Decisión 20165 de 2021 — SIC

(14 ABRIL 2021) “Por la cual se impone una sanción administrativa” Radicación 18-261614 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad HABITAMOS PROPIEDAD RAIZ S.A.S, (en adelante “la investigada”), identificada con Nit. 890.939.537-3, por lo que decidió iniciar investigación administrativa en virtud de una visita de inspección en las instalaciones de la sociedad HABITAMOS PROPIEDAD RAIZ S.A.S, el día 9 de octubre de 2018, con el fin de recopilar y requerir toda la información necesaria con el propósito de comprobar el cumplimiento de los deberes y requisitos establecidos en el Régimen General de Protección de Datos Personales contemplados en la Ley 1581 de 2012.

Que, con fundamento en los resultados arrojados por la vista de inspección llevada a cabo por este Despacho, la documentación recolectada en desarrollo de la etapa de indagación preliminar y los testimonios recaudados se pudo establecer que: (…) 1.1. Respecto al deber de solicitar y conservar copia de las respectivas autorizaciones otorgadas por el titular e informar debidamente sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.

En el desarrollo de la visita administrativa, este Despacho procedió a realizar entrevista a la señora “XXXXXXXXXXXXXXXXXXXXX, identificada con cedula de ciudadanía N° XXXXXXXXX en su condición de Contadora y Jefe de Talento Humano de la sociedad HABITAMOS PROPIEDAD RAIZ S.A. (folios 2 y 3), quien describe la operación de la organización, la cual se enfoca en la mediación de servicios de arrendamiento y corretaje de bienes inmuebles.

Señala que dependiendo del servicio que requieran de la sociedad (avalúo, hipoteca, venta o arrendamiento de un bien inmueble), el cliente debe diligenciar un formulario según el caso, junto con el formulario de la aseguradora (Garantía Inmobiliaria) a fin de realizar el estudio del crédito y se solicita la autorización para el tratamiento de los datos personales, ya sea en el texto del documento o como documento anexo, como es el caso del contrato de consignación (folios 29 a 30), estudio de crédito hipotecario (folios 41 y 42) contrato de administración (folios 46 a 48).

No obstante, de la inspección realizada y los documentos aportados por la sociedad se evidencia que aun cuando en el formulario dispuesto para la consignación de los inmuebles por parte de los clientes hacia la inmobiliaria se solicita la autorización para la recolección de los datos personales, este documento no obedece a la finalidad legitima de acuerdo con la Ley, es decir, los datos recolectados deben ser pertinentes y adecuados para alcanzar dicho fin lo cual dentro de los formatos aportados para la obtención de la autorización de los tratamiento de datos de los titulares no se evidencia (folios 28 y anverso y 43 y anverso).

Para el caso del contrato de arrendamiento de vivienda urbana (folios 44 y 45 y anversos), no se solicita autorización para la recolección de datos personales de los propietarios de los inmuebles, toda vez que quien actúa como arrendador de dichos bienes es la sociedad en razón al contrato de administración suscrito con los propietarios. La sociedad HABITAMOS PROPIEDAD RAIZ S.A. aportó en el desarrollo de la diligencia, copia de uno de los contratos laborales suscritos entre la sociedad y uno de sus colaboradores (Asesor de HOJA N, “Por la cual se impone una sanción administrativa” Arrendamientos), donde se evidencia la existencia de la cláusula de confidencialidad (folios 23 a 26 y anverso) La sociedad inspeccionada HABITAMOS PROPIEDAD RAIZ S.A., cuenta con política de tratamiento de datos personales en la que se además se incluyeron las medidas de seguridad para la protección de datos y el procedimiento para la atención de peticiones, quejas y reclamos, sin embargo, no es óbice para la no adopción de un manual interno de políticas y procedimientos en la forma establecida en la Ley 1581 de 2012 (folios 17 a 19 y anverso).” 1.2 Respecto del deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

En el desarrollo de la diligencia realizada a la sociedad HABITAMOS PROPIEDAD RAIZ S.A., los investigadores de la Dirección realizaron ocular a las instalaciones del archivo donde se encuentra almacenada la información relacionada con clientes, empleados y exempleados. 4.2.1. Inspección archivo físico En inspección ocular del archivo físico de los trabajadores activos el cual se encuentra ubicado en un archivador localizado en la oficina de la Gerencia (segundo piso del establecimiento), se evidencio que dicho archivador no cuenta con una cerradura con llave que impida el acceso a personal no autorizado.

Al momento de la inspección, se encontraban custodiadas treinta y seis (36) carpetas con información asociada a los trabajadores activos de la organización. Cada carpeta a su vez contiene cuatro carpetas nominadas: i) Contratación; ii) Información general; iii) Prestaciones sociales y; iv) Salud ocupacional. Imagen 1. Archivo hojas de vida trabajadores activos.

Obtenida en inspección ocular Habitamos Propiedad Raíz S.A Cll 44 #72-03 Medellín El archivo físico de trabajadores retirados se encuentra ubicado en una oficina ubicada en el primer piso del establecimiento; a la misma solo es posible acceder si se cuenta con la llave de la puerta, esta llave es custodiada por la señora XXXXXXXXXXXXXXXXXXXXXXXXX (Asistente Administrativa).

HOJA N, “Por la cual se impone una sanción administrativa” Imagen 2. Archivo hojas de vida trabajadores inactivos. Obtenida en inspección ocular Habitamos Propiedad Raíz S.A. Cll 44 #72-03 Medellín El archivo vigente de los clientes hipotecarios y el archivo vigente de los clientes propietarios de los bienes dados en arriendo se encuentran en el primer piso del establecimiento atravesado por un pasillo que conduce a un baño de hombres, por lo tanto, si bien cuenta con una puerta la misma permanece abierta, así mismo se observa que la llave del archivador en la cual están custodiadas las carpetas se encuentra dañada y, consecuentemente, el archivo permanece abierto.

Imagen 3. Archivo vigente clientes hipotecarios. Obtenida en inspección ocular Habitamos Propiedad Raíz S.A. Cll 44 #72-03 Medellín El archivo vigente de clientes arrendatarios se encuentra ubicado en una oficina en la segunda planta de las instalaciones del establecimiento; la misma cuenta con una puerta con chapa de seguridad que al momento en que se realizó la visita administrativa se encontraba abierta.

Imagen 4. Archivo vigente clientes arrendatarios. Obtenida en inspección ocular Habitamos Propiedad Raíz S.A. Cll 44 #72-03 Medellín 4.2.2. Inspección sistema de video vigilancia La inmobiliaria cuenta con un sistema de videovigilancia conformado por ocho (08) cámaras de video, seis (06) ubicadas al interior del inmueble en dónde la sociedad desarrolla su objeto social y dos (02) en la fachada del mismo, estas últimas recolectan la imagen de los transeúntes del sector.

El monitor en dónde se visualizan las imágenes recolectadas a través del sistema de videovigilancia se encuentra ubicado en la oficina de la gerencia y está conectado directamente al DVR, para acceder a las imágenes capturadas se necesita contar con la clave de seguridad de la cual tienen conocimiento la señora XXXXXXXXXXXXXXXXXX y el señor XXXXXXXXXXXXXX, Representante Legal de la sociedad.

HOJA N, “Por la cual se impone una sanción administrativa” Imagen 5. Cámaras sistema videovigilancia. Obtenida en inspección ocular Habitamos Propiedad Raíz S.A. Cll 44 #72-03 Medellín Imagen 6. DVR y monitor. sistema videovigilancia Obtenida en inspección ocular Habitamos Propiedad Raíz S.A. Cll 44 #72-03 Medellín 4.2.3. Inspección de Equipos de Cómputo Se validaron las condiciones de seguridad básicas en los equipos de: XXXXXXXXXXXXXX y XXXXX XXXX XXXXXX, durante la revisión de los equipos en mención, se evidencio que los puertos USB no se encuentran bloqueados y se permite la ejecución de programas con perfil de administrador del sistema operativo, en el equipo de la señora xxxx (quien también tiene acceso al sistema de videovigilancia) se encontró que no tiene clave de inicio de sesión, ambos equipos cuentan con el antivirus Panda.

Los equipos están configurados con usuarios locales, en los cuales se evidencia que no cuentan con estándares para su creación y asignación de contraseñas, de igual forma se observa que no se tiene configurada la opción de bloqueo de pantalla después de cierto periodo de inactividad. 5. OBSERVACIONES Una vez analizados los hallazgos y evidencias recolectadas en la diligencia, se realizan las siguientes observaciones: 1.

La sociedad HABITAMOS PROPIEDAD RAIZ S.A., en los formatos establecidos para la solicitud de la autorización para el tratamiento de datos personales, no informa la finalidad para la recolección de datos y derechos que les asisten a los titulares. 2. La sociedad HABITAMOS PROPIEDAD RAIZ S.A. no conserva la información bajo las condiciones de seguridad necesarias que mitiguen el riesgo de adulteración, perdida, pérdida, consulta, uso o acceso no autorizado o fraudulento, según lo establece el literal d) del artículo 17 de la Ley 1581 de 2012. 3.

La sociedad HABITAMOS PROPIEDAD RAIZ S.A. no cuenta con un manual interno de políticas que garantice el adecuado cumplimiento de la Ley 1581 de 2012, ni que garantice la adecuada atención de consultas y reclamos. 4. No se evidenció la existencia de un aviso distintivo o señal en las zonas de videograbación que permita a las personas que se encuentran dentro de las instalaciones o al ingresar a ellas, saber que están siendo grabadas y por lo tanto estos titulares no autorizan el tratamiento de su información. HOJA N, “Por la cual se impone una sanción administrativa” 5.

En el establecimiento inspeccionado los equipos de cómputo no cuentan con bloqueo de puertos USB lo que aumenta el riesgo de fuga de información, no cuentan con estándares para su creación y asignación de contraseñas y se observa que no se tiene configurada la opción de bloqueo de pantalla después de cierto periodo de inactividad.”

SEGUNDO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en el Literal d) del artículo 17, en concordancia con los literales f) y g) del artículo 4 de la misma Ley 1581 de 2012, el 29 de noviembre 2019 se inició la presente investigación administrativa, mediante la expedición de la 521311 del 28 de agosto de 2020, por medio de la cual se formularon TRES CARGOS a la sociedad HABITAMOS PROPIEDAD RAIZ S.A.S en adelante, “la investigada”, identificada con Nit 890.939.537-3 (i) (ii) (iii) El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015;

El literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012; El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 TERCERO: Que la Resolución 52131 del 28 de agosto de 2020, fue notificada mediante Aviso 21537 al señor ANTONIO JOSE RAVE ORTIZ, en representación de la sociedad HABITAMOS PROPIEDAD RAIZ S.A.S. el día 10 de septiembre de 2020, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, radicada bajo el número 18261614- -9 del 9 de noviembre de 2020.

CUARTO: Que por conducto de su apoderado especial la sociedad investigada encontrándose dentro del término establecido para el efecto, mediante escrito de fecha 30 de septiembre de 2020 radicado bajo el número 18-261614- -8 del 1 de octubre de 2020, presentó los respectivos descargos, con las pruebas que pretende hacer valer en la presente actuación administrativa. 4.1 En primer lugar, la sociedad investigada hace una breve descripción de los antecedentes de la presente actuación administrativa, señalando que, “(…)Con ocasión de visita de inspección al responsable de tratamiento de bases de datos personales de HABITAMOS PROPIEDAD RAÍZ S.A.S. el día 9 de octubre de 2018, fueron emitidas varias recomendaciones frente a los aspectos en los cuales la empresa debía mejorar o implementar medidas de protección de datos personales.

Las recomendaciones indicadas por parte de la SIC fueron las siguientes: "Se recomienda incluir una cláusula a través de la cual se solicite autorización y se informen la finalidad del Tratamiento al cual serán sometidos los datos recolectados de sus clientes en todos los formularios a través de los que se recolecta información personal conforme a lo establecido en el artículo 9 y 12 de la Ley 1581 de 2012 así como las demás normas complementarias del Decreto Único Reglamentario 1074 capítulo 25 Se recomienda desarrollar e implementar un aviso de privacidad conforme a los requisitos exigidos por el artículo 2.2.2.25.3.3 del Decreto Único Reglamentario 1074 de 2015 en donde además se informen las finalidades de la recolección de los datos a través del sistema de videovigilancia. Se recomienda implementar unas medidas y controles de seguridad adecuados y suficientes en las instalaciones así como en los archivadores destinados a guardar la información que de los trabajadores y clientes es almacenada por la organización, de tal manera que se garantice que a la misma únicamente tendrá acceso el personal autorizado y evitar que terceros no autorizados usen o sustraigan la información de manera fraudulenta.

Se recomienda gestionar e implementar los respectivos controles de acceso mediante credenciales de validación en la totalidad de los equipos a través de los cuales se pueda acceder al software Softnim o mediante el cual se pueda acceder al sistema de videovigilancia. Se recomienda implementar controles de acceso al sistema DVR. Resolución 52131 de 28 de agosto de 2020 radicada bajo el número 18-261614-3 del 1 de septiembre 2020 HOJA N, “Por la cual se impone una sanción administrativa” Se recomienda que se desarrollen y documenten los procedimientos que impliquen actividad de Tratamiento de datos personales relacionados con las personas que pueden acceder a la información, gestión de contraseñas, controles de acceso, etc".

Cabe resaltar que las recomendaciones impartidas por la entidad, fueron emitidas en el sentido de recomendaciones, valga la redundancia, lo cual es importante traer a colación a los presentes descargos ya que las mismas fueron implementadas conforme la instrucción del funcionario de la Superintendencia de Industria y Comercio que efectuó la visita a la sede de HABITAMOS PROPIEDAD RAÍZ S.A.S., por lo que llama significativamente nuestra atención el hecho que en vez de efectuarse una nueva visita para validar si dichas recomendaciones fueron acatadas, se cita directamente a la entidad a notificarse del acto que profiere el pliego de cargos que se procede a contestar. 4.2 A continuación, se refiere a cada uno de los cargos formulados por esta Dirección, expresando lo siguiente: LOS CARGOS Los cargos que ha formulado su Despacho en contra de HABITAMOS PROPIEDAD RAÍZ S.A.S., son los siguientes, los que procedo a responder de la siguiente forma: PRIMER CARGO: La presunta vulneración al deber que la investigada ostenta en su condición de Responsable del Tratamiento de informar al Titular sobre la finalidad o finalidades del Tratamiento al que serán sometidos sus datos personales, de conformidad con lo establecido en el literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

ACEPTAMOS cometer la vulneración mencionada, pero solicitamos se tenga en cuenta por parte de la SIC que la empresa HABITAMOS PROPIEDAD RAÍZ S.A.S., ha implementado dentro de su proceso de obtención de la información por parte de los titulares, la autorización de tratamiento de datos personales correspondientes, en la cual se le indica a dichos titulares las respectivas finalidades a las cuales van a ser sometidos sus datos, la finalidad por la cual fueron solicitados y la posibilidad de que este los suministre o no, a su vez en este momento se le da a conocer al titular el manual de tratamiento de datos personales con el que cuenta la empresa, para que el titular pueda tener conocimiento de sus derechos y deberes y la forma como puede hacer ejercer los mismos, frente a quien debe realizar las solicitudes correspondientes, los medios disponibles para dichas solicitudes y los tiempos en los cuales va a recibir una respuesta.

ACEPTAMOS cometer la vulneración mencionada, pero solicitamos que la SIC tenga en cuenta que la empresa HABITAMOS PROPIEDAD RAÍZ S.A.S., al igual que en el punto anterior, ha implementado las medidas de corrección necesarias para garantizar la seguridad del archivo físico de la empresa., se decidió repartir la ubicación de los documentos en 2 lugares.

“Por la cual se impone una sanción administrativa” HOJA N, HOJA N, “Por la cual se impone una sanción administrativa” El otro aspecto que HABITAMOS PROPIEDAD RAÍZ ha implementado luego de las recomendaciones realizadas por la SIC, es todo el tema de seguridad de los sistemas tecnológicos dentro de la empresa los cuales fueron modificados de la siguiente manera: 1.1.

Se realizó el bloqueo de los puertos USB, de esta forma no se permite que ninguna persona pueda sustraer información o realizar la instalación de programas no autorizados. Se modificó la forma como los empleados ingresan a sus equipos de trabajo, se procedió a realizar la creación de un dominio, lo que obliga a que cada empleado cuente con un usuario y contraseña para ingresar a su equipo, esta contraseña está establecida para que sea necesario realizar una modificación mensual, también se estableció que ningún equipo realice modificaciones al sistema en perfil de administrador “Por la cual se impone una sanción administrativa” HOJA N, “Por la cual se impone una sanción administrativa” HOJA N 10, HOJA N 11, “Por la cual se impone una sanción administrativa” TERCER CARGO: La presunta transgresión en calidad de responsable del tratamiento, al deber establecido en el literal k) del artículo 17.

LO ACEPTAMOS. HABITAMOS PROPIEDAD RAÍZ S.A.S. ha realizado dentro de la empresa la implementación de un manual de políticas de tratamiento de datos personales. Este manual cumple las obligaciones que la ley 1581 de 2012 y sus decretos reglamentarios consignan, se procedió a realizar la descripción de la empresa para que los titulares de la información tengan conocimiento de quien es el responsable de manejar su información, se plasma en este documento, las diferentes finalidades que van a tener las bases de datos que maneja la empresa.

Se procede a indicar a su vez, quien va a realizar las funciones de oficial de privacidad de la empresa. Se describe de manera clara la forma como los titulares de la información va (sic) a poder ejercer sus diferentes derechos tales como conocer, actualizar, rectificar entre otros. Se detalla también, la forma como la empresa esta asegurando, la protección de la información que reposa en las bases de datos como también el procedimiento para acceder a dicha información. Este manual se encuentra en la página de la empresa www.habitamos.com.co, directamente en la dirección https://habitamos.com.co/wpcontent/uploads/2020/01/MANUAL-TRATAMIENTO-DE-DATOS-PERSONALES- HABITAMOS.pdf desde donde se puede acceder sin inconvenientes cuando cualquier titular de la información así lo requiera.

En el acápite de pruebas se aporta una copia de este documento. 4.2 De acuerdo con las anteriores consideraciones, realiza la siguiente solicitud: Luego de esta relación de los cargos y la implementación por parte de la empresa de las recomendaciones impartidas por la SIC, solicitamos se tenga en cuenta que la empresa en todo momento ha aceptado los cargos por los cuales se ha iniciado este proceso y ha implementado todas las medidas posibles para proteger los datos personales como se ha indicado.

Esperamos en lo posible no se nos imponga una sanción toda vez que se puede validar el animo (sic) de la empresa por proteger los datos personales que ingresan por parte de los titulares y en caso de que se vaya a proceder con una sanción, esta sea la menos gravosa posible, teniendo en cuenta nuestro aceptación de los cargos, la implementación de las recomendaciones por parte de la SIC, el principio de favorabilidad y nuestro animo (sic) de cumplir con la ley de protección de datos personales.

PRESUNTAS NORMAS INFRINGIDAS Aceptamos la tipificación realizada por parte de la dirección de investigación de protección de datos personales de la Superintendencia de Industria y Comercio. No obstante, se reitera el compromiso y comportamientos desplegados por parte de HABITAMOS PROPIEDAD RAÍZ S.A.S. a efectos de subsanar las situaciones presentadas de cara a la protección de los datos personales de los titulares.”

QUINTO: Que mediante Resolución 74260 de 20 de noviembre de 2020, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 18-261614, negó una prueba. En el mismo acto administrativo, se declaró agotada la etapa probatoria y se corrió traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

SEXTO: Que la Resolución 74260 de 20 de noviembre de 2020 fue notificada al señor NICOLAS DAVID ESCOBAR ORTIZ en representación de la sociedad investigada el 10 de diciembre de 2020, según consta en la certificación expedida por la Secretaria General Ad-hoc de esta Superintendencia, radicada bajo el número 18-261614- -14 del 14 de diciembre de 2020.

SÉPTIMO: Que mediante escritos radicados bajo los números 18-261614- -13 del 7 de diciembre de 2020, el apoderado de la sociedad investigada, doctor señor NICOLAS DAVID ESCOBAR ORTIZ, presentó alegatos de conclusión, en los cuales reiteró lo expresado en sus descargos, adicionando lo siguiente: (…)

SEGUNDO: Súmese a la solicitud anterior, el hecho de tener en cuenta igualmente, al momento de imponer sanción, la situación actual que atraviesa nuestro país por motivo de la emergencia sanitaria generada por el Coronavirus- COVID-19, sobre todo el gran impacto económico en las empresas del sector inmobiliario del cual hace parte HABITAMOS PROPIEDAD RAÍZ S.A.S., tan es así que el mismo gobierno nacional, pese a que el arrendamiento obedece a la órbita de derecho privado en relación a la voluntad de las partes, tuvo que intervenir mediante el Ministerio de Vivienda Ministerio de Vivienda, Ciudad y Territorio para que entre arrendadores, arrendatarios y mandantes pudieran celebrar acuerdos tendientes a aminorar el impacto de tal fenómeno en la obligación de pago de los canones (sic) de arrendamiento.

HOJA N 12, “Por la cual se impone una sanción administrativa” A la fecha existen casos en los cuales los arrendatarios pudieron cumplir sus obligaciones y en otros donde se está en mora y por ende nuestra compañía debe ejercitar los respectivos mecanismos que posee para la obtención de los dineros producto de dichos arrendamientos para poder cumplir el mandato con los propietarios de los inmuebles, por lo que en estos momentos una sanción pecuniaria a la empresa significaría un golpe muy difícil del cual reponerse, ya que la anterior situación persiste en el tiempo.

Es por estos motivos que imploramos se tenga en cuenta todo los argumentos aquí plasmados a la hora de imponer una sanción y se recuerde que en aras de la favorabilidad para el investigado, que el objetivo de la sanción es de carácter disuasoria, estimulando al investigado a tomar las medidas del caso, más no una sanción confiscatoria que impida continuar al investigado con su actividad económica, doctrina que ha sido desarrollada y citada en múltiples ocasiones por el despacho en sus decisiones.”

OCTAVO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

NOVENO: Análisis del caso 9.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20112, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que, pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos en virtud de la visita de inspección en las instalaciones de la sociedad HABITAMOS PROPIEDAD RAIZ S.A.S y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de: • El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; • El literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012; • El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015 En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos en virtud de la visita de inspección en las instalaciones de la sociedad HABITAMOS PROPIEDAD RAIZ S.A.S, las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente.

Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). HOJA N 13, “Por la cual se impone una sanción administrativa” 9.2 Valoración probatoria y conclusiones 9.2.1 Del deber de informar al Titular sobre la finalidad de la recolección y los derechos que le asisten por la autorización otorgada.

En referencia al principio de finalidad, este se traduce en el deber de informar al Titular lo que se pretende hacer con su información y se encuentra contenido en el artículo 12 de la Ley 1581 de 2012, así: Ley 1581 de 2012 “Artículo 12. Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” Parágrafo.

El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta. Literal c) del artículo 17 de la ley 1581 de 2012 “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;” Literal b) del artículo 4: “ARTÍCULO 4o.

PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular”;

Como puede observarse, el principio de finalidad, que se encuentra íntimamente ligado al principio de libertad, impone unos límites al tratamiento de los datos que están siendo administrados por el Responsable; dichos límites se derivan de la naturaleza de la información y del uso que se dará a los datos recolectados. En palabras de la Corte Constitucional “(…) Tanto el acopio, el procesamiento y la divulgación de datos personales, debe obedecer a una finalidad constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista (…).3 Dicho principio se hace efectivo al momento en que se solicita autorización al Titular, pues es allí en que se cumple el término máximo para informarle al Titular los fines de la recolección de su información, ya que como lo dispuso el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015 “El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización Sentencia C-748 del 06 de octubre de 2011.

Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb. HOJA N 14, “Por la cual se impone una sanción administrativa” del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”. Abordando estos aspectos la Corte Constitucional en Sentencia C-748 de 2011, expuso lo siguiente: “(…) La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos.

Sin embargo, debe hacerse algunas precisiones. Por una parte, los datos personales deben ser con un propósito específico y explícito. En este sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos.

Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad autorizada. Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato.

Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular. Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales n exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas (…)”.

Ahora bien, el presente cargo fue formulado por las siguientes razones: “Se evidenció que los titulares de la información, es decir, clientes quienes acuden ante la sociedad HABITAMOS PROPIEDAD RAIZ S.A.S para la administración de sus bienes inmuebles, para venta, hipoteca, avalúos o arrendamiento ya sea en calidad de arrendadores o arrendatarios, a quienes se les solicita el diligenciamiento de los diferentes formularios de acuerdo con su necesidad (folios 28 y anverso, 43 y anverso) y por los cuales recolectan sus datos personales de carácter privado sin que se informe el tratamiento al cual serán sometidos, es decir que no se tiene en cuenta lo contemplado en el artículo 12 de la Ley 1581 de 2012, en donde al momento de solicitar información al titular se debe solicitar su autorización e informar (i) el tratamiento al cual serán sometidos sus datos personales y su finalidad;

(ii) el carácter facultativo de las respuestas a las preguntas cuando versen sobre datos sensibles; (iii) los derechos que le asisten como titular; y (iv) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento. Por lo indicado, en el momento en que se solicita información al titular se le debe informar: (i) el Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo (ii) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes (iii) los derechos que le asisten como titular y;

(iv) la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. Con base en lo indicado este Despacho advierte un presunto incumplimiento al deber contenido en el presente cargo toda vez que la sociedad HABITAMOS PROPIEDAD RAIZ S.A.S no aportó prueba que diera cuenta que efectivamente informa las Finalidades de la recolección a los Titulares de la información.”.

Respecto de los argumentos expuestos por esta Dirección para el cargo que nos ocupa, la investigada adujo lo siguiente:“ ACEPTAMOS cometer la vulneración mencionada, pero solicitamos se tenga en cuenta por parte de la SIC que la empresa HABITAMOS PROPIEDAD RAÍZ S.A.S., ha implementado dentro de su proceso de obtención de la información por parte de los titulares, la autorización de tratamiento de datos personales correspondientes, en la cual se le indica a dichos titulares las respectivas finalidades a las cuales van a ser sometidos sus datos, la finalidad por la cual fueron solicitados y la posibilidad de que este los suministre o no, a su vez en este momento se le da a conocer al titular el manual de tratamiento de datos personales con el que cuenta la empresa, para que el titular pueda tener conocimiento de sus derechos y deberes y la forma como puede hacer ejercer los mismos, frente a quien debe realizar las solicitudes correspondientes, los medios disponibles para dichas solicitudes y los tiempos HOJA N 15, “Por la cual se impone una sanción administrativa” en los cuales va a recibir una respuesta.

Para evidenciar este aspecto en el apartado de pruebas se anexa el manual de tratamiento de datos utilizado por la compañía al igual que los modelos de autorización de tratamiento de datos que en este momento la compañía esta (sic) utilizando para realizar la obtención y el tratamiento de los datos.” Ahora bien, sobre el particular, quedó debidamente probado con el informe de la visita de inspección efectuada en la sociedad HABITAMOS PROPIEDAD RAÍZ S.A.S radicada bajo el número 18261614-0002 del 18 de agosto de 2020, que la sociedad investigada recolectó datos personales de carácter privado sin informar el tratamiento al cual serán sometidos, es decir que no se tiene en cuenta lo contemplado en el artículo 12 de la Ley 1581 de 2012, la cual establece que el Responsable del Tratamiento, deberá conservar prueba de la información hecha a los titulares sobre las finalidades del tratamiento de la información, antes de empezar a recolectar datos, utilizando un mecanismo que permita la consulta posterior, de la referida información, como se evidencia a continuación: (…) 1.

OBSERVACIONES Una vez analizados los hallazgos y evidencias recolectadas en la diligencia, se realizan las siguientes observaciones: 1. La sociedad HABITAMOS PROPIEDAD RAIZ S.A., en los formatos establecidos para la solicitud de la autorización para el tratamiento de datos personales, no informa la finalidad para la recolección de datos y derechos que les asisten a los titulares.” Al respecto, es importante mencionar que el literal b) del artículo 4 de la Ley 1581 de 2012, establece que “el Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular”, es así como dicha norma, impuso como requisito del Tratamiento para los datos personales de los Titulares, la autorización previa, expresa e informada de éstos, pues no es suficiente que este autorice previa y expresamente el Tratamiento de sus datos, sino es necesario también que el Titular esté plenamente consciente de los efectos de haber otorgado dicha autorización, ya que tal y como lo manifestó la Corte Constitucional en la sentencia C-748 de 2011“(…) la autorización debe ser cualificada y debía contener una explicación de los efectos de la misma.

Además, de que se presente la autorización, el Responsable y Encargado del tratamiento debe actuar de buena fe”. Al respecto, la sociedad HABITAMOS PROPIEDAD RAÍZ S.A.S allegó mediante escrito de descargos radicado bajo número 18-261614- -8 del 1 de octubre de 2020, documento denominado POLÍTICA DE PRIVACIDAD, TRATAMIENTO Y PROTECCIÓN DE DATOS PERSONALES DE HABITAMOS PROPIEDAD RAIZ S.A.S, donde se evidencian las finalidades de la recolección de datos, como se evidencia a continuación: HOJA N 16, “Por la cual se impone una sanción administrativa” Así las cosas, en el caso en concreto se tiene que la sociedad investigada en la diligencia de visita de inspección, no acreditó ante esta Dirección el cumplimiento del deber de que le asiste, en su calidad de Responsable del Tratamiento de contar con procedimientos o mecanismos para informar la finalidad a los Titulares de la Información, de manera previa al Tratamiento, como lo dispuso el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 "el Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento dé la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento" Sin embargo, encuentra esta Dirección que, pese a que, la compañía reconoció la comisión de la infracción y adoptó las medidas correctivas, tendientes al cumplimiento de los deberes que le asisten en calidad del Responsable del tratamiento, lo cierto es que con la omisión previa a la intervención de esta Superintendencia, incumplió con el deber dispuesto en (i) El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; razón por la cual se impondrá una sanción de CINCO MILLONES DIEZ MIL QUINIENTOS CUATRO PESOS M/CTE ($ 5.010.504) equivalente a ciento treinta y ocho 138 Unidades de Valor Tributario vigentes. 9.2.2 Respecto del deber de conservar la información bajo condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento El deber consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012 hace referencia a las medidas de seguridad que deben adoptar los Responsables del Tratamiento a efectos de garantizar que la información administrada nos sea divulgada, adulterada, consultada o expuesta de manera inconsulta o no autorizada por su Titular, dicho precepto se armoniza con el principio de seguridad, contenido en el literal g) del artículo 4 de la misma disposición, normatividad que a su vez ha sido objeto de especial atención por parte de la Corte Constitucional, tal como quedó reflejado en la Sentencia C-748 de 2011, así: “De este principio se deriva entonces la responsabilidad que recae en el administrador del dato.

El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto “diluvio de datos” a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior transferencia, no cesa de aumentar. Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros.

Elo también aumenta los riesgos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre. En estos términos, el Responsable o Encargado del Tratamiento debe tomar las medidas acordes con el sistema de información correspondiente.

(…)4”(Se destaca). En cuanto hace relación con el cumplimiento de este deber, se hace necesario precisar que el artículo 4 de la Ley 1581 de 2012 establece los principios para el tratamiento de los datos personales, entre los cuales se encuentran el principio de acceso y circulación restringida y el de seguridad que señalan lo siguiente: f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento solo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido solo a los Titulares o terceros autorizados con forme a la presente ley; g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, Sentencia C-748 del 06 de octubre de 2011.

Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb. HOJA N 17, “Por la cual se impone una sanción administrativa” humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, perdida, consulta, uso o acceso no autorizado fraudulento. De otra parte, el literal d) del artículo 17 de la norma citada dispone que el Responsable del Tratamiento de los Datos deberá "Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento", es claro que se deben implementar todos los mecanismos de seguridad necesarios para impedir que terceros tengan acceso a la información personal con el fin de adulterarla, consultarla, usarla o acceder a ella.

De acuerdo con los argumentos de la investigada, en el curso de visita de inspección efectuada en la sociedad HABITAMOS PROPIEDAD RAÍZ S.A.S. realizada el día 9 de octubre de 2018, la sociedad investigada no demostró conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, como se evidencian las observaciones mediante informe de visita, radicada bajo numero 18-261614-0002 del 28 de agosto de 2020: “(…) 1.

La sociedad HABITAMOS PROPIEDAD RAIZ S.A. no conserva la información bajo las condiciones de seguridad necesarias que mitiguen el riesgo de adulteración, perdida, pérdida, consulta, uso o acceso no autorizado o fraudulento, según lo establece el literal d) del artículo 17 de la Ley 1581 de 2012. (…) 2. En el establecimiento inspeccionado los equipos de cómputo no cuentan con bloqueo de puertos USB lo que aumenta el riesgo de fuga de información, no cuentan con estándares para su creación y asignación de contraseñas y se observa que no se tiene configurada la opción de bloqueo de pantalla después de cierto periodo de inactividad.” En consecuencia, este Despacho formuló cargos mediante la Resolución 49523 del 24 de agosto de 2020, sustentada en las siguientes consideraciones: “En lo relacionado con el cumplimiento de este deber, durante el desarrollo de la visita de inspección a la sociedad HABITAMOS PROPIEDAD RAIZ S.A.S, se encontró el archivo vigente de los clientes hipotecarios y el archivo vigente de clientes arrendatarios se encuentran almacenados en sitios que permanecen abiertos sin ningún tipo de restricción que impidan el acceso de personal no autorizado y donde se encontraron deficiencias relacionadas con el almacenamiento de la información, por lo cual no se puede inferir que esta conservación se realiza de forma segura.

(…) Así mismo, de la validación realizada a las condiciones de seguridad básicas en los equipos de cómputo, se evidencio que los puertos USB no se encuentran bloqueados y se permite la ejecución de programas con perfil de administrador del sistema operativo, los mismos se encuentran configurados con usuarios locales, se evidencia que no cuentan con estándares para su creación y asignación de contraseñas, de igual forma se observó que no se tienen configurada la opción de bloqueo de pantalla después de cierto periodo de inactividad.

Respecto al presente cargo, este Despacho encuentra que la sociedad HABITAMOS PROPIEDAD RAIZ S.A.S, presuntamente pudo haber incumplido el Régimen General de Protección de Datos respecto de su obligación de contar con las medidas de seguridad y mecanismos necesarias para proteger los datos personales tratados bajo su custodia o posesión. Existe entonces un deber del Responsable de implementar controles de seguridad conforme al tipo de base de datos que se trate -física o automatizada-, de tal manera que permita garantizar los estándares mínimos de protección consagrados en la Ley 1581 de 2012.” Sobre el particular, la sociedad investigada como argumentos de defensa manifiesta que “ACEPTAMOS cometer la vulneración mencionada, pero solicitamos que la SIC tenga en cuenta que la empresa HABITAMOS PROPIEDAD RAÍZ S.A.S., al igual que en el punto anterior, ha implementado las medidas de corrección necesarias para garantizar la seguridad del archivo físico de la empresa., se decidió repartir la ubicación de los documentos en 2 lugares.

“adjuntando las siguientes imágenes: HOJA N 18, “Por la cual se impone una sanción administrativa” El otro aspecto que HABITAMOS PROPIEDAD RAÍZ ha implementado luego de las recomendaciones realizadas por la SIC, es todo el tema de seguridad de los sistemas tecnológicos dentro de la empresa los cuales fueron modificados de la siguiente manera: 1.

Se realizó el bloqueo de los puertos USB, de esta forma no se permite que ninguna persona pueda sustraer información o realizar la instalación de programas no autorizados. 2. Se modificó la forma como los empleados ingresan a sus equipos de trabajo, se procedió a realizar la creación de un dominio, lo que obliga a que cada empleado cuente con un usuario y contraseña para ingresar a su equipo, esta contraseña está establecida para que sea necesario realizar una modificación mensual, también se estableció que ningún equipo realice modificaciones al sistema en perfil de administrador Imagen 1 De la imagen expuesta, esta Dirección evidencia que la pantalla del equipo cuenta con un usuario el cual exige una contraseña de ingreso Imagen 2 Sobre el particular, se evidencia los parámetros para la configuración de contraseñas HOJA N 19, “Por la cual se impone una sanción administrativa” Imagen 3 Al respecto se precisa que esta imagen, demuestra un usuario la cual exige una contraseña, de acuerdo con los argumentos expuestos por la investigada el equipo se bloquea automáticamente una vez detecta inactividad.

Imagen 4 Sobre el particular, esta prueba demuestra que el equipo cuenta con un campo de usuario y contraseña de ingreso, de acuerdo con los argumentos expuestos por la investigada al programa de softnim solo tienen acceso las personas autorizadas. HOJA N 20, “Por la cual se impone una sanción administrativa” Imagen 5 Al respecto se precisa que esta imagen, demuestra un sistema de videovigilancia el cual cuenta con un perfil de acceso, de acuerdo con los argumentos expuestos por la investigada al sistema de videovigilancia solo tienen acceso personas autorizadas.

De acuerdo con las imágenes aportadas por la investigada, se encontró que la sociedad HABITAMOS PROPIEDAD RAÍZ S.A.S. con ocasión a la visita administrativa adoptó e implementó medidas de corrección necesarias para garantizar la seguridad de la información, manifestando lo siguiente: “ (…) HABITAMOS PROPIEDAD RAÍZ ha implementado luego de las recomendaciones realizadas por la SIC, es todo el tema de seguridad de los sistemas tecnológicos dentro de la empresa los cuales fueron modificados de la siguiente manera: 1.

Se realizó el bloqueo de los puertos USB, de esta forma no se permite que ninguna persona pueda sustraer información o realizar la instalación de programas no autorizados. 2. Se modificó la forma como los empleados ingresan a sus equipos de trabajo, se procedió a realizar la creación de un dominio, lo que obliga a que cada empleado cuente con un usuario y contraseña para ingresar a su equipo, esta contraseña está establecida para que sea necesario realizar una modificación mensual, también se estableció que ningún equipo realice modificaciones al sistema en perfil de administrador.” No obstante, esta Dirección pudo corroborar que, mediante el informe de la visita de inspección efectuada en la sociedad HABITAMOS PROPIEDAD RAÍZ S.A.S. radicada bajo el número 18261614-0002 del 18 de agosto de 2020, quedó demostrado que la sociedad investigada no conservó la información bajo las condiciones de seguridad necesarias que mitiguen el riesgo de adulteración, perdida, pérdida, consulta, uso o acceso no autorizado o fraudulento, según lo establece el literal d) del artículo 17 de la Ley 1581 de 2012, como se evidencia a continuación: (…) 2.

Como consecuencia de lo anterior, es evidente que en el presente caso se vulneró el principio de seguridad dispuesto en el literal g) del artículo 4 de la Ley 1581 de 2012, pues no se establecían medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, perdida consulta, uso o acceso no autorizado o fraudulento.

HOJA N 21, “Por la cual se impone una sanción administrativa” Así las cosas, encuentra esta Dirección que, si bien es cierto la sociedad HABITAMOS PROPIEDAD RAÍZ S.A.S. reconoció la comisión de la infracción y adoptó las medidas correctivas, tendientes al cumplimiento de los deberes que le asisten en calidad del Responsable del tratamiento, lo cierto es que con la omisión previa a la intervención de esta Superintendencia, incumplió con el deber dispuesto en el literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012; razón por la cual se impondrá una sanción de CINCO MILLONES DIEZ MIL QUINIENTOS CUATRO PESOS M/CTE ($ 5.010.504) equivalente a ciento treinta y ocho 138 Unidades de Valor Tributario vigentes. 9.2.3 Del deber de adoptar un manual interno de políticas y procedimiento documentado para la atención de quejas y reclamos.

Ley 1581 de 2012 "Artículo 17. Deberes De Los Responsables Del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;" Decreto Único Reglamentario 1074 de 2015 "Artículo 2.2.2.25.2.1.

Recolección de los datos personales. En desarrollo de los principios de finalidad y libertad, la recolección de datos deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos conforme a la normatividad vigente. Salvo en los casos expresamente previstos en la ley, no se podrán recolectar datos personales sin autorización del Titular.

A solicitud de la Superintendencia de Industria y Comercio, los Responsables deberán proveer una descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso.

No se podrán utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales. El Manual de los Procedimientos usados para la recolección, almacenamiento, uso, circulación y, eventual, supresión de los Datos Personales de los Titulares de Información es el manual mediante el cual el Responsable del Tratamiento le garantiza a los Titulares el procedimiento que éste lleva a cabo para tratar sus datos personales desde la fase de recolección hasta la fase de supresión o eliminación total de los datos personales de sus bases de datos.

En virtud de la visita de inspección efectuada en la sociedad HABITAMOS PROPIEDAD RAÍZ S.A.S. radicada bajo el número 18-261614-0001 del 17 de octubre de 2018, esta Dirección dio apertura a la investigación administrativa que nos ocupa y formuló cargos a la sociedad HABITAMOS PROPIEDAD RAÍZ S.A.S, mediante la Resolución 52131 del 28 de agosto de 2020, al considerar preliminarmente que: “Nótese como la disposición normativa previamente citada hace referencia expresa a la necesidad y deber de toda organización que trate información personal cuente con unos procedimientos para la recolección, almacenamiento, uso, circulación y supresión de información, con el fin de que a lo largo del ciclo de vida del dato se garanticen y respeten los preceptos legales que van desde la recolección de la información hasta la disposición final de la misma, de tal suerte que no se empleen medios engañosos o fraudulentos para recolectar y tratar los datos personales y que siempre se utilicen para las finalidades que fueron autorizadas en su momento por el Titular, en el entendido de que la información se utilice únicamente para la finalidad que fue informada, lo que adicionalmente implica la supresión segura de la información y la correspondiente documentación de este procedimiento.

Conforme a lo indicado y según lo manifestado por la Señora XXXXXXXXXXXXX, Contadora y Jefe de Talento Humano de la sociedad HABITAMOS PROPIEDAD RAIZ S.A.S (folios 2 y 3 Acta de visita), para el momento de la diligencia de visita administrativa llevada a cabo el 9 de octubre de 2018, la sociedad no contaba con: i) un manual de interno de políticas y procedimiento documentado para la atención de quejas y reclamos, (ii) un manual interno de políticas y procedimientos que describa los procedimientos usados para la recolección, HOJA N 22, “Por la cual se impone una sanción administrativa” almacenamiento, uso, circulación y supresión de información, en donde se señalen las finalidades para las cuales la información es recolectada, así como tampoco (iii) tiene documentado un manual de políticas de seguridad de la información..” Ahora bien, por fuera del término concedido para el efecto la sociedad HABITAMOS PROPIEDAD RAÍZ S.A.S, por conducto de apoderado especial, presentó descargos, bajo el radicado 18-261614-8 del 1 de octubre de 2020, a través de los cuales, manifestó, entre otras cosas, lo siguiente: “LO ACEPTAMOS.

HABITAMOS PROPIEDAD RAÍZ S.A.S. ha realizado dentro de la empresa la implementación de un manual de políticas de tratamiento de datos personales. Este manual cumple las obligaciones que la ley 1581 de 2012 y sus decretos reglamentarios consignan, se procedió a realizar la descripción de la empresa para que los titulares de la información tengan conocimiento de quien es el responsable de manejar su información, se plasma en este documento, las diferentes finalidades que van a tener las bases de datos que maneja la empresa.

Se procede a indicar a su vez, quien va a realizar las funciones de oficial de privacidad de la empresa. Se describe de manera clara la forma como los titulares de la información va (sic) a poder ejercer sus diferentes derechos tales como conocer, actualizar, rectificar entre otros. Se detalla también, la forma como la empresa esta (sic) asegurando, la protección de la información que reposa en las bases de datos como también el procedimiento para acceder a dicha información. Este manual se encuentra en la página de la empresa www.habitamos.com.co, directamente en la dirección MANUAL-TRATAMIENTO-DE-DATOS-PERSONALES-HABITAMOS.pdf desde donde se puede acceder sin inconvenientes cuando cualquier titular de la información así lo requiera.

En el acápite de pruebas se aporta una copia de este documento. Luego de esta relación de los cargos y la implementación por parte de la empresa de las recomendaciones impartidas por la SIC, solicitamos se tenga en cuenta que la empresa en todo momento ha aceptado los cargos por los cuales se ha iniciado este proceso y ha implementado todas las medidas posibles para proteger los datos personales como se ha indicado.

Esperamos en lo posible no se nos imponga una sanción toda vez que se puede validar el animo(sic) de la empresa por proteger los datos personales que ingresan por parte de los titulares y en caso de que se vaya a proceder con una sanción, esta sea la menos gravosa posible, teniendo en cuenta nuestro aceptación de los cargos, la implementación de las recomendaciones por parte de la SIC, el principio de favorabilidad y nuestro animo (sic) de cumplir con la ley de protección de datos personales” Respecto lo anterior, esta Dirección encuentra que la sociedad investigada aceptó la comisión de la infracción en los siguientes términos: “LO ACEPTAMOS.

Se procede a indicar a su vez, quien va a realizar las funciones de oficial de privacidad de la empresa”. De igual modo, Junto con el escrito de descargos, la sociedad investigada allegó copia del documento denominado “POLITICA DE PRIVACIDAD, TRATAMIENTO Y PROTECCION DE DATOS PERSONALES DE HABITAMOS PROPIEDAD RAIZ S.A.S” como se evidencia a continuación: “Por la cual se impone una sanción administrativa” (…) (…) HOJA N 23, HOJA N 24, “Por la cual se impone una sanción administrativa” Respecto lo anterior, se pudo evidenciar que, con ocasión a la visita administrativa realizada el 9 de octubre de 2018 la sociedad HABITAMOS PROPIEDAD RAÍZ S.A.S. adoptó e implementó un manual de políticas de tratamiento de datos personales, el cual entró en vigor el 1 de diciembre de 2019; dentro del cual se evidencia un procedimiento para la atención de quejas y reclamos, con el que los titulares pueden interponer las peticiones que sean necesarias y pertinentes para que la sociedad en calidad de Responsable del Tratamiento haga efectivo el derecho de los Titulares a conocer, actualizar y rectificar las información que se haya recogido sobre ellas en bases de datos o archivos.

Sin embargo, dicho manual no documenta lo siguiente: (ii) Procedimientos usados para la recolección, almacenamiento, uso, circulación y, eventual supresión de los Datos Personales de los Titulares de Información, en donde se señalen las finalidades para las cuales la información es recolectada hasta la fase de supresión o eliminación total de los datos personales de sus bases de datos.

(iii) Políticas de seguridad de la información, que describan las medidas técnicas, administrativas y humanas, pertinentes y necesarias para salvaguardar la integridad de los datos para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, las cuales deben ser desarrolladas de conformidad con los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.

De este modo, encuentra esta Dirección que, pese a que, la compañía reconoció la comisión de la infracción y adoptó las medidas correctivas, tendientes al cumplimiento de los deberes que le asisten en calidad del Responsable del tratamiento, lo cierto es que con la omisión previa a la intervención de esta Superintendencia, incumplió con el deber dispuesto en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015.; razón por la cual se impondrá una sanción de CINCO MILLONES DIEZ MIL QUINIENTOS CUATRO PESOS M/CTE ($ 5.010.504) equivalente a ciento treinta y ocho 138 Unidades de Valor Tributario vigentes.

DÉCIMO: Imposición y graduación de la sanción 10.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: HOJA N 25, “Por la cual se impone una sanción administrativa” “ARTÍCULO 23.

SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional5.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. HOJA N 26, “Por la cual se impone una sanción administrativa” 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2021 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibídem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional6 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”7 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros8. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. HOJA N 27, “Por la cual se impone una sanción administrativa” Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad.

Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”9.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia10. Por otro lado, el artículo 24 de la Ley 1512 de 2012 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 10.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”11 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. HOJA N 28, “Por la cual se impone una sanción administrativa” De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados12.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que la sociedad HABITAMOS PROPIEDAD RAIZ S.A.S S.A en su calidad de responsable del tratamiento vulnero el precepto normativo dispuesto en: (i) el literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015;

(ii) el literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012; (iii) el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015. De acuerdo con lo anterior, es claro que la sociedad investigada vulneró los deberes que tiene los responsables del tratamiento de datos personales, por tal razón se impondrá el monto de QUINCE MILLONES TREINTA Y UN MIL QUINIENTOS DOCE PESOS M/CTE ($ 15.031.512 ) equivalente a cuatrocientos catorce 414 UVT. 10.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho. 10.1.3 El reconocimiento o aceptación de la comisión de una aceptación El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 se aplicará toda vez que la investigada, mediante descargos 18-261614- -8 del 1 de octubre de 2020, se allanó manifestando lo siguiente: (…) “PRIMER CARGO: La presunta vulneración al deber que la investigada ostenta en su condición de Responsable del Tratamiento de informar al Titular sobre la finalidad o finalidades del Tratamiento al que serán sometidos sus datos personales, de conformidad con lo establecido en el literal c) del artículo 17, en concordancia con el literal b) del articulo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

Para Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” HOJA N 29, “Por la cual se impone una sanción administrativa” evidenciar este aspecto en el apartado de pruebas se anexa el manual de tratamiento de datos utilizado por la compañía al igual que los modelos de autorización de tratamiento” En consecuencia, esta Dirección procederá a reducir la sanción impuesta de CINCO MILLONES DIEZ MIL QUINIENTOS CUATRO PESOS M/CTE ($ 5.010.504) equivalente a ciento treinta y ocho 138 Unidades de Valor Tributario vigentes, a un valor de DOS MILLONES QUINIENTOS CINCO MIL DOSCIENTOS CINCUENTA Y DOS PESOS M/CTE ($2.505.252) equivalente a sesenta y nueve 69 UVT Unidades de Valor Tributario.

“SEGUNDO CARGO: La presunta transgresión de la sociedad en su calidad de Responsable del Tratamiento, al deber establecido en el literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012. ACEPTAMOS cometer la vulneración mencionada, pero solicitamos que la SIC tenga en cuenta que la empresa HABITAMOS PROPIEDAD RAÍZ S.A.S., al igual que en el punto anterior, ha implementado las medidas de corrección necesarias para garantizar la seguridad del archivo físico de la empresa., se decidió repartir la ubicación de los documentos en 2 lugares.

El primer lugar, se encuentra ubicado en la oficina de gerencia, este lugar cuenta con un solo punto de acceso, el cual tiene una chapa de seguridad con su respectiva llave, a la cual tienen acceso solo las personas autorizadas, dicho lugar también cuenta con una cámara de videovigilancia que se encuentra activa en todo momento lo que garantiza tener un control de todas las personas que puedan ingresar a dicho lugar.” En consecuencia, esta Dirección procederá a reducir la sanción impuesta de CINCO MILLONES DIEZ MIL QUINIENTOS CUATRO PESOS M/CTE ($ 5.010.504) equivalente a ciento treinta y ocho 138 Unidades de Valor Tributario vigentes, a un valor de DOS MILLONES QUINIENTOS CINCO MIL DOSCIENTOS CINCUENTA Y DOS PESOS M/CTE ($2.505.252) equivalente a sesenta y nueve 69 UVT Unidades de Valor Tributario.

“TERCER CARGO: La presunta transgresión en calidad de responsable del tratamiento, al deber establecido en el literal k) del artículo 17. LO ACEPTAMOS. HABITAMOS PROPIEDAD RAÍZ S.A.S. ha realizado dentro de la empresa la implementación de un manual de políticas de tratamiento de datos personales. Este manual cumple las obligaciones que la ley 1581 de 2012 y sus decretos reglamentarios consignan, se procedió a realizar la descripción de la empresa para que los titulares de la información tengan conocimiento de quien es el responsable de manejar su información, se plasma en este documento, las diferentes finalidades que van a tener las bases de datos que maneja la empresa.

Se procede a indicar a su vez, quien va a realizar las funciones de oficial de privacidad de la empresa.” En consecuencia, esta Dirección procederá a reducir la sanción impuesta de CINCO MILLONES DIEZ MIL QUINIENTOS CUATRO PESOS M/CTE ($ 5.010.504) equivalente a ciento treinta y ocho 138 Unidades de Valor Tributario vigentes, a un valor de DOS MILLONES QUINIENTOS CINCO MIL DOSCIENTOS CINCUENTA Y DOS PESOS M/CTE ($2.505.252) equivalente a sesenta y nueve 69 UVT Unidades de Valor Tributario.

DÉCIMO PRIMERO: CONCLUSIÓN Se procederá a imponer una sanción por las siguientes razones: Se comprobó que la sociedad investigada infringió abiertamente las normas sobre protección de datos personales consagradas en: • El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; en virtud de la visita de inspección efectuada en la sociedad HABITAMOS PROPIEDAD RAÍZ S.A.S. radicada bajo el número 18-2616140001 del 17 de octubre de 2018, quedó demostrado que la sociedad no informaba a los titulares de la información acerca de la finalidad de la recolección y los derechos que le asisten por la autorización otorgada • El literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012; en virtud de la visita de inspección efectuada en la sociedad HABITAMOS PROPIEDAD RAÍZ S.A.S. radicada bajo el número 18-261614-0001 del 17 de octubre de 2018, quedó demostrado que la sociedad al no contaba con un mecanismo idóneo que HOJA N 30, “Por la cual se impone una sanción administrativa” permita conservar la información manejada por esta sociedad, bajo las condiciones de seguridad necesarias que permitan impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. • El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015, en virtud de la visita de inspección efectuada en la sociedad HABITAMOS PROPIEDAD RAÍZ S.A.S. radicada bajo el número 18-261614-0001 del 17 de octubre de 2018, quedó demostrado que la sociedad no había adoptado (i) un manual de interno de políticas y procedimiento documentado para la atención de quejas y reclamos, (ii) un manual interno de políticas y procedimientos que describa los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, en donde se señalen las finalidades para las cuales la información es recolectada, (iii) un manual de políticas de seguridad de la información. En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad HABITAMOS PROPIEDAD RAIZ S.A.S identificada con el Nit. 890.939.537-3 de expediente, encuentra este Despacho procedente imponer a la sanción correspondiente a SIETE MILLONES QUINIENTOS QUINCE MIL SETECIENTOS CINCUENTA Y SEIS PESOS M/CTE ($7.515.756) equivalente a doscientos siete 207 UVT Unidades de Valor Tributario, por violación a lo dispuesto en: (i) (ii) (iii) El literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015;

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad HABITAMOS PROPIEDAD RAIZ S.A.S identificada con el Nit. 890.939.537-3 a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

NOTIFÍQUESE, Y CÚMPLASE Dada en Bogotá, D.C., 14 ABRIL 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.04.14 11:48:50 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JMBG Revisó: LMRZ Aprobó: CESM “Por la cual se impone una sanción administrativa” NOTIFICACIÓN: Investigada: HABITAMOS PROPIEDAD RAIZ S.A.S Identificación: Nit. 890.939.537-3 Representante Legal: ANTONIO JOSE RAVE ORTIZ Identificación: C.C. No. 70045005 Dirección: Calle 44 N° 72 – 03 Correo electrónico 1: contabilidad@habitamos.com.co Correo electrónico 2: gerencia@habitamos.com.co Ciudad: Medellín, Antioquia Apoderado: NICOLAS DAVID ESCOBAR ORTIZ Identificación: C.C 1039456453 Dirección: Calle 11 Nro. 43 B – 50 OFC 207 Correo electrónico: nicolasescobar@gestioncompartida.com Ciudad: Medellín, Antioquia HOJA N 31,

Resolución sancionatoria N° 20165 de 2021

CONSIDERANDO

RESUELVE