Resolución sancionatoria N° 16491 de 2022

(30 MARZO 2022) VERSIÓN PÚBLICA “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación: 19-115567 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales (5) y (9) del artículo 17 del Decreto 4886 de 2011, y modificado por el artículo 7 del Decreto 092 de 2022; y

CONSIDERANDO

PRIMERO: Que, en virtud de las funciones otorgadas a esta Superintendencia por los artículos 19 y 21 de la Ley 1581 de 2012, y de conformidad con el procedimiento previsto en el artículo 47 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y Contencioso Administrativo), la Dirección deInvestigación de Protección de Datos Personales a través del Grupo de Trabajo de Investigaciones Administrativas adelantó una visita de inspección a la institución prestadora de servicios de salud ESTRIOS S.A.S., identificada con NIT 806.011.261 -7, los días 29 y 30 mayo de 2019, con el fin de recopilar y requerir toda la información necesaria para comprobar el cumplimiento de los deberes y requisitos establecidos en el Régimen General de Protección de Datos Personales, visita en la que serealizó lo siguiente: 1.1 Entrevista a VVVVVVVVVVVVVVVVVVVVVVVVVVVV, identificada con Cédulade Ciudadanía No 45.706.638, quien se desempeña como coordinadora de calidadde la sociedad ESTRIOS S.A.S. 1.2 Entrevista a VVVVVVVVVVVVVVVVVVVVVVVVVVV, identificado con Cédula de Ciudadanía No 92.095.418, quien se desempeña como coordinador del área de informática y comunicaciones de la sociedad ESTRIOS S.A.S. 1.3 Entrevista a BBBBBBBBBBBBBBBBBBBBBB, identificado con Cédula de Ciudadanía No 1.128.050.643, quien se desempeña como auxiliar de archivo de lasociedad ESTRIOS S.A.S. 1.4 Entrevista a BBBBBBBBBBBBBBBB, identificado con Cédula de Ciudadanía No. 73.195.579, quien se desempeña como representante legal de la sociedad ESTRIOS S.A.S. 1.5 Entrevista a BBBBBBBBBBBBBBBBBBBBBBBBB, identificada con Cédulade Ciudadanía No. 45.520.720, quien se desempeña como asesora jurídica externa de la sociedad ESTRIOS S.A.S. Una vez este Despacho, realizó el análisis de las pruebas y la evidencia técnica recolectada en la visita de inspección, se encontraron los siguientes hallazgos:  Respecto al archivo físico de las historias clínicas se observó que las instalaciones del área de archivo presentan deficiencias de infraestructura que incrementan el riesgo de deterioro de las carpetas que contienen dicha información.  De la inspección a las instalaciones de la organización no se observó que en la misma se haya dispuesto a la vista del público un aviso de privacidad, con el fin de poner en conocimiento de los Titulares de la información que sus datos están siendo recolectados por un sistema de videovigilancia.  Respecto a la infraestructura tecnológica se evidenció que los servidores y demás equipos que soportan la operación de la institución están en lugares separados físicamente, como consecuencia de la ausencia de una red de corriente regulada.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN PÚBLICA En ese sentido se encontró que el servidor de base de datos se encuentra en un espacio parecido a un armario dentro de la Unidad De Cuidados Intensivos UCI, sin tener en cuenta los riesgos que esta situación representa.  Se encontró que no existe un control para que el correo electrónico corporativo sea configurado para su uso en equipos celulares de propiedad de los empleados, de igual forma no existe un listado que permita saber con exactitud quienes cuentan con este servicio, de acuerdo con lo manifestado por el señor VVVVVVV - Coordinador Informática y Comunicaciones.  En cuanto a la página web http://estriossas.com se encontraron tres formularios que recolectan datos personales los cuales no cuentan con un mecanismo para requerir autorización para el tratamiento de sus datos personales por parte de los titulares.  Esta Dirección también halló que no existe un control que garantice que todos los equipos de cómputo de la sociedad tengan instalado un software antivirus como medida mínima de seguridad, toda vez que en el equipo asignado a quien se desempeña como Coordinadora Referencia y Contrarreferencia no tenía instalado dicho software.

SEGUNDO: Que, mediante Resolución 30106 del 19 de junio de 2020, la Dirección de Investigaciónde Protección de Datos Personales decidió abrir investigación y formular cargos contra la sociedad ESTRIOS S.A.S., identificada con NIT 806.011.261 -7 por la presunta contravención de las normas deprotección de datos personales, en particular: (i) El literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, (ii) El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2del Decreto Único Reglamentario 1074 de 2015, (iii) El literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de2012, (iv) El literal k) del artículo 17 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015, (v) El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074de 2015.

En el mismo acto administrativo, se concedió el término de quince (15) días hábiles a la sociedad investigada para que rindiera descargos y aportara las pruebas que pretendiera hacer valer en la presente actuación.

TERCERO: Que, la Resolución 30106 del 19 de junio de 2020 le fue notificada mediante Aviso 12887al señor VVVVVVVVVVVVVVVVVV VVV en representación de la sociedad ESTRIOS S.A.S el 06 dejulio de 2020 según consta en la certificación expedida por la Secretaria General Ad-Hoc de esta Superintendencia, radicada bajo el número 19-115567- -9 del 10 de agosto de 2020.

CUARTO: Que, la Resolución 30106 del 19 de junio de 2020, fue aclarada mediante la Resolución 79458 del 11 de diciembre de 2020, corrigiendo los artículos PRIMERO y SEGUNDO, así: “ARTÍCULO PRIMERO: ABRIR INVESTIGACIÓN y en consecuencia FORMULAR PLIEGO DE CARGOS contra la sociedad ESTRIOS LTDA identificada con Nit 806.011.261-7, por la presunta contravención de lo dispuesto en: (i) el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, (ii) el literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) delartículo 12 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2del Decreto Único Reglamentario 1074 de 2015, (iii) el literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581de 2012, (iv) en el literal k) del artículo 17 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN PÚBLICA (v) el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015.

ARTÍCULO SEGUNDO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad ESTRIOS LTDA identificada con Nit 806.011.261-7, para que dentro de los QUINCE (15) días hábiles siguientes a la notificación del presente acto, por sí misma o por intermedio de abogado debidamente constituido, rinda descargos y aporteo solicite las pruebas que pretenda hacer valer dentro del trámite radicado con el número 19-115567.” No obstante, posteriormente se evidenció que no había lugar a modificar la Resolución 30106 del 19 de junio de 2020, en la medida en que la sociedad investigada, identificada con el Nit. 806.011.261-7,es ESTRIOS S.A.S y no ESTRIOS LTDA, esta modificación no indujo en error a la investigada puestoque a lo largo de toda la investigación ha ejercido correctamente su derecho de defensa como ESTRIOS S.A.S. Por lo anterior, a través de la presente resolución y de acuerdo con lo establecido en el artículo 41 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo se modifica la Resolución No. 79458 del 11 de diciembre de 2020 y en consecuencia se deja claro que el nombre de la investigada es ESTRIOS S.A.S. identificada con el Nit. 806.011.261-7.

QUINTO: Que, encontrándose dentro del término establecido para el efecto, la sociedad investigada, a través de apoderada especial, mediante escrito radicado bajo el número 19-115567- -00017-0000 y19-115567- 00018-0000 del 18 de enero de 2021, presentó los respectivos descargos. 5.1 La investigada aclara que se acoge a los criterios de graduación expuestos en el artículo 24 de la Ley 1581 de 2012. 5.2.

Frente a los cargos imputados manifiesta lo siguiente: 5.2.1 En lo que respecta al cargo primero, afirma que “(…) se han venido implementando procedimientos para almacenar las autorizaciones suscritas por los Titulares al momento de suministrar sus datos al área de talento humano, así como también en la página web, y que se han instalado varios avisos para solicitar las respectivas autorizaciones.

Veamos: También señala que la página web www.estriossas.com ya cuenta con una conexión segura y con un certificadode seguridad valido (SSL). Por último, señala que, si bien es cierto, al momento de la visita no contaba con las autorizaciones en la forma que lo exige la ley estatutaria, aclara que el tratamiento de datos personales lo ha venido realizando con fines legales contractuales en virtud de la prestación de servicios, médicos, profesionales y comerciales.

Igualmente, aclara que en ningún momento ha percibido beneficio económico alguno en el manejo de datos personales de sus clientes. 5.2.2 Con relación al cargo segundo, argumenta que tal como se explicó en el punto anterior, actualmente ha venido incluyendo en las autorizaciones los fines o propósitos para realizar el tratamiento de los datos personales que recolecta en su calidad de responsable.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN PÚBLICA 5.2.3 Respecto al cargo tercero, afirma que, en relación a las condiciones de seguridad básicas de navegación a internet sin restricciones, se instaló un Firewall (Fortinet), mediante el cual se controla el acceso no autorizado y se minimiza los riesgos de amenazas en la infraestructura tecnológica de la institución. Asegura que los permisos de navegación están controlados por medios de perfiles o grupos de acceso.

De igual forma, se estandariza en el MANUAL DE GESTIÓN DE TECONOLOGIA DE LA INFORMACIÓNcon código TEC -M-01 la creación de nombres de usuario y gestión de contraseñas. 5.2.4 Con relación al cargo cuarto, informa que actualmente están en proceso de documentar los procedimientos que soportan tanto el ciclo de vida de los datos personalesmanejados por ESTRIOS y el manejo de consultas y reclamos como procesos para garantizar los derechos de los titulares.

Sin embargo, aun cuando no cuenta con el documento, en cumplimiento de los artículos 14 y 15 de la Ley 1581 de 2012, cualquier solicitud realizada por los titulares es atendida en los términos que señalan los artículos citados con anterioridad. 5.2.5 Finalmente, con relación al cargo quinto, precisa que cuenta con una Política de Tratamiento de Datos en los términos establecidos en la norma, la cual aporta como prueba al escrito de descargos.

SEXTO: Que, mediante Resolución 11435 del 05 de marzo de 2021 la Dirección de Investigación de Protección de Datos Personales ordenó incorporar y tener como pruebas, las obrantes a la fecha en el expediente, con el valor legal que les corresponda. En el mismo acto administrativo, se corrió traslado a la sociedad ESTRIOS S.A.S., por el término de diez (10) días hábiles para que presentara sus alegatos de conclusión.

SÉPTIMO: Que, la Resolución 11435 del 05 de marzo de 2021 le fue comunicada el 08 de marzo de2021, a la señora CCCCCCCCCCCCCCCCCCCCCCCCC, en calidad de apoderada de la sociedad ESTRIOS S.A.S., según consta en la certificación expedida por la Secretaría General Ad-Hoc de estaSuperintendencia, radicada con número 19-115567- -24 del 17 de marzo de 2021.

OCTAVO: Que, encontrándose dentro del término establecido para el efecto, la sociedad investigada,a través de su apoderada especial, mediante escrito radicado bajo el número 19-115567- -00025-0000del 23 de marzo de 2021, presentó los respectivos alegatos de conclusión, haciendo alusión a los criterios de graduación de la sanción establecidos en el artículo 24 de la Ley 1581 de 2012 “con el propósito de graduar favorablemente los efectos de las resultas que pueda llegar a considerar el Despacho como consecuencia de la presente investigación administrativa”.

NOVENO: Que mediante la Resolución No. 71254 del 8 de noviembre de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la sociedad ESTRIOS S.A.S., identificada con Nit. 806.011.261 -7, de SETENTA Y DOS MILLONES SEISCIENTOS DIECISEIS MIL PESOS M/CTE ($ 72.616.000), equivalente a dos mil (2.000 UVT) Unidad de Valor Tributario, por la violación a lo dispuesto en: (i) (ii) (iii) (iv) (v) El literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, El literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012.

El literal k) del artículo 17 de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015. El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015.

Así mismo se le ordenó lo siguiente: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN PÚBLICA  " La sociedad ESTRIOS S.A.S., identificada con Nit. 806.011.261 -7, deberá incorporar en la Política de Tratamiento de la Información el período de vigencia de la Base de Datos, en los términos del numeral 6 del artículo 13 del Decreto 1377 de 2013, incorporado en el Artículo 2.2.2.25.3.1 del Decreto 1074 de 2015.  Cargar en la página web www.estriossas.com la Política de Tratamiento de Datos.”

DÉCIMO: Que la Resolución No. 71254 de 2021 fue notificada por Aviso No. 28489 el 19 de noviembre de 2021 a la sociedad ESTRIOS S.A.S., a través de su representante legal, de conformidad con la certificación expedida por la Secretaría General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado 19-115567-35 del 25 de noviembre de 2021.

DÉCIMO PRIMERO: Que mediante comunicación con radicado 19- 115567-000386, 19- 11556700037 y 19- 115567-00038 del 26 de noviembre de 2021, la sociedad ESTRIOS S.A.S., a través de su apoderada, interpuso recurso de reposición y en subsidio de apelación contra la Resolución No. 71254 de 2021 para que se modifique el acto administrativo impugnado y en su lugar se disminuya la sanción impuesta, con fundamento en: “(…) III.

FUNDAMENTOS DEL RECURSO Sea lo primero indicar que, ESTRIOS entiende las consideraciones expuestas por el Despacho en la Resolución y comprende que la omisión en el cumplimiento de las obligaciones del régimen de protección de datos personales debe ser sancionada tal y como lo hizo el Despacho. Sin embargo, respetuosamente le solicitamos al señor Director, revise nuevamente el caso, y tome en consideración los argumentos que a continuación exponemos, pues consideramos pueden ser tomados como fundamento para la reducción de la sanción impuesta.

3.1. VIOLACIÓN DEL LITERAL B) DEL ARTÍCULO 17, ENCONCORDANCIA CON EL LITERAL C) DEL ARTÍCULO 4 Y EL ARTÍCULO 9 DE LA LEY 1581 DE 2012, ASÍ COMO CON EL INCISO PRIMERO DEL ARTÍCULO 2.2.2.25.2.2 DEL DECRETO ÚNICO REGLAMENTARIO 1074 DE 2015. De acuerdo con las consideraciones del Despacho, ESTRIOS no implementó un texto de autorización para recolectar la autorización para el tratamiento de los datos personales a través de la página web, toda vez que “si bien se obtuvo respuesta al requerimiento realizado durante la visita realizada por esta Superintendencia, el formato de la autorización para el Tratamiento de la información de los titulares de información aportado no está implementado conforme con lo establecido en la Ley 1581 de 2012.

Esta Dirección hace la anterior conclusión, en tanto que la misma no indica las finalidades especificas del tratamiento al cual se someterán los datos, de manera explícita y previa, ni contempla el hecho de que se trata de datos personales sensibles, por ende el titular debe ser informado que no está obligado a autorizar su tratamiento, adicionalmente el referido sitio web no cuenta con un certificado SSL/TLS que proporcione unos niveles aceptables de seguridad para el flujo de información del cliente al servidor”.

Al respecto, les hacemos notar al Despacho que en el documento de Descargos señalamos que ESTRIOS estaba en proceso de implementación de mejoras en las acciones tendientes a la protección de los datos personales, así las cosas, tal y como se indicó en el pasado ESTRIOS implementó para los formularios de recolección de datos personales un texto de autorización en los términos descritos en el artículo 12 de la Ley 1581 de 2012 en cual se indica: Al consignar sus datos personales en este formulario usted en calidad de Titular, autoriza a ESTRIOS S.A.S. identificada con NIT: 806011261-7 y ubicada en Zaragocilla diagonal 30 # 30b-41 Cartagena- Bolívar y teléfono para contacto 60 5 6517441, para que de acuerdo con los principios establecidos en la Ley Estatutaria 1581 de 2012 y sus decretos reglamentarios realice el tratamiento de los datos personales para los fines que se describe a continuación: • Gestionar todas las acciones tendentes a asignar citas médicas y de diagnóstico. • Realizar todas gestiones tendientes a garantizar la prestación de nuestros servicios. • Enviar información sobre horarios de atención y cambios de agenda. • Dar trámite a las de órdenes médicas y gestionar procesos de autorizaciones médicas.

HOJA N, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” • Gestionar la entrega medicamentos, equipos insumos médicos. • Generar certificaciones en general. de e • Enviar información sobre campañas de educación al paciente y medicina familiar. • Enviar información sobre Programas de Promoción de la Salud y Prevención de la Enfermedades. • Realizar análisis del gasto en salud. • Analizar datos de salud para calificación de origen de las enfermedades. • Realizar campañas de actualización de datos y documentos de identificación. VERSIÓN PÚBLICA • Atender solicitudes de mejoramiento, peticiones, quejas y reclamos. • Enviar información sobre campañas para dar cumplimiento a la normatividad en materia de salud. • Enviar información sobre nuevos productos, servicios, sedes y horarios. • Realizar análisis del riesgo poblacional general e individual de los pacientes. • Realizar análisis sobre los servicios prestados por la institución. • Realizar encuestas de satisfacción de los servicios y atenciones prestadas. • Dar trámite y atender las solicitudes a fin de garantizar los derechos de los usuarios.

Los datos personales recolectados y derivados de la atención médica pueden incluir o concluir en información sensible tales como, pero sin limitarse: al estado de salud, información biométrica (huellas dactilares imágenes), sobre los cuales no está obligado a consentir el tratamiento, pero una vez autorizados serán utilizados para cumplir con las finalidades descritas anteriormente.

Si al momento de diligenciar el formulario, se consignaren datos de terceras personas o de menores de edad, usted garantiza que cuenta con la autorización de este tercero o representación legal para autorizar los datos personales del menor de edad registrado. El tratamiento al que pueden ser sometidos los datos personales registrados en el presente formulario, incluye: el procesamiento, la recolección, el almacenamiento, uso, circulación, supresión, actualización, transmisión y/o transferencia. ESTRIOS S.A.S. eventualmente podría compartir información personal privada con terceros, los cuales a solicitud de ESTRIOS S.A.S. realizarán gestiones para garantizar la continuidad de la operación y la prestación de los servicios.

Estos terceros pueden estar dentro o fuera de Colombia y cuando esto ocurra, ESTRIOS S.A.S. realizará todas las acciones encaminadas a garantizar que el tercero al cual se le compartieren los datos personales cuente con los procesos y procedimientos que garanticen la integridad y confidencialidad de la información entregada. En calidad de titular tiene derecho a conocer, actualizar, rectificar, revocar y/o suprimir la autorización. Asimismo, tiene derecho a acceder en cualquier momento a los datos suministrados, solicitar prueba de autorización otorgada y acudir a la Superintendencia de Industria y Comercio.

Los procedimientos para solicitar la corrección, actualización o supresión de los datos de las bases de datos de ESTRIOS S.A.S. los puede ejercer atendiendo los procesos de consultas y reclamos contenidos en la Política de Tratamiento del Dato que se relaciona a continuación. Cualquier inquietud, consulta o reclamo por favor conténtenos en siau@estriossas.com.

Este texto de autorización ya encuentra publicado en la página web de ESTRIOS para cada uno de los formularios de recolección de datos personales, lo anterior en cumplimiento de las obligaciones impuestas por el régimen de protección de datos personales y a los compromisos que ESTRIOS manifestó a su Despacho en el momento de rendir los descargos.

Ahora bien, con respecto a la seguridad del sitio web, especialmente a que la página web de ESTRIOS “no cuenta con un certificado SSL/TLS que proporcione unos niveles aceptables de seguridad para el flujo de información del cliente al servidor”. Informamos al Despacho que esta debilidad fue subsana mediante la adquisición de dicho certificado tal y como se observa a continuación: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN PÚBLICA De acuerdo con lo anterior, ESTRIOS ha ido realizando todas y cada una de acciones tenientes a garantizar la seguridad de la información. Solicitamos al Despacho tener encuenta que no se encuentra en la legislación colombiana aplicable un estándar que señale cuáles controles efectivamente deben aplicarse para garantizar la seguridad de la información, así las cosas, las implementaciones de medidas de seguridad y controles técnicos, se han ido realizando según el entendimiento de mi representada de las normas y medidas comúnmente aceptadas por la industria.

3.2. VIOLACIÓN EL LITERAL C) DEL ARTÍCULO 17, EN CONCORDANCIA CON EL LITERAL B) DEL ARTÍCULO 4, EL LITERAL A) DEL ARTÍCULO 12 DE LA LEY 1581 DE 2012, ASÍ COMO CON EL INCISO PRIMERO DEL ARTÍCULO 2.2.2.25.2.2 DEL DECRETO ÚNICO REGLAMENTARIO 1074 DE 2015. De acuerdo con las consideraciones del Despacho “se logró establecer que con base en el requerimiento que se realizó a la investigada se solicitó información sobre los procedimientos y la manera en la que se informaba a los titulares las finalidades de la recolección de su información personal, frente a lo cual, el representante legal informó que contaban con los manuales y procedimientos correspondientes, no obstante, los documentos aportados no incluye manuales o procedimientos relacionados con el tratamiento de datos personales de los titulares de información. Se revisó también el sitio web http://estriossas.com pero NO se encontró el formulario mediante el cual se informa la finalidad del tratamiento de los datos personales, con lo cual, se evidenció el posible incumplimiento por parte de la investigada de informar a los titulares de la información sobre las finalidades de la recolección de datos que se adelanta mediante la correspondiente página web.

Así las cosas, este Despacho concluye que se encuentra probado que la investigada no solicita autorización alguna para el tratamiento de datos, por parte de las personas que utilizan su página web. En consecuencia, al no existir un formulario en la página web, como da cuenta la preservación forense realizado con ocasión de la visita realizada, se evidenció que no es posible que conserven copia de las mismas, razón por la cual, incumplió el deber establecido en el literal c) del artículo 17 en concordancia con el literal b) del artículo 4 y el artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

Se(sic) lo primero aclarar que tal y como quedó expuesto en la Resolución, ESTRIOS contaba con formularios mediante los cuales realizaba la recolección de los datos personales, y solicitaba la autorización mediante un texto que se entendió no cumplía con los requisitos consagrados en artículos 12 de la ley 1581 de 2012, situación que mencionamos en el numeral 3.1. quedó subsana con la disposición de un texto de autorización redactado en atención a las disposiciones legales y las declaraciones hechas en la política de tratamiento de datos de ESTRIOS.

Con respecto al manual interno con procedimientos para el manejo de los datos personales, informamos al Despacho que ESTRIOS ha venido trabajando en un documento que refleje los procedimientos que debe aplicar al interior de la compañía para la administración de los datos personales, cabe precisar que este manual aún sigue en proceso de construcción pues es indispensable ajustarlo y alinearlo con cada uno de los procedimientos que se vienen HOJA N, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA implementando al interior de la compañía, sin embargo, es oportuno mostrar a esta Dirección los avances que se han logrado hasta el momento y es por esto que lo aportamos como prueba de que ESTRIOS ha tomado en serio el compromiso de garantizar la seguridad de la información y especialmente, garantizar los derechos y libertades consagrados para los titulares en el régimen de protección de datos personales.

3.3. VIOLACIÓN EL LITERAL D) DEL ARTÍCULO 17, EN CONCORDANCIA CON EL LITERAL G) DEL ARTÍCULO 4 DE LA LEY 1581 DE 2012. Indica la Resolución que, “en relación con el caso en concreto, este Despacho pudo constatar a través de la visita realizada a la investigada, que cuenta con archivos de tipo físico y archivos digitales, frente a los cuales se evidenciaron deficiencias relacionadas con el almacenamiento de la información, por lo cual no se puede inferir que esta conservación se realiza de forma segura”.

En cuanto a dicha consideración, ponemos de presente a esta Superintendencia que ESTRIOS para garantizar la seguridad física de la información, tal y como se manifestó al momento presentar los descargos, ha implementado controles para garantizar la seguridad física y lógica. Con respecto a la seguridad física, aplicó controles de acceso a la información a través de la instalación de cerraduras de seguridad controlando la tenencia de las llaves solo para el personal autorizado.

Cabe aclarar que el hecho de que el archivo esté en la Unidad de Cuidados Intensivos (UCI) es una condición que beneficia su conservación y custodia frente a las condiciones climáticas y especialmente porque es una zona de acceso restringido tanto para pacientes como personal administrativo. Con relación a la seguridad de la información desde punto de vista lógico, se han instalado antivirus en todos los equipos y se están protegiendo los sistemas con firewall de la marca Fortinet.

Adicionalmente se implementó para la página web el certificado SSL/TLS para garantizar la seguridad en las comunicaciones con los clientes. Aunado a lo anterior, y como lo indicamos en precedente, se ha venido trabajando en la construcción del manual interno de manejo de información con el propósito de aplicar controles desde punto administrativo y organizacional.

3.4. VIOLACIÓN EL LITERAL K) DEL ARTÍCULO 17 DE LA LEY 1581 DE 2012, ASÍ COMO CON EL INCISO PRIMERO DEL ARTÍCULO 2.2.2.25.2.1 DEL DECRETO ÚNICO REGLAMENTARIO 1074 DE 2015, EL LITERAL K) DEL ARTÍCULO 17 DE LA LEY 1581 DE 2012 EN CONCORDANCIA CON EL INCISO 3 DEL ARTÍCULO 25 DE LA LEY 1581 DE 2012 Y EL ARTÍCULO 2.2.2.25.3.1.DEL DECRETO ÚNICO REGLAMENTARIO 1074 DE 2015.

Señala el Despacho en la Resolución que “del resultado arrojado en la visita de inspección realizada en las instalaciones de la sociedad investigada, y de conformidad con la entrevista realizada al señor BBBBBBBBBBBBBBBBBBBBBB, en ejercicio de la inspección practicada, no fue posible obtener copia de los manuales y procedimientos implementados por la sociedad para dar trámite a las solicitudes quejas y reclamos de los titulares.

A pesar de que la investigada aportó con posterioridad unos documentos, estos no se ajustan a un procedimiento específico para dar trámite a las solicitudes de los titulares en los términos de literal k) del artículo 17 de la Ley 1581. Al respecto es necesario precisar que los aspectos analizados en el presente cargo guardan relación a los procedimientos internos que debe adoptar los Responsables de la información con el fin de garantizar la adecuada protección de los datos personales que trata, en virtud del desarrollo de sus actividades; las cuales van encaminadas a que los responsables, desarrollen políticas internas efectivas que demuestren el cumplimiento de las obligaciones establecidas en la Ley 1581 de 2012 y en su Decreto Reglamentario.

Dentro de la oportunidad para rendir descargos, la investigada manifestó que en la actualidad se encuentran en el proceso de implementación del correspondiente manual interno de procedimiento para garantizar el cumplimiento de la Ley 1581 de 2012, en lo que respecta a la atención de consultas, quejas y reclamos”. En línea con lo indicado en la oportunidad para presentar los descargos, ESTRIOS ha venido trabajando en el desarrollo de distintos procesos para garantizar la seguridad de la información “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN PÚBLICA y especialmente salvaguardar los derechos que le asisten a cada uno de los titulares de los datos, es por esto que adjuntamos con este escrito de reposición el manual en que hemos estado elaborando, el cual aún es objeto de revisiones, mejoras y actualizaciones según nuestros procedimientos de protección de datos estén completamente ajustados.

En este documento no solo se describen los lineamientos a tener en cuenta por ESTRIOS al momento de dar tratamiento de los datos personales recolectados, sino que describe como debe darse la atención de consultas y reclamos para garantizar el derecho de habeas data de los titulares que depositan sus datos bajo la administración de ESTRIOS.

3.5. VIOLACIÓN EL LITERAL K) DEL ARTÍCULO 17 DE LA LEY 1581 DE 2012 EN CONCORDANCIA CON EL INCISO 3 DEL ARTÍCULO 25 DE LA LEY 1581 DE 2012 Y EL ARTÍCULO 2.2.2.25.3.1.DEL DECRETO ÚNICO REGLAMENTARIO 1074 DE 2015. Encuentra el Despacho que, “se tiene que en la diligencia de inspección, la sociedad investigada no contaba con una Política de Tratamiento de la información, de acuerdo a lo previsto con las normas previamente citadas, lo que permite a este Despacho establecer que no ha implementado dicha política, con el fin de establecer los lineamientos que son necesarios, para garantizar a los Titulares de la información, un adecuado tratamiento de sus datos personales y en todo caso, una correcta protección de su derecho de Habeas Data.

Así mismo se evidenció en la inspección realizada, que se relacionó un documento denominado POLITICA DE TRATAMIENTO DE DATOS PERSONALES, el cual no estaba documentado al momento de la visita administrativa y tampoco se ajusta con los requisitos del Artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015 para que sea considerado una política de tratamiento de datos personales.

Razón por la cual, es posible concluir que, para el momento de la visita, la investigada NO tenía implementada una Política de Tratamiento de Datos Personales. En virtud de lo anteriormente expuesto, se concluye que la sociedad investigada NO ha cargado en su correspondiente página web, la Política de Tratamiento de Datos de acuerdo con el deber exigido en la norma estatutaria.

Como consecuencia de lo anterior, esta Dirección encuentra demostrado el actuar negligente de la investigada al no contar con una Política de Tratamiento de la información debidamente implementada para la fecha de la visita de inspección, y tampoco dentro de la oportunidad para rendir descargos, incumpliendo con el deber establecido en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la misma norma, así como el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015, razón por la cual, se impondrá la correspondiente sanción. ( ) Por otro lado, revisando la página web www.estriossas.com tampoco se evidencia que esté implementado ya que, al ingresar, si bien es cierto aparentemente indica que han adoptado dicha política, esta no se logra visualizar.

Reiteramos al Despacho que ESTRIOS cuenta con una política de tratamiento del dato debidamente publicada en su página web, tal y como se observa a continuación: HOJA N, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA No obstante, deja el Despacho sin argumentos a mi representada pues al no señalar en la Resolución la fecha y hora en la cual se realizó la consulta y recuperación de la página web de ESTRIOS no es posible para mi representada explicar si en la oportunidad en que se realizó la consulta el equipo técnico estaba realizando algún tipo de mantenimiento que impidiera su consulta.

Es oportuno aclarar al Despacho que, son varias las posibles causas por las cuales el funcionario el día en que realizó la consulta no haya podido visualizar la política, entre otras que el enlace al archivo estuviera roto y cuanto esto ocurre quien consulta la página debe borrar el caché del navegador e intentar nuevamente. Insistimos que ESTRIOS tenía y tiene su política de tratamiento del dato debidamente publicada en su página web, así lo indicamos en el documento de descargos y lo sostenemos en este recurso, pues mal haríamos en indicar información falsa en contravía de los principios de ESTRIOS como empresa y en un flagrante irrespeto en contra de ley y de su Dirección. Finalmente, aprovechamos la oportunidad para informarle que aun cuando estemos presentando este recurso, ESTRIOS realizó las acciones para cumplir las órdenes administrativas impartidas en la Resolución. Para tal efecto modificó su política de tratamiento del dato en lo que respecta a la inclusión de la vigencia, la cual ya puede verse reflejada en la página web de ESTRIOS.

Asimismo, y buscando garantías para los titulares, incluyó en el módulo de quejas y reclamos un ítem para que los titulares puedan ejercer sus derechos de consultas y reclamos. IV. DOSIFICACIÓN DE LA SANCIÓN De acuerdo con lo expuesto, respetuosamente solicitamos al Despacho atender favorablemente nuestras acciones para cumplir con la ley de protección de datos personales y nuestras explicaciones expuestas en este recurso, y en consecuencia, reconsiderar la sanción pecuniaria impuesta, especialmente porque estamos aportando las pruebas que evidencian el respeto y cumplimiento de las normas y procedimientos establecidos en la Ley.”

DÉCIMO SEGUNDO: Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

DÉCIMO TERCERO: Que el artículo 77 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso administrativo o “CPACA”) consagra los requisitos para presentar los recursos y el 78 de la misma Ley las causales de rechazo de aquellos. Al respecto, este Despacho concluye que se encuentran presentes los requisitos necesarios para estudiar de fondo el recurso de reposición recibido para el caso en concreto.

DÉCIMO CUARTO: Frente a los argumentos presentados por la ESTRIOS S.A.S., se encuentra que los mismos se concretan en tres temas: (i) respecto de las mejoras implementadas encaminadas al cumplimiento de los deberes sancionados; (ii) respecto de la fecha de preservación de la página web de la sociedad y (iii) de las pretensiones.. 12.1 Respecto de las mejoras implementadas encaminadas al cumplimiento de los deberes sancionados Al respecto es importante precisar que este Despacho encuentra de manera positiva el hecho de que la sociedad ESTRIOS S.A.S. haya implementado mejoras relacionadas con la autorización de datos personales y que en cuanto a la seguridad del sitio Web, ahora se cuente con el certificado SSL/TLS, ya que de esta forma se proporciona una mayor seguridad a los datos personales.

Así mismo, se reconoce el esfuerzo realizado por la sociedad ESTRIOS S.A.S. por emprender acciones destinadas a desarrollar un manual interno que refleje los procedimientos que debe aplicar al interior- de la compañía para la administración de los datos personales. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN PÚBLICA En igual sentido, es alentador saber que la sociedad ESTRIOS S.A.S. aplicó controles de acceso a la información a través de la instalación de cerraduras de seguridad controlando la tenencia de las llaves solo para el personal autorizado, y que se han instalado antivirus en todos los equipos y además, que se están protegiendo los sistemas con firewall.

Igualmente, esta Entidad encuentra de manera favorable el hecho de que se haya modificado la política de tratamiento de los datos en lo que respecta a la inclusión de la vigencia. No obstante lo anterior, se recuerda a la sociedad ESTRIOS S.A.S. que la sanción impuesta en la Resolución No. 71254 de 2021, tuvo como fundamento los hallazgos producto de la inspección. En los cuales se encontraron múltiples irregularidades, las cuales van en contravía de las normas de protección de datos personales, contenidas en la Ley 1581 de 2012, la cual está vigente desde hace más de 9 años.

Ahora bien, este Despacho aclara que, para graduar el monto de la sanción impuesta en la resolución recurrida, la Ley 1581 de 2012 en el artículo 23 le confiere la facultad a la Superintendencia de Industria y Comercio para ejercer la función de vigilancia de los Responsables y Encargados del Tratamiento, para garantizar que se respeten los principios, derechos, garantías y procedimientos previstos en la ley.

Este artículo dispone: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”.

Sobre la anterior norma, la Corte Constitucional en sentencia C-748/11 indicó: “Por otro lado, esta Corporación se pronunció en la sentencia C-1011 de 2008 sobre la constitucionalidad de una norma similar al artículo 23, la cual señalaba que la imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable las sanciones de Multas, Suspensión de las actividades del Banco de Datos, Cierre o clausura de operaciones del Banco de Datos y Cierre inmediato y definitivo de la operación de Bancos de Datos[290].

En esa oportunidad, esta Corporación declaró la constitucionalidad de la norma considerando que la norma cumplía con los elementos básicos de tipicidad: ‘El régimen sancionatorio previsto en la Ley de hábeas data respeta los principios de reserva legal, legalidad y tipicidad, en el grado de rigurosidad exigible en el derecho administrativo sancionador.

Los preceptos examinados, con las remisiones y concordancias señaladas, (i) definen los elementos básicos de las infracciones que generan sanción y los criterios para su determinación; (ii) establecen el contenido material de la sanción; (iii) permiten establecer una correlación entre el contenido de la norma de conducta y la norma de sanción;

(iv) establecen – vía remisión – un procedimiento establecido en normas con fuerza material de ley; y (v) determina los órganos encargados del ejercicio de la potestad sancionatoria’. HOJA N, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA De la misma manera como se manifestó en aquella oportunidad, se considera que el artículo 23 del proyecto de ley estatutaria también cumple con estos requisitos, pues por vía de reenvío es claro que las sanciones establecidas se impondrán por la violación de las normas sobre el manejo de datos.

En segundo lugar, la norma debe cumplir con los principios de proporcionalidad y razonabilidad, frente al cual el proyecto establece una serie de criterios en su artículo 24 para determinar la sanción aplicable, tales como: ‘a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio. f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar’[292].

En este sentido, se estima que existen los suficientes criterios para determinar la sanción específicamente imponible, los cuales han sido señalados por el propio proyecto de ley estatutaria”. Al respecto, es pertinente resaltar que la valoración de los criterios del artículo 24 de la Ley 1581 de 2012 no comporta la existencia de un procedimiento cuantitativo en el que se indique, a manera de ejemplo, el valor con que será sancionada una determinada falta, pues lo que este Despacho analiza es que una vez demostrada la infracción de una disposición y valoradas las circunstancias particulares de cada caso, hay lugar a la imposición de la sanción pecuniaria dentro de los rangos indicados en el artículo 23 de la mentada norma.

En lo que respecta al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal y que la misma sea aplicada sin afectar irrazonablemente los intereses del investigado, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.

Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 24 de la Ley 1581 de 2012 para tasar el monto de la sanción, veamos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar”.

(Se subraya y resalta fuera de texto) Al respecto, la Corte Constitucional sobre la constitucionalidad de este artículo manifestó en sentencia C-748/11, lo siguiente: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN PÚBLICA circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”.

(Resaltado fuera del texto) Acorde con el anterior pronunciamiento de la Corte Constitucional y con el artículo 24 de la Ley 1581 de 2012, son valorados los criterios de dosificación de la sanción previstos en el artículo 24 en la medida en que efectivamente sean aplicables al caso. Al respecto, claramente, a lo largo de la decisión adoptada por esta Dirección a través de la Resolución No. 69443 de 2021 se demostró la infracción cometida por la recurrente respecto del literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el numeral 3) del artículo 15 ejúsdem.

A su vez, en la medida en que dentro de la investigación administrativa no se evidenció que la investigada hubiera (i) obtenido beneficio económico, (ii) presentado reincidencia en la comisión de la conducta, (iii) presentado resistencia u obstrucción a la acción investigativa de la Superintendencia; y (iv) presentado renuencia o desacato a cumplir las órdenes e instrucciones del Despacho, no hubo lugar a aplicar los criterios de agravación de la sanción previstos en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Por lo anterior, en el caso bajo estudio se señaló lo siguiente: “12.1.2 Otros criterios de graduación El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581de 2012 se aplicará toda vez que la investigada, en su comunicación del 18 de enero de 2021, indicó expresamente lo siguiente. Veamos: Posteriormente, dentro de la oportunidad para alegar de conclusión manifestó los siguiente.

Veamos: “IV. SOLICITUDES Con fundamento en las anteriores conclusiones, reiteramos respetuosamente al Despacho nuestra solicitud de tomar positivamente el allanamiento presentado mediante el documento de descargos y “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN PÚBLICA las acciones desplegadas por mi representada para el cumplimiento de la norma y, en consecuencia, se imponga la menor sanción pecuniaria, ya que ESTRIOS ha demostrado su compromiso con el cumplimiento de la norma y no se observan reincidencias en cuanto a infracciones a las normas de protección de datos personales”.

En virtud de lo expuesto, se procederá a reducir la sanción impuesta para cada uno de los cargos, de modo que cada uno de ellos se sancionará por 400 UVT, para un total de 2.000 UVT. 12.1.3 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.” Por lo anterior, pese a lo manifestado por la investigada, no se encuentra lugar a reducir el monto de la sanción en la medida en que se confirmó la negligencia en el cumplimiento de los deberes sancionados, además la sociedad recurrente aceptó expresamente la comisión de las infracciones, y las acciones implementadas por la sociedad son posteriores a la vulneración de los derechos e incumplimiento de los deberes que dio lugar a la sanción. Por lo anterior, es claro que la sanción fue proporcional, con base en los criterios establecidos en la Ley, los deberes incumplidos, la duración en el tiempo de la vulneración y la puesta en peligro de los derechos de los titulares, así como la realidad económica de la empresa. 12.2 Respecto de la fecha de preservación de la página web de la sociedad Frente a este argumento, señala la sociedad ESTRIOS S.A.S lo siguiente: “No obstante, deja el Despacho sin argumentos a mi representada pues al no señalar en la Resolución la fecha y hora en la cual se realizó la consulta y recuperación de la página web de ESTRIOS no es posible para mi representada explicar si en la oportunidad en que se realizó la consulta el equipo técnico estaba realizando algún tipo de mantenimiento que impidiera su consulta.

Es oportuno aclarar al Despacho que, son varias las posibles causas por las cuales el funcionario el día en que realizó la consulta no haya podido visualizar la política, entre otras que el enlace al archivo estuviera roto y cuanto esto ocurre quien consulta la página debe borrar el caché del navegador e intentar nuevamente.” Respecto a lo anterior es pertinente recordarle a la investigada que la preservación de la página web se realizó en día de la visita de inspección, y esto fue firmado y aceptado por la sociedad, tal como se evidencia en el acta de visita de inspección obrante en el expediente digital radicado 19115567-1 folios 10 y 11: HOJA N, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” VERSIÓN PÚBLICA Así mismo, es pertinente aclarar nuevamente que la sanción impuesta en la Resolución No. 71254 de 2021, tuvo como fundamento los hallazgos encontrados en la misma fecha en la que se realizó inspección, en la cual se evidenció que el sitio web no contaba con certificado SSL/ TLS y que no se tenía Política de Tratamiento de Datos Personales o Aviso de Privacidad, infringiendo las normas contenidas en la Ley 1581 de 2012. 12.3 De las pretensiones: Frente a este tema, la sociedad ESTRIOS S.A.S manifestó lo siguiente: Con fundamento en los anteriores hechos y consideraciones, solicito respetuosamente: (i) (ii) Que se MODIFIQUE el ARTÍCULO PRIMERO de la Resolución número 71254 de 8 de noviembre de 2021.

Que en consecuencia de lo anterior, se disminuya la sanción pecuniaria impuesta a la sociedad ESTRIOS S.A.S. Como puede evidenciarse, en el presente caso, este Despacho encuentra de manera positiva el hecho de que la sociedad ESTRIOS S.A.S. haya implementado mejoras para dar cumplimiento a las normas de protección de datos personales. Sin embargo, no hay lugar a modificar la Resolución No. 71254, debido a que a la fecha de inspección se encontraron múltiples hallazgos que evidenciaron una negligencia en el cumplimiento a las normas contenidas en la Ley 1581 de 2012, y a la fecha no se han desestimado dichos hallazgos, antes bien fueron aceptados por la recurrente y en consecuencia se disminuyó el monto de la sanción de acuerdo a lo establecido en el literal f) del artículo 24 de la Ley 1581 de 2012.

DÉCIMO QUINTO: CONCLUSIÓN Sin perjuicio de lo establecido, se concluye, entre otras, lo siguiente:  Esta Entidad aprecia que la sociedad ESTRIOS S.A.S esté adelantando acciones encaminadas a cumplir con las disposiciones de la Ley 1581 de 2012. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación”     HOJA N, VERSIÓN PÚBLICA La sanción impuesta por la Resolución No. 71254 de 2021 tuvo como fundamento los hallazgos encontrados en la inspección realizada a la sociedad ESTRIOS S.A.S. Al momento de tasar la sanción, fueron tenidos en cuenta los agravantes y atenuantes establecidos en la Ley.

Ni lo largo de toda la investigación, ni ahora, con la interposición del recurso, la sociedad ESTRIOS S.A.S aportó prueba alguna que acredite el cumplimiento, para la fecha de la visita de inspección, de los deberes sancionados. No hay razones para reponer la Resolución No. 71254 de 2021, en la medida en que se expidió en consideración a los hechos y fundamentos jurídicos aplicables al caso sin que la sociedad ESTRIOS S.A.S. hubieran desvirtuado sus supuestos.

DÉCIMO SEXTO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad ESTRIOSS.A.S., con Número de Identificación Tributaria 806.011.261 -7, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su Representante Legal Principal vinculado alcorreo electrónico de notificación judicial de la sociedad a.lemus@estriossas.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir susolicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correoselectrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números deidentificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

DÉCIMO SÉPTIMO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará en todas sus partes la Resolución No. 71254 de 2021. En mérito de lo expuesto este Despacho,

RESUELVE

ARTÍCULO PRIMERO: CONFIRMAR en todas sus partes la Resolución No. 71254 de 2021 por las razones expuestas en la parte motiva de este acto administrativo.

ARTÍCULO SEGUNDO: CONCEDER el recurso de apelación interpuesto subsidiariamente por las recurrentes y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución la sociedad ESTRIOS S.A.S., identificada con NIT 806.011.261 -7, a través de su representante legal y apoderada, entregándoles copia de la misma.

ARTÍCULO CUARTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, VERSIÓN PÚBLICA - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C.,30 MARZO 2022 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR SALAZAR MUNOZ MUNOZ Fecha: 2022.03.30 14:26:59 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JIHM Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Investigada: Entidad: ESTRIOS S.A.S Identificación: NIT. 806.011.261 -7 Representante Legal VVVVVVVVVVVVVVVVV Identificación: C.C. No. 2222222222 Correo electrónico: a.lemus@estriossas.com nnnnnnnnnnnnnnnnnnnnny.moscote@estriossas.com Dirección: AAAAAAAAAAAAAAAAAAAAAAAAA Ciudad: Cartagena (Bolívar) Apoderada: Identificación: Tarjeta Profesional: Dirección: Correo electrónico: Ciudad: CCCCCCCCCCCCCCCCCCCCCCCCCC C.C. No. 00000OO0000 No. 000.000 del C.S.J. SSSSSSSSSSSSSSSSSSSSSSSSSSS aAAAAAAAAAAAAAAAAAAAA Cartagena (Bolívar)