Resolución sancionatoria N° RE39161-_2025_0 de 2025

(25 de junio de 2025) “Por la cual se impone una sanción administrativa” Radicación 18-103578 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales (5) y (9) del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO. Que mediante denuncia radicada ante esta Superintendencia bajo el número 18-103578-00000-000, con fecha 21 de marzo de 20181, la señora XXXXX XXXXXXXX XXXXXXX XXXXXXX, identificada con cédula de ciudadanía N.º XXXXXXXX, informó que, presuntamente, la sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S. con NIT 901.096.257-6, a través de la línea telefónica XXXXXXXXXX, realizó una llamada a su teléfono celular por intermedio de un asesor, quien le indicó que su hijo —cuya identidad fue mencionada— había sido seleccionado para acceder a beneficios dentro de un programa de enseñanza del idioma inglés. Señala la denunciante que, al preguntar por la fuente de la cual se obtuvieron sus datos personales, no recibió respuesta alguna por parte del asesor.

SEGUNDO. Que con el fin de recolectar información y ampliar las circunstancias de modo, tiempo y lugar de los hechos descritos en la denuncia interpuesta por la señora XXXXX XXXXXXXX XXXXXXX XXXXXXX, esta Dirección, a través del Grupo de Trabajo de Investigaciones Administrativas, llevó a cabo las siguientes actuaciones: 2.1. 2.2. Mediante oficios con radicado número: 18-103578-32, 18-103578-43 y 18-103578-54 del 23 de julio de 2018, requirió a los Operadores de Telecomunicaciones COMUNICACIÓN CELULAR S.A COMCEL S.A, COLOMBIA TELECOMUNICACIONES S.A. E.S.P y COLOMBIA MOVIL S.A. E.S.P para que se pronunciaran acerca del nombre, identificación y datos adicionales relacionados con el suscriptor de la línea telefónica correspondiente al número telefónico XXXXXXXXXX.

A través de comunicación presentada ante esta Superintendencia, con radicado número 18-103578-65 del 30 de julio de 2018, la sociedad 1 Expediente Digital 18-103578. Consecutivo número 0. Página 1. 2 Expediente Digital 18-103578. Consecutivo número 3. Página 1. 3 Expediente Digital 18-103578. Consecutivo número 4. Página 1. 4 Expediente Digital 18-103578.

Consecutivo número 5. Página 1. 5 Expediente Digital 18-103578. Consecutivo número 6. Página 1. “Por la cual se impone una sanción administrativa” COLOMBIA MOVIL S.A. E.S.P dio respuesta al requerimiento enunciado en el numeral anterior, informando que el último usuario de línea telefónica XXXXXXXXXX es el señor JUAN CARLOS identificado con cédula de ciudadanía No. 80.431.079.

PRIETO, 2.3. Mediante comunicación presentada ante esta Superintendencia, con radicado número 18-103578-76 del 2 de agosto del 2018, la sociedad COLOMBIA TELECOMUNICACIONES S.A. ESP dio respuesta al requerimiento enunciado en el numeral 2.1. del presente acto administrativo, informando que revisado el sistema administrador de clientes la línea móvil XXXXXXXXXX no ha sido activada en la compañía. 2.4.

Mediante comunicación presentada ante esta Superintendencia, con radicado número 18-103578-87 del 3 de agosto del 2018, la sociedad COMCEL S.A. dio respuesta al requerimiento enunciado en el numeral 2.1. del presente acto administrativo, informando que el abonado XXXXXXXXXX no está registrado en su sistema de clientes. 2.5. Oficio de requerimiento de información elaborado por esta Superintendencia a la sociedad ST.

MARY’S COLLEGE COLOMBIA S.A.S. con número de radicado 18-103578-9 del 26 de septiembre de 20188. 2.6. A través del radicado 18-103578-11 del 22 de agosto de 20199, se allegó el Acta de preservación de páginas web del radicado 18-103578 presentado por el ingeniero Germán Daniel Ballen Rodríguez, de ACEAccess Data Certified Examier - de la Superintendencia de Industria y Comercio, a través de la cual, entre otras cosas, se concluyó que la página web perteneciente a la sociedad ST.

MARY’S COLLEGE COLOMBIA S.A.S no contaba con políticas de privacidad, ni los términos y condiciones del sitio web. 2.7. Que mediante radicado 18-103578-12 del 11 de junio del 202010 la Ingeniera Angie Alejandra Galindo Prieto contratista del grupo de Investigación de Protección de Datos Personales de la Superintendencia de Industria y Comercio, presentó el acta de preservación del sitio web de la sociedad ST.

MARY’S COLLEGE COLOMBIA S.A.S (https://stmaryscollege.edu.co/). Dentro de las conclusiones presentadas en el informe se destaca que “No se encuentran políticas de seguridad, avisos de seguridad o algún otro documento publicado en esta dominio o página web.” 2.8. Oficio de requerimiento de información elaborado por esta Superintendencia a la sociedad ST.

MARY’S COLLEGE COLOMBIA S.A.S. con número de radicado 18-103578-3 del 18 de agosto de 202011. 2.9. Respuesta de la sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S. al requerimiento de información señalado en el numeral anterior, radicado el 02 de septiembre de 2020 bajo el número 18-103578- 00014 de la misma fecha.12. Adjuntan con la respuesta los siguientes documentos: 2.9.1.

Formato de lista de asistencia a las charlas de orientación.13 6 Expediente Digital 18-103578. Consecutivo número 7. Página 1. 7 Expediente Digital 18-103578. Consecutivo número 8. Página 1. 8 Expediente Digital 18-103578. Consecutivo número 9. Página 1. 9 Expediente Digital 18-103578. Consecutivo número 11. Página 1. 10 Expediente Digital 18-103578.

Consecutivo número 12. Página 3. 11 Expediente Digital 18-103578. Consecutivo número 13. Página 2. 12 Expediente Digital 18-103578. Consecutivo número 14. Página 2. 13 Expediente Digital 18-103578. Consecutivo número 14. Página 3. “Por la cual se impone una sanción administrativa” 2.9.2. Formato de lista de asistencia a las ferias universitarias.14 TERCERO. Que mediante la Resolución N.º 78631 del 7 de diciembre de 202015 la Dirección de Investigaciones de Datos Personales resolvió iniciar investigación administrativa contra la sociedad ST.

MARY’S COLLEGE COLOMBIA S.A.S por la presunta vulneración de las siguientes normas: i) Lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 de la misma norma y el artículo 9 ejúsdem, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; ii) Lo dispuesto en literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015.

CUARTO. Que la Resolución N.° 78631 del 7 de diciembre de 2020 le fue notificada a la investigada mediante aviso N.° 32685 el 18 de diciembre del 2020; de acuerdo con la certificación expedida por la Secretaría General ADHOC de esta Superintendencia bajo radicado N.º 18-103578- -22 de fecha de 28 de diciembre de 2020.16 QUINTO. Que la sociedad ST.

MARY’S COLLEGE COLOMBIA S.A.S presentó escrito de descargos el 10 de mayo de 2021 mediante el radicado N.° 18103578- -00028 de forma extemporánea.17.

SEXTO. Que mediante la Resolución N.° 38777 de 24 de junio de 202118 la Dirección de Investigaciones de Datos Personales incorporó las pruebas al expediente y decretó otras que consideró pertinentes para dilucidar la actuación de la sociedad investigada. Este acto administrativo fue notificado a la sociedad investigada el 25 de junio de 2021, de acuerdo con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia bajo radicado N.º 18103578- -32 de fecha de 9 de julio del 2021.19 SÉPTIMO. Que mediante oficio radicado bajo el número 18-103578- -33 del 29 de septiembre de 202120, se dio traslado a la sociedad ST.

MARY’S COLLEGE COLOMBIA S.A.S para presentar los alegatos respectivos de conformidad con lo establecido en el artículo 48 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo. La sociedad guardó silencio y no aporto dentro del término otorgado para ello los respectivos alegatos.

OCTAVO. Que mediante la Resolución N.° 40832 de 28 de junio de 202221 la Dirección de Investigaciones de Datos Personales ordenó a la sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S. lo siguiente: “(…)

ARTÍCULO PRIMERO: ORDENAR a la sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S, identificada con Nit. 901.096.257 - 6 que, en su calidad de Responsable del Tratamiento, cumpla con las siguientes órdenes: • La sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S deberá establecer un procedimiento para que previo a tratar los datos personales de los Titulares solicite la autorización previa, e informe i) el Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo (ii) el carácter facultativo de la respuesta a las 14 Expediente Digital 18-103578.

Consecutivo número 14. Página 4. 15 Expediente digital 18-103578. Actos Administrativos. RE 78631 2020/12/07. 16 Expediente Digital 18-103578. Consecutivo número 22. Página 1. 17 Expediente Digital 18-103578. Consecutivo número 28. Página 2. 18 Expediente digital 18-103578. Actos Administrativos. RE 38777 2021/06/28. 19 Expediente Digital 18-103578.

Consecutivo número 32. Página 1. 20 Expediente Digital 18-103578. Consecutivo número 33. Página 2. 21 Expediente digital 18-103578. Actos Administrativos. RE 40832 2022/06/28. “Por la cual se impone una sanción administrativa” preguntas que sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes (iii) los derechos que le asisten como titular y;

(iv) la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento y se abstenga de realizar tratamiento de datos o almacenar información sobre la cual no tenga la autorización de los titulares. • La sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S, deberá implementar y poner a disposición de los titulares una Política de tratamiento de Datos, que dé cumplimiento a los requisitos establecidos en el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO PRIMERO: La sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S, identificada con Nit. 901.096.257 - 6, deberá dar cumplimiento a las órdenes impartidas dentro del término de dos (2) meses contados a partir de la ejecutoria de la presente decisión.

PARÁGRAFO SEGUNDO: La sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S, identificada con Nit. 901.096.257 – 6 deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro del cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento señalado en el parágrafo anterior. Para ello, deberá remitir a esta Entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.

Dicha certificación deberá ser emitida por un auditor especializado en los temas que involucra la implementación de cada orden.

PARÁGRAFO TERCERO: El incumplimiento de lo ordenado en este acto administrativo, hará a la sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S, identificada con Nit. 901.096.257 – 6, acreedora de las sanciones previstas en la ley. (…)”

NOVENO. Que la Resolución N.° 40832 del 28 de junio del 2022 le fue notificada a la investigada mediante aviso N.° 14105 el 11 de julio del 2022; de acuerdo con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia bajo radicado N.º 18-103578- -41 de fecha de 14 de julio de 2022.22 DÉCIMO. Que vencido el término establecido en el parágrafo primero del artículo primero de la Resolución N.º 40832 del 28 de junio de 2022, la sociedad ST.

MARY’S COLLEGE COLOMBIA S.A.S con NIT 901.096.257 - 6, no acreditó el cumplimiento de las órdenes impartidas por este Despacho. Razón por la cual, la Dirección de Investigaciones de Protección de Datos Personales mediante la Resolución N.° 40433 del 22 de julio de 202423 decidió iniciar investigación administrativa ante un presunto incumplimiento de las órdenes impartidas en la Resolución N.º 40832 del 28 de junio de 2022.

DÉCIMO PRIMERO. Que la Resolución N.° 40433 del 22 de julio de 2024 le fue notificada a la investigada mediante aviso N.° 15404 el 31 de julio del 2024; de acuerdo con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia bajo radicado N.º 18-103578- -48 de la misma fecha.24 DÉCIMO SEGUNDO. Que mediante la Resolución N.° 12040 de 12 de marzo del 202525 la Dirección de Investigaciones de Datos Personales incorporó las pruebas al expediente como se relaciona a continuación: 12.1.

Resolución N.º 40433 del 22 de julio de 2024. 22 Expediente Digital 18-103578. Consecutivo número 41. Página 1. 23 Expediente digital 18-103578. Actos Administrativos. RE 40433 2024/07/22. 24 Expediente Digital 18-103578. Consecutivo número 48. Página 1. 25 Expediente digital 18-103578. Actos Administrativos. RE 12040 2025/03/12. “Por la cual se impone una sanción administrativa” 12.2.

Certificación de notificación mediante aviso de la Resolución N.º 40433 del 22 de julio de 2024, expedida por la Secretaria General AD-HOC de esta Superintendencia el 31 de julio de 2024 bajo el Radicado N.º 18 103578- -48.

DÉCIMO TERCERO. Que la Resolución N.°12040 de 12 de marzo del 2025 le fue notificada a la investigada de manera electrónica el 12 de marzo del 2025, de acuerdo con la certificación expedida por la Secretaría General AD-HOC de esta Superintendencia bajo radicado N.º 18-103578- -52 de fecha 17 de marzo del 2025.26 DÉCIMO CUARTO Que la sociedad ST.

MARY’S COLLEGE COLOMBIA S.A.S. mediante oficio radicado ante esta Superintendencia el 27 de marzo de 2025 bajo el número 18-103578- -00053-0002 del 31 de marzo de 202527, presentó dentro del término otorgado para ello, los alegatos de conclusión correspondientes. En el escrito, la sociedad investigada describió algunos hechos que hacen parte de la situación fáctica de la presente investigación administrativa y expuso los siguientes argumentos: 14.1.

Señala la sociedad investigada que en el marco de las “ferias estudiantiles” que se desarrollan en las instituciones educativas, ellos asisten como invitados, señalando que “los estudiantes que están interesados nos brindan los contactos de ellos o de sus padres.”. Posteriormente, el personal de logística se pone en contacto con los padres, en caso de no estar interesados, proceden a eliminar de sus bases de datos la información del Titular. 14.2.

Según la sociedad, ellos cumplen con el Principio de Finalidad, toda vez que las “llamadas atienden como único fin, brindar una oportunidad de bilingüismo a quienes nos muestran su interés.” 14.3. También aduce la sociedad investigada que bajo el Principio de Veracidad “los datos personales fueron recolectados de manera veraz y su manejo fue adecuado, sin alterar su contenido ni se le dió un uso que no correspondiera.”. 14.4.

Que en aplicación del Principio de Seguridad, el tratamiento de los datos personales se realizó bajo las medidas de seguridad, protegiendo los datos de acceso no autorizado, pérdida, destrucción o divulgación. 14.5. En cuanto a los la aplicación de los principios en materia de Habeas Data, la sociedad indica “que los datos fueron tratados de manera que se garantizó su acceso restringido, solo a las personas o entidades autorizadas para hacerlo y nunca se compartió dicha información con ninguna otra persona y mucho menos con otra empresa.”.

Lo anterior, considerando el Principio de Acceso y Circulación Restringida. Al final de su escrito, la sociedad investigada concluye que “… el tratamiento de los datos personales se ha realizado en estricto cumplimiento con la Ley 1581 de 2012 y demás normativas relacionadas, y que se han respetado los derechos de los titulares de los datos en todo momento”.

Por lo tanto, solicita se archive la presente investigación administrativa.

DÉCIMO QUINTO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que 26 Expediente Digital 18-103578. Consecutivo número 52. Página 1. 27 Expediente Digital 18-103578. Consecutivo número 53.

Página 2 “Por la cual se impone una sanción administrativa” en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO SEXTO: Análisis del caso 16.1. Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20116, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.

(…) Atendiendo los parámetros señalados por la citada jurisprudencia, en el caso concreto, se tiene que la sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S con NIT 901.096.257-6, vulneró presuntamente lo dispuesto en: el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 21 de la Ley 1581 de 2012; al no dar cumplimiento a lo ordenado por este Despacho mediante la Resolución N.º 40832 del 28 de junio de 2022.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta el conjunto de pruebas obrantes en el expediente. 16.2. ACLARACIONES PRELIMINARES: 16.2.1. Respecto al tratamiento de los datos personales de niños, niñas y adolescentes.

Si bien el objeto principal de la presente decisión consiste en establecer si la sociedad investigada dio cumplimiento a las órdenes impartidas mediante la Resolución N° 40832 del 28 de junio de 2022, este Despacho considera necesario pronunciarse, de manera particular, sobre el tratamiento de datos personales de niños, niñas y adolescentes.

Esta población, considerada especialmente protegida por el ordenamiento jurídico, mantiene contacto directo con la sociedad investigada, tal como se desprende de lo manifestado por esta en el escrito de alegatos. En dicho documento, la sociedad admite continuar solicitando información de menores de edad, como se evidencia en los siguientes apartes: “(…) 3.

En desarrollo de su objeto, ST MARY´S COLLEGE COLOMBIA S.A.S., nuestra institución realiza varias charlas de orientación profesional a nivel Cundinamarca, en muchos colegios para estudiantes de Grado 10 y 11, además es invitada a varios de los eventos que organizan los colegios y alcaldías, donde los estudiantes conocen diferentes ofertas Universitarias.

Allí se dan a conocer los beneficios que brinda la institución y los estudiantes interesados realizan inscripciones para estudiar con nosotros. Nosotros por nuestra parte a los mejores estudiantes y de estratos 1, 2 o 3 les brindamos varios descuentos. (…) 6. Que, al verificar en nuestras bases de datos, no aparece el nombre de la señora XXXXX XXXXXXXX XXXXXXX XXXXXXX, toda vez que los estudiantes siempre escriben los datos de ellos.

“Por la cual se impone una sanción administrativa” 7. Que, con base a la información que nos brindan el estudiante se le debió llamar y si estaba interesado por ser menor de edad, se pide un número de los padres o acudientes para explicar todo y que ellos autoricen toda la información. (…) 10. Que, como se especificó anteriormente en el presente escrito, quienes nos brindan información de sus padres son los estudiantes, y como la misma solicitante lo expresa, nosotros llamamos para ofrecer una oportunidad de estudio para su hijo y al no estar interesada, borramos sus datos y no volvemos a llamar.

(…)” (Cursiva y subrayo fuera de texto) 16.2.2. Marco jurídico sobre los derechos fundamentales de los niños, niñas y adolescentes Con el propósito de facilitar la comprensión sobre la especial protección que revisten los derechos fundamentales de los niños, niñas y adolescentes, este Despacho considera pertinente hacer referencia tanto a los instrumentos internacionales que han sido incorporados a la legislación interna, como a las disposiciones nacionales que consagran y desarrollan dicha protección. En ese sentido, se resalta lo expuesto por la Corte Constitucional en la Sentencia T-260 de 201228, en la cual se enfatiza el carácter prevalente de los derechos de la niñez y se delimita el alcance de las obligaciones estatales y privadas frente al tratamiento de datos personales de esta población vulnerable.

Al respecto, la Corte manifestó: “(…) Los derechos fundamentales de los niños, niñas y adolescentes gozan de una especial protección tanto en el ámbito internacional como en nuestro Estado Social de Derecho. Ello, dada la situación de indefensión, vulnerabilidad y debilidad de esta población y la necesidad de garantizar un desarrollo armónico e integral de la misma.

Entre los instrumentos internacionales en los cuales se encuentran consagrados los derechos de los menores se destacan los siguientes: En primer lugar encontramos, la Convención sobre los Derechos del Niño, que dispone en su artículo 3-1 que “en todas las medidas concernientes a los niños que tomen las instituciones públicas o privadas de bienestar social, los tribunales, las autoridades administrativas o los órganos legislativos, una consideración primordial a que se atenderá será el interés superior del niño”; y en el artículo 32, establece que “los Estados partes se comprometen a asegurar al niño la protección y el cuidado que sean necesarios para su bienestar, teniendo en cuenta los derechos y deberes de sus padres, tutores u otras personas responsables de él ante la ley y, con ese fin, tomarán todas las medidas legislativas y administrativas adecuadas”.

Por su parte, el Pacto Internacional de Derechos Civiles y Políticos dispone en su artículo 24-1 que “todo niño tiene derecho, sin discriminación alguna por motivos de raza, color, sexo, idioma, religión, origen nacional o social, posición económica o nacimiento, a las medidas de protección que su condición de menor requiere, tanto por parte de su familia como de la sociedad y del Estado”, en el mismo sentido que el artículo 19 de la Convención Americana de Derechos Humanos, según el cual “todo niño tiene derecho a las medidas de protección que su condición de menor requiere por parte de su familia, de la sociedad y del Estado”, y que el artículo 10-3 del Pacto Internacional de Derechos Económicos, Sociales y Culturales, que 28 Corte Constitucional.

Sentencia T-260 de 2012. Magistrado Ponente Doctor Humberto Antonio Sierra Porto “Por la cual se impone una sanción administrativa” ordena:“se deben adoptar medidas especiales de protección y asistencia a favor de todos los niños y adolescentes, sin discriminación alguna por razón de filiación o cualquier otra condición”. También el Principio 2 de la Declaración de las Naciones Unidas sobre los Derechos del Niño dispone que los niños gozarán de especial protección, y serán provistos de las oportunidades y recursos necesarios para desarrollarse física, mental, moral, espiritual y socialmente de manera normal y sana, y en condiciones de libertad y dignidad; para ello, precisa la Declaración, las autoridades tomarán en cuenta al momento de adoptar las medidas pertinentes, el interés superior de los niños como su principal criterio de orientación. Igualmente, la Declaración Universal de Derechos Humanos de 1948, en su artículo 25-2, establece que “la maternidad y la infancia tienen derecho a cuidados de asistencia especiales”, y que “todos los niños, nacidos de matrimonio o fuera de matrimonio, tienen derecho a igual protección social”.

En el ámbito americano, la protección de los derechos de los niños ha sido objeto de un completo análisis por parte de la Corte Interamericana de Derechos Humanos, a través de sus sentencias y en especial de la Opinión Consultiva No. OC-17/2002 del 28 de agosto de 2002, solicitada por la Comisión Interamericana de Derechos Humanos sobre la interpretación de los artículos 8 y 25 de la Convención Americana sobre Derechos Humanos, con el propósito de determinar si las medidas especiales establecidas en el artículo 19 (derechos del niño) de la Convención Americana sobre Derechos Humanos constituyen “límites al arbitrio o a la discrecionalidad de los Estados” en relación a niños, y asimismo solicitó la formulación de criterios generales válidos sobre la materia dentro del marco de la Convención Americana.

Siendo éstos algunos de los parámetros internacionales que fijan las conductas que deben adoptar los estados frente a la niñez, corresponde al Estado colombiano atenderlas llevando a cabo acciones en procura del bienestar de este grupo de personas y dando cumplimiento estricto a los compromisos internacionales a los que se ha obligado. … Atendiendo esta norma básica contenida en el preámbulo de la Convención sobre los Derechos del Niño y en la Declaración de las Naciones Unidas sobre los Derechos del Niño, el artículo 13 de la Constitución Política de Colombia, exige la obligación de prodigar una especial protección a aquellos grupos sociales cuya debilidad sea manifiesta, destacándose entre estos grupos la especial protección de los niños, la cual es prevalente inclusive en relación con los demás grupos sociales.

Nuestra Carta Política en su artículo 44 dispone, que los derechos de los niños prevalecen sobre los derechos de los demás. Así la jurisprudencia constitucional ha reconocido que los menores de edad tienen el status de sujetos de protección constitucional reforzada, condición que se hace manifiesta -entre otros efectos- en el carácter superior y prevaleciente de sus derechos e intereses, cuya satisfacción debe constituir el objetivo primario de toda actuación que les competa.

(…)” (Cursiva, negrilla y subrayo fuera de texto) Ahora bien, teniendo claridad sobre el carácter reforzado de la protección de los derechos de los niños, niñas y adolescentes, resulta igualmente relevante —con el fin de contar con un panorama integral— referirse a la capacidad y madurez que la legislación y la jurisprudencia les han reconocido a los menores de edad para ser oídos en aquellas decisiones que puedan incidir en el ejercicio y garantía de sus derechos fundamentales.

En este sentido, este Despacho “Por la cual se impone una sanción administrativa” recuerda el análisis efectuado por la Corte Constitucional en la Sentencia C-748 de 2011, mediante la cual se realizó el control constitucional del Proyecto de Ley Estatutaria No. 184 de 2010 Senado, 046 de 2010 Cámara, “por la cual se dictan disposiciones generales para la protección de datos personales”.29 Específicamente, las reflexiones sobre la constitucionalidad del artículo 7º relacionado con el tratamiento de los niños, niñas y adolescentes, al respecto, la Corporación hizo un análisis sobre el principio del interés superior que le asiste a los menores de 18 años y el derecho fundamental a ser escuchados en función de la edad y madurez en los siguientes términos: “(…) La Corte considera que la disposición objeto de estudio es de suma relevancia por referirse al tratamiento de los datos personales de niños, niñas y adolescentes, sujetos de especial protección constitucional.

Teniendo en cuenta esta calidad, la Corte abordará los siguientes puntos:(1) la definición de niño, niña y adolescente establecida en el Código de la Infancia y la Adolescencia; (2) el fundamento jurídico del principio del interés superior de los menores de 18 años; (3) el derecho fundamental de los niños, las niñas y adolescentes a ser escuchados; y (4) el examen de constitucionalidad del artículo 7. … 2.9.3.2.

El fundamento jurídico del principio del interés superior de los menores de 18 años … En definitiva, (i) el principio del interés superior de los niños, las niñas y adolescentes se realiza en el estudio de cada caso en particular y tiene por fin asegurar su desarrollo integral; (ii) este principio, además, persigue la realización efectiva de los derechos fundamentales de los menores de 18 años y también resguardarlos de los riesgos prohibidos que amenacen su desarrollo armónico.

Estos riesgos no se agotan en los que enuncia la ley sino que también deben analizarse en el estudio de cada caso particular; (iii) debe propenderse por encontrar un equilibrio entre los derechos de los padres o sus representantes legales y los de los niños, las niñas y adolescentes. Sin embargo, cuando dicha armonización no sea posible, deberán prevalecer las garantías superiores de los menores de 18 años.

En otras palabras, siempre que prevalezcan los derechos de los padres, es porque se ha entendido que ésta es la mejor manera de darle aplicación al principio del interés superior de los niños, las niñas y adolescentes. … 2.9.3.3. El derecho fundamental de los niños, las niñas y adolescentes a ser escuchados El principio del interés superior de los menores de 18 años se encuentra íntimamente relacionado con su derecho a ser escuchados.

El artículo 12 de la Convención sobre los derechos del Niño lo define en los siguientes términos: “1. Los Estados Partes garantizarán al niño que esté en condiciones de formarse un juicio propio el derecho de expresar su opinión libremente en todos los asuntos que afectan al niño, teniéndose debidamente en cuenta las opiniones del niño, en función de la edad y madurez del niño. 2.

Con tal fin, se dará en particular al niño oportunidad de ser escuchado, en todo procedimiento judicial o administrativo que afecte al niño, ya sea directamente o por medio de un representante o de un 29 Corte Constitucional. Sentencia C-748 de 2011. Magistrado Ponente Doctor Jorge Ignacio Pretelt Chaljub. Octubre 6 de 2011. “Por la cual se impone una sanción administrativa” órgano apropiado, en consonancia con las normas de procedimiento de la ley nacional”.

El Comité de los Derechos del Niño “El Comité”, a través de la Observación General número 12 acerca del derecho de los niños, las niñas y adolescentes a ser escuchados, realizó el siguiente análisis:(i) esta garantía los reconoce como plenos sujetos de derechos, independientemente de que carezcan de la autonomía de los adultos; (ii) este derecho debe ser tenido en cuenta para la interpretación del resto de sus garantías.(iii) Respecto al precepto de que los niños, niñas y adolescentes deben ser escuchados en función de su edad y madurez, el Comité precisó: 1- Ante todo el ejercicio del derecho a emitir su opinión es una opción no una obligación de los menores de 18 años. 2los Estados partes deben partir del supuesto de que el niño, niña o adolescente tiene capacidad para formarse su propio juicio respecto de los asuntos que afectan su vida y reconocerles el derecho a expresarse.

Es decir, no les corresponde demostrar previamente que tienen esa capacidad. Es el Estado quien deberá, en concreto, evaluar su capacidad para formarse una opinión autónoma. 3- No existe un límite de edad para que los menores de 18 años manifiesten su libre opinión en todos los asuntos que los afectan, aún más, el Comité desaconseja que los Estados fijen una edad para restringir su derecho a ser escuchados.4- La disposición que se analiza no evidencia que la edad en sí misma determine la trascendencia de la opinión que emiten los menores de 18 años, pues en muchos casos su nivel de comprensión de todo cuanto lo rodea no está ligado a su edad biológica.

“Se ha demostrado en estudios que la información, la experiencia, el entorno, las expectativas sociales y culturales y el nivel de apoyo contribuyen al desarrollo de la capacidad del niño para formarse una opinión. Por ese motivo, las opiniones del niño tienen que evaluarse mediante un examen caso por caso”. 5- Respecto a la madurez, va ligada con el nivel de comprensión de un asunto y la evaluación de sus consecuencias, podría definirse como “la capacidad de un niño para expresar sus opiniones sobre las cuestiones de forma razonable e independiente (…) cuanto mayores sean los efectos del resultado en la vida del niño, más importante será la correcta evaluación de la madurez de ese niño”.

(iv) La opinión del niño, la niña o adolescente debe escucharse en todos los asuntos que los afecten cuando son capaces de expresar sus propias opiniones frente al mismo. Por otra parte, en concordancia con el numeral 2 del artículo 12 de la Convención, el Código de la Infancia y la Adolescencia de nuestro país en suartículo 26, reconoce el derecho al debido proceso en los siguientes términos: “En toda actuación administrativa, judicial o de cualquier otra naturaleza en que estén involucrados los niños, las niñas y los adolescentes, tendrán derecho a ser escuchados y sus opiniones deberán ser tenidas en cuenta”.

(Subraya fuera de texto) … 2.9.3.4. El examen de constitucionalidad del artículo 7 … Sumado a la efectividad del interés superior de esta población, también es importante que se les asegure su derecho a ser escuchados en todos los asuntos que los afecten; y el tratamiento de sus datos, sin duda alguna, es un asunto que les concierne directamente.

En definitiva, siguiendo las recomendaciones que emitió el Comité acerca de esta importante garantía, la Corte considera relevante que la opinión del menor de 18 años sea siempre tenida en cuenta, pues la madurez con que expresen sus juicios acerca de los hechos que los afectan debe analizarse caso por caso. La madurez y la autonomía no se encuentran asociadas a la edad, más bien están relacionadas con el entorno familiar, social, cultural en el cual han crecido.

En este contexto, la opinión del niño, niña, y adolescente siempre debe tenerse en cuenta, y el elemento subjetivo de la norma “madurez” deberá analizarse en concreto, es decir, la capacidad que ellos tengan de “Por la cual se impone una sanción administrativa” entender lo que está sucediendo (el asunto que les concierne) y derivar sus posibles consecuencias. 136.

En la Sentencia C-246 de 2017, si bien la corporación no realizó un análisis de cara al tratamiento de datos de los NNA en las redes sociales, sí valoró (i) la edad, (ii) las capacidades evolutivas del NNA y (iii) su derecho a ser escuchados, como elementos determinantes para adoptar decisiones y asegurar el mejor respeto de su interés superior. 137.

Frente al primero de los elementos, destacó la Corte que la edad determina la madurez de los NNA para adoptar decisiones. En particular, atendiendo al asunto estudiado[111], valoró que los 14 años constituyen el momento en el que los adolescentes tienen las capacidades evolutivas necesarias para decidir sobre aspectos relacionados con su cuerpo que involucran intervenciones en la salud y en su identidad personal. 138.

Para llegar a esa conclusión, consideró la Sala Plena que a la edad de 14 años los adolescentes cuentan con las capacidades evolutivas necesarias para adoptar ese tipo de decisiones …” (Cursiva, negrilla y subrayo fuera de texto) Teniendo en cuenta lo expuesto, este Despacho recuerda a la sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S. que, en aras de garantizar la efectiva protección de los derechos fundamentales de los niños, niñas y adolescentes, resulta indispensable considerar los criterios establecidos por la Corte Constitucional en el análisis referido en lo que hace referencia al principio del interés superior y a ser escuchados en las decisiones que involucren el ejercicio de sus derechos fundamental como el de acceder a la educación. En tal sentido, la entidad deberá adecuar sus procedimientos relativos a la obtención de la autorización previa para el tratamiento de datos personales, de forma que, tratándose de menores de 14 años, dicha autorización sea recabada de manera obligatoria a través de sus padres o representantes legales, conforme a lo dispuesto en el marco normativo vigente.

Esta restricción obedece al principio de representación legal de los menores en materia de tratamiento de datos personales, conforme lo establece el artículo 2.2.2.25.4.1 del Decreto 1074 de 2015, el cual señala expresamente: “Artículo 2.2.2.25.4.1. Legitimación para el ejercicio de los derechos del titular. Los derechos de los Titulares establecidos en la Ley, podrán ejercerse por las siguientes personas: 1.

Por el Titular, quien deberá acreditar su identidad en forma suficiente por los distintos medios que le ponga a disposición el responsable. 2. Por sus causahabientes, quienes deberán acreditar tal calidad. 3. Por el representante y/o apoderado del Titular, previa acreditación de la representación o apoderamiento. 4. Por estipulación a favor de otro o para otro.

Los derechos de los niños, niñas o adolescentes se ejercerán por las personas que estén facultadas para representarlos.” (Cursiva y subrayo fuera de texto) En consecuencia, cualquier recolección, uso o tratamiento de datos personales de menores de edad sin el cumplimiento de los parámetros legales y constitucionales aquí señalados respecto al consentimiento previo, expreso e informado constituye una vulneración al régimen de protección de datos personales. 16.2.3.

Representación legal de los niños, niñas y adolescentes Ahora bien, la representación legal de los menores de edad la tienen, en principio, los padres de familia para suplir su falta de capacidad legal de “Por la cual se impone una sanción administrativa” conformidad con lo previsto en el artículo 306 del Código Civil que establece lo siguiente: “Artículo 306: Representación judicial del hijo.

La representación judicial del hijo corresponde a cualquiera de los padres. El hijo de familia solo puede comparecer en juicio como actor, autorizado o representado por uno de sus padres. Si ambos niegan su consentimiento al hijo o si están inhabilitados para prestarlo o si autorizan sin representarlo, se aplicaran las normas del código del Procedimiento Civil, para la asignación de curador ad litem.

En las acciones civiles contra el hijo de familia deberá el actor dirigirse a cualquiera de sus padres, para que lo represente en la litis. Si ninguno pudiera representarlo, se aplicarán las normas del Código Civil, para la designación de curador ad litem.” Así lo ha reiterado la Corte Constitucional mediante la jurisprudencia desarrollada en esta materia.

En particular, este Despacho toma como referencia la Sentencia T-234 de 201730, con ponencia de la Magistrada María Victoria Calle Correa, en la cual se estableció lo siguiente: “(…) 5.1. Tratándose de la defensa de los derechos de los niños, las niñas y los adolescentes, el ordenamiento procesal ha reconocido que son sus padres quienes tienen en principio la obligación legal de actuar de consuno, o por separado, para preservar sus derechos y garantías.

Dicha obligación tiene como fundamento la existencia de la representación legal prevista a favor de éstos, con la finalidad de suplir su falta de capacidad legal, conforme a lo previsto en el artículo 1504 del Código Civil[35]. 5.2. En concordancia con lo anterior, el artículo 306 del mismo ordenamiento civil precisa las atribuciones que se originan por el ejercicio de la patria potestad frente a los hijos menores de edad no emancipados.

En tal virtud, se estipula que la representación judicial del hijo corresponde a cualquiera de los padres, por lo cual los niños, las niñas y los adolescentes que aún no cumplan la mayoría de edad solo pueden comparecer a un proceso, autorizados o representados por uno de sus padres. Si los padres niegan su consentimiento o si están inhabilitados para prestarlo o si autorizan sin representarlo se aplican las normas del Código de Procedimiento Civil para la designación del curador ad litem[36]. … Así las cosas, desde el punto de vista constitucional, no cabe duda que son los padres quienes tienen la obligación principal y directa de velar por el cumplimiento, la vigencia y la protección de los derechos de los niños, pues un elemento inherente a la institución familiar y a los deberes que de ella se predican, lo constituye el cuidado y la atención a los menores de edad (C.P. art. 44), como expresión constitucional de la progenitura responsable que surge de la relación filial (C.P. art. 42).

(…)” (Cursiva y negrilla fuera de texto) Lo anterior debe ser analizado de manera armónica con lo dispuesto en el artículo 2.2.2.25.2.9. del Decreto 1074 de 2015, el cual establece los elementos específicos que deben considerarse al momento de realizar el tratamiento de datos personales de niños, niñas y adolescentes. Esta norma señala expresamente lo siguiente: 30 Corte Constitucional, Sentencia T-234 de 2017.

Magistrada Ponente Dra. María Victoria Calle Correa. Referencia: Expediente T-5982866 “Por la cual se impone una sanción administrativa” “Artículo 2.2.2.25.2.9. Requisitos especiales para el tratamiento de datos personales de niños, niñas y adolescentes. El Tratamiento de datos personales de niños, niñas y adolescentes está prohibido, excepto cuando se trate de datos de naturaleza pública, de conformidad con lo establecido en el artículo 7° de la Ley 1581 de 2012 y cuando dicho Tratamiento cumpla con los siguientes parámetros y requisitos: 1.

Que responda y respete el interés superior de los niños, niñas y adolescentes. 2. Que se asegure el respeto de sus derechos fundamentales. Cumplidos los anteriores requisitos, el representante legal del niño, niña o adolescente otorgará la autorización previo ejercicio del menor de su derecho a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto.

Todo responsable y encargado involucrado en el tratamiento de los datos personales de niños, niñas y adolescentes, deberá velar por el uso adecuado de los mismos. Para este fin deberán aplicarse los principios y obligaciones establecidos en la Ley 1581 de 2012 y el presente capítulo. La familia y la sociedad deben velar porque los responsables y encargados del tratamiento de los datos personales de los menores de edad cumplan las obligaciones establecidas en la Ley 1581 de 2012 y el presente capítulo.“ (Cursiva y negrilla fuera de texto) En suma, si bien los menores de edad gozan de una especial protección constitucional, y bajo el principio del interés superior del niño, todas las personas, sean de carácter público o privado, están obligadas a garantizar el pleno ejercicio y respeto de sus derechos fundamentales, también lo es que, en tratándose de protección del derecho fundamental de habeas data se deberá analizar por parte del Responsable del tratamiento la edad (14 años) y el nivel de madurez para aplicar el derecho a ser escuchados cuando el acto involucre el acceso a sus derechos fundamentales.

En consecuencia, en el caso sub examine, al haber solicitado directamente información personal a los estudiantes sin contar con la autorización previa, expresa e informada, la sociedad investigada incurre en una vulneración flagrante de los derechos fundamentales de los niños, niñas y adolescentes. 16.3. Valoración Probatoria 16.3.1. Respecto del deber de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio Frente a este deber, el literal o) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente: “Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) o) Cumplir las instrucciones y requerimientos que imparta la Así mismo, dentro de las funciones atribuidas a la Superintendencia de Industria y Comercio se encuentra la siguiente: “(…) “Por la cual se impone una sanción administrativa” Artículo 21.

Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: (…) b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;

(…) e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley; f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones.” (…)” (Cursiva y negrilla fuera de texto) En esta medida, es claro que los Responsables del tratamiento deben cumplir con las instrucciones (órdenes) impartidas por las autoridades de seguimiento y vigilancia por mandato legal.

En el presente caso, la Superintendencia de Industria y Comercio, en ejercicio de sus facultades legales, impartió una orden administrativa a la sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S., mediante la Resolución N.° 40832 del 28 de junio de 2022. Dicho acto administrativo fue debidamente notificado a la dirección de correo electrónico juancasprietorodriguez@gmail.com, la cual se encuentra registrada como dirección electrónica para notificaciones judiciales en el certificado de existencia y representación legal de la sociedad, conforme consta en el Registro Único Empresarial y Social – RUES –, como se evidencia a continuación: Imagen No. 1.

Captura de Pantalla tomada del Registro Único Empresarial y Social de la sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S. expedido por la Cámara de Comercio de Bogotá. “Por la cual se impone una sanción administrativa” Para mayor claridad y con el fin de dejar constancia de la actuación surtida, este Despacho se permite incorporar la imagen del certificado de comunicación electrónica, en el cual se evidencia la remisión del mensaje dirigido a la sociedad investigada, mediante el cual se efectuó la notificación por aviso de la Resolución No. 40832 del 28 de junio de 2022, al correo electrónico judicial registrado por la sociedad en el Registro Único Empresarial y Social – RUES –, en los siguientes términos: Imagen No. 2.

Captura de Pantalla tomada del expediente digital 18-103578. Consecutivo número 40. Página 2. De manera que, dado que la sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S. no presentó dentro del plazo otorgado por esta Superintendencia y en los términos descritos en el parágrafo segundo del artículo primero del acto administrativo la certificación de cumplimiento que establece la orden administrativa.

La Dirección de Investigación de Protección de Datos Personales mediante Resolución N°. 40433 del 22 de julio de 2024, decidió formular pliego de cargos en contra de la sociedad investigada, por la presunta infracción de lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la norma en mención. No obstante lo anterior, vencido el plazo otorgado para presentar escrito de descargos y aportar las pruebas que estimara pertinentes, la sociedad guardó silencio y no se pronunció sobre el acto administrativo que inicia la presente investigación administrativa.

Posteriormente, frente a la Resolución N° 12040 “Por la cual se incorporan pruebas dentro de una investigación y se corre traslado para alegar” la sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S. mediante oficio radicado ante esta Superintendencia el 27 de marzo de 2025 bajo el número 18-103578- -000530002 del 31 de marzo de 202531, presentó dentro del término otorgado para ello, los alegatos de conclusión correspondientes.

En el escrito de alegatos de conclusión —como se señaló de manera sucinta en el considerando DÉCIMO CUARTO del presente acto administrativo—, la sociedad investigada sostiene que ha dado cumplimiento a la normativa vigente en materia de protección de datos personales. En atención a lo anterior, este Despacho procederá a realizar un análisis detallado del cumplimiento de cada una de las órdenes impartidas mediante la Resolución N.° 40832 del 28 de junio de 2022, contrastando lo dispuesto en dicho acto administrativo con los argumentos y elementos probatorios allegados por la sociedad ST.

MARY’S COLLEGE COLOMBIA S.A.S., en los siguientes términos: 31 Expediente Digital 18-103578. Consecutivo número 53. Página 2 “Por la cual se impone una sanción administrativa” El acto administrativo en comento impartió dos órdenes administrativas a la sociedad investigada: ▪ La primera orden administrativa determinó establecer un procedimiento previo en el que la sociedad ST.

MARY’S COLLEGE COLOMBIA S.A.S solicite autorización previa a los Titulares de la información, dicha autorización debía cumplir con cuatro elementos esenciales: i. ii. iii. iv. Informar la finalidad del tratamiento de los datos personales. Informar al titular que es facultativo responder o no preguntas relacionadas con datos sensibles o relacionadas con datos de niños, niñas y adolescentes.

Informar los derechos de los Titulares de la información. Informar los datos (identificación, teléfono, dirección física y/o electrónica) del Responsable del tratamiento de los datos personales. Absteniéndose de realizar cualquier tipo de tratamiento sobre datos que no cuenten con la autorización respectiva. La sociedad investigada en el escrito de alegatos de conclusión no hizo referencia alguna que permitiera validar si, en efecto, cuentan con el procedimiento previo requerido respecto a la autorización previa que exige para el tratamiento de la información el artículo 9 de la Ley 1581 de 2012, como lo expuso este Despacho ampliamente en la Resolución N.° 40832 del 28 de junio de 2022.

Únicamente se limitó a citar en el marco del Principio de Legalidad que: “(…) “… El tratamiento de los datos personales se llevó a cabo dentro del marco de la ley y en cumplimiento con las disposiciones legales pertinentes. Como lo hemos mencionado tantas veces, nuestra institución (empresa), participa constantemente de ferias estudiantiles y es en estos establecimientos educativos a los que vamos como invitados, donde los estudiantes que están interesados nos brindan los contactos de ellos o de sus padres.” (…)” (Cursiva y negrilla fuera de texto) Ahora bien, lo que resulta particularmente relevante para este Despacho respecto de lo manifestado por la sociedad investigada en el escrito de alegatos de conclusión, es la afirmación explícita de que solicita información de manera directa a menores de edad en las instituciones educativas, tanto de ellos como de sus padres, sin que medie autorización previa que cumpla con las formalidades establecidas por la normativa vigente. ▪ La segunda orden administrativa impartió a la sociedad la obligación de implementar y poner a disposición de los Titulares de la información, una Política de Tratamiento de Datos que cumpliera con los requisitos del artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.

En relación con la Política de Tratamiento de Datos Personales, en el escrito de alegatos la sociedad manifiesta en el acápite de hechos que: “9. Que, posteriormente al evento que nos tiene en el presente litigio, nuestra empresa cuenta con las políticas de tratamiento de datos personales, las cuales se aportaron junto con los descargos.” No obstante, al revisar el contenido del expediente correspondiente al Radicado N° 18-103578, este Despacho pudo constatar que, si bien la sociedad no presentó escrito de descargos en el marco de la Resolución N.° 40433 del 22 de julio de 2024, sí lo hizo en relación con la Resolución N.° 78631 del 7 de diciembre de 2020, actuación que fue realizada de forma extemporánea.

En consecuencia, los documentos allegados en ese contexto no serán objeto de análisis dentro del presente trámite. “Por la cual se impone una sanción administrativa” Tal como se desprende del análisis de los argumentos expuestos por la sociedad investigada, en relación con el único cargo formulado por este Despacho — consistente en el presunto incumplimiento de las órdenes impartidas mediante la Resolución N.° 40832 del 28 de junio de 2022—, la sociedad no se pronunció ni allegó elemento probatorio alguno, que acredite el establecimiento e implementación de un procedimiento previo para la obtención de la autorización del titular, ni de la implementación de una Política de Tratamiento de Datos en los términos exigidos en el citado acto administrativo.

DÉCIMO SÉPTIMO. Conclusiones Se procederá a imponer una sanción por las siguientes razones: 17.1. Por lo expuesto, se tiene como cierto que la sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S. no acredito el cumplimiento de las órdenes impartidas por la Superintendencia de Industria y Comercio a través de la Dirección de Investigaciones de Protección de Datos Personales en la Resolución N.° 40832 del 28 de junio de 2022. 17.2.

Que la sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S. al recolectar información sin contar con la autorización previa, expresa e informada, incurre en una vulneración flagrante de los derechos fundamentales de los niños, niñas y adolescentes. 17.3. Se evidencia que la sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S. no dispone de las herramientas técnicas ni jurídicas mínimas, que le permitan efectuar un tratamiento responsable de los datos personales que pueda recolectar en desarrollo de su objeto social.

De igual forma, no ofrece las garantías constitucionales y legales requeridas para asegurar la protección efectiva de los derechos de los Titulares de la información, en especial la de los menores de edad.

DÉCIMO OCTAVO. Imposición y graduación de la sanción 18.1. Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 2332. Esta potestad sancionatoria, es una manifestación del poder punitivo del Estado, derivado de los artículos 233, 434 y 635 de la Constitución, el deber de respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo36. 32 “Artículo 23.

Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;” 33 Artículo 2.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) 34 Artículo 4. La Constitución es norma de normas.

(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. 35 Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.

(negrita añadida) 36 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014).

“Por la cual se impone una sanción administrativa” La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)” (negrita añadida) De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 23 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional37 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”38 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros.39 37 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 38 Corte Constitucional, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 39 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, “Por la cual se impone una sanción administrativa” La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”40.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia41. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2342 de la misma.

Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO 24. Criterios para graduar las sanciones. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. e) La renuencia o desacato a cumplir, con las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 40 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 42 Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción administrativa” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012.

Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “2.23. EXÁMEN DEL ARTÍCULO 24: CRITERIOS PARA GRADUAR LAS SANCIONES (…) 2.23.3. La constitucionalidad del artículo 24 Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” (…)43 Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 18.1.1.

Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley. De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine, y respecto del cargo único relacionado con el presunto incumplimiento del deber consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la misma normativa, se encuentra debidamente acreditado que la sociedad ST.

MARY’S COLLEGE COLOMBIA S.A.S. no allegó la certificación exigida que diera cuenta del cumplimiento de las órdenes administrativas impartidas por la Dirección de Investigaciones de Protección de Datos Personales mediante la Resolución No. 40832 del 28 de junio de 2022. Por último, y no por ello menos relevante, este Despacho resalta que la sociedad ST.

MARY’S COLLEGE COLOMBIA S.A.S. ha manifestado de manera expresa que solicita directamente a los estudiantes sus datos personales, así como los de sus padres, sin que obtengan, de forma previa, la autorización que les permita el tratamiento de los mismos cuya finalidad sea el ofrecimiento de sus servicios. Esta práctica constituye una transgresión a las normas constitucionales y legales vigentes en materia de protección de datos 43 Corte Constitucional, Sentencia C-748 de 2011, M.P: Jorge Ignacio Pretelt Chaljub.

“Por la cual se impone una sanción administrativa” personales, particularmente las relativas a los derechos de los niños, niñas y adolescentes, quienes gozan de una protección reforzada. Por lo anterior este Despacho con fundamento en el literal b) del artículo 23 de la Ley 1581 de 2012, considera de suma importancia proceder a imponer una sanción consistente en ordenar la suspensión de las actividades de recolección, uso, almacenamiento y circulación de datos personales que han sido recolectados sin la autorización previa de los titulares, que estén registrados en las bases de datos de la sociedad investigada.

La suspensión será por el período de seis (6) meses, término con el cual contará para acreditar ante esta Autoridad haber adoptado las siguientes medidas: 1. La sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S deberá implementar un formato para solicitar la autorización previa, expresa e informada de los titulares sobre los cuales realiza tratamiento, que incluya un formato especial para los menores de edad, de conformidad con las disposiciones legales y jurisprudenciales señaladas en el presente acto administrativo.

Este formato deberá incluir claramente lo siguiente: - - La finalidad del tratamiento de los datos recolectados. Informar el carácter facultativo de la respuesta a las preguntas que sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes Los derechos que le asisten como titular de la información La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento y se abstenga de realizar tratamiento de datos o almacenar información sobre la cual no tenga la autorización de los titulares.

La sociedad deberá indicar la forma en la que conservará las autorizaciones firmadas y la disposición para su eventual consulta. 2. La sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S deberá elaborar e implementar la Política de Tratamiento de Datos Personales que responda a los siguientes lineamientos: - Incluir el número de teléfono de la sociedad como Responsable del tratamiento.

Señalar en la Política de Tratamiento de Datos Personales el tipo de Tratamiento –manual o automatizado- al cual serán sometidos los datos personales. Informar la finalidad del tratamiento de los datos personales que serán tratados por la sociedad como Responsable. Indicar la fecha de entrada en vigencia de la Política de Tratamiento de Datos Personales.

Indicar el periodo de vigencia de las bases de datos. Actualizar la normatividad del Régimen de Protección de Datos Personales señalada al inicio del documento. 3. La sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S. deberá llevar a cabo procesos de capacitación interna dirigidos a todos sus colaboradores, con el objetivo de garantizar el conocimiento, comprensión y correcta aplicación del derecho fundamental de Hábeas Data, sus disposiciones legales, así como los lineamientos técnicos establecidos en la normativa vigente para su protección. Estas capacitaciones deberán incluir, de forma prioritaria, un módulo especializado en la protección de datos personales de niños, niñas y adolescentes, conforme a los principios rectores del tratamiento de datos personales y las normas nacionales aplicables, particularmente lo dispuesto en el artículo 7 de la Ley 1581 de 2012 y el artículo 2.2.2.25.2.9. del Decreto 1074 de 2015.

“Por la cual se impone una sanción administrativa” 4. Desarrollar, implementar y mantener un procedimiento para atender todas las consultas y reclamos de los Titulares de la información, garantizando que estas sean atendidas de fondo e integralmente. 5. Adoptar un procedimiento para realizar la corrección, actualización, rectificación o supresión de la información, en los casos en que se demuestre su procedencia por parte del titular. 6.

Desarrollar e implementar un manual de procedimientos mediante el cual se garantice el deber de informar a solicitud de los titulares sobre el uso de sus datos personales. De este modo, la sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S. deberá abstenerse de realizar operaciones de recolección, uso, almacenamiento y circulación de datos personales dentro de los seis (6) meses posteriores a la ejecutoria del presente acto administrativo, término con el cual contará para proceder con el cumplimiento de las acciones ordenadas por esta Dirección. 18.1.2.

Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), e) y f) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, y (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

DÉCIMO NOVENO: FRENTE A LA APLICACIÓN DEL PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA De acuerdo con los hechos y situaciones probadas en la presente actuación administrativa, este Despacho encuentra pertinente hacer unas anotaciones relativas a la aplicación del principio de responsabilidad demostrada. La Superintendencia de Industria y Comercio ha sido enfática en señalar que las disposiciones contenidas en los artículos 2.2.2.25.6.1 y siguientes del Decreto 1074 de 2015, en relación con la adopción de políticas y procedimientos efectivos para el adecuado cumplimiento de la Ley 1581 de 2012 implica que concurran una serie de presupuestos que permitan evidenciar que los procedimientos implementados, en la práctica son reales y efectivos.

Así, la regulación colombiana le impone al Responsable o al Encargado del tratamiento la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica ni formal, sino real y demostrable. Téngase presente que según nuestra jurisprudencia “existe un deber constitucional de administrar correctamente y de proteger los archivos y las bases de datos que contengan información personal o socialmente relevante”44.

Adicionalmente, los Responsables o Encargados del tratamiento no son dueños de los de los datos personales que reposan en sus bases de datos o archivos. En efecto, ellos son meros tenedores que están en el deber de administrar de manera correcta, apropiada y acertada la información de las personas porque su negligencia afecta los derechos humanos de los titulares de los datos.

En virtud de lo anterior, el capítulo III del Decreto 1377 del 27 de junio de 2013 -incorporado en el decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. 44 Corte Constitucional, Sentencia T-227 de 2003 “Por la cual se impone una sanción administrativa” El artículo 2645 -titulado DEMOSTRACIÓN- establece que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así resulta imposible ignorar la forma en que el responsable o encargado del tratamiento debe probar que pone en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

Con el propósito de dar orientaciones sobre la materia, esta Superintendencia expidió el 28 de mayo de 2015 la “Guía para la implementación del principio de responsabilidad demostrada (accountability)” 46. El término “accountability”, a pesar de contar con diferentes acepciones, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, consisten principalmente en diseñar y activar un Programa Integral de Gestión de Datos Personales (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente, requiere la implementación de controles de diversa naturaleza, desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP, y demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales.

El principio de responsabilidad demostrada -accountability- demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. El mismo, exige que los Responsables y Encargados del tratamiento implementen medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia.

Dichas medidas deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales. El principio de responsabilidad demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones por parte de las organizaciones para garantizar el debido tratamiento de los datos personales.

El 45 El texto completo del artículo 26 del decreto 1377 de 2013 ordena lo siguiente: Artículo 26. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta sí se trata de una micro pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza jurídica de los datos personales objeto del tratamiento. 3. El tipo de tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”. 46 El texto de la guía puede consultarse en https://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia Accountability.pdf “Por la cual se impone una sanción administrativa” éxito de la aplicación y efectiva implementación de este principio dependerá del compromiso y demostración real por parte de todos los miembros de la organización, pero especialmente, de los directivos de las organizaciones, ya que, sin su dirección y apoyo, todo esfuerzo será insuficiente para diseñar, implementar, revisar, actualizar y evaluar los programas de gestión de datos personales.

El principio de responsabilidad demostrada se articula con el concepto de “compliance” en la medida que este hace referencia “al conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”47.

Así las cosas, la identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del “compliance” y de la efectiva aplicación del principio de responsabilidad demostrada (accountability). De ahí que, se considere fundamental que las organizaciones desarrollen y pongan en marcha, entre otros, un sistema de administración de riesgos asociados al tratamiento de datos personales, que les permita identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales.

Aunado a lo anterior, el cumplimiento de tal principio implica necesariamente garantizar y velar por el cumplimiento estricto de la normatividad aplicable al caso y poder demostrar que los documentos elaborados han sido diligenciados e implementados para que, a través de estos, se pueda demostrar el cumplimiento de la normatividad consagrada en el régimen de protección de datos personales contenido en la Ley Estatutaria 1581 de 2012.

Además de lo anterior, el cumplimiento de este principio busca que el Responsable del Tratamiento, demuestre que dentro de su organización se cuenta con: (i) Una estructura de gobierno corporativo en el sentido de que la formulación de políticas y procedimientos para el tratamiento reflejen una cultura de respeto a la protección de los datos personales;

(ii) Un programa corporativo que tenga controles efectivos, que responda al tamaño y estructura de la organización, destinado al cumplimiento, implementación y consolidación del régimen de protección de datos; y (iii) Una evaluación y revisión continúa de los controles que lo integran, con el fin de determinar la pertinencia y eficacia del plan de gestión para lo cual deberán desarrollarse auditorías internas para evaluar, en una fase preliminar, el grado de cumplimiento con la normatividad de protección de datos.

Así las cosas, este Despacho se permite reiterar que no basta con tener una cultura que propenda por el respeto en la teoría, sino que dicha cultura debe materializarse en la práctica a través del efectivo cumplimiento de la Ley 1581 de 2012, más allá de que esta autoridad requiera a la investigada sobre su cumplimiento, ya que es un deber de la organización dar pleno cumplimiento a tal normatividad y es un derecho constitucional del ciudadano que se le respeten sus datos personales.

En virtud de lo anterior, EXHORTAMOS a los Representantes Legales de la sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S. para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: Cfr. World Compliance Association (WCA). compliance.php (última consulta 20 de abril de 2020) http://www.worldcomplianceassociation.com/que-es “Por la cual se impone una sanción administrativa” ▪ ▪ ▪ ▪ Evitar que se repitan hechos como los que dieron origen a la presente investigación. Respetar y garantizar los derechos de los Titulares de los datos, especialmente el de los niños, niñas y adolescentes.

Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para la implementación del principio de responsabilidad demostrada”48, y el “Estudio de medidas de seguridad en el tratamiento de datos personales”49, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales, especialmente los de libertad, acceso y circulación restringida, confidencialidad y necesidad.

VIGÉSIMO. Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S, con NIT. 901.096.257-6, con el correo electrónico de notificación judicial juancasprietorodriguez@gmail.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el No. 18-103578.

La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello. Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1. IMPONER una sanción administrativa a la sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S. con NIT. 901.096.257-6, consistente en la suspensión de las operaciones de tratamiento de recolección, uso, almacenamiento y circulación de dato por el término de seis (6) meses, contados a partir de la ejecutoria del presente acto administrativo, y hasta tanto acredite, ante esta Superintendencia, haber adoptado las siguientes medidas: Lo anterior, como consecuencia de la vulneración de lo dispuesto en: 1.1. 1.2.

El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales b), e) y f) del artículo 21 de la misma ley. El literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 7 de la Ley 1581 de 2012, así como con lo establecido en el 48 https://www.sic.gov.co/noticias/guia-para-la-implementacion-del-principio-de-responsabilidad-demostrada https://www.sic.gov.co/sites/default/files/files/2022/Estudio%20de%20seguridad%202022%2015III2022.p df “Por la cual se impone una sanción administrativa” artículo 2.2.2.25.2.9. del Decreto Único Reglamentario 1074 de 2015.

Las siguientes medidas que debe cumplir son las siguientes: 1. La sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S deberá implementar un formato para solicitar la autorización previa, expresa e informada de los titulares sobre los cuales realiza tratamiento, que incluya un formato especial para los menores de edad. Este formato deberá incluir claramente lo siguiente: - - La finalidad del tratamiento de los datos recolectados.

Informar el carácter facultativo de la respuesta a las preguntas que sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes Los derechos que le asisten como titular de la información La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento y se abstenga de realizar tratamiento de datos o almacenar información sobre la cual no tenga la autorización de los titulares.

La sociedad deberá indicar la forma en la que conservará las autorizaciones firmadas y la disposición para su eventual consulta. 2. La sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S deberá elaborar e implementar la Política de Tratamiento de Datos Personales que responda a los siguientes lineamientos: - Incluir el número de teléfono de la sociedad como Responsable del tratamiento.

Señalar en la Política de Tratamiento de Datos Personales el tipo de Tratamiento –manual o automatizado- al cual serán sometidos los datos personales. Informar la finalidad del tratamiento de los datos personales que serán tratados por la sociedad como Responsable del tratamiento. Indicar la fecha de entrada en vigencia de la Política de Tratamiento de Datos Personales.

Indicar el periodo de vigencia de las bases de datos. Actualizar la normatividad del Régimen de Protección de Datos Personales señalada al inicio del documento. 3. La sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S. deberá llevar a cabo procesos de capacitación interna dirigidos a todos sus colaboradores, con el objetivo de garantizar el conocimiento, comprensión y correcta aplicación del derecho fundamental de Hábeas Data, sus disposiciones legales, así como los lineamientos técnicos establecidos en la normativa vigente para su protección. Estas capacitaciones deberán incluir, de forma prioritaria, un módulo especializado en la protección de datos personales de niños, niñas y adolescentes, conforme a los principios rectores del tratamiento de datos personales y las normas nacionales aplicables, particularmente lo dispuesto en el artículo 7 de la Ley 1581 de 2012 y el artículo 2.2.2.25.2.9. del Decreto 1074 de 2015. 4.

Desarrollar, implementar y mantener un procedimiento para atender todas las consultas y reclamos de los Titulares de la información, garantizando que estas sean atendidas de fondo e integralmente. 5. Adoptar un procedimiento para realizar la corrección, actualización, rectificación o supresión de la información, en los casos en que se demuestre su procedencia por parte del titular.

“Por la cual se impone una sanción administrativa” 6. Desarrollar e implementar un manual de procedimientos mediante el cual se garantice el deber de informar a solicitud de los titulares sobre el uso de sus datos personales. Parágrafo: Para acreditar el cumplimiento de lo ordenado, la sociedad investigada deberá allegar a esta Dirección: - - Copia del formato de autorización previa para el tratamiento de datos recolectados en los distintos procesos y procedimientos con titulares internos y externos cuya información esté contenida en una base de datos.

Copia del formato de autorización previa para el tratamiento de datos de menores de edad. Copia de la Política de Tratamiento de Datos Personales, la cual debe estar publicada en la página web de la sociedad (en caso de tenerla). Copia de las listas de asistencia de los colaboradores a las capacitaciones implementadas. Copia del procedimiento para atender todas las consultas y reclamos de los Titulares de la información. Copia del procedimiento para realizar la corrección, actualización, rectificación o supresión de la información, en los casos en que se demuestre su procedencia por parte del titular.

Copia del manual de procedimientos mediante el cual se garantice el deber de informar a solicitud de los titulares sobre el uso de sus datos personales.

ARTÍCULO 2. EXHORTAR a los Representantes Legales de la sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S con NIT 901.096.257-6 para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1. Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2. Respetar y garantizar los derechos de los Titulares de los datos, especialmente el de los niños, niñas y adolescentes. 3.

Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4. Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para la implementación del principio de responsabilidad demostrada”50, y el “Estudio de medidas de seguridad en el tratamiento de datos personales”51, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales, especialmente los de libertad, acceso y circulación restringida, confidencialidad y necesidad.

ARTÍCULO 3. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad ST. MARY’S COLLEGE COLOMBIA S.A.S, con NIT. 901.096.257-6 a través de su representante legal, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO 4. COMUNICAR la presente decisión a la señora XXXXX XXXXXXXX XXXXXXX XXXXXXX, identificada con cédula de ciudadanía número XXXXXXXX. 50 https://www.sic.gov.co/noticias/guia-para-la-implementacion-del-principio-de-responsabilidad-demostrada 51 https://www.sic.gov.co/sites/default/files/files/2022/Estudio%20de%20seguridad%202022%2015III2022.pdf “Por la cual se impone una sanción administrativa”

ARTÍCULO 5. La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Principal: Carrera 13 # 27 – 00 piso 3, edificio Bochica en la ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 25 de junio de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2025.06.25 11:59:16 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Proyectó: AC Revisó: YA Aprobó: CG NOTIFICACIÓN Investigada Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: ST.

MARY’S COLLEGE COLOMBIA S.A.S NIT. 901.096.257-6 JUAN CARLOS PRIETO RODRIGUEZ C.C. N.º 80.431.079 juancasprietorodriguez@gmail.com Calle 6 # 11- 22 ALGARRA I Zipaquirá – Cundinamarca COMUNICACIÓN Señora: Identificación: Correo electrónico: Dirección: Ciudad: XXXXX XXXXXXXX XXXXXXX XXXXXXX C.C. XXXXXXXX XXXXXXXXXXXXXXXXXX XXXXXXX XX # XX-XX XXXXXXXXX - XXXXXXXXXXXX