Sanción 33153 de 2022 — SIC

(28 JUNIO 2022) “Por la cual se impone una sanción administrativa” Radicación 20-454374 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y el artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022; y

CONSIDERANDO

PRIMERO: Que esta Superintendencia mediante Resolución No. 21904 del 20 de mayo de 2020 ordenó lo siguiente: “ARTÍCULO SEGUNDO: Remitir copia de la presente Resolución al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección, para que proceda de acuerdo con su competencia y conforme a la decisión adoptada y se informe al Grupo de Trabajo de Habeas Data lo pertinente”.

SEGUNDO: Que entre otras consideraciones, la Resolución No. 21904 de mayo de 2020 señaló lo siguiente: “SEXTO: Análisis del caso y valoración probatoria 6.1. Respecto a la solicitud de supresión de información personal del titular. Frente a la posibilidad que tienen los titulares de solicitar la supresión de su información, el literal e) del artículo 8 de la Ley 1581 de 2012 establece lo siguiente: (…) e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.

La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución, (…). De igual modo dicha facultad se encuentra contenida en el artículo 2.2.2.25.4.3 del Decreto 1074 de 2015 de la siguiente manera: (…) Artículo 2.2.2.25.4.3 Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el tratamiento de los datos personales deberán adoptarse las medidas razonables para asegurar que los datos personales que reposan en las bases de datos sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento (…).

“Por la cual se impone una sanción administrativa” HOJA N, Al respecto, es oportuno señalar que los citados artículos establecen que los titulares pueden solicitar la actualización, rectificación y supresión de su información personal cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales o que el dato resulte, inexacto, incompleto, fraccionado, induzca a error o aquellos cuyo tratamiento este expresamente prohibido o no haya sido autorizado; pero siempre y cuando la Superintendencia de Industria y Comercio “haya determinado que en el tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley (la 1581 de 2012)”.

Empero, la Corte Constitucional, en la sentencia que analizó la exequibilidad de la citada ley2, determinó que al fijar el legislador tales condiciones, limitó desproporcionadamente el ejercicio del derecho fundamental de habeas data. En efecto, dicha Corporación indicó en Sentencia C-748 del 6 de octubre de 2011 que: (…) el individuo también es libre de decidir cuales informaciones desea que continúen y cuáles deben ser excluidas de una fuente de información, siempre y cuando no exista un mandato legal que le imponga tal deber, o cuando exista alguna obligación contractual entre la persona y el controlador de datos, que haga necesaria la permanencia del dato (…).

Continúa señalando que (…) considerar lo contrario significaría que los administradores de la información pudieran disponer libremente y sin término definido, de los datos personales del sujeto concernido y, en consecuencia, aquel quedaría privado materialmente de la posibilidad de ejercer las garantías previstas a su favor por el Texto Constitucional.

Además, la jurisprudencia constitucional ha establecido que existe un vínculo necesario entre la libertad en los procesos de acopio informático del dato personal y la expresión del consentimiento del titular. En cada una de estas decisiones se ha planteado que el contenido concreto de la libertad del sujeto concernido y, simultáneamente, el límite que impide el abuso del poder informático descansa en la exigencia de la autorización del titular como presupuesto del ejercicio de las competencias constitucionales de conocimiento, actualización y rectificación del dato personal”.

Entonces, es claro que de conformidad con los principios que regulan la administración de datos personales, el ejercicio del derecho fundamental de habeas data permite a los titulares solicitar la supresión de información que haya sido recogida en bases de datos, de suerte que la Corte consideró que la interpretación adecuada del señalado literal e) es aquella en virtud de la cual el titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales, caso en el cual, en aras de garantizar el debido proceso, la Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos, consideración que fue recogida por el inciso segundo del artículo 2.2.2.25.2.6 del Decreto 1074 de 2015.

Ahora bien, en el caso bajo examen, se observa que el reclamante informa que la Universidad Católica de Colombia le envió ofertas académicas al correo institucional de la Fundación Universitaria Autónoma de Colombia sin contar con su autorización previa y expresa. Al respecto, este Despacho el día 19 de septiembre de 2019 requirió a la Universidad Católica de Colombia, para que se pronunciara sobre los hechos materia de la denuncia y allegara entre otras cosas, prueba mediante la cual demostrara que eliminó, actualizó o corrigió la información del titular.

Por su parte, la sociedad investigada en su respuesta de explicaciones de fecha 08 de octubre de 2019, manifestó que: “(…) Desde el correo0.000.0000.000oooooooooooo Ooooooo ooooooo ooo, quien al consultar la página web de la Fundación Autónoma de Colombia, se desempeñaba como director del programa de Economía de la Fundación Universitaria de Colombia, envió mensaje el día miércoles, julio 17, 2019, 2:10 p.m., dirigido a la Decana de la Facultad de Económica de la Universidad Católica FFFFFFFFFFFFFFFFFF a su dirección personal de dirección electrónica ooooooopooooooopooooo, en el que en archivo digital en Excel se encuentra una base de datos denominada como: ¨créditos Vs Matriculados economía 2019¨ de estudiantes de dicha Universidad en la cual en la “Por la cual se impone una sanción administrativa” HOJA N, columna Q, fila 86, se encuentran los siguientes campos relacionados con los datos personales de UUUU UUUUUUUU UUUUUUU, así: Cred. Matr.

Tot Cred a cursar según plan, Crd Apro, acumula aprob, Porcentaje de aprobación, Nivel Aprobado, Doc ID, Tp Doc ID, Nombre, Sexo, Correo-E, Teléfono (…)” Continúa manifestando que: “( ) en posterior correo y desde la dirección electrónica institucional vvvvvvvvvvvvvvvvvvvvvvvvvvvvv; la señora Vvv vvvvvvvv vvvvvvvvv vvvvv, el día 17 de julio de 2019 a las 15:54 pm remite dirección electrónica con el título de mensaje base de datos, dirigido a la directora de la oficina de admisiones vvvvvvvvvvvvvvvvvvvvvvvvvvvvvv, Ssssss ssssss ssssssssss, los anteriores mensajes fueron remitidos por las emisoras y receptoras de los mismos el día 3 de octubre del año en curso a la Secretaria General, al indagarse sobre la averiguación que cursa en su despacho( )” Adicionalmente afirma que “(…) Por virtud de la reclamación motivo del presente escrito se procederá a cesar con el tratamiento de los datos personales del reclamante y borrar de las bases de datos de la oficina de admisiones al señor HHHHHHHHHHHHHHHHHH y para tal efecto se dejará constancia en acta de la Secretaria General que se adjunta al presente escrito.” En ese orden de ideas, este Despacho procedió a valorar las pruebas obrantes en el plenario encontrando que la enunciada sociedad aportó copia del Acta Secretarial de la Secretaria General de la Universidad, mediante la cual se deja constancia de la eliminación de los datos del señor FFFFFFFFFFFFFFFF, tal como se evidencia a continuación: (…)

TERCERO: Que junto con la Resolución No. Resolución No. 21904 del 20 de mayo de 2020, se encuentran aportados en el expediente los siguientes documentos: “Por la cual se impone una sanción administrativa” HOJA N, 3.1. Con el Radicado 19 -178107 – 0, de 9 de agosto del 2019, el Denunciante Señor Señor UUUU UUUUUUUU UUUUUUUUUU, obrante en el Radicado 20-454374 consecutivo 1, aportó con su denuncia las siguientes pruebas:      Archivo en pdf, con el programa de economía de la Universidad Católica de Colombia.

Archivo en pdf, remitido por correo institucional de la Universidad Católica de Colombia, donde se le informaba al denunciante que las inscripciones para los pregrados de la citada Universidad estaban abiertas, así como para otros programas académicos. Audio de conversación entre la Decana de la Facultad de Ciencias Económicas de la Universidad Católica de Colombia y el Denunciante.

Dirección electrónica enviado por el Denunciante a la Universidad Católica de Colombia solicitando las explicaciones e informaciones del caso. Dirección electrónica enviado por el Ministerio de Educación al Denunciante, donde informa la situación de la Universidad Autónoma de Colombia. 3.2. Mediante Radicado 19-178107 – 3, 19 de septiembre del 2019, la Coordinadora del Grupo del Trabajo de Investigaciones Administrativas requirió a la Universidad Católica de Colombia, obrante en el Radicado 20-454374 consecutivo 1, para que respondiera las siguientes preguntas: 1.

Acreditar prueba de la autorización (previa, expresa e informada) otorgada por el Titular de la información para el tratamiento de sus datos personales. 2. En caso de contar con la respectiva autorización, aportar prueba mediante la cual se le informó al titular de información la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. 3.

Informar si ustedes han realizado el tratamiento de la información del titular en calidad de Encargado o Responsable. En caso de ser en calidad de Encargado favor indicar el nombre o identificación de la sociedad Responsable del tratamiento. 4. Indicar si el titular ha presentado una reclamación o petición ante ustedes, en caso de ser afirmativa su respuesta favor aportar copia de la(s) misma(s) con su respectiva respuesta. 5.

Informar si el correo electrónico " ssssssccccccccccccccccccccccc pertenece a esa sociedad. 6. Informar si el 17 de julio de 2019 a las 18:15 se envió un correo electrónico desde la dirección “ssssssccccccccccccccccccccccc a ssssssccccccccccccccccccccccc 7. Informar la manera en la que esa sociedad recolecto los datos personales del señor UUUU UUUUUUUU UUUUUUUUUU. 8.

En caso de ser procedente, acreditar prueba mediante la cual se demuestre que ustedes eliminaron, actualizaron o corrigieron la información del Titular. 9. Informar las políticas internas de seguridad bajo las cuales conservan la información del titular para impedir su adulteración, perdida, consulta, uso o acceso no autorizado o fraudulento”.

(…). 3.3. Que, ante el anterior requerimiento, mediante Radicado 19-178107 – 4, de 8 de octubre del 2019, la Universidad Católica de Colombia, obrante en el Radicado 20-454374 consecutivo 1, informó lo siguiente: 3.3.1 Indica que, no cuenta con la autorización del reclamante, toda vez que fue una actuación unilateral de funcionarias de la Entidad y que hasta la fecha de la solicitud desconocía dicha actuación irregular. 3.3.2 Manifiesta que el día 17 de julio de 2019 a las 6:16 pm, se enviaron correos masivos desde la dirección electrónica ssssssccccccccccccccccccccccc, entre ellos un email al denunciante dentro del presente caso a la dirección de dirección electrónica ssssssccccccccccccccccccc 3.3.3 Advierte que la actuación descrita va en contra de lo dispuesto en las normas internas de la Universidad Católica que versan sobre Habeas Data, toda vez que no se tramitó la mencionada autorización para enviar los correos masivos a la base de datos de estudiantes de la Fundación Universitaria Autónoma de Colombia, y se dio un tratamiento irregular a los datos personales por parte de dos de sus funcionarias. 3.3.4 Señala que la Universidad Católica de Colombia cuenta con una política de Habeas Data que se encuentra a disposición, en la dirección electrónica https://www.ucatolica.edu.co/portal/habeas-data/ y allega pantallazos de la dirección web.

“Por la cual se impone una sanción administrativa” HOJA N, 3.3.5 Afirma que, la Universidad Católica de Colombia no ha actuado como encargado o responsable del tratamiento de los datos personales del reclamante, siendo la responsable en este caso la señora Aaa aaaaaa aaaaaaaaaa, identificada con la C.C. 000000000 quien actuó desde su dirección personal de dirección electrónica 00.000.000000000000000000 y desde su email institucionalvvvvvvvvvvvvvvvvvvvvvvvvvvvvvv, y que “( ) dado que las funcionarías de la Universidad actuaron unilateralmente y obviando la normatividad nacional e interna de la institución, son ellas quienes han actuado respectivamente como Responsable y Encargada del tratamiento de datos personales del reclamante”.

Por esta razón esta actuación se desarrolló sin que la misma fuera conocida por parte de la Universidad Católica de Colombia hasta la fecha del requerimiento de este Despacho. 3.3.6 Agrega que, en virtud de la reclamación del titular, se procederá a cesar con el tratamiento de los datos personales del reclamante y borrar de las bases de datos de la oficina de admisiones y la facultad de economía y para tal efecto se dejará constancia en acta de secretaria general. 3.3.7 Aporta copia simple de los correos electrónicos institucionales, copia simple de la normatividad interna de la Universidad Católica de Colombia en materia de Habeas Data, copia del acta emitida por la Secretaria General de la Universidad Católica de Colombia, copia simple de la declaración juramentada de la decana de la Facultad de Economía de la misma Universidad, copia simple de los contratos de trabajo de Aaa aaaaaaaa aaaaaaaaa aaaaaaa y uuuuuuu uuuuuu uuuuuuu, copia simple del reglamento de trabajo de la Universidad Católica de Colombia, copia de la comunicación y planillas de asistencia a las charlas de habeas data impartidas en la Universidad por la Superintendencia, copia simple de las respuestas a las solicitudes de conceptos de parte de la Universidad a la Superintendencia y copia impresa de correos electrónicos remitidos desde la cuenta de dirección electrónica uuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuuu, donde se formulan recomendaciones en materia de seguridad informática, copia de certificación emitida por la oficina de registro y control académico sobre estudiantes transferentes de le Fundación Universitaria Autónoma de Colombia y copia del certificado de existencia y representación legal.

CUARTO: Que con base en los hechos anotados, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, se inició la presente investigación administrativa, mediante la expedición Resolución No. 78657 del 7 de diciembre de 2020, por medio de la cual se formularon cargos a la UNIVERSIDAD CATÓLICA DE COLOMBIA (en adelante “la Investigada”), identificada con Nit. 860.028.971-9, por la presunta violación de las normas sobre protección de datos personales, consagradas en particular en: (i) (ii) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 ibídem, y el literal c) del artículo 4 de la misma ley, como también el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015;

El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

QUINTO: Que mediante escrito enviado el 22 de diciembre de 2020, bajo el radicado 20-45437409 la investigada se pronunció frente al pliego de cargos formulado en los siguientes términos: “1- En cuanto al cargo primero: a- Nos permitimos reiterar que; la actuación que origina la presente investigación tal como se indicó en la respuesta al requerimiento formulado sobre los hechos objeto de examen, de ninguna manera podrá ser considerada como una actuación institucional, toda vez que conforme a las pruebas aportadas en la respuesta al requerimiento, las cuales solicitamos sean tenidas en cuenta para efectos del análisis y decisión en la presente investigación así como las nuevas pruebas que se allegan a los presentes descargos, reflejan que el tratamiento de los datos personales del señor Uuuu uuuuuuuu uuuuuuuuuu, ocurrió por un acto unilateral de las funcionarias de la Universidad Uuuu uuuuuuuu uuuuuuuuuu y Uuuu uuuuuuuu uuuu, quienes actuaron en contravía tanto de la normatividad nacional en materia de protección de datos personales, como de la normatividad interna de la Universidad la cual ha desarrollado de manera robusta una serie de directrices consecuentes con el desarrollo normativo sobre el asunto.

Esta afirmación se evidencia en las resoluciones “Por la cual se impone una sanción administrativa” HOJA N, de la Vicepresidencia y de la Sala de Gobierno, que desde la expedición de la ley 1581 de 2012 han desarrollado de forma coherente las disposiciones sobre protección de datos personales al interior de los diferentes ámbitos propios del actuar de la Universidad, para tal propósito nos permitimos reiterar lo afirmado en la respuesta al requerimiento de 2019, sobre este asunto solicitando se revise y se tenga como prueba, nuevamente el anexo número 2 remitido con la contestación al requerimiento Radicado No 19-178107-3-0, actuación No 441 (…) b- Deseamos reiterar que la Universidad no puede ser considerada como responsable o encargada del tratamiento de datos personales del Señor ooooooo, ya que el actuar de las funcionarias previamente citadas ocurrió en contravención de la totalidad de procedimientos y directivas institucionales sobre habeas data y como se presentó en el anexo, la información que fue objeto de tratamiento ingresó al ámbito institucional por medio del manejo de una base de datos desde un correo personal de la funcionaria Aaa aaaaaaaa aaaaaaaaa aaaaaaa( bbbbbbbbbbbbbbbbbbb), desde el cual se recibió una base de datos en la cual se encontraban los datos del señor XXXXXX, la señora uuuuuuuu ignoró las disposiciones de la Universidad en materia de habeas data y procedió a remitir desde su correo institucional dicha base de datos a la funcionaria Ssssss ssssss sssssssss, quien decidió igualmente sin considerar las normas sobre habeas data de la Universidad emitir dirección electrónica en el cual se realizó el tratamiento de los datos personales del señor iiiiiiii.

Estos correos electrónicos se adjuntaron como prueba en la respuesta al requerimiento Radicado No 19-178107-3- 0, actuación No 441 en el ANEXO 1, solicitamos respetuosamente se tengan en cuenta dichos correos como prueba de lo afirmado en el presente escrito. c- La actuación descrita en los literales anteriores por parte de las funcionarias involucradas va en contra de lo dispuesto en las normas internas en materia de habeas data de la Universidad Católica en especial de la Resolución de Vicepresidencia No 043 del 21 de noviembre de 2017 “Por la cual se establece el procedimiento de comunicación y relaciones con los públicos internos-correos masivos” que dispone en su artículo 2: Lineamientos de operación: No se enviaran correos masivos externos y bases de datos específicas sin la autorización de la utilización de las bases de datos por parte de la Secretaría General de la Universidad”.

En el caso en investigación por su despacho no se tramitó la mencionada autorización para enviar estos correos masivos a la base de datos de estudiantes de la Fundación Universitaria Autónoma de Colombia e igualmente se omitió la solicitud de consentimiento al titular de los datos personales, el Señor jjjjjjjjjjjjjjjjjj, omitiéndose en su totalidad el procedimiento institucional sobre esta materia. d- Sobre la situación motivo de investigación precisamos que la situación se desarrolló como sigue: -Desde el dirección electrónica de 0.000.0000.000oooooooooooo; oooooooooooo oooooooooo oooo, quien al consultar la página web de la Fundación Universidad Autónoma de Colombia se desempeñaba como Director del programa de Economía de la Fundación Universitaria Autónoma de Colombia, se envió mensaje el día miércoles, julio 17, 2019, 2:10 p. m., dirigido a la Decana de la Facultad de Ciencias Económicas y Administrativas de la Universidad Católica;

Solicitamos se tenga en cuenta los mencionados mensajes impresos que se remitieron con la respuesta al requerimiento Radicado No 19-178107- 3-0, actuación No 441 (Anexo 1 ), -El día 17 de julio de 2019 a las 18:16 pm se envió correo al señor ooooooo desde la dirección electrónica ssssssccccccccccccccccccccccc, reclamante dentro del presente caso a la dirección de dirección electrónica sssssccccccccccccccccccc.

Se incorporan las imágenes de los respectivos correos nuevamente: “Por la cual se impone una sanción administrativa” HOJA N, 2- Respecto al cargo segundo: a- Reiteramos que la actuación tanto de la Señora Aaa aaaaaaaa aaaaaa como de la señora Sssssss sssssss fueron contrarias a las directrices y normatividad de la Universidad en materia de habeas data, por tanto no podrá considerarse que la actuación aislada de dos funcionarias obedece a una directiva institucional; en su calidad de encargada del tratamiento de datos personales, de la misma manera la Universidad cuenta con información pública suficiente por medio de la cual se puede acreditar de manera adecuada que se informa al público sobre sus derechos como titular de datos personales y la misma se puede consultar en la página web así: “Por la cual se impone una sanción administrativa” HOJA N, Por lo anterior, consideramos necesario precisar que la afirmación del cargo segundo de la Resolución objeto de descargos debería considerarse, toda vez que la Universidad si cuenta con canales para informar a los titulares de datos personales acerca de la finalidad del tratamiento de los mismos y los mecanismos para ejercer los derechos que como titulares les asisten a saber: el de conocer actualizar o rectificar cualquier tipo de información personal que sea objeto de tratamiento.

Cabe enunciar que la Política de habeas data se encuentra a disposición de los interesados en el sitio web de la Universidad Católica de Colombia, donde pueden establecer la finalidad de la recolección de datos y los derechos que como titulares les asisten. Para mayor claridad aportamos la dirección electrónica https://www.ucatolica.edu.co/portal/habeas-data/ donde se puede visualizar la Normatividad de habeas data.

Presentamos esta información con el fin de acreditar que la Universidad cuenta con canales idóneos y suficientes para atender cualquier reclamación de los titulares de datos personales y actúa de conformidad con la normatividad vigente sobre el asunto. Es pertinente señalar también que el reclamante remitió su queja sobre el tratamiento de los datos personales de su titularidad al email: iiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiii, y no utilizó el canal destinado por la Universidad, y como se expresó en el presente numeral, para tal fin la Universidad de manera expresa y clara señala en su Política de habeas data y en su página web que el canal para reclamaciones en materia de habeas data es: yyyyyyyyyyyyyyyyyyyyyyyyyyy o directamente ante la Secretaría General.

En consecuencia; como también lo expresa el reclamante, fue atendido de manera telefónica directamente por la Decana de la Facultad de Economía, Vvv vvvvvvvv vvvvvvvvv vvvvvvv, sin que la citada funcionara procediera a poner en conocimiento a la Universidad de la situación ocurrida, de la cual solo se tuvo noticia con ocasión del requerimiento de parte de su despacho.

Para soportar esta afirmación nos permitimos solicitar se tenga en cuenta la declaración juramentada de la citada aportada como Anexo 4 de la contestación al requerimiento emitido en 2019, donde “Por la cual se impone una sanción administrativa” HOJA N, se hace un relato de la interacción con el señor bbbbbb. (anexo 4, contestación a requerimiento Radicado No 19-178107-3-0, actuación No 441). b- En cuanto a la afirmación de la resolución que señala: “Igualmente, se advierte que de los documentos aportados, por la UNIVERSIDAD CATÓLICA DE COLOMBIA, no queda claro que la persona o personas que administraba el correo institucional: ssssssccccccccccccccccccccccc, desde el cual se envió la oferta educativa de pregrado en Economía, el día 17 de julio de 2019 a las 6:16 pm al correo institucional del Denunciante; hayan asistido a las capacitaciones periódicas sobre protección de datos personales, públicos, semiprivados y privados, así como sobre el tratamiento de dirección de correos electrónicos y sobre la finalidad del tratamiento de los datos personales recolectados.”: Nos permitimos solicitar que se tenga en cuenta lo aportado en la respuesta al requerimiento inicial y recordar que en el Anexo 7 de la respuesta a la contestación al requerimiento Radicado No 19-178107-3-0, actuación No 441, se remitieron las comunicaciones de las capacitaciones llevadas a cabo de manera directa por funcionarios de la Superintendencia a solicitud de la Universidad en cumplimiento de las guías de responsabilidad demostrada y que igualmente se las respectivas planillas de asistencia; en las cuales se evidencia que en el renglón sexto de la tercera planilla; de las cuatro remitidas correspondientes a la capacitación del día marzo 20 de 2019 a cargo del Dr jjjjjj jjjjjjjjj jjjjjjjj jjjjjjjjjj asistió la señora iiiiiiiiiiiii iiiiiiiiiiiiii, quien se desempeñaba para tal fecha como directora de admisiones de la Universidad.

(se incluye la imagen de la respectiva planilla) c- Sumado a lo anterior solicitamos se tenga en cuenta nuevamente el anexo 5 de la contestación al requerimiento Radicado No 19-178107-3-0, actuación No 441, en el cual se adjuntó el contrato laboral de la señora Sssssss sssssss en el cual se evidencia que su rol como miembro de la Universidad es el de directora de d- Igualmente adjuntamos como prueba nueva la certificación emitida por la Dirección de Servicios Informáticos de la Universidad en la que se indica que la cuenta ssssssccccccccccccccccccccccc, está a cargo de la señora mmmmmm.

(Se anexa a los presentes descargos, en formato digital copia simple de la certificación- ANEXO DIGITAL 1 ) En este punto resulta oportuno indicar que dentro del reglamento de trabajo de la Universidad publicado en el sitio web https://www.ucatolica.edu.co/portal/wpcontent/uploads/adjuntos/reglamentos-y-estatutos/interno-detrabajo/reglamento_interno_de_trabajo.pdf;

(anexo 6) se expresa como obligación de los trabajadores lo siguiente: “CAPITULO X PRESCRIPCIONES DE ORDEN “Por la cual se impone una sanción administrativa” HOJA N, ARTÍCULO 49. Los trabajadores tienen como deberes generales los siguientes: 1. Respeto al direccionamiento de la Universidad, sus Fundamentos, Principios y Compromisos de la Misión y fines estatutarios. 2.

Respeto y acatamiento de las normas de los Estatutos, Reglamentos y demás disposiciones reglamentarias de la Universidad. Analizado el presente caso observamos que el actuar de las trabajadoras arriba relacionadas, evidencia una omisión a sus obligaciones como trabajadoras, en cuanto a no seguir la normatividad interna en materia de habeas data que enunciamos en los numerales 1 y 2 del presente escrito, al no haber acatado el procedimiento de las normas internas en materia de habeas data de la Universidad ( resolución de Vicepresidencia No 0043 del 21 de noviembre de 2017 –Envío de correos masivos-) y haber solicitado oportunamente al destinatario del dirección electrónica si deseaba o no recibir información sobre la oferta académica de la Universidad ( Acuerdo de Sala de Gobierno NO 002 de septiembre 4 de 2013).

Tal actuación se desarrolló sin que la misma fuera conocida hasta la fecha de este requerimiento por parte de la Universidad Católica de Colombia. (anexo 5). e- Como consecuencia de lo anterior se inició la actuación disciplinaria correspondiente y se adelantó el respectivo proceso contra las dos funcionarias involucradas en las actividades objeto de investigación y el resultado fue la amonestación a ambas la cual se documenta en los dos comunicados emitidos coordinadamente por parte de la Vicerrectoría de Talento Humano y la Vicerrectoría Jurídica de la Universidad; los cuales se anexan al presente escrito, documentos que se entregaron y dieron a conocer personalmente a las funcionarias; además de reposar en la hoja de vida laboral de las funcionarias, en los cuales se advierte del incumplimiento a las normas vigentes en materia de habeas data tanto a nivel nacional como institucional y que en todo caso deberán estar atentas a la decisión que adopte la Superintendencia de Industria y comercio sobre el caso en particular para que se defina su situación frente a la Universidad.

( Se anexa a los presentes descargos, en formato digital copia simple de la amonestación a las funcionarias involucradas en el presente asunto- ANEXO DIGITAL 2-3). 3- En cuanto al numeral octavo de la parte considerativa de la resolución objeto de respuesta en el presente escrito consideramos oportuno manifestar que tal como se indicó en la respuesta al requerimiento Radicado No 19-178107-3-0, actuación No 441, por parte de la Oficina de Registro y Control de la Universidad, la actuación de las funcionarias no se reflejó en la admisión por transferencia de algún estudiante de la Universidad a la cual pertenecían los datos que se trataron de manera irregular por parte de las funcionaras previamente mencionadas, solicitamos se tenga en cuenta la certificación allegada en el anexo 10 de respuesta al requerimiento Radicado No 19178107-3-0, lo anterior con el fin de evidenciar que la actuación desplegada tampoco represento un beneficio económico para la Universidad En cumplimiento por lo preceptuado por la Resolución objeto de respuesta en su artículo 4, adjuntamos la información de estados financieros de la Universidad “Por la cual se impone una sanción administrativa” HOJA N, Correspondiente a los últimos tres años (Se anexa a los presentes descargos, en formato digital copia simple de los estados ANEXO DIGITAL 4,5,6). 4- Consideraciones finales, además de los aspectos previamente mencionados frente a los cargos enunciados y frente a los cuales se ha dado respuesta la Universidad desea manifestar y poner en evidencia los siguientes hechos: a) La Situación que ha motivado la presente investigación, hace necesario reiterar que la Universidad Católica ha mantenido una actitud garantista y vigilante frente a la protección de los datos personales de los miembros de la Institución, aspirantes y público en general, prueba de esta manifestación se encuentra en los siguientes hechos: -Esta es la primera vez que desde la expedición de la ley 1581 de 2012 y las demás normas que la han desarrollado la Universidad ha tenido que ser requerida o investigada por la Superintendencia de Industria y Comercio, situación que acredita nuestro compromiso y coherencia con la protección de datos personales. - Con el fin de ser diligentes en cuanto a la protección de datos personales hemos realizado hasta la fecha 4 consultas a la Superintendencia con el fin de tener desde la máxima autoridad nacional en el asunto, información sobre las mejores prácticas en esta materia, adjuntamos copia de las respuestas remitidas.

(anexo 8 respuesta al requerimiento Radicado No 19-178107-3-0, actuación No 441). -La Universidad ha cumplido de manera coherente con su misión y visión con las obligaciones legales de protección de los datos personales de quienes interactúan con ella y ha sido diligente en este aspecto, tal como se puede evidenciar en los registros de bases de datos ante la Superintendencia que se han realizado de manera oportuna conforme a los plazos legales establecidos. - La Universidad cuenta con el sitio web de habeas data desde el año 2015, disponible para los miembros de la Universidad tanto administrativos como académicos; con un aula virtual en esta materia en la cual se puede tener acceso a la normatividad nacional e interna sobre el asunto.

Incorporamos a continuación la ruta de ingreso al aula y su contenido: “Por la cual se impone una sanción administrativa” HOJA N, “Por la cual se impone una sanción administrativa” HOJA N, HOJA N, “Por la cual se impone una sanción administrativa” - No obstante, lo anterior siempre estamos dispuestos a implementar acciones de mejora pues se trata de garantizar derechos de rango constitucional y por tanto entendemos su carácter dinámico, como consecuencia de lo anterior se ha dispuesto que: - Desde la fecha de recibo del requerimiento Radicado No 19-178107-3-0, actuación No 441 se estableció que cuando se aleguen datos personales por referidos previo a contactar y enviar alguna información a los datos de contacto suministrado se consultará al titular sobre si autoriza o no él envió de información académica y el tratamiento de sus datos personales con los fines académicos propios de la Universidad. - Con ocasión de los hallazgos descritos y en vista de las evidencias acerca de la presunta responsabilidad de las funcionarias mencionadas, la Universidad adelantó los procesos disciplinarios conforme al reglamento interno de trabajo SEXTO: Que mediante Resolución No. 41667 del 6 de julio de 2021, se incorporaron pruebas, se prescindió del término para el periodo probatorio y se corrió traslado para alegar.

SÉPTIMO: Que la Resolución No. 41667 del 6 de julio de 2021 fue notificada el 7 de julio de 2021, de conformidad con la certificación radicada bajo el número 20-454374- -19 del 21 de julio de 2021 expedida por la Secretaría General Ad- Hoc de esta Superintendencia. Que, durante el término establecido por esta Dirección para que la investigada rindiera alegatos de conclusión, la investigada guardó silencio.

OCTAVO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto se refiere a la actividad de administración de datos personales que se regula en la mencionada Ley.

NOVENO: Análisis del caso 9.1 Adecuación típica La Corte Constitucional en Sentencia C-748 de 2011 1 estableció lo siguiente respecto del principio de tipicidad en materia de derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 ibídem, y el literal c) del artículo 4 de la misma ley, como también el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015;(ii) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.. 1 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

“Por la cual se impone una sanción administrativa” HOJA N, En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada tanto en su escrito de descargos,, así como el conjunto de pruebas allegadas al expediente. 9.2 Valoración probatoria y conclusiones 9.2.1 Respecto al deber de solicitar y conservar la respectiva autorización otorgada por el titular El artículo 15 de la Constitución Política, establece que “[t]odas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar.

De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”. Dicha norma establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos.

En desarrollo de lo anterior, el literal b) del artículo 17 la Ley 1581 de 2012 le impone a los Responsables del Tratamiento de Datos Personales el deber de “[s]olicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”; Respecto de la autorización para el tratamiento de datos personales, el artículo 9 de la mencionada Ley, dispone: ARTÍCULO 9o.

AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. El Decreto 1074 de 2015, a través de los artículos 2.2.2.25.2.4 y 2.2.2.25.2.5 en lo que tiene que ver con el modo de obtener la autorización y su prueba, dispone lo siguiente: “Artículo 2.2.2.25.2.4.

Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.2.1, del presente Decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.

Artículo 2.2.2.25.2.1 Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los titulares de datos personales para el Tratamiento de los mismos”. Por su parte el artículo 10 de la Ley 1581 de 2012, dispone lo siguiente: “ARTÍCULO

10. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓN. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.

Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley”. “Por la cual se impone una sanción administrativa” HOJA N, De conformidad con las normas anteriormente citadas, el Responsable del tratamiento debe solicitar al titular de la información la respectiva autorización, que no es otra que poner en conocimiento que sus datos personales serán tratados conforme a las normas legales; dicha autorización debe ser solicitada en todos los casos excepto aquellos que estén relacionados en el ya citado artículo 10 de la Ley 1581 de 2012.

Aterrizando las anteriores consideraciones al caso en cuestión se tiene que en etapa de indagación preliminar, mediante Radicado 19-178107-3 de 19 de septiembre del 2019 obrante bajo radicado 20-454374-1, esta Dirección requirió a la investigada con el fin de que acreditara prueba de la autorización, previa expresa e informada otorgada por el denunciante el señor UUUU UUUUUUUU UUUUUUUUU, respecto al tratamiento de sus datos personales.

En respuesta al anterior requerimiento, la Denunciada manifestó que no cuenta con la autorización del Denunciante para el tratamiento de sus datos personales, toda vez que fue una actuación irregular de funcionarias de la Universidad, proceder que desconocía y en consecuencia no obró en calidad de Responsable ni de Encargada. Al Respecto, preliminarmente se encontró que la sociedad investigada realizó tratamiento de datos personales enviando a la dirección electrónica del denunciante información publicitaria desde el correo institucional ssssssccccccccccccccccccccccc, sin presuntamente contar con la autorización previa, expresa e informada del titular tal como se visualiza a continuación: (…) “Por la cual se impone una sanción administrativa” HOJA N, Al respecto, la UNIVERSIDAD CATÓLICA DE COLOMBIA en su escrito de descargos manifiesta que “la Universidad no puede ser considerada como responsable o encargada del tratamiento de datos personales del Señor 000000o, ya que el actuar de las funcionarias previamente citadas ocurrió en contravención de la totalidad de procedimientos y directivas institucionales sobre habeas data y como se presentó en el anexo, la información que fue objeto de tratamiento ingresó al ámbito institucional por medio del manejo de una base de datos desde un correo personal de la funcionaria Aaa aaaaaaaa aaaaaaaaa aaaaaaa( 9999999999999999), desde el cual se recibió una base de datos en la cual se encontraban los datos del señor iiiiiiiiiii, la señora 333 3333333 ignoró las disposiciones de la Universidad en materia de habeas data y procedió a remitir desde su correo institucional dicha base de datos a la funcionaria Ssssss ssssss ssssssssss” Respecto a lo anterior es pertinente traer a colación la definición de responsable que trae el literal e del articulo 3 de la Ley 1581 de 2012 en la cual se establece lo siguiente: e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;

Lo anterior significa que es Responsable del Tratamiento la personal natural o jurídica, pública o privada que por sí misma o en asocio con otros determine de hecho o de derecho los fines del tratamiento y los medios para alcanzarlos. Igualmente, respecto al caso en cuestión la investigada ha manifestado en su escrito de descargos que: “Desde el dirección electrónica de 0.000.0000.000oooooooooooo; 77777777 66666666 7777777, quien al consultar la página web de la Fundación Universidad Autónoma de Colombia se desempeñaba como Director del programa de Economía de la Fundación Universitaria Autónoma de Colombia, se envió mensaje el día miércoles, julio 17, 2019, 2:10 p. m., dirigido a la Decana de la Facultad de Ciencias Económicas y Administrativas de la Universidad Católica;

AAA AAAAAAAA AAAAAAAAA AAAAAAAa su dirección personal de correo electrónico: ooooooopooooooopooooo en el que en archivo digital en Excel se encuentra una base de datos denominada como: “créditos vs matriculados economía 2019” de estudiantes de dicha Universidad en la cual en la columna Q, fila 86, se encuentran los siguientes campos relacionados con los datos personales de UUUU UUUUUUUU UUUUUUUUUSON, asi: Cred. Matr, Tot cred a cursar segun plan, Crd apro, acumula aprob, Porcentaje de aprobación, Nivel aprobado,Doc ID, Tp Doc ID, Nombre, Sexo, Correo- E, Teléfono.” Al respecto se aclara que independientemente de la manera en la que fueron conocidos los datos personales del denunciante, el hecho es que se encuentra demostrado que se realizó tratamiento del dirección electrónica ssssssccccccccccccccccccc a través del correo ssssssccccccccccccccccccccccc, por lo anterior esta Dirección encuentra necesario determinar: (i) el concepto de dato personal y el análisis del dirección electrónica institucional educativo, con el fin de esclarecer que el dirección electrónica es un dato personal semiprivado; y (ii) el actuar de la sociedad investigada previo a la ocurrencia de los hechos objeto de denuncia, con el fin de esclarecer si la sociedad contaba con las medidas técnicas, humanas y administrativas necesarias para evitar que sucedieran los hechos objeto de denuncia. “Por la cual se impone una sanción administrativa” HOJA N, 9.2.1.1 Concepto de dato personal y análisis del correo electrónico Para determinar el alcance del concepto de “dato personal”, se hace necesario traer a colación la definición del literal c) del artículo 3 de la Ley 1581 de 2012, conforme con el cual, el dato personal es “(c)ualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables”.

Para la Corte Constitucional, el dato personal goza de las siguientes características en contraposición al dato impersonal: “i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación” Como se observa, el dato personal conlleva un componente (en mayor o menor medida) que contribuye a la identificación de una persona y está circunscrito a aspectos propios de su titular, lo cual, además, le brinda un grado tal de individualización que lo hace excluyente respecto de la información recogida de personas distintas.

En otras palabras, el dato personal determina o permite determinar al titular del mismo a partir de su individualización. En concreto, el correo electrónico, como servicio de red que permite recibir y enviar mensajes a través de sistemas de comunicación electrónica, requiere, para su funcionamiento, que el mismo se dirija a un destinatario para cumplir con su finalidad comunicativa, esto es, debe remitirse a una persona o institución específica.

Este destinatario es entonces el dueño o administrador de la cuenta de correo, pues es él quien tiene acceso a la misma y puede verificar el contenido del mensaje de datos. Ahora, la dirección de correo puede componerse de signos, números o palabras elegidas por el dueño de la cuenta, la cual, en muchas ocasiones puede referirse al nombre o apellidos del titular, por lo cual es claro que con la sola dirección electrónica puede identificarse a una persona natural.

Piénsese por ejemplo en una cuenta de correo que se denomine “pedroperez@gobierno.com.co”, es claro que si se fracciona dicha dirección entre el dominio de primer nivel2 y el de segundo3 podría llegar a concluirse que el dueño de la cuenta responde al nombre de “Pedro Pérez”, y que trabaja en el gobierno colombiano. Bajo esta hipótesis es evidente que la dirección electrónica debe considerarse un dato personal.

Sin embargo, también puede darse un supuesto en que el nombre de usuario sea creado de tal forma que resulte siendo una frase sin un significado fácilmente atribuible o que no identifique al titular de la cuenta. En todo caso, en esta hipótesis también estamos en presencia de un dato personal, pues la dirección de dirección electrónica debe aparecer asociada a un dominio específico, como por ejemplo el caso de los correos institucionales como “@sic.gov.co”, evento en el cual reiteramos solamente se requerirá acceder al servidor que gestione dicho dominio (en el ejemplo sería el de la Superintendencia de Industria y Comercio) para establecer la titularidad de la cuenta.

Por lo mencionado, es claro que los correos electrónicos tienen la connotación de dato personal al poder asociarse a una persona natural, por lo que su tratamiento es regulado por la Ley 1581 de 2012 y la vigilancia y control del mismo es competencia de este Despacho. Dominios de primer nivel son las extensiones de ámbito genérico, diferenciados por la finalidad del uso que se les dará. En éstos también están incluidos los ccTLD, los respectivos a los países como.es,.it o.fr para España, Italia y Francia respectivamente”.

En el texto: internetlab.es. (2009). Clases de dominios: de primer, segundo y tercer nivel - internetlab.es. (online) Disponible en: http://www.internetlab.es/post/75/clases-dedominios-de-primer-segundo-y-tercer-nivel/ (Recuperado el 1 de diciembre de 2021). HOJA N, “Por la cual se impone una sanción administrativa” Ahora bien, la dirección electrónica tratado en el caso bajo estudio es ssssssccccccccccccccccccc, respecto del cual se puede identificar el nombre y apellido del titular, así como la institución a la que pertenece.

Es importante aclarar que hay diferentes clasificaciones del dato personal, y al respecto la Corte Constitucional en Sentencia C-748 de 2011 señaló: “En primer lugar, la clasificación de los datos personales en públicos, semiprivados y privados o sensibles, es solamente una posible forma de categorizar los datos, pero no la única; otras clasificaciones podrían ser producto de criterios diferentes al grado de aceptabilidad de la divulgación del dato.

El legislador, por tanto, tiene libertad para elegir o no elegir una categorización. Ahora bien, es cierto que el propio legislador estatutario adoptó algunas de estas clasificaciones, como la de datos sensibles, cuyo tratamiento se prohíbe con algunas excepciones en el artículo 6 del proyecto. Para poder dar sentido a este precepto, a juicio de la Sala, basta con acudir a las definiciones elaboradas por la jurisprudencia constitucional o a las definiciones de otros preceptos legales, como la Ley 1266, cuyo artículo 3 dispone: “f) Dato público.

Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas; g) Dato semiprivado.

Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley. h) Dato privado.

Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular.” En este orden de ideas, dado que la clasificación de los datos personales no es un elemento indispensable de la regulación y, dicho vacío en todo caso puede ser remediado acudiendo a la jurisprudencia constitucional y a otras definiciones legales, especialmente al artículo 3 de la Ley 1266, en virtud del principio de conservación del derecho, el literal c) será declarado exequible en este respecto.”4 Así mismo, la Ley 1581, en su artículo 10 estableció los casos en que no es necesaria la autorización para realizar el tratamiento de los datos personales, entre estos está el tratamiento de datos de naturaleza pública 5, aclarando que en todo caso deberá cumplir con las demás disposiciones establecidas en la Ley 1581 de 2012.

Ahora bien, es claro que los datos públicos son todos aquellos que no sean semiprivados o privados, los relativos al estado civil de las personas, a su profesión u oficio ya su calidad de comerciante o de servidor público, en consecuencia, se concluye que el dirección electrónica institucional educativo ssssssccccccccccccccccccc es un dato semiprivado, en la medida en que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el 4 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

“Artículo 10. Casos en que no es necesaria la autorización. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.

Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley.” “Por la cual se impone una sanción administrativa” HOJA N, dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley. Teniendo claro que la dirección electrónica del denunciante es un dato semiprivado, previo al tratamiento de este se debe solicitar y conservar copia de la autorización previa, expresa e informada. 9.2.1.2 Respecto del actuar de la investigada previo a la fecha de los hechos denunciados En línea con lo anterior, esta Dirección precisa que si bien, la investigada manifiesta en su escrito de descargos que no era la Responsable del tratamiento de datos y que quien cometió la conducta infractora fueron sus funcionarias, lo cierto es que, con base en las pruebas allegadas al expediente se tiene que los datos del Titular entraron dentro del dominio de la investigada por medio de sus funcionarias, y quienes posteriormente desde los correos institucionales trataron los datos personales del señor UUUU UUUUUUUU UUUUUUUUU en nombre de la investigada.

Igualmente se resalta que las funcionarias involucradas en este caso fueron elegidas y contratadas por la UNIVERSIDAD CATÓLICA DE COLOMBIA, institución que debe procurar que todos sus funcionarios cumplan y respeten las disposiciones de habeas data, pues están actuando en su nombre frente a terceros, como ocurrió en el caso del señor UUUU UUUUUUUU UUUUUUUUUU.

Ahora bien, analizando los argumentos y pruebas aportadas dentro del expediente se encuentra que la institución investigada hace mención de varios Acuerdos y Resoluciones como prueba de las medidas adoptadas en aras de evitar el uso inadecuado de datos personales. La investigada aportó lo siguientes documentos: a. Acuerdo N° 002 “Por el cual se aprueba la Política de Tratamiento de Datos Personales, expedido en el año 2013. b. Resolución 017 “Por la cual se establece el procedimiento para hacer uso de las bases de datos”, expedida en el año 2014 c. Acuerdo N° 002 “Por el cual se establecen las directrices generales para el uso de las tecnologías de la información y comunicaciones-TIC- en la Universidad Católica de Colombia”, expedido en el año 2016 d. Acuerdo N° 006 “Por el cual se establece la política y se aprueba el Manual para la atención de peticiones, quejas, reclamos, sugerencias y felicitaciones en la Universidad Católica de Colombia”, expedido en el año 2016 e. Resolución 008 “Por el cual se adoptan los términos y condiciones de uso de Sitio Web de la Universidad Católica de Colombia y sus páginas complementarias: micrositios y páginas de aterrizaje”, expedida en el año 2017 f. Resolución No. 043 – 21 De noviembre “Por La Cual Se Establece El Procedimiento De Comunicación Y Relaciones Con Los Públicos Internos – Correos Masivos”, expedida en el año 2017 g. Resolución 044 “Mediante el cual se establece el procedimiento para consulta de información almacenada en el sistema de vídeo vigilancia de la Universidad Católica de Colombia”, expedida en el año 2017 Del análisis de los documentos previamente referidos se encuentra que su expedición se dio con anterioridad a los hechos ocurridos y, algunos, contienen lineamientos generales relacionados con el tratamiento de datos personales orientados a que se haga un uso adecuado de la información y datos personales, otros documentos contienen directrices para el uso de bases de datos internas y otros no se relacionan directamente con los hechos ocurridos en este caso.

No obstante lo anterior se encontró que en la Resolución No. 043 – 21 de Noviembre “Por La Cual Se Establece El Procedimiento De Comunicación Y Relaciones Con Los Públicos Internos – Correos Masivos”, expedida en el año 2017 se dan pautas para el envío de correos electrónicos en los siguientes términos: “Por la cual se impone una sanción administrativa” HOJA N, De lo expuesto previamente se tiene que en este documento no contiene lineamientos como medidas, controles o parámetros relacionados con la autorización previa de los Titulares de los datos personales que recibirán los correos electrónicos masivos, segmentados o dirigidos a bases de datos internas o externas.

Este documento establece una serie de requisitos internos que deben seguirse, así como el uso adecuado de imágenes, logos y eventos. No obstante, no se advierte en ninguna parte que el emisor de los correos deba validar o consultar a otra área interna si se cuenta con autorización previa, expresa e informada por parte del Titular de los datos.

De igual forma este Despacho procedió a analizar si la investigada cuenta con otras medidas implementadas, tales como campañas de concientización en protección de datos personales, o por ejemplo capacitaciones a los empleados sobre la Ley 1581 de 2012. Al respecto la investigada afirma que cuenta con un sitio web de habeas data del año 2015 disponible para los miembros de la Universidad tanto administrativos como académicos; con un aula virtual en esta materia en la cual se puede tener acceso a la normatividad nacional e interna sobre el asunto.

A pesar de lo anterior no se adjunta soporte de que las funcionarias que dieron origen a la presenta actuación administrativa hubieran participado en el aula virtual. En este mismo sentido esta Dirección procedió analizar la planilla de asistencia a las charlas de habeas data impartidas en la Universidad por la Superintendencia. De este documento se desprende que el 20 de marzo de 2019, con anterioridad a la ocurrencia de los hechos, la funcionaria ffffffffffffffffffffffffffff.

No obstante, lo anterior no obra en el expediente prueba alguna de que se hayan dado capacitaciones a la funcionaria uuuuuuuuuuuuuuuuuu quien fue la primera persona en hacer uso de los datos personales del denunciante sin su autorización. “Por la cual se impone una sanción administrativa” HOJA N, Por lo anterior, se concluye que la investigada cuenta con medidas y directrices orientadas a respetar el derecho al habeas data.

Sin embargo, dichas medidas no fueron suficientes para evitar que los hechos objeto de denuncia sucedieran y en consecuencia no puede pretender desligarse de la responsabilidad de los hechos siendo que la dirección electrónica en el que se evidencia el tratamiento de datos personales del denunciante fue enviado a través del correo institucional ssssssccccccccccccccccccccccc y en consecuencia, debe acreditar contar con la autorización previa al tratamiento.

Por lo anterior se tiene que la UNIVERSIDAD CATÓLICA DE COLOMBIA actuó en calidad de Responsable del tratamiento de los datos del Titular, Señor UUUU UUUUUUUU UUUUUUUUUU, tales como nombre, sexo, dirección electrónica y teléfono, tal como se puede evidenciar del dirección electrónica personal de la Decana de la Facultad de Económica de la Universidad Católica VVV VVVVVVVV VVVVVVVVV VVVVVVV, quien posteriormente utilizó la mencionada información para el envío de información publicitaría desde el dirección electrónica institucional.

No obstante, lo anterior se aclara que esta Superintendencia no reprochará el tratamiento de otros datos distintos a la dirección electrónica del Titular, pues en el expediente no obran pruebas de que la investigada hubiera hecho tratamiento de los demás datos del denunciante. En conclusión, tras el estudio de los argumentos presentados por la investigada y las pruebas aportadas dentro del expediente, entre las que no obra la autorización para el tratamiento de datos personales otorgada por el Titular, se tiene que la UNIVERSIDAD CATÓLICA DE COLOMBIA si actuó como responsable del tratamiento de los datos personales, no contaba con las medidas adecuadas para evitar que los hechos ocurridos tuvieran lugar y que, además no contaba con la autorización del señor UUUU UUUUUUUU UUUUUUUUUU, infringiendo lo dispuesto en el Literal b) del artículo 17 de la Ley 1581 del 2012, en concordancia con el artículo 9 y el literal c) del artículo 4 de la misma Ley, como también el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 del 2015. 9.2.2 Respecto al deber de Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada El literal c) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;

(…)” El precepto consagrado en el literal c) del artículo 17 de la Ley 1581 de 2012 hace referencia al deber de Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, dicho precepto se armoniza con el principio de finalidad, contenido en el literal b) del artículo 4 de la misma disposición y el literal a) del artículo 12 de la Ley Estatutaria.

Esta normatividad, a su vez, ha sido objeto de especial atención por parte de la Corte Constitucional, tal como quedó reflejado en la Sentencia C-748 de 2011, así: “En el título VI, “DE LOS DEBERES DE LOS RESPONSABLES Y ENCARGADOS DEL TRATAMIENTO DEL DATO”, el legislador enlistó en preceptos separados los deberes de los responsables y de los encargados del tratamiento.

Los deberes enumerados, en términos generales, buscan garantizar el pleno ejercicio del derecho al habeas data por parte de los titulares (…). Estos deberes hacen referencia, según el sujeto concernido, a lo siguiente: (…) Específicamente se dispone que son deberes de esta parte de la relación: (i) Solicitar y conservar la autorización para el tratamiento del dato -en los términos descritos previamente, lo que se ajusta plenamente al principio de libertad y consentimiento expreso del titular del “Por la cual se impone una sanción administrativa” HOJA N, dato.

(ii) Informar al titular la finalidad de esa autorización y actuar en consecuencia; por tanto, el responsable no puede conducirse por fuera de los lineamientos de la autorización.” En referencia al principio de finalidad, este se traduce en el deber de informar al Titular lo que se pretende hacer con su información y se encuentra contenido en el artículo 12 de la Ley 1581 de 2012, así: “Artículo 12.

Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” Parágrafo.

El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” Como puede observarse, el principio de finalidad, que se encuentra íntimamente ligado al principio de libertad, impone unos límites al tratamiento de los datos que están siendo administrados por el Responsable; dichos límites se derivan de la naturaleza de la información y del uso que se dará a los datos recolectados.

En palabras de la Corte Constitucional “(…) [t]anto el acopio, el procesamiento y la divulgación de datos personales, debe obedecer a una finalidad constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista (…)”. 6 Dicho principio se hace efectivo al momento en que se solicita autorización al Titular, pues es allí en que se cumple el término máximo para informarle al Titular los fines de la recolección de su información, ya que como lo dispuso el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015 “[e]l Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento” Ahora bien, abordando estos aspectos la Corte Constitucional en Sentencia C-748 de 2011, expuso lo siguiente: “(…) La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos.

Sin embargo, debe hacerse algunas precisiones. Por una parte, los datos personales deben ser con un propósito específico y explícito. En este sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos.

Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad autorizada. Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato.

Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular. Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un Sentencia C-748 del 06 de octubre de 2011.

Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb “Por la cual se impone una sanción administrativa” HOJA N, ámbito temporal, es decir que el periodo de conservación de los datos personales n exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas (…)”.

Frente al cargo objeto de estudio preliminarmente se encontró que la entidad UNIVERSIDAD CATÓLICA DE COLOMBIA, hizo presuntamente tratamiento indebido, a través de la dirección electrónica ssssssccccccccccccccccccccccc, de los datos personales del Denunciante, específicamente su dirección electrónica institucional ssssssccccccccccccccccccc, sin informarle la finalidad, los derechos que le asistían como Titular y el tratamiento que serían sometidos sus datos personales.

Igualmente, se advirtió que de los documentos aportados por la investigada en etapa de indagación preliminar, no queda claro que la persona o personas que administraba el correo institucional: ssssssccccccccccccccccccccccc, desde el cual se envió la oferta educativa de pregrado en Economía, el día 17 de julio de 2019 a las 6:16 pm al correo institucional del Denunciante; hayan asistido a las capacitaciones periódicas sobre protección de datos personales, así como sobre el tratamiento de dirección de correos electrónicos y sobre la finalidad del tratamiento de los datos personales recolectados.

Así como tampoco se encontró preliminarmente que la sociedad hubiera informado al titular UUUU UUUUUUUU UUUUUUUUU el Tratamiento al cual serían sometidos sus datos personales y la finalidad del mismo, los derechos que le asisten como Titular y la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento, de acuerdo a lo establecido en el artículo 12 de la Ley 1581 de 2012.

Al respecto, la investigada manifestó que “consideramos necesario precisar que la afirmación del cargo segundo de la Resolución objeto de descargos debería considerarse, toda vez que la Universidad si cuenta con canales para informar a los titulares de datos personales acerca de la finalidad del tratamiento de los mismos y los mecanismos para ejercer los derechos que como titulares les asisten a saber: el de conocer actualizar o rectificar cualquier tipo de información personal que sea objeto de tratamiento.

Cabe enunciar que la Política de habeas data se encuentra a disposición de los interesados en el sitio web de la Universidad Católica de Colombia, donde pueden establecer la finalidad de la recolección de datos y los derechos que como titulares les asisten” Por lo anterior se tiene que, si bien la UNIVERSIDAD CATÓLICA DE COLOMBIA cuenta con información publicada en diferentes canales, entre los que se encuentra su página web y en la que se da a conocer a los titulares de los datos personales sobre sus derechos, lo cierto es que previo o concomitante al tratamiento de los datos personales se debe informar a los titulares el Tratamiento al cual serían sometidos sus datos personales y la finalidad del mismo, los derechos que le asisten como Titular y la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

Adicionalmente, se deben tomar las medidas necesarias para garantizar que el Titular de los datos sea informado, de conformidad con el artículo 12 de la Ley 1581 de 2012. En este punto es importante resaltar lo establecido en el parágrafo del artículo 12 de la Ley 1581 de 2012, que señala: “Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” En consecuencia, no es solo el hecho de publicar en su página web o en otros canales, sino que debe utilizar un medio que permita conservar prueba del cumplimiento de este deber respecto de cada uno de los titulares y de manera previa al tratamiento de datos.

Por lo que en el caso bajo estudio se encuentra que no logró acreditar que informó al señor gggggggg gggggg gggg, previo al tratamiento, lo siguiente: (i) el Tratamiento al cual serían sometidos sus datos personales y la finalidad del mismo, (ii) los derechos que le asisten como Titular y (iii) la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento “Por la cual se impone una sanción administrativa” HOJA N, Finalmente, tras el estudio de los argumentos presentados por la investigada y las pruebas que obran en el expediente se tiene que la investigada no informó al señor UUUU UUUUUUUU UUUUUUUUUU, Denunciante y Titular sobre la finalidad de la recolección de sus datos y los derechos que le asisten como Titulares, previo al tratamiento de sus datos el 17 de julio de 2019; lo cual se subsume típicamente en una presunta infracción a lo dispuesto en el literal c) del artículo 17 en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

DÉCIMO: Que el parágrafo del artículo 2 de la Ley 1581 de 2012 señala que los principios sobre protección de datos serán aplicables a todas las bases de datos incluidas las exceptuadas en el mismo artículo. De ahí que es procedente solicitar a la investigada que garantice el cumplimiento del principio de responsabilidad demostrada desarrollado en el artículo 2.2.2.25.6.1 y subsiguiente del Decreto Único Reglamentario 1074 de 2015.

Al respecto, es oportuno resaltar lo conceptuado en la Resolución No. 83882 del 15 de noviembre de 2018, emanada del Despacho del Superintendente Delegado para la Protección de Datos Personales, respecto de la responsabilidad de los administradores, acto administrativo en el que se señaló lo siguiente: “(…) 6.1. Responsabilidad de los administradores en materia de tratamiento de datos personales.

El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.

La efectividad de los derechos humanos es un asunta de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.

En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.

En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas.

Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la ley 222 de 1995 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias” (subrayamos) “Por la cual se impone una sanción administrativa” HOJA N, (…) Nótese que el artículo 24 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”.

En virtud de lo anterior, EXHORTAMOS a los Representantes Legales de la UNIVERSIDAD CATÓLICA DE COLOMBIA para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1. Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2. Respetar y garantizar los derechos de los Titulares de los datos. 3.

Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4. Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales, especialmente los de acceso y circulación restringida, confidencialidad y necesidad.

(se indican los principios que se adecuen al caso específico). 5. Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

DÉCIMO PRIMERO: Imposición y graduación de la sanción 11.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 23 7. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 2 8, 4 9 y 6 10 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo11.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración 7Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) 9 Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.

(negrita añadida) 10 Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones. (negrita añadida) 11 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000);

Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). “Por la cual se impone una sanción administrativa” HOJA N, entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”12 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional13.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En efecto, el artículo 26 de la Ley 152 de 1994 dispone: “Con base en el Plan Nacional de Desarrollo aprobado, cada uno de los organismos públicos de todo orden a los que se aplica esta Ley preparará su correspondiente plan de acción. En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV.” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Tributario (UVT).

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2022 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional 14 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). 12 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000).

Considerando 5.5.2. Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. 14 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) “Por la cual se impone una sanción administrativa” HOJA N, De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”15 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 23 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros16. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”17.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia18. 15 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 16 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 17 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 18 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm “Por la cual se impone una sanción administrativa” HOJA N, La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2319 de la misma.

Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Ley 1581 de 2012, artículo 24: “Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 11.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012.

Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “El artículo 23 del proyecto establece las sanciones que puede aplicar la Superintendencia de Industria y Comercio a los responsables del tratamiento y encargados del tratamiento, dentro de las cuales contempla las multas, la suspensión de las actividades relacionadas con el tratamiento, el cierre temporal de las operaciones relacionadas con el tratamiento y finalmente el cierre inmediato y definitivo de la operación: Esta norma constituye una disposición de carácter sancionatorio y por ello debe cumplir con todos los principios propios del debido proceso sancionador contemplados en la Constitución Política y reconocidos por la jurisprudencia de esta Corporación: En primer lugar, el principio de legalidad, de acuerdo con el cual: “las conductas sancionables no sólo deben estar descritas en norma previa sino que, además, deben tener un fundamento legal, por lo cual su definición no puede ser delegada en la autoridad administrativa”.

Este axioma tiene una interpretación menos rigurosa en el Derecho administrativo sancionador que en el Derecho penal, pues es posible una flexibilización razonable de la descripción típica: “Ha reiterado la Corte, que en el derecho administrativo sancionador "aunque la tipicidad hace parte del derecho al debido proceso en toda actuación administrativa, no es demandable en este campo el mismo grado de rigurosidad que se exige en materia penal”, por cuanto la naturaleza de las conductas reprimidas, los bienes jurídicos involucrados y la teleología de las facultades sancionadoras en estos casos, hacen posible también una flexibilización razonable de la descripción típica, en todo caso, siempre erradicando e impidiendo la arbitrariedad y el autoritarismo, que se haga prevalecer los principios de legalidad y de justicia social, así como los demás principios y fines del Estado, y que se 19 Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción administrativa” HOJA N, asegure los derechos constitucionales, los intereses legítimos y los derechos de origen legal o convencional de todas las personas”.

Esta norma cumple con el principio de tipicidad, para lo cual debe interpretarse conjuntamente con el artículo 22 de la futura ley estatutaria, que establece la posibilidad de imponer sanciones cuando se hayan incumplido las disposiciones de esta ley. En este sentido, el supuesto de hecho que completa la norma jurídica sancionatoria está constituido por la infracción de las disposiciones de la futura ley estatutaria por la cual se dictan disposiciones generales para la protección de datos personales.

(…) 20 Conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y adecuada, de modo que logre la equidad entre el hecho constitutivo de la infracción, en este caso la renuencia o desacato al cumplimiento de una orden administrativa y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “(…) En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad. (…)” 21 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la comisión de la acción de renuencia o desacato que desencadene en incumplimiento de lo ordenado por la autoridad administrativa, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine, está probado el actuar contrario a la Ley 1581 de 2012 por las razones que a continuación se exponen: i) La UNIVERSIDAD CATÓLICA DE COLOMBIA no contaba con las medidas adecuadas para evitar que los hechos ocurridos tuvieran lugar por lo tanto es Responsable del dirección electrónica enviado al denunciante, a través del cual se realizó tratamiento de sus datos personales, sin acreditar contar con la autorización del señor jjjjjjjjjjjjjjiiiiiiiiiiiiiiiiiiiiiiiiiiiiiijjj, infringiendo lo dispuesto en el Literal b) del artículo 17 de la Ley 1581 del 2012, en concordancia con el artículo 9 y el literal c) del artículo 4 de la misma Ley, como también el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 del 2015. ii) En el caso bajo estudio se encuentra que la UNIVERSIDAD CATÓLICA DE COLOMBIA no logró acreditar que informó al señor hhhhhhhhhhhhhhhhjjjjjjjjjjjj, previo al tratamiento, sobre el propio tratamiento al cual serían sometidos sus datos personales y la finalidad del mismo, (los derechos que le asisten como Titular, la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. iii) Por los motivos previamente expuestos, se impondrá sanción por parte de esta Dirección, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, de una multa de CINCUENTA Y TRES MILLONES DOSCIENTOS 20Corte Constitucional, Sentencia C-748 de 2011, M.P: Jorge Ignacio Pretelt Chaljub.

FJ: 2.22.3. 21 Corte Constitucional. Sentencia C-125 de 2003. M.P: Marco Gerardo Monroy Cabra. FJ: 5. “Por la cual se impone una sanción administrativa” HOJA N, CINCO MIL SEISCIENTOS PESOS M/CTE ($53.205.600) correspondiente a MIL CUATROCIENTAS UNIDADES DE VALOR TRIBUTARIO VIGENTES (1400 UVT)22. 11.1.2. Respecto de los otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones.

DÉCIMO SEGUNDO: CONCLUSIÓN  La investigada no acredito contar con la autorización para el tratamiento de datos personales otorgada por el Titular gggggggggggggggggggggg por lo que, se concluye que la UNIVERSIDAD CATÓLICA DE COLOMBIA infringió lo dispuesto en el literal b) del artículo 17 de la Ley 1581 del 2012, en concordancia con el artículo 9 y el literal c) del artículo 4 de la misma Ley, como también el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 del 2015.  La investigada no informó al señor hhhhhhhhhhhhhhhhhhhhhhhh denunciante y Titular sobre la finalidad de la recolección de sus datos y los derechos que le asisten como Titulares del tratamiento; lo cual se subsume típicamente en una presunta infracción a lo dispuesto en el literal c) del artículo 17 en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015  Una vez analizado todo el material probatorio aportado por la sociedad, se encontró que, pese a tener implementadas algunas medidas tendientes a proteger el derecho de habeas data y cumplir los lineamientos de la Ley 1581 de 2012, la sociedad no acreditó que contara con medidas suficientes para evitar que hechos como los denunciados se presentaran, esto en la medida en que las presuntas implicadas en el envío del correo no estaban debidamente capacitadas sobre el Régimen de protección de datos personales, así como las medidas, procesos y procedimientos no eran suficientes.  Adicionalmente, se encontró demostrado que a través de la dirección electrónica institucional ahhhhhhhhhhhhhhhhhhhhhh se realizó el tratamiento de la dirección electrónica institucional educativo del denunciante, dato personal semiprivado.

DÉCIMO TERCERO: Que, en virtud de la situación y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la UNIVERSIDAD CATÓLICA DE COLOMBIA, identificada con Nit. 860.028.971-9, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial de la sociedad contacto@ucatolica.edu.co, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad 22 Mediante la resolución 000140 del 25 de noviembre de 2021, la Unidad Administrativa Especial Dirección de Impuestos y Aduanas Nacionales (DIAN), dio a conocer el valor de la UVT aplicable en 2022, la cual quedó en $38.004.

“Por la cual se impone una sanción administrativa” HOJA N, contacto@ucatolica.edu.co, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda. En mérito de lo expuesto este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad UNIVERSIDAD CATÓLICA DE COLOMBIA identificada con Nit. 860.028.971-9, de CINCUENTA Y TRES MILLONES DOSCIENTOS CINCO MIL SEISCIENTOS PESOS M/CTE ($53.205.600), equivalente a MIL CUATROCIENTAS UNIDADES DE VALOR TRIBUTARIO VIGENTES (1400 UVT), por la violación a lo dispuesto en las siguientes normas:   Literal b) del artículo 17 de la Ley 1581 del 2012, en concordancia con el artículo 9 y el literal c) del artículo 4 de la misma Ley, como también el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 del 2015 Literal c) del artículo 17 en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2.

El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria. Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: EXHORTAR al señor FRANCISCO JOSÉ GÓMEZ ORTIZ, identificado con cedula de ciudadanía 80.408.455, en calidad de representante legal de la UNIVERSIDAD CATÓLICA DE COLOMBIA, identificada con Nit. 860.028.971-9 para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1. Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2.

Respetar y garantizar los derechos de los Titulares de los datos. 3. Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el Tratamiento de Datos Personales. 4. Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los Datos Personales respecto de los principios que rigen el tratamiento de datos personales, especialmente los de acceso y circulación restringida, confidencialidad y necesidad. 5.

Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad UNIVERSIDAD CATÓLICA DE COLOMBIA identificada con Nit. 860.028.971-9, a través de su Representante Legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO CUARTO: COMUNICAR al señor UUUU UUUUUUUU UUUUUUUUUSON identificado con Cédula de Ciudadanía No.0.000.0000.000, el contenido de la presente decisión. “Por la cual se impone una sanción administrativa” HOJA N, ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 28 JUNIO 2022 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR SALAZAR MUNOZ MUNOZ Fecha: 2022.06.28 11:38:19 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JIHM Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Investigada: Entidad: UNIVERSIDAD CATÓLICA DE COLOMBIA Identificación: Nit.

No.860.028.971-9 Representante Legal: jjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjj Identificación: C.C. No. hhhhhhhhhh Dirección: Avenida Caracas No. 46 – 72 Ciudad: Bogotá D.C. Correo de notificación judicial: contacto@ucatolica.edu.co COMUNICACIÓN: Señor: ggggggggggggggggggggggggggggggg Identificación: C.C. No. jjjjjjjjjjjjjjjjjjjjjjjjjjj Dirección: jjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjjj Ciudad: Bogotá D.C. Correo electrónico: kkkkkkkkkkkkkkkkk

Resolución sancionatoria N° 33153 de 2022

CONSIDERANDO

RESUELVE