Decisión 45328 de 2021 — SIC

(22 JULIO 2021) “Por la cual se impone una sanción” Radicación 18-302263 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad OCUPAR TEMPORALES S.A identificada con Nit. 800.106.404-0, en adelante “la investigada”, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos narrados por el señor XXXXXX XXXX XXXXXXX XXXXXXXXX: 1.1.

Manifestó que se presentó a un proceso de selección realizado por la sociedad OCUPAR TEMPORALES S.A., relacionado con una vacante en "la Fiduprevisora" en el mes de septiembre de 2018. 1.2. Aseguró que durante la entrevista realizada por la sociedad OCUPAR TEMPORALES S.A., una funcionaria de dicha sociedad llevó a cabo la recolección de sus datos personales a través del software "IDTALENTO”, los cuales fueron ingresados y relacionados con su hoja de vida y pruebas psicológicas. 1.3.

Aclara que le fue indicado que el procedimiento anterior era requerido para realizar el proceso de selección. Asimismo, que antes de realizar la prueba psicológica, aceptó y firmó una autorización informada respecto del manejo de sus datos personales. 1.4. No obstante, precisa que una vez terminó el proceso de selección, notó que por medio del software "IDTALENTO" sus datos personales podrían ser usados para fines comerciales, lo que alega que no se encontraba plasmado en las finalidades informadas por la sociedad OCUPAR TEMPORALES S.A. al momento de recolectar sus datos personales.

Igualmente, junto con su denuncia, el Titular aportó una captura parcial de pantalla del contenido del enlace “https://idtalento.com/inicio/terminos-y-condiciones/”, que presuntamente corresponde al espacio donde aparecen los términos y condiciones, y que es dirigido desde el sitio web del software "IDTALENTO", el cual es propiedad de la sociedad IDCORP S.A.S. En dichos términos y condiciones se especifica que los datos recolectados a través del aplicativo podrían ser usados para distintas finalidades, entre las que se destaca, dentro del texto de autorización, la siguiente: “(…) 1.

Autorización Al aceptar los presentes términos y condiciones, así como la política de privacidad y tratamiento de datos de IDCORP, El USUARIO autoriza de forma voluntaria, expresa e informada a IDCORP la recolección, registro, procesamiento, difusión y comercialización de todos los datos que de manera voluntaria el USUARIO suministro [sic] durante el registro.

( )". (Subrayado fuera de texto, negrita dentro del mismo)

SEGUNDO: Que con el propósito de precisar las circunstancias de tiempo, modo y lugar de los hechos narrados en la denuncia presentada por el señor XXXXXX XXXX XXXXXXX XXXXXXXXX, las personas naturales o jurídicas involucradas, las normas presuntamente trasgredidas y las HOJA N, “Por la cual se impone una sanción” medidas o sanciones que serían procedentes, esta Dirección, a través del Grupo de Trabajo de Investigaciones Administrativas, adelantó las siguientes averiguaciones preliminares: 2.1 Mediante oficio de radicado N°. 18-302263-4 del 30 de abril de 2019, se requirió a la sociedad IDCORP S.A.S. para que manifestara, entre otras cosas, si contaba con la autorización previa, expresa e informada del Titular XXXXXX XXXX XXXXXXX XXXXXXXX para el tratamiento de sus datos personales y, en caso de ser así, se solicitó que se remitiera copia del formulario y/o formato en el que se realizaba este procedimiento y se informara al Titular la finalidad de la recolección de sus datos personales y los derechos que le asisten en virtud de la autorización otorgada. 2.2 A través de oficio con radicado N°. 18-302263-5 del 30 de abril del 2019 se requirió a la sociedad OCUPAR TEMPORALES S.A., para que, entre otra cosas, señalara si contaba con autorización previa, expresa e informada del Titular XXXXXX XXXX XXXXXXX XXXXXXXX para el tratamiento de sus datos personales y, en caso de ser así, se solicitó que se remitiera copia del formulario y/o formato en el que se realizaba este procedimiento y se informara al Titular la finalidad de la recolección de sus datos personales y los derechos que le asisten en virtud de la autorización otorgada. 2.3 Por medio de comunicación radicada con el N°. 18-302263-6 del 17 de junio de 2019, la sociedad OCUPAR TEMPORALES S.A, por intermedio de su representante legal, respondió al requerimiento realizado por esta Superintendencia. Entre otras cosas, expuso lo siguiente: 2.3.1 La sociedad contrató con la sociedad IDCORP S.A.S., identificada con Nit. 900.922.790-1, el uso del software “iDtalento” para adelantar sus procesos de selección. Así lo explicó la sociedad: “Se debe tener en cuenta que OCUPAR TEMPORALES S.A para sus procesos de selección ha contratado con IDCORP S.A.S. la utilización del software “iDtalento” a través del cual las personas que se presentan en los proceso [sic] de selección, ingresando a la página de OCUPAR TEMPORALES S.A, www.ocupar.com.co, en el link de iDtalento, diligencian un formulario y aceptan mediante una caja de chequeo la política e tratamiento de datos que se encuentra en el enlace: https://idtalento.net/inicio/PoliticaPrivacidadYTratamientoDatos De acuerdo a lo anterior, las personas que participan en los procesos de selección que realiza OCUPAR TERMPORALES S.A., suministran directamente su información personal en la plataforma de iDtalento, previamente aceptando las políticas de privacidad y tratamiento de datos, los términos y condiciones, que tiene establecidas iDtalento (…).

Se debe tener en cuenta que si no está el consentimiento de la persona, que es la aceptación previa de las políticas de privacidad y tratamiento de datos, y de los términos y condiciones, no es posible el ingreso de dichos datos personales (…).” 2.3.2 Manifestó que el Titular registró a través de la plataforma “iDtalento” sus datos personales el 21 de septiembre de 2018.

Por lo tanto, en relación con la autorización para el tratamiento de los datos personales del denunciante, declaró: “(…) Como se ha dicho anteriormente, el señor XXXXXX XXXX XXXXXXX XXXXXXXX participó en un proceso de selección para OCUPAR TEMPORALES S.A., a través del software iDtalento, ingresando sus datos personales en dicha plataforma, siendo requisito obligatorio, antes de ingresarlos a la misma, aceptar las políticas de privacidad y tratamiento de datos, los términos y condiciones, que tienen establecidos iDtalento.

Se debe tener en cuenta que si no está el consentimiento de la persona, que es la aceptación previa de las políticas de privacidad y tratamiento de datos, y de los términos y condiciones, no es posible el ingreso de dichos datos. Por lo anterior, para este caso aplica la Política de Privacidad y Tratamiento de Datos que tiene establecida iDtalento, que se encuentra en la página web de IDCORP S.A.S. La autorización previa y expresa del señor XXXXXX XXXX XXXXXXX XXXXXXXXX se encuentra en el formulario que debió diligenciar al momento de ingresar a la página: https://idtalento.net/inicio/PoliticaPrivacidadYTratamientoDatosSi el señor XXXXXX XXXX HOJA N, “Por la cual se impone una sanción” XXXXXXX XXXXXXXX ingresó la información requerida por iDtalento, debió previamente haber cumplido con cada uno de los pasos antes mencionados, por tanto se dio cumplimiento a lo establecido en el artículo 9 de la ley 1581 de 2012.

Adicionalmente se obtienen datos de las personas que participan en los procesos de selección en las hojas de vida que aportan a la empresa y al momento del contacto con las psicólogas de selección en entrevistas, para lo cual se les hace firmar formato de autorización de tratamiento de datos personales. (…).” 2.3.3 Aclaró que la finalidad de la recolección de datos personales del Titular a través del software “iDtalento” era la de facilitar que la persona participara en un proceso de selección para un cargo que se ajustara a su perfil.

Además, explicó que dicha finalidad no respondía a intereses o fines comerciales. 2.3.4 Aportó copia de su política de tratamiento de datos personales. Sin embargo, manifestó que “se debe tener en cuenta que para el caso de la información que recibe iDtalento a través de dicha plataforma, se le debe dar manejo por parte de los mismos, a través de la Política de Tratamiento de Datos Personales que ellos tienen establecida.

(…)” Aunado a lo anterior, reiteró: “(…) Ahora bien, teniendo en cuenta la información de las personas que participan en los procesos de selección de OCUPAR TEMPORALES S.A.S, la ingresan a través de la plataforma de iDtalento, para esos casos aplica la Política de Tratamiento de Datos Personales que tenga establecida IDCORP S.A.S., por tanto se debe tener en cuenta que cualquier solicitud respecto al manejo de esta información debe estar dirigida a las personas designadas por la misma, para la recepción de dichas solicitudes.

(…)” 2.3.5 Especificó que, de acuerdo con la información capturada en la plataforma de “iDtalento” los datos personales que el señor XXXXXX XXXX XXXXXXX XXXXXXXX debió registrar fueron “Documento de identidad, Nombre, Apellidos, número de teléfono fijo y celular, correo electrónico, dirección, estudios realizaos, experiencia laboral, conocimiento en ofimática (…)” 2.3.6 Frente a si existía entre las sociedades IDCORP S.A.S. y OCUPAR TEMPORALES S.A. un contrato o convenio en virtud del cual se transfieran o transmitan los datos personales recolectados a través del software “iDtalento”, manifestó que existía un acuerdo de niveles de servicio para el uso de la Plataforma iDtalento, el cual fue aportado. 2.4 A través de comunicación radicada bajo el N°. 18-302263-7 del 18 de junio de 2019, por intermedio de su representante legal, la sociedad IDCORP S.A.S. respondió al requerimiento realizado por esta Superintendencia. De la respuesta recibida se destaca lo siguiente: 2.4.1 Explicó que ofrece servicios a las empresas para que realicen procesos de selección a través de la plataforma “iDtalento ”, en los siguientes términos: “(…) Nuestro servicio se ofrece a las empresas para que puedan realizar sus procesos de selección, para este caso, la empresa, OCUPAR TEMPORALES S.A. invita a las personas que deseen participar del proceso de selección (…) Posterior mente [sic] las personas deben diligenciar un formulario y aceptar expresamente mediante una caja de chequeo la política de tratamiento de datos que se encuentran en la página web de la empresa https://idtalento.net/inicio/PoliticaPrivacidadYTratamientoDatos Y los términos de uso que se encuentran disponibles para todos los usuarios en el enlace https://idtalento.net/inicio/TerminosYCondiciones ( )” 2.4.2 En relación con la autorización para el tratamiento de los datos personales del denunciante expresó lo siguiente: “(…) El Señor XXXXXX XXXX XXXXXXX XXXXXXXXX se registró de manera directa y personal en la plataforma IDTALENTO el 21 de Septiembre [sic] de 2018 a las 3:37 pm, ingresando sus datos y aceptando la política de privacidad y tratamiento de datos, desde el siguiente formulario que se adjunta como anexo al presente escrito.

HOJA N, “Por la cual se impone una sanción” Para ello, debe cumplir con tres pasos, el primero es aceptar las políticas de privacidad y tratamiento de datos, y los términos y condiciones, el segundo, es incorporar a información solicitada dentro del formulario del proceso de selección y el tercero, subir la información de datos de hoja de vida como experiencia, estudios y otros conocimientos (…) La autorización expresa y previa emitida por el señor XXXXXX XXXX XXXXXXX XXXXXXXXX se encuentra en el formulario que está como anexo No. 2 del presente escrito.

Lo anterior en cumplimiento del Artículo 2.2.2.25.2.4 Del [sic] decreto (sic) 1074 de 2015, toda vez que la misma mediante los mecanismos técnicos previstos por la empresa para ellos, así como existe una conducta inequívoca por parte del señor XXXXXX XXXX XXXXXXXX XXXXXXXXX para ello, toda vez que cumplió con cada uno de los pasos y procedimientos previstos para poder ingresar la información a la plataforma.

Además, como se indicó anteriormente, y en el evento de que la información es suministrada a través de personas jurídicas con quienes se tengan acuerdos de utilización de la plataforma, ellos deben hacer suscribir la autorización expresa para el manejo de los datos personales, cumplir con el protocolo de seguridad y las obligaciones contractuales como cliente nuestro (…).” 2.4.3 Agregó que la finalidad para la cual fueron recolectados los datos personales del Titular correspondía a la de permitir la aplicación: “(…) de los procesos de selección que las diferentes compañías tienen para los usuarios que aplican a iDtalento en este caso la empresa y OCUPAR TEMPORALES S.A. (…) La información esta [sic] disponible, en este caso para OCUPAR TEMPORALES S.A con el fin de poder usarla para comunicarse con la persona en el momento que sea necesaria (…)” 2.4.4 Aclaró que los datos del denunciante almacenados en sus bases de datos correspondían a “Documento de identidad, Nombre, Apellidos, número de teléfono fijo y celular, correo electrónico, dirección, estudios realizaos, experiencia laboral, conocimiento en ofimática (…)”. 2.4.5 Por último, informó que la relación contractual con la sociedad OCUPAR TEMPORALES S.A correspondía a un acuerdo de niveles de servicios para el uso de la plataforma iDtalento.net TERCERO: Que, con base en los hechos anotados, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, y en particular las disposiciones contenidas en los literales: (i) El literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2, el artículo 2.2.2.25.2.4 y el artículo 22.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015;

(ii) El literal c) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal b) del artículo 4° y el artículo 12 de la norma en mención; y (iii) El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4, el articulo 9 y el literal c) del artículo 13 de la misma Ley. El 24 de octubre de 2019 se inició la presente investigación administrativa, mediante la expedición de la Resolución N°. 56816 de 2019, por medio de la cual se formularon cargos a las sociedades OCUPAR TEMPORALES S.A. e IDCORP S.A.S.

CUARTO: Que la mencionada Resolución les fue notificada a las investigadas mediante avisos 23717 y 23718 del 7 de noviembre del 2019 de conformidad con la certificación expedida por la Secretaria General de esta Superintendencia de fecha 18 de noviembre de 2019 con radicado N°. 18-320263-19, para que las sociedades investigadas se pronunciaran sobre los hechos materia de HOJA N, “Por la cual se impone una sanción” investigación y aportaran las pruebas que pretendieran hacer valer dentro del referido trámite, con el fin de que estas ejercieran a cabalidad su derecho de defensa y contradicción.

QUINTO: Que, por conducto de su apoderado, la sociedad IDCORP S.A.S. mediante escrito radicado bajo el número 18-302263-20-1 del 28 de noviembre de 2019, presentó los correspondientes descargos en los cuales manifestó, entre otras cosas, lo siguiente: 5.1 En primer lugar, la sociedad IDCORP S.A.S. hizo referencia a los hechos que motivaron la apertura del caso. 5.2 Acto seguido, hace referencia al primer cargo así: “No es cierto que hubo una presunta transgresión por parte de la sociedad IDCORP como responsable del tratamiento de los datos personales del deber de solicitar y conservar autorización previa, [en los términos de la ley], [t]oda vez que el señor XXXXXX XXXXXXX XXXXXXXXX, declaró en su solicitud del 25 de noviembre de 2018 ante la SIC, lo siguiente ( ) "2.

Durante la entrevista de selección la psicóloga realizó una inscripción de mis datos personales en el software IDTALENTO, el cual tenía claras indicaciones de ser una cuenta corporativa de Ocupar Temporales y donde me iba a someter a una serie de preguntas para realizar test psicológicos e ingresar datos de mi hoja de vida. Me fue indicado que ese procedimiento era requerido para el proceso de selección." Por lo anterior, el Titular de datos una vez terminó el proceso de selección, evidenció que había un software de ID TALENTO" IDCORP S.A.S" y que allí subiría los datos solicitados con las finalidades que se reflejarían en los términos y condiciones y política de privacidad., razón por la cual, el Titular de datos reconoció, aceptó y autorizó el tratamiento de sus datos por parte de ID talento "IDCORP" Anexo; formulario de registro, aceptación de términos y condiciones y política de privacidad de fácil acceso para quien de manera voluntaria, consentida e inequívoca suministre los datos personales. 5.3 Respecto del segundo cargo señala: que no es cierto que no se le hayan informado las finalidades del tratamiento al Titular y los derechos que le asisten por virtud de la autorización otorgada.

Por cuanto: HOJA N, “Por la cual se impone una sanción” “(…) en ningún momento se recolectó dicha información del titular de datos por medio de conductas fraudulentas, ocultas o de difícil acceso que permitieran al Titular el desconocimiento de informar las finalidades de tratamiento de sus datos personales, máxime aun, cuando no se ha demostrado la mala fe sobre obtención de éstos datos personales y a la fecha IDCORP solo los almacena y conserva en sus bases de datos.

De lo anterior expuesto, se aclara su señoría que IDCORP cumplió con los preceptos jurídicos que establece el Artículo 7 decreto 1377 de 2013. Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los Titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 20 del presente decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá qué; la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del Titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.” 5.4 Respecto del tercer cargo anota que: “No es cierto que hubo la presunta transgresión por parte de la sociedad IDCORP en su condición de responsable de tratamiento de datos personales de conservar la información bajo las condiciones de seguridad necesarias para impedir su consulta, uso o acceso no autorizado porque en ningún momento se ha realizado mal uso de los datos personales del señor denunciante y sus (sic) solo permanecen en la base de datos de IDCORP, además, y según la política de privacidad establece medidas de seguridad para salvaguardar ésta (sic) información. Al hacer uso de la plataforma de iDtaiento y todos los servicios de IDCORP, el usuario acepta expresamente los términos y condiciones de uso, política de privacidad, Los contenidos, servicios, componentes y menciones de esta plataforma no podrán copiarse, venderse, rentarse, duplicarse, publicarse, distribuirse por cualquier medio, almacenamiento, retransmisión o transmisión de cualquier otra forma, sin contar con la previa y expresa autorización escrita de IDCORP” 5.5 Continúa señalando que: “(…) se debe aclarar que IDCORP sería el ENCARGADO de tratamiento toda vez realiza tratamiento de datos personales por solicitud de OCUPAR, soportado jurídicamente por medio de un acuerdo de niveles de servicios de plataforma firmado por las partes el día 01 de marzo de 2018, así mismo, las partes celebraron un contrato de transmisión de datos personales para la fecha mencionada con fines de dar cumplimiento a lo establecido en el Artículo 25.

Contrato de transmisión de datos personales. El contrato que suscriba el Responsable con los Encargados para el Tratamiento de datos personales bajo su control y responsabilidad señalará los alcances del Tratamiento, las actividades que el Encargado realizará por cuenta del Responsable para el Tratamiento de los datos personales y las obligaciones del Encargado para con el Titular y el Responsable.

Mediante dicho contrato el Encargado se comprometerá a dar aplicación a las obligaciones del Responsable bajo la política de Tratamiento de la información fijada por éste y a realizar el Tratamiento de datos de acuerdo con la finalidad que los Titulares hayan autorizado y con las leyes aplicables. Además de las obligaciones que impongan las normas aplicables dentro del citado contrato, deberán incluirse las siguientes obligaciones en cabeza del respectivo Encargado: 1.

SEXTO: Que, por conducto de su representante legal, la sociedad OCUPAR TEMPORALES S.A encontrándose dentro del término establecido para el efecto, mediante escrito radicado bajo el número 18-302263- -00021-0001 del 28 de noviembre de 2019, presentó los correspondientes descargos en los cuales manifestó, entre otras cosas, lo siguiente: 6.1 En primer lugar, la sociedad OCUPAR TEMPORALES S.A se refirió a los hechos que dieron origen a la presente investigación administrativa, resaltando que el denunciante omitió agotar el requisito de procedibilidad previsto en la Ley 1581 de 2012, y acudió directamente ante esta Superintendencia. 6.2 Acto seguido, hace referencia a sus argumentos empezando con el primer cargo así: “Fijado sobre la presunta transgresión por parte de OCUPAR TEMPORALES S.A., en su condición de responsable de datos personales, consagrado en las normas que allí se citan y que tiene que ver con la obligación de solicitar y conservar copia de la autorización previa, expresa e informada para tratar los datos del Titular, encontrando el despacho que OCUPAR no aportó la copia de la autorización y tampoco se acreditó que cuando el denunciante entregó sus datos a través del software "IDtalento" HOJA N, “Por la cual se impone una sanción” presuntamente autorizando a la sociedad IDCORP SAS, también avaló el tratamiento que sobre sus datos desarrollaría la sociedad OCUPAR TEMPORALES S.A., citando las disposiciones normativas sobre las cuales fija el presente cargo, y que se relacionan más adelante, solicito respetuosamente tener en cuenta: 1.

OCUPAR, observa, acata y cumple de manera cabal, celosa y esmerada, todas las normas que regulan la protección de datos señaladas en el Cargo Primero, todo en desarrollo de la Política de Tratamiento de Información contenida en el "Instructivo Manejo de Datos Personales" aportada en la etapa de averiguación preliminar y que forma parte del expediente a la cual respetuosamente solicito remitirse cuando así se estime conveniente. 2.

OCUPAR en su condición de responsable de los datos personales SOLICITO (sic) al señor XXXXXX XXXX XXXXXXX XXXXXXXXX leer el contenido del documento "Circular Autorización Protección Información Personal", que transcribo a continuación y que forma parte de los documentos controlados por el Sistema de Gestión Documental de la empresa que represento conforme al código que lo identifica: FPANGES-19 VERSION: 03 F.V: 10/10/2018 - CIRCULAR AUTORIZACION PROTECCION INFORMACION PERSONAL Ley 1581 de 2012 - Decreto 1377 de 2013, información que puede corroborarse en inspección o visita que programe el despacho: Autorización que fue aceptada y firmada por el quejoso tal como lo declara en los hechos que fueron transcritos en la Resolución No. 58616 del 24 de Octubre (sic) de 2019, que transcribo a continuación: HOJA N, “Por la cual se impone una sanción” “1.3.

Aclara que le fue indicado que el procedimiento anterior era requerido para realizar el proceso de selección. Asimismo, que antes de realizar el test psicológico aceptó y firmó una autorización informada respeto del manejo de sus datos personales” La autorización aceptada y firmada conforme a lo declarado por el señor XXXXXXX lo CONSERVO (sic) OCUPAR, hasta que fuimos informados que los documentos del señor XXXXXX y de otros candidatos fueron afectados en su totalidad por un factor externo que salió del control de OCUPAR, y es que en el mes de Diciembre (sic) del 2018 las lluvias constantes e intensas que se venían presentando filtraron agua por el techo del tercer piso de la sede de OCUPAR donde se encuentra ubicada la oficina de la psicóloga de selección, de esta forma se deterioró y perdió documentación física de candidatos que realizaron procesos de selección entre los cuales se encontraba la información del señor XXXXXXX, informados de la incidencia que afectó la integridad de la información y documentos se informó de manera inmediata a los responsables describiendo detalladamente el tipo de incidencia producida, la fecha y hora en que se produjo, la persona notificada de la incidencia y los efectos producidos procediendo a elaborar el FORMATO DE INCIDENCIAS, que contiene la siguiente información: tipo de incidencia, fecha y hora, persona que notifica, persona a la que se le comunica, efectos de la incidencia y medidas correctoras, anexo el FORMATO DE INCIDENCIAS que así lo prueba, solicitando al despacho que cite al señor XXXXXXX para que realice el reconocimiento del contenido del documento el cual leyó, aceptó y firmó tal como lo declaró en los hechos que fueron transcritos en la Resolución No. 56816 de 2019. 3.

El despacho igualmente soporta el CARGO PRIMERO, indicando que OCUPAR no acreditó que cuando el denunciante entregó sus datos a través del software "iDtalento", presuntamente autorizando a IDCORP SAS, también avaló el tratamiento que sobre sus datos desarrollaría la sociedad OCUPAR TEMPORALES S.A., por lo tanto observa preliminarmente el despacho que la sociedad no solicitó autorización al señor XXXXXX XXXX XXXXXXX XXXXXXXXX, para hacer uso de los datos personales a los que según informó tuvo acceso a través de la plataforma TDtalento", apreciación que no comparto por las siguientes razones: a. El candidato, en este caso el señor XXXXXXX al iniciar el proceso de selección aceptó la SOLICITUD realizada por OCUPAR, o sea la lectura y firma de la "AUTORIZACION PROTECCION INFORMACION PERSONAL", como ampliamente se sustentó en el punto 2 de los presentes descargos dando cumplimiento a la normatividad y Política de Tratamiento de la Información, seguidamente y en desarrollo del CONTRATO DE TRANSMISION DE DATOS PERSONALES, que suscribí (sic) con IDCORP SAS, del cual forma parte los acuerdos de servicios, documento que fue aportados (sic) en la instancia de la averiguación preliminar, contrato que anexo a la presente sustentación de descargos, el "Titular de datos" autorizará de forma voluntaria, expresa e informada a IDCORP la recolección, registro, procesamiento de todos los datos que de manera voluntaria que el USUARIO suministró durante el registro, como efectivamente sucedió con el señor XXXXXXX, quien al ingresar al software contratado con IDCORP SAS, aceptó los términos y condiciones uso de la política de privacidad de IDtalento habiendo diligenciado todos los espacios del formato y procediendo a realizar las pruebas que allí se solicitan, tal como se muestra en el formato que relaciono más adelante. b. El señor XXXXXXX, no hubiera podido acceder a la plataforma sin antes dar un "click" en el cuadro de aceptación colocado en la parte final, prueba de que aceptó lo términos y condiciones previstas en los documentos que allí se relacionan. c. En el CONTRATO DE TRANSMISION DE DATOS PERSONALES que suscribí con IDCORP SAS., no he dado autorizaciones para el manejo de datos del personal que ingresa a realizar las pruebas para fines distintos a los acordados en el contrato, y puedo garantizar que IDCORP SAS como proveedor de servicios de la plataforma indicada en la presente sustentación ha dado cumplimiento a la (sic) obligaciones pactadas en el contrato indicado. d. IDCORP SAS, y OCUPAR cumplen y seguirán cumplimiento con el Régimen General de Protección de Datos Personales por lo tanto los hechos sobre los cuales se fundamenta la investigación administrativa y la fijación de cargos carecen de validez jurídica pues los datos suministrados por el señor XXXXXX no pueden ser usados con ningún fin a excepción del proceso de selección que se agotó conforme a las políticas internas de la empresa que represento.

HOJA N, “Por la cual se impone una sanción” De conformidad con lo señalado en las anteriores líneas, solicita “tener en cuenta que OCUPAR no ha transgredido lo dispuesto en las normas citadas sobre las cuales ha tipificado la presunta transgresión: literal b) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como los artículos 2.2.2.25.2.2. y 2.2.2.25.2.5 del Decreto Reglamentario 1074 de 2015, y proceda a revocar el CARGO PRIMERO por no estar acorde con ninguna violación de las normas citadas por parte de OCUPAR como responsable del manejo de datos personales en el presente caso habiendo cumplido OCUPAR con el principio de libertad, solicitó al titular la autorización previa e informada, cuenta con los procedimientos para recolectar los datos que incluye las finalidades para tratamiento de los datos dando cumplimiento en todo a las normas citadas”. 6.3 Frente al segundo cargo la sociedad OCUPAR TEMPORALES S.A en primera instancia cita la norma incumplida y las razones del incumplimiento, para posteriormente indicar: “Es un cargo que carece de claridad y argumento considerando que no se señala la conducta de informar o no informar, y en gracia de discusión haciendo una interpretación tampoco se podría endilgar una responsabilidad a OCUPAR, teniendo en cuenta que al señor XXXXXXX se le explicó bajo el principio de finalidad, cuál era el fin del tratamiento de sus datos personales al momento de iniciar el proceso de selección procediendo a aceptar la solicitud de firma del documento AUTORIZACION PROTECCION INFORMACION PERSONAL, y FORMATO que diligencia al momento de ingresar a la plataforma IDCORP SAS, que se ponen en consideración y aceptación de los términos condiciones y de la política de privacidad de IDtalento, garantizando IDCORP la recolección y almacenamiento de los datos conforme a lo acordado en el contrato de transmisión de datos y el acuerdo de servicio suscrito entre las empresas.

Por lo tanto el CARGO SEGUNDO deberá revocarse considerando que no se han vulnerado las normas sobre el cual fue fijado”. 6.4 Finalmente, solicita lo siguiente: “Con las sustentaciones y pruebas aportadas en los presentes descargos creo haber dado suficiente claridad de que OCUPAR no ha vulnerado las normas citadas por el despacho, por lo tanto la formulación del CARGO PRIMERO y del CARGO SEGUNDO carecen de fundamento por lo tanto solicito con el debido respeto, que se tengan en cuenta las anteriores consideraciones, pruebas y sustentaciones, y se revoque EL CARGO PRIMERO y CARGO EGUNDO (sic), por no estar acordes con ninguna violación de las normas citadas por parte de OCUPAR TEMPORALES S.A., en su calidad de responsable del tratamiento de los datos personales del señor XXXXXX XXXX XXXXXXX XXXXXXXXX, y en su defecto se proceda al archivo del expediente en la presente instancia”.

HOJA N 10, “Por la cual se impone una sanción”

SÉPTIMO: Que mediante Resolución 2816 del 31 de enero de 2020, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente 18-302263 con el valor legal que les corresponda, en el mismo acto administrativo rechazó una prueba y decretó de oficio la siguiente: “ARTÍCULO CUARTO: DECRETAR la prueba consistente en ordenar a la sociedad OCUPAR TEMPORALES S.A. que aporte copia en medio digital del código fuente de la plataforma de IDCORP S.A.S., a la fecha de la ocurrencia de los hechos denunciados por el quejoso en la que se demuestre técnicamente que, previo al ingreso de los datos personales por el Titular, le fueron informadas las finalidades de la recolección de los mismos”.

Que la Resolución 2816 del 31 de enero de 2020 le fue comunicada el 3 de febrero de 2020 a la sociedad OCUPAR TEMPORALES S.A., según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 18-302263- -27 del 10 de febrero de 2020. Que la Resolución 2816 del 31 de enero de 2020 le fue comunicada el 3 de febrero de 2020 a la sociedad IDCORP S.A.S., según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 18-302263- -27 del 10 de febrero de 2020.

OCTAVO: Que en respuesta al decreto de pruebas realizado mediante la Resolución 2816 del 31 de enero de 2020, las sociedades investigadas allegaron las siguientes comunicaciones: - La sociedad OCUPAR TEMPORALES S.A., mediante escrito radicado bajo el número 18302263- -00028-0001 del 28 de febrero de 2020, allegó respuesta a la Resolución en comento en los siguientes términos: “(…)Para contribuir a que la práctica de la prueba requerida resulte satisfactoria e inequívoca, y antes de suministrar en medio digital el código de fuente de la plataforma ¡DCorp, el cual demuestra técnicamente que previo al ingreso de los datos personales por parte del titular, le fueron informadas las finalidades de la recolección de los mismos, atentamente me permito anunciar que la presente comunicación se acompaña con la comunicación de fecha 21 de febrero de 2.020, enviada a nuestra sociedad por el señor Milton Geovanny Naranjo Noguera Representante Legal de la sociedad IDCORP S.A.S., en la cual de manera clara y pedagógica se explica, la forma como funciona la plataforma digital, así como la manera en que se recolectaron dos (sic) Datos Personales del quejoso, la cual se realizó dando cabal y estricto cumplimiento a lo establecido en el artículo 7 del Decreto Reglamentario 1377 de 2.013.

Asimismo me permito nuevamente informar a su despacho, que desde la promulgación de la ley de protección de datos personales y de sus decretos reglamentarios, la sociedad que represento, ha sido cuidadosa y muy celosa en la observancia y acato de esas normativas, las que también hace exigible a sus funcionarios, clientes y proveedores, y su cumplimiento es objeto de permanente seguimiento y verificación como parte integral de nuestros principios, valores y convicciones incorporados en nuestras políticas de gobierno corporativo y de compliance.

De igual manera considero pertinente señalar, que OCUPAR TEMPORALES S.A. es una sociedad cuyo único objeto social es la prestación de servicios temporales (EST) no siéndole permitido por mandato de la Ley desarrollar actividades distintas, tal y como los establece el artículo 72 de la Ley 50 de 1.990, reglamentado por el Decreto 1707 de 1.991, de tal suerte que por mandato expreso de la ley, la sociedad no puede desarrollar ninguna actividad distinta a la prestación de servicios temporales, y en su desarrollo ha incorporado de manera esmerada y cuidadosa, precisos lineamientos para proteger los datos personales.

APORTE EN CONCRETO DE LA PRUEBA REQUERIDA.Seguidamente y de conformidad con el Artículo Cuarto de la parte resolutiva de la Resolución No.2816 del 31 de enero de 2.020 proferida por la Dirección de Investigaciones de Protección de Datos Personales, se procede a aportar copia en medio digital del código fuente de la plataforma IDCORP S.A.S. en la fecha de la ocurrencia de los hechos denunciados por el quejoso, en la que se demuestra técnicamente que, previo al ingreso de los datos personales por el Titular, le fueron informadas las finalidades de la recolección de los mismos.

CÓDIGO FUENTE DE LA PLATAFORMA IDCORP S.A. HOJA N 11, “Por la cual se impone una sanción” xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx La práctica de la prueba ordenada, le permitirá a la Dirección de Investigaciones de Protección de Datos Personales establecer con meridiana y absoluta certeza, que al quejoso, previo al ingreso de los datos personales, le fueron informadas las finalidades de la recolección de los mismos, los cuales tenían como único propósito permitirle hacer parte del grupo de personas elegibles a obtener un trabajo.

El proceso de registro del señor xxxxxx xxxx xxxxxxx xxxxxxxxx con la x.x. xxxxxxxxxxxxx, el cual acepto en la plataforma iDtalento de iDCORP S.A.S la política de privacidad y los términos condiciones de uso, el viernes 21 de septiembre de 2018 a las 3:37 pm para participar en el proceso de selección se efectuó de la siguiente manera: 1. La empresa Ocupar Temporales S.A. invita a los candidatos mediante su proceso de reclutamiento a participar a un proceso de selección. 2.

Se le informo al señor xxxxxx xxxx xxxxxxx xxxxxxxxx con la x.x. xxxxxxxxxxxxxx que para participar en dicho proceso, debe registrarse y aplicar unas pruebas de selección mediante un vínculo único por proceso, que para este caso fue: https://idtalento.net/azt8 3. El Localizador Uniforme de Recursos "URL" de iDCORP S.A.S "iDtalento" es una página segura.https://idtalento.net/lnicio/PoliticaPrivacidadYTratamientoDatos el cual se verificará desde el código fuente que se explica de manera técnica y sistemática en la página 4 de este escrito. 4.

El Señor xxxxxxx xxxx xxxxxxxx xxxxxxxxxxx, el día viernes 21 de septiembre de 2018 a las 3:37 PM, según reposa en la base de datos de la plataforma iDtalento de IDCORP SAS, digitó unos datos personales iniciales como se muestra en el formulario 1 Registro de candidato, el cual anexaré en la página número 3 de este escrito. 5. El señor xxxxxxx xxxxxxxxxx visualiza que existe la caja de verificación (Check Box) y de manera voluntaria e inequívoca, debe hacer clic en la caja de verificación (Check Box) la cual indica que Acepta los Términos y Condiciones y Política de Privacidad de ¡Dtalento "iDCORP S.A.S y sus Aliados (Para este caso Ocupar Temporales S.A.).

Con lo anterior le damos cumplimiento a; "Decreto Reglamentario 1377 de 2013", "Artículo 7o. Modo de obtener lo autorización. Paro efectos de dar cumplimiento o lo dispuesto en el artículo 9o de lo Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 20 del presente decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) deforma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca".

Adicionalmente, se hace la observación y aclaración, que al NO hacer clic en la caja de verificación, el programa está diseñado para no realizar tratamiento de datos personales toda vez que la información digitada previamente no reposará en las bases de datos de IDCORP, aclarando que, tampoco permite continuar con el registro del candidato.

HOJA N 12, “Por la cual se impone una sanción” 6. Únicamente cuando se haya hecho clic en la caja de verificación, aceptando los Términos y Condiciones y Política de Privacidad, puede hacer clic en el botón continuar, esto permite, según la programación, que los datos sean almacenados en la base de datos IDCORP, para luego permitirle al señor xxxxxx xxxxxxxxx continuar con el proceso de pruebas y registro.

Cabe señalar, que durante el proceso de inscripción el candidato visualiza el (check Box) en todo momento, ya que éste se evidencia en la parte inferior del formulario de inscripción digital, Por lo anterior, se está actuando bajo los principios que establece “La Ley de Protección de Datos 1581 de 2012”. En este punto hace referencia al artículo 4 de la Ley 1881 de 2012, para agregar: HOJA N 13, “Por la cual se impone una sanción” Por lo anterior expuesto, IDCORP S.A.S explica de manera informática y técnica las medidas de seguridad que tiene implementadas desde su código fuente en su plataforma, el paso a paso que el señor xxxxxxx xxxxxxxxx debió seguir desde el momento que ingresó su primer dato personal el día 21 de septiembre de 2018 a la 3:37 pm.

“3. PoliticadePrivacidad.php: en este archivo se encuentra el código fuente que muestra la Política de Privacidad, que se aceptan inequívocamente si se verifica el "CheckBox". 4.Terminosycondiciones.php: en este archivo se muestra el código fuente de los Términos y Condiciones que se aceptan inequívocamente si se verifica el "CheckBox". II.

Explicación técnica porque IDCORP S.A.S. es quien tiene el código fuente de la plataforma: De acuerdo con el contrato, "Acuerdo de Niveles de servicios de plataforma ID TALENTO" firmado entre OCUPAR TEMPORALES Y IDCORP S.A.S, teniendo como validez contractual desde el 01 de marzo de 2018 hasta de 28 de febrero de 2019, las partes en su numeral 2.2.

Descripción del servicio explica: 2_. _2_.D_e_s_c_r_i_p_c _i_ó n _____ d e l _ _ _ _ s e r v i c i o Este servicio incluye la suscripción anual al uso de iDtalento.net, para veintidós (22) usuarios únicos y diez (10) Gigabytes máximo de almacenamiento para ser usados en la administración de procesos de selección, recepción de hojas de vida, evaluación a través de pruebas como son Filtro Automatizado Calificable, DETAC, Evaluación por Competencias, iDiSCy Video Entrevista.

El servicio no incluye instalaciones en servidores del cliente, personalizaciones, adecuaciones ni desarrollos nuevos o específicos para el cliente. Se entiende que este servicio es estándar por su denominación como software como servicio (SaaS). El licenciamiento ofrecido es Software como Servicio (SaaS), el cual indica que el código fuente se encuentra en servidores administrados por iDCORP S.A.S. Precisado lo anterior, en el caso que nos ocupa, se establece la relación contractual que existe OCUPAR TEMPRALES y IDCORP S.A.S, y los motivos por los cuales IDCORP S.A.S, es quien tiene el código fuente de la plataforma.

Para efectos de verificar la autenticidad de la información aportada, IDCORP S.A.S, está en total disposición de permitir la realización de inspección por parte de la "SIC", para determinar que el candidato xxxxxx xxxxxxx xxxxxxxxx identificado con cédula HOJA N 14, “Por la cual se impone una sanción” xxxxxxxxxxxx, no puede continuar con el proceso si no acepta los Términos Condiciones y Política de Privacidad que se encuentra en la plataforma IDTALENTO "IDCORP"

NOVENO: Que, una vez analizados los documentos aportados por las sociedades investigadas, esta Dirección informó, mediante radicado No. 18-302263- -30 del 26 de agosto de 2020 a la sociedad IDCORP S.A.S. y la sociedad OCUPAR TEMPORALES S.A mediante radicado No. 18302263- -31 del 26 de agosto de 2020, lo siguiente: “se informa que una vez revisados los anexos y soportes radicados bajo el número 18302263- -0029-001 del 28 de febrero de 2020 aportados en virtud de la prueba decretada mediante la Resolución 2816 del 31 de enero de 2020 “Por la cual se incorporan pruebas dentro de una investigación, se niega la práctica de una prueba y se decreta otra”, se determinó que es necesario que se remita el código fuente de todo el sistema para poder validar, en razón a que solo enviaron cuatro archivos correspondientes al formulario de registro y términos y condiciones, pero éstos se deben analizar dentro del contexto general del aplicativo.

Por lo anterior, se solicita dentro de los diez (10) días siguientes al recibo del presente requerimiento, envíen el código fuente de todo el sistema, con el fin de poder validar la prueba decretada”. (Negrita fuera del texto original)

DÉCIMO: En respuesta al anterior requerimiento, la sociedad IDCORP S.A.S. mediante radicado número 18-302263- -00032-0001 del 9 de septiembre de 2020 expuso lo siguiente: “(…)Primero quisieramos (sic) dar a conocer que nuestro sueño y razón de ser de nuestra empresa es poder ayudar a las empresas en Colombia a que puedan contratar el mejor talento, para que así sean exitosas y podamos construir un mejor país. Por otro lado también (sic) es nuestra mejor intención ayudar a las personas para que puedan optar por un trabajo digno y que puedan demostrar todo su potencial para así servir de la mejor manera a nuestra sociedad.

Entendiendo perfectamente que IDCORP S.A.S se encuentra en una investigación preliminar por una presunta vulneración de datos personales, como representante legal estoy en el deber de contestar y atender las solicitudes por parte de la "SIC" en su delegatura de Protección de Datos personales aun cuando se trate de información de carácter confidencial, privada y sensible.

Artículo 2° LEY 1581 DE 2012 ( Ámbito de aplicación. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada). Es menester, señalar que, IDCORP S.A.S ante la primera solicitud de código fuente por parte de la SIC, respondió técnicamente y de manera puntual lo solicitado según el parágrafo 4 de la parte resolutoria en al acto administrativo 2816 de 2020.

Por lo anterior, la (sic) solicitado por su despacho es enviar la información de todo el sistema operativo, el cual contiene información masiva de toda la organización, haciendo la salvedad que el código fuente es obra y creación exclusiva de su programador, inalterable e irreproducible por terceros. De esta manera, IDCORP S.A.S, los exhorta a responsabilizarle de todo lo que pueda a llegar a realizarse con este código fuente y solicito respetuosamente a que sea verificado por personal idóneo en informática.

Para efectos de claridad, transparencia y conducencia, me permito enviar el código fuente solicitado del (sic) todo aplicativo en respuesta a esta investigación, y en cumplimiento a la ley estatutaria de protección de datos 1581 de 2012 ( ) o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

Adicionalmente, les solicito respetuosamente tomar todas la medidas de seguridad necesarias para mantener privado el código fuente de la aplicación ya que involucra múltiples investigaciones y secretos de carácter industrial, así como el tratamiento de datos personales que se encuentran en el código fuente del aplicativo, toda vez que, contiene información, privada y sensible de IDCORP S.A.S y de nuestros Titulares de Datos; y según el espíritu de la norma toda entidad que realice tratamiento de datos esta en la obligación de cumplir las disposiciones legales y constitucionales en cuanto al tratamiento de los datos personales máxime aun cuando se trate de trazabilidad informática de información que contenga datos sensibles, privados y propios de la organización responsable del tratamiento de los datos.

HOJA N 15, “Por la cual se impone una sanción” Por lo anterior, respetada Ingeniera, IDCORP S.A.S le envía el código fuente bajo las siguientes medidas de seguridad que se consideran pertinentes y necesarias, haciendo la claridad que estoy en total disposición de resolver este incidente administrativo ya que para IDCORP S.A.S los datos personales que tenemos en nuestra organización son nuestra información más preciada, motivo por el cual y como medida de seguridad, les solicito respetuosamente me sea informado la identificación de los profesionales que accedan al código fuente del sistema.

La información se encuentra en una carpeta drive ubicada en: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx En esta carpeta se encontrará 4 archivos: 1. Instrucciones.txt: en este archivo se encuentran las instrucciones para descifrar el código fuente. 2. Estructura Código fuente.PDF: En este archivo encontrará una explicación general de cómo esta estructurado el código como ayuda para poderlo leer fácilmente, de igual forma nos ponemos a su disposición si se requiere tener una explicación o una video conferencia con nuestros ingenieros para llevar a feliz término esta investigación. 3.

AxCrypt: programa para desencriptar el código fuente. 4. Codigo (sic) fuente: archivo del código fuente de la aplicación. Para acceder a la carpeta se debe ingresar con la clave: XXXXXXXXXXXXXXX De igual manera, la sociedad OCUPAR TEMPORALES S.A mediante radicado No. 18-302263- 00033-0001 del 9 de septiembre de 2020 allegó nuevamente el oficio radicado por la sociedad IDCORP S.A.S bajo el número No. 18-302263- -00032-0001 del 9 de septiembre de 2020.

DÉCIMO PRIMERO: Que mediante los oficios que se señalan a continuación, esta Dirección corrió traslado a las sociedades investigadas para que, en caso de considerarlo pertinente, allegaran los alegatos de conclusión al proceso de la referencia, así: • Comunicación, radicada bajo los números 18-302263- -34 y 18-302263- -35 ambas del 03 de noviembre de 2020 dirigida a la sociedad IDCORP S.A.S. • Comunicación, radicada bajo el número 18-302263- -36 del 03 de noviembre de 2020 dirigida a la sociedad OCUPAR TEMPORALES S.A.

DÉCIMO SEGUNDO: Que, dentro del término concedido para el efecto, la sociedad OCUPAR TEMPORALES S.A., por conducto de su representante legal suplente presentó alegatos de conclusión, bajo el radicado 18-302263- -00040-0001 del 18 de noviembre de 2020, mediante los cuales reiteró los argumentos expuestos en su escrito de descargos y realiza la siguiente solicitud: “tener en cuenta que OCUPAR no ha vulnerado las normas citadas por el despacho, por lo tanto la formulación del CARGO PRIMERO y del CARGO SEGUNDO carecen de fundamento y se revoque EL CARGO PRIMERO y CARGO EGUNDO, por no estar acordes con ninguna violación de las normas citadas por parte de OCUPAR TEMPORALES S.A., en su calidad de responsable del tratamiento de los datos personales del señor XXXXXX XXXX XXXXXXX XXXXXXXXXX, y en su defecto se proceda al archivo del expediente en la presente instancia”.

DÉCIMO TERCERO: Que, una vez vencido el término de diez (10) días hábiles, concedido mediante los oficios con radicados números 18-302263- -34 y 18-302263- -35 ambos del 03 de noviembre de 2020 para que presentara los respectivos alegatos de conclusión, la sociedad IDCORP S.A.S. guardó silencio.

DÉCIMO CUARTO: Que, una vez analizada la nueva documentación allegada al expediente, bajo los radicados número 18-302263-32 y 18-302263-33 del 9 de septiembre de 2020 en respuesta a la prueba decretada mediante Resolución 2816 del 31 de enero de 2020; esta Dirección, a través de la Coordinación del Grupo de Trabajo de Investigaciones Administrativas, requirió al representante legal de la sociedad IDCORP S.A.S., mediante oficio radicado el 29 de abril de 2021, bajo el número 18-302263-46, para que aportara el código fuente en su totalidad para el análisis respectivo.

HOJA N 16, “Por la cual se impone una sanción”

DÉCIMO QUINTO: Que, a partir del enlace remitido el 30 de abril de 2021 por la sociedad IDCORP S.A.S. se realizó el análisis técnico correspondiente sobre el funcionamiento del sistema utilizado por iDTalento para el registro de los datos personales de los candidatos, radicado el 2 de junio de 2021, bajo el número 18-302263-47. A continuación se presenta el acápite de las conclusiones del informe: “Se recomienda al área jurídica encargada del proceso, revisar en detalle los diferentes textos encontrados en relación con la finalidad de esta base de datos y determinar si están acorde con la información que se recolecta y uso que se hace de los mismos.

Se recomienda al área jurídica encargada del proceso, revisar las actividades económicas registradas en RUES para esta empresa y validar si están acorde con el objeto social y con la recolección de los datos que están realizando. Igualmente validar si el monto de los activos para el 2020 los convierte en Sujetos Obligados a registrar la información de sus bases de datos en el “Registro Nacional de Bases de Datos” Se recomienda al área jurídica encargada del proceso, indagar con esta empresa si por medio del sistema están realizando seguimiento a los usuarios utilizando la técnica “Pixel de Seguimiento”; debido a que dentro del código entregado se encontró un archivo con nombre “Pixel.php” y con una lógica similar a la que se aplica en estos casos.

En caso de que hagan uso de esta técnica sería conveniente validar el seguimiento que están realizando, los datos que recolectan y si cuentan con la autorización del titular para esta actividad. Aunque iDTalento entregó el código fuente para su revisión, no es posible certificar que estos archivos se encontraban desplegados en los servidores de esta sociedad, en las fechas en las cuales se generaron los hechos objeto de investigación. Aunque el aplicativo tiene controles que buscan asegurar que los candidatos “Acepten” los términos y condiciones y la política de privacidad, debido a las falencias técnicas es posible que se registre la información de un candidato que No acepta estas condiciones.

En la página se muestran dos casillas para aceptar la “Política de Tratamiento” y los “Términos y Condiciones”, pero en la base de datos solo existe un campo y siempre se “supone” una aceptación por parte del candidato a los dos campos en pantalla. No existe un mecanismo para garantizar que la información es ingresada por el titular de los datos, cualquier persona puede registrar datos de otra.

Para la generación del presente informe No se tiene en cuenta la información relacionada en el radicado 18302263—0002800008 se parte del análisis del código entregado el 30 de abril de 2021 y la ejecución del aplicativo en línea. Se debe revisar el enlace “saber más” de esta sección destinada a la aceptación de las cookies de navegación puesto que direcciona a una página que no existe.

DÉCIMO SEXTO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO SÉPTIMO: Análisis del caso 17.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que, pese a la generalidad de la Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

HOJA N 17, “Por la cual se impone una sanción” ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por el reclamante y el acervo probatorio que obra en el expediente, se puede establecer que las conductas desplegadas por las investigadas se concretan en posible transgresión a los siguientes estamentos normativos: 17.1.1 Por parte de la sociedad OCUPAR TEMPORALES S.A.: i. el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; y ii. el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley. 17.1.2 Por parte de la sociedad IDCORP S.A.S.: i. el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; ii. el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley; y iii. el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4, el articulo 9 y el literal c) del artículo 13 de la misma Ley.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por las sociedades investigadas dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, así como las razones de hecho y de derecho aducidas por las investigadas en los escritos de descargos y de alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 17.2 Valoración probatoria y conclusiones A continuación, se realizará un análisis de cada uno de los cargos imputados a las sociedades investigadas en la presente actuación, así como del acervo probatorio recaudado, para determinar si las conductas denunciadas constituyen infracción al Régimen de Protección de Datos Personales.

De los cargos formulados a la sociedad OCUPAR TEMPORALES S.A. 17.2.1 Del deber de solicitar y conservar la respectiva autorización otorgada por el titular Para referirse a este cargo, es necesario, en primer lugar, aludir al artículo 15 de la Constitución Política: “ARTÍCULO 15. Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar.

De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”. HOJA N 18, “Por la cual se impone una sanción” Dicha norma establece que las personas, en desarrollo de sus derechos a la autodeterminación informática, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos.

Al respecto, la Corte Constitucional ha señalado lo siguiente: “Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.

Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su “imagen informática2” Igualmente, es importante indicar que, en virtud del principio de libertad, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la ley 1581 de 2012 y, además, el deber de solicitar y conservar copia de la autorización de Tratamiento otorgada por el mismo, dispuesto en el literal b) del artículo 17 de la ley mencionada.

Ley 1581 de 2012 ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; (…) ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.

“ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

(…).” Decreto Único Reglamentario 1074 de 2015 Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP Jorge Ignacio Pretelt Chaljub HOJA N 19, “Por la cual se impone una sanción” “ARTÍCULO 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento". (Subrayado y Negrita fuera del texto original) “ARTÍCULO 2.2.2.25.2.5. Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos”.

Definición del consentimiento: En la Ley 1581 de 2012 el consentimiento es tanto un principio rector (artículo 4 (literal c) como un elemento de legitimación constitucional de los procesos de administración de datos personales (artículos 9, 10, y artículo 26, literal a). El artículo 9 establece que en el tratamiento se requiere la autorización previa, expresa, e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior, mientras que el artículo 10 prevé las excepciones o los otros fundamentos de legitimación constitucional del tratamiento de datos personales, incluidos los casos de urgencia manifiesta, tratamiento de información autorizado por la ley para fines históricos, estadísticos o científico, etc.

Por su parte, el literal a) del artículo 3 de la Ley 1581 de 2012 establece que el consentimiento o autorización exigida para el tratamiento de datos personales es, además, calificado, por cuanto debe ser previo, expreso e informado. En este sentido, la Corte Constitucional interpretó esta definición en sentencia C-748 del 2011 de la siguiente manera: “En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato.

Así por ejemplo, en la Sentencia T-022 de 1993, se dijo que la veracidad del dato no implica que el Responsable del Tratamiento no tenga el deber de obtener una autorización anterior. En igual sentido, la Sentencia T-592 de 2003 dijo que el derecho al habeas data resulta afectado cuando los administradores de la información recogen y divulgan hábitos de pago sin el consentimiento de su titular.

La Corte expresó que el consentimiento previo del titular de la información sobre el registro de sus datos económicos “en los procesos informáticos, aunado a la necesidad de que aquel cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, resultan esenciales para salvaguardar su derecho a la autodeterminación informática.” En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito.

Lo anterior, por varias razones: En primer lugar, la jurisprudencia constitucional ha exigido tal condición y ha dicho que el consentimiento debe ser explícito y concreto a la finalidad específica de la base de datos. ( ) En segundo lugar, de una interpretación armónica de todo el articulado se deduce que el legislador estatutario tuvo una intención inequívoca que el consentimiento siempre fuese expreso.

Así, desde el artículo 3 se dice que éste debe ser "previo, expreso e informado". Esto mismo se repite en el artículo 4. Posteriormente, el artículo 8 ordinal b), garantiza al HOJA N 20, “Por la cual se impone una sanción” Titular el derecho de solicitar prueba de la autorización, y señala que ésta sólo puede considerarse exceptuada en los casos consagrados en el artículo 10.

El artículo 9 ordena que la autorización sea "obtenida por cualquier medio que pueda ser objeto de consulta posterior”. Por otro lado, el artículo 10 señala, en forma taxativa, los casos en que no se requiere autorización, y no hace referencia alguna a la existencia de un consentimiento tácito, lo cual necesitaría expresa autorización legal.

( ) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. En este mismo sentido, en la Sentencia T-592 de 2003, la Corte señaló que la autorización debe ser cualificada y debía contener una explicación de los efectos de la misma.

Además, a pesar de que se presente la autorización, el Responsable y Encargado del Tratamiento debe actuar de buena fe. De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez, ( )” No existe, por tanto, otra interpretación legal y constitucional diferente a aquella que el consentimiento debe cumplir con los requisitos de ser previo, expreso e informado para que el mismo pueda considerarse legal, pues, de lo contrario, se estaría afectando, como lo señaló la Corle en la sentencia arriba citada, el derecho a la autodeterminación informática entendido como el núcleo esencial del derecho al habeas data y, en la práctica, el Titular perdería el control de sus datos personales.

Las definiciones de expreso, previo e informado contienen elementos claves que se analizan a continuación, con el fin de que se asegure que sólo el consentimiento que se interprete conforme a la Ley 1581 de 2012 será considerado como tal. Elementos del consentimiento: 1. Expreso: el término expreso significa la manifestación de voluntad libre del Titular para permitir el tratamiento de sus datos personales por parte de un tercero. Así mismo, esa necesidad de manifestación por parte de la persona impide que la falta de actuación - o quizás mejor, el comportamiento pasivo - constituya un consentimiento válido bajo la Ley 1581 de 2012, pues, como lo señaló la Corte Constitucional en la Sentencia C-748 de 2011, “no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito”.

Esto obliga a los Responsables del Tratamiento a crear procedimientos para garantizar que las personas otorguen su consentimiento y, a su vez, proporcionan pruebas al Responsable del Tratamiento de que se ha obtenido el consentimiento. Los ejemplos más clásicos son la firma manuscrita en la parte inferior de un formulario de papel y la selección de una casilla en un sitio web en Internet. 2.

Informado: el término informado significa que la persona debe conocer las finalidades del tratamiento de sus datos, la persona natural o jurídica, pública o privada, que decidirá sobre el tratamiento de los datos concernidos, los derechos relativos al tratamiento de sus datos, así como del modo de hacer valer sus derechos en relación con el tratamiento y, en general, las condiciones en que se efectuarán las actividades de acopio, recopilación y circulación del mismo.

En ese sentido, el artículo 12 de la Ley 1581 de 2012 establece que cuando se va a solicitar la autorización al Titular de la Información, el Responsable del tratamiento deberá informarle de manera clara y expresa lo siguiente: a) el tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños HOJA N 21, “Por la cual se impone una sanción” y adolescentes; c) los derechos que le asisten como titular; y, d) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento. 3.

Previo: el término previo significa que la persona debe otorgar su consentimiento antes del comienzo del tratamiento de su información personal, debiendo cumplirse a más tardar en el momento en que el dato va a ser recogido, sin que sea admisible, en este punto, considerar su acatamiento con posterioridad a su recolección, pues sólo así quedaría garantizado el derecho de la persona a tener una apropiada información antes de otorgar su consentimiento.

Visto lo anterior, el consentimiento, como uno de los fundamentos jurídicos del tratamiento de datos personales, para que sea válido bajo la Ley 1581 de 2012, debe cumplir los siguientes requerimientos legales: a) El consentimiento debe ser expreso. El Titular debe realizar alguna acción positiva que indique su consentimiento y debe tener la libertad de no consentir. b) El consentimiento debe estar informado.

El artículo 12 de la Ley 1581 de 2012 enumera la información que debe suministrársele al Titular; esa información debe ser claramente visible, destacada y completa. No basta con ponerla a disposición en algún sitio de la página web, sin que la persona no la conozca. c) El consentimiento debe ser previo. La obtención del consentimiento debe ser previa a la recolección de los datos.

Frente a este cargo, este Despacho inició investigación administrativa de carácter sancionatorio mediante la Resolución 56816 del 24 de octubre de 20193, de acuerdo con lo siguiente: “En el caso bajo estudio, se advierte que esta Superintendencia requirió a la sociedad OCUPAR TEMPORALES S.A., mediante oficio con radicado No. 18-302263-5 del 30 de abril de 2019, para que, entre otros, acreditara ante esta autoridad administrativa la obligación que le asiste como Responsable del tratamiento de los datos del señor XXXXXX XXXX XXXXXXX XXXXXXXXX, de solicitar y conservar copia de la autorización previa, expresa e informada, para tratar los datos personales del Titular.

Sin embargo, la sociedad investigada contestó afirmando que (fl. 10): “( ) La autorización expresa y previa del señor XXXXXX XXXX XXXXXXX XXXXXXXX XXXXXXXX se encuentra en formulario que debió diligenciar al momento de ingresar a la página: https://idtalento.net/lnicio/PolíticaPrivacidadYTratamientoDatos ( ) Adicionalmente. se obtienen datos que de las personas que participan en los procesos de selección en las hojas de vida que aportan a la empresa y al momento del contacto con las psicólogas de selección en entrevistas, para lo cual se les hace firmar formato de autorización de tratamiento de datos personales ( )”.

De ahí que se encuentre que la sociedad no aportó copia de la autorización expresa y previa que el Titular le otorgó para el tratamiento de sus datos personales, ni tampoco se acreditó que cuando el denunciante entregó sus datos a través del software "iDtalento", presuntamente autorizando a la sociedad IDCORP S.A.S, también avaló el tratamiento que sobre sus datos desarrollaría la sociedad OCUPAR TEMPORALES S.A. Por tanto, se observa preliminarmente que la sociedad no solicitó autorización al señor XXXXXX XXXX XXXXXXX XXXXXXXXXX para hacer uso de los datos personales a los que según informó tuvo acceso a través de la plataforma “iDtalento (fl. 10).

Por otro lado, tampoco se remitió formulario de autorización físico suscrito por el Titular en caso de que la autorización se hubiera otorgado al desarrollar la entrevista en la sociedad. Por tanto, tampoco se encuentra que la sociedad hubiera conservado copia de la presunta autorización otorgada por el Titular. 3 Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se inicia una investigación administrativa y se formulan cargos”, radicada bajo el número 18-302263-8.

HOJA N 22, “Por la cual se impone una sanción” En consecuencia, se tiene preliminarmente que el tratamiento de los datos personales del Titular XXXXXX XXXX XXXXXXX XXXXXXXXXX se estaría realizando sin que la sociedad OCUPAR TEMPORALES S.A. haya solicitado o conservado la autorización dada por el Titular para ello. Esta conducta se subsume típicamente en una presunta transgresión de lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley: así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015”.

(Subraya y negrita fuera del texto original) Sobre el particular, la sociedad OCUPAR TEMPORALES S.A. como argumentos de defensa en el escrito de descargos4 (se aclara que esta sociedad reitera dichos argumentos de defensa en los alegatos de conclusión) manifiesta que: 1. “(…)OCUPAR, observa, acata y cumple de manera cabal, celosa y esmerada, todas las normas que regulan la protección de datos señaladas en el Cargo Primero, todo en desarrollo de la Política de Tratamiento de Información contenida en el "Instructivo Manejo de Datos Personales" aportada en la etapa de averiguación preliminar y que forma parte del expediente a la cual respetuosamente solicito remitirse cuando así se estime conveniente. 2.

OCUPAR en su condición de responsable de los datos personales SOLICITO (sic) al señor XXXXXX XXXX XXXXXX XXXXXXXXXX leer el contenido del documento "Circular Autorización Protección Información Personal", que transcribo a continuación y que forma parte de los documentos controlados por el Sistema de Gestión Documental de la empresa que represento conforme al código que lo identifica: FPANGES-19 VERSION: 03 F.V: 10/10/2018 - CIRCULAR AUTORIZACION PROTECCION INFORMACION PERSONAL Ley 1581 de 2012 - Decreto 1377 de 2013, información que puede corroborarse en inspección o visita que programe el despacho: 3.

Escrito radicado bajo el número 18-302263- -00021-0001 del 28 de noviembre de 2019. HOJA N 23, “Por la cual se impone una sanción” Autorización que fue aceptada y firmada por el quejoso tal como lo declara en los hechos que fueron transcritos en la Resolución No. 58616 del 24 de Octubre (sic) de 2019, que transcribo a continuación: “1.3.

Aclara que le fue indicado que el procedimiento anterior era requerido para realizar el proceso de selección. Asimismo, que antes de realizar el test psicológico aceptó y firmó una autorización informada respeto del manejo de sus datos personales” La autorización aceptada y firmada conforme a lo declarado por el señor XXXXXX lo CONSERVO (sic) OCUPAR, hasta que fuimos informados que los documentos del señor XXXXXXX y de otros candidatos fueron afectados en su totalidad por un factor externo que salió del control de OCUPAR, y es que en el mes de Diciembre (sic) del 2018 las lluvias constantes e intensas que se venían presentando filtraron agua por el techo del tercer piso de la sede de OCUPAR donde se encuentra ubicada la oficina de la psicóloga de selección, de esta forma se deterioró y perdió documentación física de candidatos que realizaron procesos de selección entre los cuales se encontraba la información del señor XXXXXXX, informados de la incidencia que afectó la integridad de la información y documentos se informó de manera inmediata a los responsables describiendo detalladamente el tipo de incidencia producida, la fecha y hora en que se produjo, la persona notificada de la incidencia y los efectos producidos procediendo a elaborar el FORMATO DE INCIDENCIAS, que contiene la siguiente información: tipo de incidencia, fecha y hora, persona que notifica, persona a la que se le comunica, efectos de la incidencia y medidas correctoras, anexo el FORMATO DE INCIDENCIAS que así lo prueba, solicitando al despacho que cite al señor XXXXXXX para que realice el reconocimiento del contenido del documento el cual leyó, aceptó y firmó tal como lo declaró en los hechos que fueron transcritos en la Resolución No. 56816 de 2019. 3.

El despacho igualmente soporta el CARGO PRIMERO, indicando que OCUPAR no acreditó que cuando el denunciante entregó sus datos a través del software "iDtalento", presuntamente autorizando a IDCORP SAS, también avaló el tratamiento que sobre sus datos desarrollaría la sociedad OCUPAR TEMPORALES S.A., por lo tanto observa preliminarmente el despacho que la sociedad no solicitó autorización al señor XXXXXX XXXX XXXXXXX XXXXXXXXX, para hacer uso de los datos personales a los que según informó tuvo acceso a través de la plataforma TDtalento", apreciación que no comparto por las siguientes razones: a. El candidato, en este caso el señor XXXXXX al iniciar el proceso de selección aceptó la SOLICITUD realizada por OCUPAR, o sea la lectura y firma de la "AUTORIZACION PROTECCION INFORMACION PERSONAL", como ampliamente se sustentó en el punto 2 de los presentes descargos dando cumplimiento a la normatividad y Política de Tratamiento de la Información, seguidamente y en desarrollo del CONTRATO DE TRANSMISION DE DATOS PERSONALES, que suscribí (sic) con IDCORP SAS, del cual forma parte los acuerdos de servicios, documento que fue aportados (sic) en la instancia de la averiguación preliminar, contrato que anexo a la presente sustentación de descargos, el "Titular de datos" autorizará de forma voluntaria, expresa e informada a IDCORP la recolección, registro, procesamiento de todos los datos que de manera voluntaria que el USUARIO suministró durante el registro, como efectivamente sucedió con el señor XXXXXXX, quien al ingresar al software contratado con IDCORP SAS, aceptó los términos y condiciones uso de la política de privacidad de IDtalento habiendo diligenciado todos los espacios del formato y procediendo a realizar las pruebas que allí se solicitan, tal como se muestra en el formato que relaciono más adelante. b. El señor XXXXXX, no hubiera podido acceder a la plataforma sin antes dar un "click" en el cuadro de aceptación colocado en la parte final, prueba de que aceptó lo términos y condiciones previstas en los documentos que allí se relacionan. c. En el CONTRATO DE TRANSMISION DE DATOS PERSONALES que suscribí con IDCORP SAS., no he dado autorizaciones para el manejo de datos del personal que ingresa a realizar las pruebas para fines distintos a los acordados en el contrato, y puedo garantizar que IDCORP SAS como proveedor de servicios de la plataforma indicada en la presente sustentación ha dado cumplimiento a la (sic) obligaciones pactadas en el contrato indicado.

Al respecto, este Despacho, evidencia del material probatorio lo siguiente: En primer lugar, encuentra esta Dirección que el señor XXXXXX XXXX XXXXXXX XXXXXXXXXX HOJA N 24, “Por la cual se impone una sanción” puso en conocimiento ante esta Superintendencia, mediante el radicado número 18-302263- 00000000 del 25 de noviembre de 2018, entre otros, los siguientes hechos: - Manifestó que se presentó a un proceso de selección realizado por la sociedad OCUPAR TEMPORALES S.A., relacionado con una vacante en "/a Fiduprevisora" en el mes de septiembre de 2018. - Aseguró que durante la entrevista de selección realizada por la sociedad OCUPAR TEMPORALES S.A., se llevó a cabo la recolección de sus datos personales a través del software "IDTALENTO”, donde fueron ingresados datos personales relacionados con su hoja de vida y las pruebas psicológicas practicadas.

En atención a la denuncia referida, esta Dirección solicitó información preliminar a la sociedad OCUPAR TEMPORALES S.A. mediante oficio radicado bajo el numero 18-302263-5-1 del 30 de abril de 2019, con el propósito de que informara, entre otras cosas, lo siguiente: “(…) 3. En los términos del artículo 9 de la Ley 1581 de 2012 ¿cuenta con autorización expresa, previa e informada del Titular XXXXXX XXXX XXXXXXX XXXXXXXXX, para el Tratamientos (sic) de sus datos personales? En caso de ser afirmativa su respuesta, remitir copia del formulario y/o formato mediante el cual se realiza este procedimiento y se informa al Titular la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada”.

En respuesta al citado requerimiento, la sociedad OCUPAR TEMPORALES S.A., mediante escrito radicado bajo el número 18-302263-6 del 17 de junio de 2019, informó lo siguiente: "( ) La autorización expresa y previa del señor XXX XXX (sic) XXXX XXXXXXX XXXXXXXXXX se encuentra en formulario que debió diligenciar al momento de ingresar a la página: https://idtalento.net/lnicio/PolíticaPrivacidadYTratamientoDatos ( ) Adicionalmente. se obtienen datos que de las personas que participan en los procesos de selección en las hojas de vida que aportan a la empresa y al momento del contacto con las psicólogas de selección en entrevistas, para lo cual se les hace firmar formato de autorización de tratamiento de datos personales ( )".

Por otro lado, la sociedad investigada alega que “en su condición de responsable de los datos personales SOLICITO al señor XXXXXX XXXX XXXXXXXX XXXXXXXXX leer el contenido del documento "Circular Autorización Protección Información Personal", que transcribo a continuación y que forma parte de los documentos controlados por el Sistema de Gestión Documental de la empresa que represento conforme al código que lo identifica: FPANGES-19 VERSION: 03 F.V: 10/10/2018 - CIRCULAR AUTORIZACION PROTECCION INFORMACION PERSONAL Ley 1581 de 2012 - Decreto 1377 de 2013” para tal fin aporta la siguiente imagen: HOJA N 25, “Por la cual se impone una sanción” A partir del análisis de la pieza documental en cita, esta Dirección evidencia que esta imagen es un formato de autorización para el tratamiento de datos de los titulares con espacios en blanco; sin embargo, no es la autorización otorgada por el señor XXXXXX XXXX XXXXXXX XXXXXXXXX a la sociedad OCUPAR TEMPORALES S.A., para el tratamiento de su información personal.

Acto seguido, pone de presente la siguiente situación: “fuimos informados que los documentos del señor XXXXXXX y de otros candidatos fueron afectados en su totalidad por un factor externo que salió del control de OCUPAR, y es que en el mes de Diciembre del 2018 las lluvias constantes e intensas que se venían presentando filtraron agua por el techo del tercer piso de la sede de OCUPAR donde se encuentra ubicada la oficina de la psicóloga de selección, de esta forma se deterioró y perdió documentación física de candidatos que realizaron procesos de selección entre los cuales se encontraba la información del señor XXXXXXX, informados de la incidencia que afectó la integridad de la información y documentos se informó de manera inmediata a los responsables describiendo detalladamente el tipo de incidencia producida, la fecha y hora en que se produjo, la persona notificada de la incidencia y los efectos producidos procediendo a elaborar el FORMATO DE INCIDENCIAS, que contiene la siguiente información: tipo de incidencia, fecha y hora, persona que notifica, persona a la que se le comunica, efectos de la incidencia y medidas correctoras, anexo el FORMATO DE INCIDENCIAS que así lo prueba, solicitando al despacho que cite al señor XXXXXXX para que realice el reconocimiento del contenido del documento el cual leyó, aceptó y firmó tal como lo declaró en los hechos que fueron transcritos en la Resolución No. 56816 de 2019”.

De conformidad con lo expuesto, y una vez analizado el documento denominado “FORMATO DE INCIDENCIAS” aportado en el escrito de descargos 5,este Despacho evidencia que esta circunstancia no exime a la sociedad investigada del cumplimiento de las disposiciones establecidas en la Ley 1581 de 2012; pues lo cierto es que la sociedad OCUPAR TEMPORALES S.A. no comprobó por ningún medio que contaba con la autorización otorgada por el señor XXXXXX XXXX XXXXXX XXXXXXXXX y, en todo caso, a dicha sociedad le asistía la obligación de solicitar nuevamente la autorización del titular una vez ocurrido el referido incidente.

Por otro lado, indica que: “el USUARIO suministró durante el registro, como efectivamente sucedió con el señor XXXXXXX, quien al ingresar al software contratado con IDCORP SAS, aceptó los términos y condiciones uso de la política de privacidad de IDtalento habiendo diligenciado todos los espacios del Escrito radicado bajo el número 18-302263- -00021-0001 del 28 de noviembre de 2019.

HOJA N 26, “Por la cual se impone una sanción” formato y procediendo a realizar las pruebas que allí se solicitan, tal como se muestra en el formato que relaciono más adelante. b. El señor XXXXXX, no hubiera podido acceder a la plataforma sin antes dar un "click" en el cuadro de aceptación colocado en la parte final, prueba de que aceptó lo términos y condiciones previstas en los documentos que allí se relacionan”.

Para comprobar la anterior situación, aporta la siguiente imagen: En virtud de lo expuesto, es evidente que el extracto del formulario en cita no suple ni hace las veces de la autorización previa, expresa e informada del señor XXXXXX XXXX XXXXXXX XXXXXXXXXX, en los términos dispuestos por la Ley 1581 de 2012. Simplemente, se trata de un formato en donde se diligencian datos básicos del titular para ingresar al sistema utilizado por Ocupar, aceptando los términos y condiciones y la política de privacidad, por lo que no está implícita la autorización por parte del Titular.

Lo anterior por cuanto no está disponible en el formulario un mecanismo, por ejemplo, una casilla o “checkbox”, que le permitiera al denunciante manifestar su voluntad (previa, expresa e informada) para consentir el tratamiento de su información personal por parte de la sociedad OCUPAR TEMPORALES S.A. Dado lo anterior, es claro que para que la sociedad OCUPAR TEMPORALES S.A. pueda realizar el tratamiento de los datos personales del titular, debe contar con la correspondiente autorización; sin embargo, no obra prueba en el plenario, y tampoco fue allegada en esta instancia documental alguna encaminada a desvirtuar el cargo que nos ocupa, por tanto, es evidente que la sociedad OCUPAR TEMPORALES S.A. no cuenta con la autorización del señor XXXXXX XXXX XXXXXXX XXXXXXXXX.

Este incumplimiento reviste una importancia significativa, debido a que uno de los pilares fundamentales de la regulación en materia de protección de datos personales, es la exigencia de contar con la autorización previa, expresa e informada del Titular, ya que esta es la expresión de la voluntad inequívoca otorgada por el mismo para que sus datos personales sean recolectados, ingresen a la base de datos y se utilicen para los fines que fueron autorizados.

Así pues, se impondrá sanción pecuniaria correspondiente a CINCUENTA Y UN MILLONES CIENTO NOVENTA Y CUATRO MIL DOSCIENTOS OCHENTA PESOS M/CTE ($51.194.280) equivalente a MIL CUATROCIENTOS DIEZ (1410 UVT) unidades de valor tributario vigentes, al demostrarse la infracción de lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto único Reglamentario 1074 de 2015, por parte de la sociedad OCUPAR TEMPORALES S.A. HOJA N 27, “Por la cual se impone una sanción” 17.2.2 Respecto del deber de informar al titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada En referencia al principio de finalidad, este se traduce en el deber de informar al Titular lo que se pretende hacer con su información y se encuentra contenido en el artículo 12 de la Ley 1581 de 2012, así: Ley 1581 de 2012 “Artículo 12.

Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” Parágrafo.

El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta. Literal c) del artículo 17 de la ley 1581 de 2012 “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;” Literal b) del artículo 4: “ARTÍCULO 4o.

PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular”;

Como puede observarse, el principio de finalidad, que se encuentra íntimamente ligado al principio de libertad, impone unos límites al tratamiento de los datos que están siendo administrados por el Responsable; dichos límites se derivan de la naturaleza de la información y del uso que se dará a los datos recolectados. En palabras de la Corte Constitucional “(…) Tanto el acopio, el procesamiento y la divulgación de datos personales, debe obedecer a una finalidad constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista (…).6 Dicho principio se hace efectivo al momento en que se solicita autorización al Titular, pues es allí en que se cumple el término máximo para informarle al Titular los fines de la recolección de su información, ya que como lo dispuso el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015 “El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos Sentencia C-748 del 06 de octubre de 2011.

Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb. HOJA N 28, “Por la cual se impone una sanción” e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”. Abordando estos aspectos la Corte Constitucional en Sentencia C-748 de 2011, expuso lo siguiente: “(…) La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos.

Sin embargo, debe hacerse algunas precisiones. Por una parte, los datos personales deben ser con un propósito específico y explícito. En este sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos.

Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad autorizada. Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato.

Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular. Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales n exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas (…)”.

Igualmente, en la guía titulada “FORMATOS MODELO PARA EL CUMPLIMIENTO DE OBLIGACIONES ESTABLECIDAS EN LA LEY 1581 DE 2012 Y SUS DECRETOS REGLAMENTARIOS”7 expedida el 22 de noviembre de 2017 por esta autoridad, se explica con claridad tanto la finalidad de la recolección de los datos personales, como el deber de informar a los Titulares de acuerdo con lo consagrado en el artículo 12 de la Ley 1581 de 2012.

Veamos: “(…)

2.5. FINALIDAD DE LA RECOLECCIÓN DE DATOS PERSONALES La recolección de datos personales debe tener una finalidad legítima y cierta, es decir, una razón de ser de esa recolección. Además, los datos recolectados deben ser pertinentes y adecuados para alcanzar dicho fin. (…)

2.6. DEBER DE INFORMAR AL TITULAR Además del deber de obtener el consentimiento de los titulares para el tratamiento de su información, quien recolecte datos personales debe informar de manera clara y expresa al titular lo siguiente: (i) El tratamiento al cual serán sometidos los datos personales recolectados y la finalidad de los mismos.

(ii) En caso de que la organización responsable recolecte datos personales sensibles (origen racial o étnico, orientación sexual, filiación política o religiosa, etc.) o de niños y adolescentes; debe explicarle el carácter sensible que posee este tipo de información y, además, debe darle la opción al titular de elegir si responde o no dichas preguntas.

Los derechos que tiene el titular de la información. (iii) Disponible en: https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Publicaciones/Cartilla_formatos_datos_Personales_nov22.pdf HOJA N 29, “Por la cual se impone una sanción” (iv) La identificación, dirección física o electrónica y el teléfono de la organización o el responsable del tratamiento de los datos.

(…)” Retomando el caso particular, este Despacho inició investigación administrativa de carácter sancionatorio mediante la Resolución 56816 del 24 de octubre de 20198, y sustentó este cargo en las siguientes consideraciones: “Para el caso concreto, este Despacho observa preliminarmente que la sociedad no acreditó haber informado al denunciante las finalidades para las cuales haría uso de sus datos personales y los derechos que le asistían en virtud de la autorización otorgada al momento en que debió haber solicitado tal autorización. Esta conducta se subsume típicamente en una aparente contravención de lo dispuesto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley”.

Del acervo probatorio, se evidencia lo siguiente: En atención a los hechos denunciados por el señor XXXXXX XXXX XXXXXXX XXXXXXXXX, esta Dirección, a través de la Coordinación del Grupo de Trabajo de Investigaciones Administrativas, solicitó información preliminar a la sociedad OCUPAR TEMPORALES S.A. mediante oficio radicado bajo el numero 18-302263-5 del 30 de abril de 2019, con el propósito de que informara, entre otras cosas, lo siguiente: “4.

Informe cuál fue la finalidad de la recolección de los datos personales del Titular XXXXXX XXXX XXXXXXX XXXXXXXXX, y en especial aclare si la finalidad o una de las finalidades de la recolección de dichos datos era usarlos con fines comerciales” (Negrilla fuera del texto original) En respuesta al citado requerimiento, la sociedad OCUPAR TEMPORALES S.A., mediante escrito radicado bajo el número 18-302263-6 del 17 de junio de 2019, informó lo siguiente: “Como se ha informado previamente, iDtalento ofrece a OCUPAR TEMPORALES S.A., software para que pueda realizar sus procesos de selección, por tanto la finalidad única y exclusiva de la recolección de los datos que hace iDtalento a través de su plataforma, es para que la persona participe en un proceso de selección, para un cargo en el cual se ajuste su perfil.

Debiendo, como igualmente se ha mencionado, para poder ingresar su información personal, previamente aceptar las políticas de privacidad y tratamiento de datos, y los términos y condiciones, que tiene establecidos iDtalento. Se aclara conforme a lo anterior, que nunca la finalidad de la información que se obtiene a través de la plataforma de iDtalento, es para fines comerciales, somos conocedores de las normas de protección de datos, y por tanto procuramos igualmente que nuestros proveedores cuenten con Política de Tratamiento de DATOS Personales, y que se cuente con la autorización expresa para el tratamiento de los mismos…” Sobre el particular, la sociedad OCUPAR TEMPORALES S.A. como argumentos de defensa manifiesta que: “Es un cargo que carece de claridad y argumento considerando que no se señala la conducta de informar o no informar, y en gracia de discusión haciendo una interpretación tampoco se podría endilgar una responsabilidad a OCUPAR, teniendo en cuenta que al señor XXXXXXX se le explicó bajo el principio de finalidad, cuál era el fin del tratamiento de sus datos personales al momento de iniciar el proceso de selección procediendo a aceptar la solicitud de firma del documento AUTORIZACION PROTECCION INFORMACION PERSONAL, y FORMATO que diligencia al momento de ingresar a la plataforma IDCORP SAS, que se ponen en consideración y aceptación de los términos condiciones y de la política de privacidad de IDtalento, garantizando IDCORP la recolección y almacenamiento de los datos conforme a lo acordado en el contrato de transmisión de datos y el acuerdo de servicio suscrito entre las empresas.

Por lo tanto el CARGO SEGUNDO deberá revocarse considerando que no se han vulnerado las normas sobre el cual fue fijado”. Igualmente solicita: “Se realice la inspección a la plataforma de IDCORP SAS, para determinar que el candidato Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se inicia una investigación administrativa y se formulan cargos”, radicada bajo el número 18-302263-8 HOJA N 30, “Por la cual se impone una sanción” no puede continuar con el proceso si no acepta los términos y condiciones y la política de privacidad que se encuentren en la plataforma IDtalento” De acuerdo con lo anterior, esta Dirección consideró necesario mediante la Resolución 2816 del 31 de enero de 2020 9 decretar una prueba: “(…) consistente en ordenar a la sociedad OCUPAR TEMPORALES S.A. que aporte copia en medio digital del código fuente de la plataforma de IDCORP S.A.S., a la fecha de la ocurrencia de los hechos denunciados por el quejoso en la que se demuestre técnicamente que, previo al ingreso de los datos personales por el Titular, le fueron informadas las finalidades de la recolección de los mismos”.

En respuesta a la anterior Resolución, la sociedad OCUPAR TEMPORALES S.A. mediante escrito radicado bajo el número 18-302263-28 del 28 de febrero de 2020 allegó lo siguiente: “(…)Para contribuir a que la práctica de la prueba requerida resulte satisfactoria e inequívoca, y antes de suministrar en medio digital el código de fuente de la plataforma iDCorp, el cual demuestra técnicamente que previo al ingreso de los datos personales por parte del titular, le fueron informadas las finalidades de la recolección de los mismos, atentamente me permito anunciar que la presente comunicación se acompaña con la comunicación de fecha 21 de febrero de 2.020, enviada a nuestra sociedad por el señor Milton Geovanny Naranjo Noguera Representante Legal de la sociedad IDCORP S.A.S., en la cual de manera clara y pedagógica se explica, la forma como funciona la plataforma digital, así como la manera en que se recolectaron dos (sic) Datos Personales del quejoso, la cual se realizó dando cabal y estricto cumplimiento a lo establecido en el artículo 7 del Decreto Reglamentario 1377 de 2.013.

(…) APORTE EN CONCRETO DE LA PRUEBA REQUERIDA.Seguidamente y de conformidad con el Artículo Cuarto de la parte resolutiva de la Resolución No.2816 del 31 de enero de 2.020 proferida por la Dirección de Investigaciones de Protección de Datos Personales, se procede a aportar copia en medio digital del código fuente de la plataforma IDCORP S.A.S. en la fecha de la ocurrencia de los hechos denunciados por el quejoso, en la que se demuestra técnicamente que, previo al ingreso de los datos personales por el Titular, le fueron informadas las finalidades de la recolección de los mismos.

CÓDIGO FUENTE DE LA PLATAFORMA IDCORP S.A.S. xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx o en: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx La práctica de la prueba ordenada, le permitirá a la Dirección de Investigaciones de Protección de Datos Personales establecer con meridiana y absoluta certeza, que al quejoso, previo al ingreso de los datos personales, le fueron informadas las finalidades de la recolección de los mismos, los cuales tenían como único propósito permitirle hacer parte del grupo de personas elegibles a obtener un trabajo.

En los anteriores términos damos cabal cumplimiento al aporte de la prueba requerida y ordenada por la Dirección de Investigaciones de Protección de Datos Personales, quedando probada la improcedencia de la queja así como el debido cumplimiento de las normas que protegen los datos personales por parte de la sociedad que legalmente represento…” Que, una vez analizados los documentos aportados por las sociedades investigadas, esta Dirección solicitó mediante radicado número 18-302263-31 del 26 de agosto de 2020 remitir nuevamente el código fuente de todo el sistema para poder validar, en razón a que solo enviaron cuatro archivos correspondientes al formulario de registro y términos y condiciones, pero éstos se deben analizar dentro del contexto general del aplicativo. 9 Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se incorporan pruebas dentro de una investigación, se niega la práctica de una prueba y se decreta otra”, radicada bajo el número 18-302263-22 HOJA N 31, “Por la cual se impone una sanción” En respuesta al anterior requerimiento, la sociedad OCUPAR TEMPORALES S.A mediante radicado No. 18-302263-33 del 9 de septiembre de 2020 informó lo siguiente: “Para efectos de claridad, transparencia y conducencia, me permito enviar el código fuente solicitado del todo aplicativo en respuesta a esta investigación, y en cumplimiento a la ley estatutaria de protección de datos 1581 de 2012 ( ) o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

Adicionalmente, les solicito respetuosamente tomar todas la medidas de seguridad necesarias para mantener privado el código fuente de la aplicación ya que involucra múltiples investigaciones y secretos de carácter industrial, así como el tratamiento de datos personales que se encuentran en el código fuente del aplicativo, toda vez que, contiene información, privada y sensible de IDCORP S.A.S y de nuestros Titulares de Datos; y según el espíritu de la norma toda entidad que realice tratamiento de datos esta (sic) en la obligación de cumplir las disposiciones legales y constitucionales en cuanto al tratamiento de los datos personales máxime aun cuando se trate de trazabilidad informática de información que contenga datos sensibles, privados y propios de la organización responsable del tratamiento de los datos.

Por lo anterior, respetada Ingeniera, IDCORP S.A.S le envía el código fuente bajo las siguientes medidas de seguridad que se consideran pertinentes y necesarias, haciendo la claridad que estoy en total disposición de resolver este incidente administrativo ya que para IDCORP S.A.S los datos personales que tenemos en nuestra organización son nuestra información más preciada, motivo por el cual y como medida de seguridad, les solicito respetuosamente me sea informado la identificación de los profesionales que accedan al código fuente del sistema.

Para abrir el archivo del código, se debe seguir las instrucciones expuestas en el documento instrucciones.TXT enviadas en la comunicación anterior con la clave: XXXXXXXXXXXXXXX” Así, una vez analizada la anterior documentación allegada al expediente, bajo los radicados número 18-302263-32 y 18-302263-33 del 9 de septiembre de 2020 en respuesta a la prueba decretada mediante Resolución 2816 del 31 de enero de 2020; esta Dirección, a través de la Coordinación del Grupo de Trabajo de Investigaciones Administrativas, requirió a la sociedad IDCORP S.A.S., mediante oficio radicado el 29 de abril de 2021, bajo el número 18-302263-46, para que aportara el código fuente en su totalidad para el análisis respectivo.

En respuesta al requerimiento, la sociedad IDCORP S.A.S. remitió el enlace solicitado al correo electrónico institucional mencionado el 30 de abril de 2021. A partir de ese enlace, se realizó un informe técnico sobre el funcionamiento del sistema utilizado por iDTalento para el registro de los datos personales de los candidatos, radicado el 31 de mayo de 2021, bajo el número 18-302263-47.

A continuación, conviene traer a colación algunos extractos de este informe: “Finalidad del Tratamiento Se evidencia que el archivo “main/politicaexplicita.php” muestra el siguiente texto relacionado con la finalidad del tratamiento de datos personales: En cumplimiento de la Ley Estatutaria 1581 de 2012, y su Decreto reglamentario 1377 de 2103, se informa al titular de los datos que por medio de su conducta inequívoca, está autorizando de manera razonable la autorización para el tratamiento de sus datos públicos y privados en especial aquellos considerados como datos sensibles tales como mis imágenes, consignados en el presente formulario que serán incorporados en una base de datos responsabilidad de IDCORP S.A.S., siendo tratados con la finalidad de: Procesos de reclutamiento y selección de personal, entrevistas, pruebas psicotécnicas, evaluación de mi currículo laboral y académico, utilizar los medios de comunicación aportados para contactarme, requerir información a terceros sobre la veracidad de mi información personal y transferencia a terceros que participen en el proceso de selección, lo anterior, con miras a iniciar un posible proceso a los lineamientos de contratación laboral y en general para dar cumplimiento a los requisitos que se enmarquen dentro del objeto HOJA N 32, “Por la cual se impone una sanción” contractual establecidos por IDCORP S.A.S. y sus aliados la cual podré consultar en la página web <<Enlace a la url https://idtalento.net/Inicio/TerminosYCondiciones>> De igual modo, declaro que no me encuentro obligado a autorizar el tratamiento de mis datos personales sensibles y que he sido informado que puedo ejercer los derechos de acceso, corrección, supresión, revocación o reclamo por infracción sobre mis datos, mediante escrito dirigido a IDCORP S.A.S. a la dirección de correo electrónico <<Enlace al correo info@idtalento.com">>, indicando en el “Asunto”, el derecho que desea ejercer; o a través del correo ordinario remitido a la dirección, Calle 135 # 50-54 Piso 3 de la ciudad de Bogotá D.C. El Titular de datos declara haber leído la cláusula anterior y estar conforme con la misma.

Puede consultar el manual de política web de iDtalento haciendo clic en el siguiente enlace <<Enlace a la url https://videoscampanas.s3.amazonaws.com/Manual+de+Pol%C3%ADticas+Web+iDtalento.pdf >>: Manual de Políticas Web iDtalento Desde el enlace https://idtalento.net/Inicio/TerminosYCondiciones se muestra el siguiente texto respecto a la finalidad del tratamiento de datos De conformidad con la ley 1581 de 2012 (Ley de protección de datos personales) por medio de este documento, autorizo a IDCORP para la recolección, almacenamiento y tratamiento de mis datos personales en cumplimiento de la ley y de acuerdo con la siguiente finalidad de uso (I) envío de información sobre las novedades, de manera enunciativa pero no limitativa, cambios y/o modificaciones en sus productos y/o servicios (II) envío de información promocional, publicitaria, de mercadeo y administrativa de los productos y/o servicios, así como de actividades y eventos.

Así mismo manifiesto que toda la información que le ha suministrado a IDCORP, es correcta y refleja la verdad, y que autorizo para que se dé uso comercial legal a mis datos, salvaguardando como propios los datos privados El archivo “Manual+de+Políticas+Web+iDtalento.pdf” no se encuentra dentro del código fuente entregado por lo cual se consulta directamente desde su ubicación en los servidores de Amazon.

En este documento se relacionan todas las bases de datos de la compañía la finalidad; para el caso específico de la base de datos de este aplicativo se relaciona el siguiente texto: Base de Datos: Hojas de Vida Finalidad: Esta base de datos recepcióna (sic) hojas de vidas, realiza la gestión a través de la plataforma de empleo y otros medios la recolección. Adicionalmente gestiona todo lo relativo al proceso de selección de HOJAS DE VIDA.

(…) Se recomienda al área jurídica encargada del proceso, revisar en detalle los diferentes textos encontrados en relación con la finalidad de esta base de datos y determinar si están acorde con la información que se recolecta y uso que se hace de los mismos”. De acuerdo con los antecedentes transcritos y los argumentos de defensa expuestos por la sociedad OCUPAR TEMPORALES S.A. en los descargos 10 y alegatos de conclusión 11, es menester realizar las siguientes consideraciones: En primer lugar, no es correcto afirmar que el presente cargo carece de claridad debido a que en la Resolución 56816 del 24 de octubre de 201912,se enlistaron cada una de las pruebas13 con las que contaba esta Dirección para advertir preliminarmente que la sociedad OCUPAR TEMPORALES S.A. no había informado las finalidades para las cuáles utilizó los datos personales del señor XXXXXX XXXX XXXXXXXX XXXXXXXXX y los derechos que le asistían en virtud de la autorización Escrito radicado bajo el número 18-302263- -00021-0001 del 28 de noviembre de 2019.

Escrito radicado bajo el número 18-302263- -00040-0001 del 18 de noviembre de 2020. Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se inicia una investigación administrativa y se formulan cargos”, radicada bajo el número 18-302263-8 Considerando tercero (hojas 2 a 5) HOJA N 33, “Por la cual se impone una sanción” otorgada.

Igualmente, en el acto administrativo en comento se le explicó cuáles eran las normas presuntamente incumplidas y sus posibles sanciones. De conformidad con lo expuesto, este Despacho concluye lo siguiente: - La sociedad investigada tiene en su poder una serie de bases de datos que contienen información personal susceptible de ser tratada y, en consecuencia, se encuentran cobijadas por la Ley Estatutaria 1581 de 2012. - Al realizar un análisis comparativo de las finalidades del tratamiento de los datos personales referidas por la sociedad investigada en la respuesta radicada ante esta Superintendencia el 17 de junio de 201914 y en el escrito de descargos del 28 de noviembre de 201915, en relación con los hallazgos y conclusiones presentados en el informe técnico del 2 de junio de 202116, encuentra este Despacho que, existe concordancia entre las finalidades señaladas por la sociedad OCUPAR TEMPORALES S.A. en lo corrido de la presente investigación administrativa y lo advertido por esta Superintendencia a partir de análisis del código fuente del sistema iDTalento.

Estas finalidades se enmarcan en: (i) el proceso de reclutamiento y selección de personal, con miras a establecer eventualmente relaciones contractuales de tipo laboral; (ii) envío de información con fines publicitarios y de mercadeo y (iii) desarrollo de actividades administrativas y comerciales por parte de la compañía. - El procedimiento mediante el cual la sociedad investigada afirma informarle al Titular de la información sobre la finalidad de la recolección y los derechos que le asisten, se ajustan a los preceptos fundamentales en materia de protección de datos personales. - La sociedad OCUPAR TEMPORALES S.A. le informó al señor XXXXXX XXXX XXXXXXXX XXXXXXXXXX: (i) la finalidad del tratamiento al cual serán sometidos sus datos, (ii) los derechos que les asisten y (iii) los datos de identificación y contacto del Responsable del Tratamiento.

Por lo expuesto, este Despacho procederá con el archivo del presente cargo. DE LOS CARGOS FORMULADOS A LA SOCIEDAD IDCORP S.A.S. Este Dirección, mediante Resolución N°. 56816 de 2019, inició investigación administrativa y formuló cargos a la sociedad IDCORP S.A.S. por presuntas infracciones al Régimen de Protección de Datos personales, las cuales se concretan en posible transgresión a los siguientes estamentos normativos: i. el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; ii. el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley; y iii. el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4, el articulo 9 y el literal c) del artículo 13 de la misma Ley.

Para referirse al primer cargo, es necesario, en primer lugar, aludir al artículo 15 de la Constitución Política: “ARTÍCULO 15. Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”.

Escrito radicado bajo el número 18-302263-00006-0001 del 17 de junio de 2019. 15 Escrito radicado bajo el número 18-302263-00021-0001 del 28 de noviembre de 2019. 16 Escrito radicado bajo el número 18-302263-00047-1 del 2 de junio de 2021. HOJA N 34, “Por la cual se impone una sanción” Dicha norma establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su “imagen informática17” Los principios rectores, además, deben confluir en cuanto a su aplicación con los deberes y derechos contenidos en la Ley 1581 de 2012, específicamente en el presente caso, es relevante mencionar los deberes que tienen los Responsables de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

Igualmente, es importante indicar que, en virtud del principio de libertad, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la ley 1581 de 2012 y, además, el deber de solicitar y conservar copia de la autorización de Tratamiento otorgada por el mismo, dispuesto en el literal b) del artículo 17 de la ley mencionada, normatividad transcrita anteriormente.

Ley 1581 de 2012 “ARTÍCULO

(…) ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP Jorge Ignacio Pretelt Chaljub HOJA N 35, “Por la cual se impone una sanción” divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; (…) Decreto Único Reglamentario 1074 de 2015 “ARTÍCULO 2.2.2.25.2.2.

Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

En referencia al principio de finalidad, este se traduce en el deber de informar al Titular lo que se pretende hacer con su información y se encuentra contenido en el artículo 12 de la Ley 1581 de 2012, así: Ley 1581 de 2012 “Artículo 12. Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” Parágrafo.

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;” Literal b) del artículo 4: HOJA N 36, “Por la cual se impone una sanción” “ARTÍCULO 4o.

Como puede observarse, el principio de finalidad, que se encuentra íntimamente ligado al principio de libertad, impone unos límites al tratamiento de los datos que están siendo administrados por el Responsable; dichos límites se derivan de la naturaleza de la información y del uso que se dará a los datos recolectados. En palabras de la Corte Constitucional “(…) Tanto el acopio, el procesamiento y la divulgación de datos personales, debe obedecer a una finalidad constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista (…).18 Dicho principio se hace efectivo al momento en que se solicita autorización al Titular, pues es allí en que se cumple el término máximo para informarle al Titular los fines de la recolección de su información, ya que como lo dispuso el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015 “El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”.

Abordando estos aspectos la Corte Constitucional en Sentencia C-748 de 2011, expuso lo siguiente: “(…) La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos. Sin embargo, debe hacerse algunas precisiones. Por una parte, los datos personales deben ser con un propósito específico y explícito.

En este sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos.

En cuanto al principio de seguridad de la información, la Ley 1581 de 2012 preceptúa lo siguiente: Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb. HOJA N 37, “Por la cual se impone una sanción” “ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

“ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior." “ARTÍCULO 13. PERSONAS A QUIENES SE LES PUEDE SUMINISTRAR LA INFORMACIÓN. "La información que reúna las condiciones establecidas en la presente ley podrá suministrarse a las siguientes personas a) A los Titulares. sus causahabientes o sus representantes legales; b) A las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial; c) A los terceros autorizados por el Titular o por la ley." (Subraya fuera de texto).

“ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: ( ) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

( )" En el presente caso, una vez adelantadas las averiguaciones preliminares previstas en el artículo 4719 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho inició investigación administrativa de carácter sancionatorio en contra de la sociedad IDCORP S.A.S., mediante la Resolución 56816 del 24 de octubre de 201920, con base en las siguientes consideraciones: “CUARTO: Que este Despacho observa preliminarmente que ambas sociedades ostentan la calidad de Responsables del tratamiento de los datos del señor XXXXXX XXXX XXXXXXXX XXXXXXXXX, en los términos del artículo 3 de la Ley 1581 de 2012: Ley 1581 de 2012, artículo 3: “Para los efectos de la presente ley, se entiende por: (…) d) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento.

“ARTÍCULO

47. PROCEDIMIENTO ADMINISTRATIVO SANCIONATORIO. (…) Las actuaciones administrativas de naturaleza sancionatoria podrán iniciarse de oficio o por solicitud de cualquier persona. Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado.

Concluidas las averiguaciones preliminares, si fuere del caso, formulará cargos mediante acto administrativo en el que señalará, con precisión y claridad, los hechos que lo originan, las personas naturales o jurídicas objeto de la investigación, las disposiciones presuntamente vulneradas y las sanciones o medidas que serían procedentes Este acto administrativo deberá ser notificado personalmente a los investigados.

Contra esta decisión no procede recurso. 20 Resolución expedida por la Dirección de Investigación de Protección de Datos Personales “Por la cual se inicia una investigación administrativa y se formulan cargos”, radicada bajo el número 18-302263-8 HOJA N 38, “Por la cual se impone una sanción” e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos: (…)” (Subrayado fuera de texto).

Lo indicado en razón a que si bien se observa que la sociedad ID COPR S.A.S. presta el servicio del software “iDtalento” a la sociedad OCUPAR TEMPORALES S.A., en virtud del contrato del “Acuerdo de niveles de servicios Plataforma iDtalento.net” suscrito por ambas sociedades, también se encuentra en esta instancia previa que: (i) el acuerdo en mención no señala particularmente que ID CORP S.A.S. ostente la calidad de Encargado del Tratamiento de datos y, en esa medida, la sociedad OCUPAR TEMPORALES S.A. la de Responsable del mismo;

(ii) el contrato suscrito entre ambas partes no señala que la sociedad ID CORP S.A.S. recolecte los datos por cuenta o en nombre de la sociedad OCUPAR TEMPORALES S.A.; (iii) aparentemente los Titulares otorgan autorización para el tratamiento de sus datos personales directamente a la sociedad ID CORP S.A.S.; y (iv) en virtud del acuerdo de prestación de servicios suscrito, OCUPAR TEMPORALES S.A. se obliga a utilizar la información de los Titulares cumpliendo la finalidad expresada en la política de privacidad y tratamiento de datos personales de la sociedad ID CORP S.A.S. (fl.27).

No obstante que, mediante requerimiento de información, OCUPAR TEMPORALES S.A. informó que la única finalidad para la cual se recolectan los datos a través de la plataforma “iDtalento” es “(…) para que la persona participe en un proceso de selección, para un cargo en el cual se ajuste a su perfil (…)” (fl. 10). De ahí que inicialmente se evidencie que ambas sociedades determinan de forma independiente las finalidades para las cuales se realiza el tratamiento de los datos personales recolectados a través del software “iDtalento” y ninguna realiza el tratamiento de los datos personales por cuenta de la otra.

Por tanto, le corresponde a este Despacho determinar previamente y en esta etapa la posición que ambas sociedades ocupan e el tratamiento de los datos personales del denunciante, como ha sido avalado por la Corte Constitucional en Sentencia C-748 de 2011. Veamos: “( ) También es necesario precisar, como lo señalo la directiva en cita, que no basta con que una ley o un contrato señalen expresamente que una determinada persona o grupo do personas son responsables del tratamiento, por cuanto en cada caso corresponderá analizar el contexto de las actuaciones de los agentes concernidos en el tratamiento del dato para establecer su verdadera posición y, en este orden sus obligaciones y régimen de responsabilidad, [196] En ese orden de ideas, corresponderá a la autoridad competente de asegurar la vigilancia, control y garantía del dato personal, examinar la posición que ocupa cada agente en el tratamiento del dato, en especial, porgue como lo señala la misma definición de responsable y de encargado del tratamiento, éstos pueden estar constituidos por una pluralidad de sujetos que pueden tener distintos grados de responsabilidad[197].

Finalmente, como ejemplifica la Directiva referida -ejemplos que la Sala considera también son aplicables a nuestro caso, el responsable del tratamiento puede surgir: (i) cuando en el cumplimiento de una determinada función, se impone la recolección de datos, por ejemplo, en el caso de la seguridad social; la directiva en comento denomina esta situación competencia legal explícita: (ii) cuando en el ámbito propio de la actividad se produce el tratamiento, se trata del caso de los empleadores frente a sus trabajadores, lo gue se denomina competencia jurídica implícita; y (iii) cuando sin existirías competencias anteriores, se tiene la capacidad de determinación, hecho que se denomina capacidad de influencia de hecho. 2.5.7.3.

Establecida la diferencia entre responsable y encargado, la Sala observa, en primer lugar, que las definiciones de los literales d) y e) representan ejercicio legítimo de la libertad de configuración del legislador estatutario justificada en la forma cómo se desarrolla el tratamiento del dato, y en segunda lugar, que la clasificación tiene además utilidad desde el punto de vista constitucional, esta es, definir el régimen de responsabilidades y obligaciones de quienes participan en el tratamiento del dato personal.

(…) En esa línea, lo importante para una verdadera garantía de' derecho al habeos data, es que se pueda establecer de manera clara la responsabilidad de cada sujeto o agente en el evento en que el titular del dato decida ejercer sus derechos. Cuando dicha determinación no exista o HOJA N 39, “Por la cual se impone una sanción” resulte difícil llegar a ella, las autoridades correspondientes habrán de presumir la responsabilidad solidaria de todos, aspecto éste sobre el que guarda silencio el provecto de lev y que la Corte debe afirmar como una forma de hacer efectiva la protección a la que se refiere el artículo 15 de la Carta [199].

Las anteriores aclaraciones, le permiten a la Sala declarar la exequibilidad de los literales d) y e) del artículo 3. (Subrayado fuera de texto).” Sobre este punto, la sociedad investigada realizó las siguientes precisiones en su escrito de descargos: “(…) se debe aclarar que IDCORP sería el ENCARGADO de tratamiento toda vez realiza tratamiento de datos personales por solicitud de OCUPAR, soportado jurídicamente por medio de un acuerdo de niveles de servicios de plataforma firmado por las partes el día 01 de marzo de 2018, así mismo, las partes celebraron un contrato de transmisión de datos personales para la fecha mencionada con fines de dar cumplimiento a lo establecido en el Artículo 25.

Dar Tratamiento, a nombre del Responsable, a los datos personales conforme a 10:J (sic) principios que los tutelan. 2. Salvaguardar la seguridad de las bases de datos en los que se contengan datos personales. 3. Guardar confidencialidad respecto del Tratamiento de los datos personales”. Ahora bien, al revisar la copia de los contratos allegados por la sociedad investigada junto con el escrito de descargos, este Despacho encuentra que: - El señor ALEJANDRO NAVARRETE SILVA, en calidad de representante legal de la sociedad OCUPAR TEMPORALES S.A., suscribió contrato “Acuerdo de niveles de servicios Plataforma iDtalento.net” con el señor MILTON GEOVANNY NARANJO NOGUERA, en calidad de representante legal de la sociedad IDCORP S.A.S., el 1 de marzo de 2018.

El numeral 2.2. del contrato en cita señala la descripción del servicio en los siguientes términos: “2.2. Descripción del servicio Este servicio incluye la suscripción anual al uso de iDtalento.net, para veintidós (22) usuarios únicos y diez (10) Gigabytes máximo de almacenamiento para ser usados en la administración de procesos de selección, recepción de hojas de vida, evaluación a través de pruebas como son Filtro Automatizado Calificable, DETC, Evaluación por Competencias, iDisc y Video Entrevista.

El servicio no incluye instalaciones en servidores del cliente, personalizaciones, adecuaciones ni desarrollo nuevos o específicos para el cliente, Se entiendo que este servicio es estándar por su denominación como software como servicio (SaaS). - El 1 de marzo de 2018, la sociedad OCUPAR TEMPORALES S.A. (en adelante LA TEMPORAL) y la sociedad IDCORP S.A.S. (en adelante “Encargado”), a través de sus representantes legales, suscribieron “Contrato de transmisión de datos personales”.

En la parte introductoria del negocio jurídico en cita, las partes manifiestan lo siguiente: “Que LA TEMPORAL es responsable del tratamiento de los datos Personales de carácter personal, contenidos y tratados en sus sistemas de información, y ha decidido contratar los servicios de IDCORP SAS., consistentes en: Prestar los servicios de plataforma a los titulares de datos personales por medio de un formulario electrónico el cual está cargado en la página web de la temporal bajo unas políticas de privacidad y tratamiento de datos personales de fácil acceso para los visitantes web.

(…) HOJA N 40, “Por la cual se impone una sanción” De conformidad con la Ley 1581 de 2012 (Ley de protección de datos personales) por medio de este documento, autorizo a IDCORP S.A.S., para la recolección, almacenamiento y tratamiento de los datos personales en cumplimiento de la ley y de acuerdo con la siguiente finalidad de uso: (I) Ser utilizados por OCUPAR TEMPORALES S.A., para la realización de procesos de selección en los que participe el Usuario.

El servicio que presta IDCORP a OCUPAR TEMPROALES (sic) S.A., incluye la suscripción anual del uso del Software ID TALENTO para 22 usuarios únicos y 10 gigabytes máximo de almacenamiento para ser utilizados en procesos de administración, recepción de hojas de vida, evaluación a través de pruebas como son filtro automatizado, calificable DETAC, evaluación por competencias, disc y video conferencias Así (sic) mismo manifiesto que toda la información que le he suministrado a IDCORP S.A.S., es correcta y refleja la verdad.

Que para dicho uso resulta necesario que el encargado del tratamiento IDCORP S.A.S., acceda y trate datos personales contenidos en las bases de datos de las que es responsable “LA TEMPORAL”. A su turno, las cláusulas primera y segunda del contrato en cita establecen lo siguiente: “PRIMERA. – Para la ejecución de los servicios descritos anteriormente, LA TEMPORAL autoriza al Encargado del tratamiento “IDCORP S.A.S.”, la recolección y almacenamiento de los siguientes datos personales encomendados, de acuerdo con la relación contractual de las partes: Datos personales de naturaleza Publica (sic), semiprivada y privada como: nombres, apellidos, número de documento de identificación, tipo de documento, números de contacto, correo electrónico personal y corporativo, país, departamento y ciudad, información de currículo vitae, y aquellos datos personales necesarios que encajen dentro del objeto de este contrato, respetando siempre la privacidad e intimidad del Titular.

SEGUNDA. – El ENCARGADO del tratamiento ID CORP S.A.S., únicamente tratará los datos conforme a las instrucciones que reciba expresamente de LA TEMPORAL, y no los destinará, aplicará o utilizará con fin distinto al que figure en el presente contrato o de cualquier otra forma que suponga un incumplimiento de las instrucciones expresas que LA TEMPORAL le proporcione.

De igual modo, el Encargado del tratamiento se compromete a no revelar, transferir, ceder o de otra forma comunicar las bases de datos o datos contenidos en ellas, ya sea verbalmente o por escrito, por medios electrónicos, papel o mediante acceso informático, ni siquiera para su conservación, a otras personas. No obstante, el Encargado del tratamiento no incurrirá en responsabilidad, cuando previa indicación expresa de LA TEMPORAL, comunique los datos a un tercero designado por aquel, al que hubiera encomendado la prestación de un servicio.” Como se observa, la sociedad IDCORP S.A.S. obra por cuenta de la sociedad OCUPAR TEMPORALES S.A., para que realice en su nombre la recolección y tratamiento de datos personales por medio de un formulario electrónico para adelantar: (i) procesos de selección de personal, (ii) recepción de hojas de vida, (iii) evaluación a través de pruebas como son filtro automatizado, calificable DETAC, evaluación por competencias, disc y (iv) video conferencias.

La Ley Estatutaria 1581 de 2012 diferencia entre el Responsable y el Encargado del Tratamiento de la siguiente manera: De una parte, define al Responsable del tratamiento como la “persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos”. Se trata del sujeto que directamente recolecta los datos y define los usos junto con las demás actividades que comprende el tratamiento.

Su actividad es reglada y la ley 1581 le impone obligaciones, entre otros, en el artículo 17 que, entre otras, ordena lo siguiente: “ARTÍCULO

HOJA N 41, “Por la cual se impone una sanción” c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada; d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…) De otra parte, la Ley 1581 de 2012 define al Encargado del tratamiento como la “persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento”, imponiéndole las obligaciones contempladas en el artículo 18 del cuerpo normativo en cita.

Respecto de las calidades de Responsable y Encargado la Corte Constitucional mediante sentencia C- 748 de 2011, manifestó lo siguiente: “El proyecto define al encargado del tratamiento como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el tratamiento de datos personales por cuenta del responsable del tratamiento.

Por otro lado, el responsable del tratamiento es definido como la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decide sobre la base de datos y/o el tratamiento de los datos (…) Los criterios de (i) definición de los fines y medios del tratamiento del dato personal y (ii) existencia de delegación, también resultan útiles en nuestro caso para establecer la diferencia entre responsable y encargado.

Ciertamente, el concepto “decidir sobre el tratamiento” empleado por el literal e) parece coincidir con la posibilidad de definir –jurídica y materialmente- los fines y medios del tratamiento. Usualmente, como reconocen varias legislaciones, el responsable es el propietario de la base de datos; sin embargo, con el fin de no limitar la exigibilidad de las obligaciones que se desprenden del habeas data, la Sala observa que la definición del proyecto de ley es amplia y no se restringe a dicha hipótesis.

Así, el concepto de responsable puede cobijar tanto a la fuente como al usuario, en los casos en los que dichos agentes tengan la posibilidad de decidir sobre las finalidades del tratamiento y los medios empleados para el efecto, por ejemplo, para ponerlo en circulación o usarlo de alguna manera. De otro lado, el criterio de delegación coincide con el término “por cuenta de” utilizado por el literal e), lo que da a entender una relación de subordinación del encargado al responsable, sin que ello implique que se exima de su responsabilidad frente al titular del dato.

Así, por ejemplo, será responsable del dato el hospital que crea la historia clínica de su paciente, la universidad o las instituciones educativas en relación con los datos de sus alumnos, pues estos determinan la finalidad (en razón de su objeto que, puede estar señalado en una ley o por el giro normal de la actividad que se desarrolla) para la recolección de los datos, así como la forma en que los datos serán procesados, almacenados, circulados, etc.

Ahora bien, vale la pena advertir que el encargado del tratamiento no puede ser el mismo responsable, pues se requiere que existan dos personas identificables e independientes, natural y jurídicamente, entre las cuales una –el responsable señala a la otra –el encargado- como quiere el procesamiento de unos determinados datos. En este orden, el encargado recibe unas instrucciones sobre la forma como los datos serán administrados.

Volvamos al ejemplo de la historia clínica, en el que la institución de salud contrata con una compañía el procesamiento de las historias para que con un programa especial que puede determinar el responsable o la empresa contratada, le organice la información contenida en ellas, siguiendo las indicaciones que establece el hospital. En este caso, el encargado del tratamiento de los datos es la persona jurídica que se contrata para el procesamiento de las hojas de vida.

(Negrilla fuera del texto original) Dado lo anterior, la sociedad IDCORP S.A.S. obró como un Encargado del Tratamiento y no como Responsable del mismo. Por lo tanto, no le correspondía solicitar la autorización de la Titular del dato, ya que ello es un deber legal de OCUPAR TEMPORALES S.A., como Responsable del Tratamiento de la información del denunciante.

HOJA N 42, “Por la cual se impone una sanción” Lo anterior, no significa que, no se requiera autorización del Titular de la información, para recolectar y usas sus datos personales. Esta es necesaria, pero quien debe obtenerla es el Responsable, quien puede suministrar al Encargado los datos que hay obtenido con la autorización previa, expresa e informada, de conformidad con lo preceptuado en la Ley Estatutaria 1581 de 2012.

En línea con las precisiones realizadas, encuentra esta Dirección que, en efecto a la sociedad IDCORP S.A.S. le asisten unos deberes tendientes a garantizar el derecho de habeas data de los Titulares de la información, en calidad de Encargada del tratamiento. Consecuencia de lo anterior, su conducta no se encuadra en la vulneración de lo dispuesto en: (i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015;

(ii) el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley; y (iii) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4, el articulo 9 y el literal c) del artículo 13 de la misma Ley. Por lo expuesto, esta Dirección procederá con el archivo de los tres cargos formulados a la sociedad IDCORP S.A.S.

DÉCIMO OCTAVO: Imposición y graduación de la sanción 18.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIÓN ES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones es: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 21.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las 21 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. HOJA N 43, “Por la cual se impone una sanción” competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción sociedad como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994. En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanción es, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PAR. —Los cobros, sanción es, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanción es o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e sociedad dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional22 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 23 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. HOJA N 44, “Por la cual se impone una sanción” artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. También se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros24. La imposición de sanción es por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razón amientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”25.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia26. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2327 de la misma ley.

Asimismo, el artículo 24 de la 24 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 25 Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos 26 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 27 Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e sociedad al hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva..” HOJA N 45, “Por la cual se impone una sanción” norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 18.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sanción ador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”28 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados29. 28 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 29 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e sociedad al hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada.

En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto HOJA N 46, “Por la cual se impone una sanción” También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Así como, la conducta de la investigada durante el trámite de la investigación administrativa. Para el caso que nos ocupa, quedó demostrado que la sociedad OCUPAR TEMPORALES S.A. vulneró los deberes contemplados en: i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; al no solicitar y conservar, en las condiciones previstas en la presente ley; copia de la respectiva autorización otorgada por el Titular de la información; razón por la cual, se impondrá sanción pecuniaria correspondiente a CINCUENTA Y UN MILLONES CIENTO NOVENTA Y CUATRO MIL DOSCIENTOS OCHENTA PESOS M/CTE ($51.194.280) equivalente a MIL CUATROCIENTOS DIEZ (1410 UVT) UNIDADES DE VALOR TRIBUTARIO VIGENTES. 18.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

Tampoco se tendrá en cuenta el criterio de atenuación señalado en el literal f) por cuanto, la investigada no admitió la comisión de la infracción de los hechos materia de investigación DÉCIMO NOVENO: CONCLUSIÓN Se encuentra acreditado que: 1. La sociedad OCUPAR TEMPORALES S.A. vulneró el derecho fundamental de habeas data del Titular de la información, al no solicitar y conservar, en las condiciones previstas en la Ley Estatutaria; copia de la respectiva autorización otorgada por este para el tratamiento de sus datos personales. 2.

La sociedad IDCORP S.A.S. obró como un Encargado del Tratamiento y no como Responsable del tratamiento de los datos del señor XXXXXX XXXX XXXXXXXX XXXXXXXXXXX.

VIGÉSIMO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad OCUPAR TEMPORALES S.A. con Número de Identificación Tributaria 800.106.404-0 y de la sociedad IDCORP S.A.S. con Número de Identificación Tributaria 900.922.790-1, esta Dirección ha concedido el acceso al presente Expediente digital a estas, por intermedio de su Representante Legal Principal.

El representante Legal Principal de la sociedad OCUPAR TEMPORALES S.A., vinculado al correo electrónico de notificación judicial de la sociedad financiera@ocupar.com.co, debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

El representante legal de la sociedad IDCORP S.A.S., vinculado al correo electrónico de notificación judicial de la sociedad geovanny@idtalento.com, debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php. incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” HOJA N 47, “Por la cual se impone una sanción” En caso de que las sociedades requieran un acceso adicional de consulta del Expediente, cada una deberá dirigir de manera independiente su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Finalmente, indicando que la totalidad del Expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad OCUPAR TEMPORALES S.A. o la sociedad IDCORP S.A.S. considera estrictamente necesario el acceso del Expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.

Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad OCUPAR TEMPORALES S.A. identificada con Nit. 800.106.404-0, de CINCUENTA Y UN MILLONES CIENTO NOVENTA Y CUATRO MIL DOSCIENTOS OCHENTA PESOS M/CTE ($51.194.280) equivalente a MIL CUATROCIENTOS DIEZ (1410 UVT) unidades de valor tributario vigentes, por la violación a lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ARCHIVAR la actuación administrativa adelantada en contra de la sociedad IDCORP S.A.S. identificada con Nit. 900.922.790-1, en cuanto a la presunta transgresión de lo dispuesto en: (i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015;

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad OCUPAR TEMPORALES S.A., identificada con Nit.800.106.404-0, a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO CUARTO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad IDCORP S.A.S. identificada con Nit.900.922.790-1, a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO QUINTO: COMUNICAR al señor XXXXXX XXXX XXXXXXX XXXXXXXXX identificado con la cédula de ciudadanía número xxxxxxxxxxxxx, el contenido de la presente resolución. HOJA N 48, “Por la cual se impone una sanción”

ARTÍCULO SEXTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 22 JULIO 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.07.22 22:10:32 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: MRFA Revisó: SRB Aprobó: CESM NOTIFICACIÓN: Investigadas: Sociedad: IDCORP S.A.S. Identificación: Nit. 900.922.790-1 Dirección: Calle 135 # 50-54 Piso 3 Representante Legal: MILTON GEOVANNY NARANJO NOGUERA Identificación: C.C.79.685.445 Correo electrónico: geovanny@idtalento.com Ciudad: Bogotá D.C. Sociedad: Identificación: Dirección: Representante Legal: Identificación: Correo electrónico: OCUPAR TEMPORALES S.A. Nit. 800.106.404-0 Av. 8 No. 23 Norte 76 ALEJANDRO NAVARRETE SILVA C.C.94.410.818 financiera@ocupar.com.co COMUNICACIÓN: Señor: Identificación: Dirección: Correo electrónico: Ciudad: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXX

Resolución sancionatoria N° 45328 de 2021

CONSIDERANDO

RESUELVE