XXXXXXXXX CRC No se encuentra al titular en la pestaña “personas” Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS. Fecha de nacimiento, fecha de expedición de la cédula, dirección, número personal, estado civil, grado de escolaridad, grupo sanguíneo, ocupación, EPS.

No se encuentra al titular en la pestaña “personas” Uso relacionado con la licencia de conducción Uso relacionado con la licencia de conducción CEA, CRC y a Olimpia Solamente al CEA. TRANSPORTES 02 y Banco de Bogotá. Banco de Bogotá y Colpatria Colpatria Uso, comercialización y divulgación por parte de terceros. CRC, CEA Olimpia y terceros.

Autorización con prospección comercial y diferentes usos. CRC, CEA, Olimpia y aliados comerciales Huellas dactilares Huellas dactilares Multiservicios en salud S.A.S Huellas dactilares Banco de Bogotá Huellas dactilares A partir de las pruebas recaudadas se observó que la sociedad OLIMPIA tiene dispuestos múltiples formatos de autorización para el tratamiento de datos. los cuales, en algunos casos, contienen finalidades que no guardan relación con la regulación que, sobre la materia ha dispuesto la Superintendencia de Puertos y Transporte para la validación de identidad en el proceso de concesión de licencias.

Para el efecto, se destacan: “Por la cual se impone una sanción administrativa”. Frente a esto, la sociedad investigada expresó en su escrito de descargos que “no es cierto que Olimpia IT use formatos de autorización dispuestos para el proceso de concesión de licencia para finalidades distintas a las del trámite legal correspondiente. Como se explicó más arriba, los formatos de autorización en los que Olimpia IT recolecta datos personales actuando de manera autónoma, en calidad de Responsable del Tratamiento, son formatos adicionales e independientes que se ponen a disposición del titular, quien puede decidir libremente si lo suscribe o no, y que no inciden en el proceso de concesión de licencia de conducción. Por lo anterior, se evidencia que, en calidad de operador biométrico homologado de la RNEC, y al no ostentar bajo ese rol la calidad de Responsable del Tratamiento, Olimpia IT no infringe ninguna de las normas citadas por la SIC como presuntamente contravenidas.

Cuando actúa como Responsable del tratamiento, tiene establecidos los procesos para obtener la autorización de los titulares y permitir su circulación solamente a aquellas entidades que, en atención a su objeto social, han suscrito convenios con Olimpia IT”. “Por la cual se impone una sanción administrativa”. Sin embargo, dicha aseveración contradice en gran medida el material probatorio obrante en el expediente, por cuanto: Según consta en el acta obrante bajo radicado 22-325553-30 del 23 de febrero de 2023, los miembros del Despacho requirieron expresamente a la sociedad OLIMPIA “acceder a las bases de datos SISEC CRC, para realizar pruebas de muestreo” y “acceder a las bases de datos SISEC CEA, para realizar pruebas de muestreo”, quedando con ello claro que la información recaudada es precisamente aquella almacenada en las bases de datos construidas por medio de los CEA´s y los CRC´S. En efecto, fue sobre esos datos que el Despacho realizó la respectiva verificación técnica encontrando que terceros ajenos al proceso de obtención de las licencias de conducción tuvieron acceso a los datos biométricos de los titulares.

Adicionalmente, se requirió a los representantes de la sociedad investigada que entregaran todas las autorizaciones otorgadas por esos titulares para el tratamiento de sus datos personales, teniendo como conclusión que “De los cincuenta y nueve (59) titulares cuya información biométrica (huellas dactilares y registro facial) fue consultada, ninguna cuenta con una autorización expresa al consultante10”.

De manera que basta con revisar, cuando menos, el contenido de las autorizaciones citadas en la formulación de cargos para notar que estas fueron suscritas en el marco del proceso de expedición de las licencias de conducción, en las que el titular supuestamente, además de consentir el tratamiento de su información por parte de los CEA´s y los CRC´s, también “faculta” a la sociedad OLIMPIA IT S.A.S. para hacer uso de esa información en la creación de perfiles de consumo y financieros o para hacer ofrecimiento de productos financieros, por citar algunos ejemplos.

Estos hechos son congruentes con lo denunciado11 por la señora XXXXXXXXXXXXX y a la postre evidenciado en las visitas de inspección, en donde al titular/aspirante se le indica que debe firmar la “autorización para el tratamiento de sus datos personales” en el dispositivo (pad), sin permitirle excluir y/o modificar el alcance de dicha autorización. De manera que, no es coherente asegurar que existen formatos adicionales e independientes cuando en el mismo cuerpo del documento se puede apreciar cómo se entremezclan los fines legítimos relacionados con la licencia para conducir y el uso comercial por parte de la sociedad investigada.

Ahora, de otro lado también expresó la sociedad investigada en sus descargos12 que “la totalidad de los 59 registros de titulares a los que hace alusión la SIC en la Resolución, fueron consultados para la validación de su identidad por medio de sus huellas dactilares. En consonancia con el análisis que se ha hecho a lo largo del presente escrito, en el proceso de consulta de las bases de datos de huellas dactilares, Olimpia IT actúa en calidad de operador biométrico de la RNEC, y en virtud de ello, facilita la plataforma tecnológica para conectar a sus aliados comerciales (empresas que requieren validar la identidad con las bases de datos biométricas de la RNEC).

(…) Para el trámite de consulta de las huellas, el Responsable del tratamiento es el aliado comercial de Olimpia IT (empresas que requieren validar la identidad con las bases de datos biométricas de la RNEC). Teniendo en cuenta el procedimiento establecido por la RNEC, todas las consultas de huellas de titulares en las bases de datos de la RNEC son antecedidas por una autorización suscrita por el titular, la cual es compartida a Ver informe de visita, obrante bajo el radicado 22-325553-36-1 del 25 de mayo de 2023.

Denuncia obrante en el expediente digital bajo el radicado 22-325553-0 del 19 de agosto de 2022. Escrito obrante en el expediente digital bajo el radicado 22-325553-48-1 del 11 de abril de 2024. “Por la cual se impone una sanción administrativa”. Olimpia IT, y de las cuales se adjunta, como Anexo 12, una muestra de las mismas respecto de los Titulares consultados (huellas)”.

Al respecto, es pertinente hacer las siguientes precisiones: En primer lugar, se reitera que la sociedad OLIMPIA no acreditó la existencia de un encargo proveniente de sus clientes (Banco de Bogotá, Colpatria, Serfinanza, entre otros) con el propósito de realizar operaciones de tratamiento de datos personales, y en particular sobre los cincuenta y nueve (59) registros obtenidos en el curso de la visita de inspección adelantada por esta Dirección. Dicho esto, es claro que la investigada en su calidad de Responsable del tratamiento de datos debía dar plena observancia a los lineamientos establecidos por la Norma respecto a la autorización para el almacenamiento, uso y circulación de datos con terceros; consentimiento que, como se ha dicho, no fue acreditado en el curso de la visita de inspección. Sin perjuicio de lo anterior, es necesario referirse a la prueba solicitada por el representante de la sociedad investigada, la cual fue decretada mediante Resolución 48944 del 27 de agosto de 2024, consistente en la realización de un dictamen pericial respecto al material probatorio recolectado en el curso de la visita administrativa por parte de los funcionarios de la Superintendencia de Industria y Comercio.

Así, mediante escrito radicado bajo los números 22-325553 consecutivos 68, 69, 70, 71 y 72 del 31 de enero de 2025, la sociedad OLIMPIA aportó el correspondiente informe pericial. El mencionado documento fue analizado técnicamente por los ingenieros adscritos a esta Dirección, cuyas conclusiones son las que, a continuación se citan:       “Ninguna de las conclusiones relacionadas en el informe pericial aportado por OLIMPIA IT S.A.S., afecta o cambia las conclusiones del informe técnico generado con base en la información recolectada en la visita administrativa, realizada entre el 16 y 17 de febrero de 2023.

En el informe pericial se incluyen conclusiones relacionadas con el análisis de 59 registros y otros registros no encontrados en la validación de biometría facial, pero no se incluyen análisis técnicos ni justificaciones que las sustenten. En el informe pericial se incluye una conclusión relacionada con la responsabilidad en el tratamiento de datos personales de la organización, pero no incluyen análisis técnicos, justificaciones o ejemplos que la acrediten como Responsable o Encargada.

Con base en las imágenes aportadas en el informe pericial, se recomienda realizar una verificación, desde el punto de vista jurídico, del principio de proporcionalidad de la autorización comercial que el usuario otorga al momento de realizar el enrolamiento en las aplicaciones CEA o CRC. De acuerdo con el paso 14 del ítem “4.1 SISEC CRC. Flujo de enrolamiento de un aspirante” del informe pericial; el usuario puede autorizar o no el “ATDP Comercial”, sin embargo, la disposición en pantalla y los colores utilizados para los botones, sugieren al usuario seleccionar la opción “Autorizar”; aún más luego de haber autorizado previamente la consulta de sus huellas digitales en la registraduría, autorización que es obligatoria para el proceso de enrolamiento.

Adicionalmente en ninguna parte de este texto se informa al usuario que es una autorización opcional y que puede omitirla sin afectar su proceso de enrolamiento. Frente a las previsiones establecidas en la Resolución número 48944 de 2024 donde se señala que “El dictamen pericial deberá rendirse única y exclusivamente respecto al material probatorio recolectado en el curso de la visita administrativa por parte de los funcionarios de la decreta “la prueba consistente en aportar un dictamen pericial, de acuerdo con las previsiones hechas en la parte motiva del presente acto administrativo”.

Se evidencia que el Informe Pericial Olimpia IT con fecha “Por la cual se impone una sanción administrativa”.  diciembre 4 de 2024, si bien contiene el listado de las evidencias tenidas en cuenta, no se detalla en que punto fueron objeto del análisis pericial. En consecuencia el Informe Pericial Olimpia IT no cumple con lo establecido en la mencionada resolución, toda vez que se describen procedimientos de verificación de identidad, enrolamiento de usuarios en las plataformas ReconoSer ID, Huellas, SISEC CEA, SISEC CRC INTEGRAL y ReconoSer ID y aspectos de seguridad y control sobre las bases de datos a través de capturas de pantalla de las plataformas mencionadas anteriormente, las cuales NO hacen parte de los elementos materiales probatorios que fueron recolectados durante visita de inspección llevada a cabo por funcionarios y contratistas de esta Superintendencia los días 16 y 17 de febrero de 2023”.

De esta manera, se observa que la prueba solicitada por la investigada no aportó elementos de juicio diferentes ni desvirtúa aquellos obrantes en el expediente que conforman la presente investigación administrativa de carácter sancionatorio, motivo suficiente para no detenerse en estudiar a profundidad su contenido. Conforme a todo el análisis efectuado a lo largo del presente acto administrativo, para esta Dirección se encuentra plenamente acreditada la vulneración de las normas de protección de datos personales y en particular las contempladas en el literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3, los literales a) y c) del artículo 4, los artículos 5 y 9 de la precitada ley; en concordancia con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, razón por la cual se impondrá como sanción la multa de DOSCIENTOS (200) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– equivalentes a VEINTITRÉS MIL DOSCIENTOS (23.200) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DOSCIENTOS SESENTA Y OCHO MILLONES SEIS MIL CUATROCIENTOS PESOS M/CTE (268.006.400).13 11.2.3 De la aplicación del principio de Responsabilidad Demostrada.

El representante de la sociedad investigada manifestó, mediante escrito obrante bajo el radicado 22-325553-49-1 del 04 de junio de 2024, que “a lo largo de esta investigación la Superintendencia ha podido conocer la estructura y funcionamiento del Subsistema de Protección de Datos Personales de Olimpia IT y, con este escrito, queremos explicitar los elementos que lo componen de manera gráfica.

Confiamos en que esta información permitirá a la SIC tener una visión más clara sobre los componentes y la evolución del Subsistema de Protección de Datos Personales de Olimpia IT ilustrando su estructura, la cual comprende (i) objetivos, (ii) políticas (iii) controles, (iv) procesos (v) administración y evaluación de riesgos, (vi) protocolos para gestión de incidentes (vii) formación del personal y auditorías, que reflejan el compromiso de Olimpia IT por lograr una adecuada protección de los datos personales de los Titulares de la información. Finalmente, agradezco que sean tenidos en cuenta los documentos aportados junto a este escrito y que la SIC no ha tenido la oportunidad de conocer previamente, esto con el fin de proporcionar a la Autoridad un panorama completo sobre la integración de los distintos elementos del Subsistema de Protección de Datos Personales de Olimpia IT”.

Adicionalmente, aportó copia de la referida documentación, implementada para el cumplimiento de las normas de protección de datos personales. De acuerdo la solicitud hecha por la sociedad investigada en el curso de la presente investigación administrativa de carácter sancionatorio, este Despacho Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción administrativa”. encuentra pertinente hacer unas anotaciones relativas a la aplicación del principio de responsabilidad demostrada.

La Superintendencia de Industria y Comercio ha sido enfática en señalar que las disposiciones contenidas en los artículos 2.2.2.25.6.1 y siguientes del Decreto 1074 de 2015, en relación con la adopción de políticas y procedimientos para el adecuado cumplimiento de la Ley 1581 de 2012 implica que concurran una serie de presupuestos que permitan evidenciar que los procedimientos implementados, en la práctica son reales y efectivos.

Así, la regulación colombiana le impone al Responsable o al Encargado del tratamiento la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica ni formal, sino real y demostrable. Téngase presente que según nuestra jurisprudencia “existe un deber constitucional de administrar correctamente y de proteger los archivos y las bases de datos que contengan información personal o socialmente relevante”14.

Adicionalmente, los Responsables o Encargados del tratamiento no son dueños de los de los datos personales que reposan en sus bases de datos o archivos. En efecto, ellos son meros tenedores que están en el deber de administrar de manera correcta, apropiada y acertada la información de las personas porque su negligencia afecta los derechos humanos de los titulares de los datos.

En virtud de lo anterior, el capítulo III del Decreto 1377 del 27 de junio de 2013 -incorporado en el decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2615 -titulado DEMOSTRACIÓN- establece que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así, resulta imposible ignorar la forma en que el responsable o encargado del tratamiento debe probar que pone en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

Con el propósito de dar orientaciones sobre la materia, esta Superintendencia expidió el 28 de mayo de 2015 la “Guía para la implementación del principio de responsabilidad demostrada (accountability)”16. El término “accountability”, a pesar de contar con diferentes acepciones, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, consisten principalmente en diseñar y activar un Programa Integral de Gestión de Datos Personales (en adelante PIGDP). Esto, Corte Constitucional, Sentencia T-227 de 2003 El texto completo del artículo 26 del decreto 1377 de 2013 ordena lo siguiente: Artículo 26.

Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1. La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta sí se trata de una micro pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2.

La naturaleza jurídica de los datos personales objeto del tratamiento. 3. El tipo de tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”. El texto de la guía puede consultarse en https://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf “Por la cual se impone una sanción administrativa”. exige compromisos y acciones concretas de los directivos de la organización. Igualmente, requiere la implementación de controles de diversa naturaleza, desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP, y demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales.

El principio de responsabilidad demostrada -accountability- demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. El mismo, exige que los Responsables y Encargados del tratamiento implementen medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia.

Dichas medidas deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales. El principio de responsabilidad demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones por parte de las organizaciones para garantizar el debido tratamiento de los datos personales.

El éxito de la implementación de este principio dependerá del compromiso y demostración real por parte de todos los miembros de la organización, pero especialmente, de los directivos de las organizaciones, ya que, sin su dirección y apoyo, todo esfuerzo será insuficiente para diseñar, implementar, revisar, actualizar y evaluar los programas de gestión de datos personales.

El principio de responsabilidad demostrada se articula con el concepto de “compliance” en la medida que este hace referencia “al conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”17.

Así las cosas, la identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del “compliance” y de la efectiva aplicación del principio de responsabilidad demostrada (accountability). De ahí que, se considere fundamental que las organizaciones desarrollen y pongan en marcha, entre otros, un sistema de administración de riesgos asociados al tratamiento de datos personales, que les permita identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales.

Además de lo anterior, el cumplimiento de este principio busca que el Responsable del Tratamiento, demuestre que dentro de su organización se cuenta con: (i) Una estructura de gobierno corporativo en el sentido de que la formulación de políticas y procedimientos para el tratamiento reflejen una cultura de respeto a la protección de los datos personales;

(ii) Un programa corporativo que tenga controles efectivos, que responda al tamaño y estructura de la organización, destinado al cumplimiento, implementación y consolidación del régimen de protección de datos; y (iii) Una evaluación y revisión continúa de los controles que lo integran, con el fin de determinar la pertinencia y eficacia del plan de gestión para lo cual deberán desarrollarse auditorías internas para evaluar, en una fase preliminar, el grado de cumplimiento con la normatividad de protección de datos.

Cfr. World Compliance Association (WCA). compliance.php (última consulta 20 de abril de 2020) http://www.worldcomplianceassociation.com/que-es- “Por la cual se impone una sanción administrativa”. Así las cosas, este Despacho se permite reiterar que no basta con tener una cultura que propenda por el respeto en la teoría, sino que dicha cultura debe materializarse en la práctica a través del efectivo cumplimiento de la Ley 1581 de 2012, más allá de que esta autoridad requiera a la investigada sobre su cumplimiento, ya que es un deber de la organización dar pleno cumplimiento a tal normatividad y es un derecho constitucional del ciudadano que se le respeten sus datos personales.

De manera que, a juicio del Despacho los documentos, procesos y procedimientos adoptados por la sociedad OLIMPIA IT S.A.S. no son suficientes para evitar la comisión de una conducta como la que se reprochó en la presente actuación administrativa.

DÉCIMO SEGUNDO: CONCLUSIÓN De acuerdo con todo lo señalado en líneas precedentes, para la Dirección de Investigaciones de Protección de Datos se encuentra demostrado que la sociedad OLIMPIA IT S.A.S. vulneró el deber que el asiste en su calidad de Responsable del tratamiento de datos personales de: Solicitar y conservar copia de la autorización otorgada de manera libre e informada de los titulares para el tratamiento de sus datos personales de biometría, en particular para circularlas bajo fines de uso comercial con terceros.

DÉCIMO TERCERO: Imposición y graduación de la sanción 13.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 23. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 218, 419 y 620 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo21.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”22 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Artículo 2.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.

(negrita añadida) Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones. (negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000);

Corte Constitucional, Sala Octava de Revisión, T010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000).

Considerando 5.5.2. “Por la cual se impone una sanción administrativa”. Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional23.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.

Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción administrativa”.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB.

De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 23 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional24 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”25 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.

“Por la cual se impone una sanción administrativa”. Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros26. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”27.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia28. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2329 de la misma.

Asimismo, el artículo 19 indica los criterios a seguir para graduar las sanciones en los siguientes términos: Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 23: Sanciones.

La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción administrativa”.

“ARTÍCULO 24. Criterios para graduar las sanciones. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar”.

De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012, que a su tenor literal expresa: “Artículo 24. Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley;

(…)” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 13.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por el investigado haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine, quedó plenamente acreditado que la sociedad OLIMPIA IT S.A.S. vulneró el deber que el asiste en su calidad de Responsable del tratamiento de datos personales de: “Por la cual se impone una sanción administrativa”.

Solicitar y conservar copia de la autorización otorgada de manera libre e informada de los titulares para el tratamiento de sus datos personales de biometría, en particular para fines de uso comercial con terceros. Se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

Tampoco se tendrá en cuenta el criterio de atenuación contemplado en el literal f), por cuanto la investigada no aceptó la comisión de la infracción.

DÉCIMO CUARTO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad OLIMPIA IT S.A.S. identificada con Nit. 900.032.7744, con el correo electrónico de notificación judicial notificaciones.gerencia@olimpiait.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 22-325553. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o se requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad OLIMPIA IT S.A.S., identificada con el nit 900.032.774-4 DOSCIENTOS (200) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– equivalentes a VEINTITRÉS MIL DOSCIENTOS (23.200) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DOSCIENTOS SESENTA Y OCHO MILLONES SEIS MIL CUATROCIENTOS PESOS M/CTE (268.006.400)30, por la vulneración de lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3, los literales a) y c) del artículo 4, y los artículos 5 y 9 de la precitada ley; en concordancia con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual. Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción administrativa”.

ARTÍCULO 2: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad OLIMPIA IT S.A.S., identificada con nit 900.032.7744 a través de su representante legal y/o su apoderado, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO 3: COMUNICAR el contenido de la presente resolución a la señora XXXXXXXXXXXXXXXXX, identificada con cédula de ciudadanía XXXXXXXXXXXXXXXXX, en calidad de denunciante.

ARTÍCULO 4: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia Comercio: contactenos@sic.gov.co. de Industria y - Sede principal: Carrera 13 # 27-00 piso 3, edificio Bochica en la ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 29 de agosto de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, CAROLINA GARCIA MOLINA Firmado digitalmente por CAROLINA GARCIA MOLINA Fecha: 2025.08.29 15:05:41 -05'00' CAROLINA GARCÍA MOLINA Elaboró: LR Revisó: CG Aprobó: CG