(Julio 12 de 2023) “Por la cual se resuelve un recurso de apelación” Radicación 19-78100 VERSIÓN ÚNICA LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y
CONSIDERANDO
PRIMERO. Que mediante Resolución No. 44870 del 12 de julio de 2022, la Dirección de Investigación de Protección de Datos Personales, respecto de la actuación adelantada en contra del NETGOSIT S.A.S (en adelante NETGOSIT), resolvió lo siguiente: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad NETGOSIT S.A.S identificada con Nit 900.886.785-1, de CATORCE MILLONES CIENTO TREINTA Y SIETE MIL CUATROCIENTOS OCHENTA Y OCHO PESOS M/CTE ($14.137.488), equivalente a TRESCIENTOS SETENTA Y DOS UVT (372), por la violación a lo dispuesto en: i) Lo contemplado en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal d) del artículo 4 de la misma Ley, y con el artículo 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015. ii) El literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012. iii) El literal j) del artículo 17 en concordancia con el artículo 15 de la Ley 1581 de 2012.
(…)
ARTÍCULO SEGUNDO: ORDENAR a la sociedad NETGOSIT S.A.S lo siguiente: i) Implementar medidas de seguridad y mecanismos necesarias para proteger los datos personales tratados bajo su custodia o posesión toda vez que los equipos donde se almacenan datos privados pueden ser objeto de extracción y su página web tampoco cuenta con medidas adecuadas conforme a lo señalado en el literal d) del artículo 17 de la Ley 1581 de 2012. ii) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial para la atención de consultas y reclamos de acuerdo a lo contemplado en el literal k) del artículo 17 de la Ley 1581 de 2012 y en concordancia con el artículo 2.2.2.26.2.4 del Decreto Único Reglamentario 1074 de 2015. iii) Implementar y poner en conocimiento de los Titulares de información la política de tratamiento de datos personales de la responsable del tratamiento de datos.” Para dar cumplimiento a esta orden, la investigada deberá acreditar el cumplimiento de lo ordenado mediante certificación firmada por el representante legal y remitir la documentación pertinente dentro del término de los tres (3) meses siguientes a la ejecutoria de la presente decisión.
SEGUNDO. Que NETGOSIT, a través de su apoderada especial (en adelante la RECURRENTE) interpuso recurso de reposición y en subsidio de apelación1, cuyos argumentos son los señalados en el escrito obrante en el consecutivo 76 del radicado 19-78100 remitido el 29 de julio de 2022. 1 la Resolución No. 44870 del 12 de julio de 2022 fue notificada a NETGOSIT el 14 de julio de 2022.
TERCERO. Que, mediante Resolución No. 83104 del 25 de noviembre de 2022, la Dirección de Investigación de Protección de Datos Personales, resolvió el recurso de reposición interpuesto, confirmando en todas sus partes la Resolución No. 44870 del 12 de julio de 2022.
CUARTO. Que este Despacho coincide con la Dirección de Investigación de Protección de Datos Personales en el análisis y conclusiones respecto al cumplimiento de la oportunidad, presentación y cumplimiento de los requisitos del recurso objeto de estudio y la competencia de esta Superintendencia.
QUINTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, confirmará el acto administrativo impugnado, conforme a los siguientes argumentos: 1. De la lectura del recurso de apelación interpuesto, encuentra el Despacho que uno de los argumentos desarrollados por la RECURRENTE, está relacionado con el deber que tiene el Responsable de “solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”, establecido en el literal b) del artículo 17 de la Ley 1581 de 2012.
Veamos: “En el presente caso se observa que los titulares de la información personal relacionados dentro de la investigación desplegaron conductas inequívocas que, sin lugar a dudas ni equivocación, permitieron concluir de forma notoriamente razonable que otorgaban la autorización para el tratamiento de sus datos personales. Lo anterior se explica porque es necesario efectuar diferentes pasos por parte del titular de la información para que luego se pueda proceder con el contacto de esa persona en específico”.
(…) Al respecto, la Dirección de Investigación de Protección de Datos Personales, al resolver el recurso de reposición mediante la Resolución No. 83104 del 25 de noviembre de 2022, manifestó lo siguiente: “No obstante, lo anterior, si bien la recurrente hace énfasis en la forma que pretenden demostrar se obtiene la autorización para el tratamiento de datos personales, debe recordarse que ese deber no fue objeto de análisis dentro de la presente investigación y tampoco hace parte de los deberes frente a los cuales el Despacho encontró una vulneración y se impuso la sanción pecuniaria los cuales se recuerda correspondieron a: (i) El contemplado en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal d) del artículo 4 de la misma Ley, y con el artículo 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015.
Dicho cargo se encontró probado toda vez que la sociedad investigada no garantizó a los Titulares, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data., puesto que los denunciantes solicitaron que la sociedad NETGOSIT S.A.S. eliminara sus datos personales de sus bases de datos y que no continuara efectuando tratamiento de dicha información, petición que no fue atendida y por el contrario dentro de la investigación se pudo demostrar que la recurrente siguió tratando los datos pese a que claramente los titulares manifestaron no seguir dando su consentimiento.
(ii) El literal j) del artículo 17 en concordancia con el artículo 14 y el literal e) del artículo 4 de la Ley 1581 de 2012 y (iii) El literal j) del artículo 17 en concordancia con el artículo 15 de la Ley 1581 de 2012. Frente a este cargo se evidenció que la recurrente no contaba con medidas de seguridad y mecanismos necesarias para proteger los datos personales tratados bajo su custodia o posesión, toda vez que los equipos donde se almacenan datos privados pueden ser objeto de adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, de igual forma se encontró que su página web tampoco cuenta con medidas adecuadas.
De esta manera, no son de recibo los argumentos expuestos por la sociedad recurrente puesto que con los mismos no se desvirtúan las conductas que llevaron a incumplir los deberes motivo de la sanción impuesta mediante la Resolución N°44870 del 12 de julio de 2022”. De lo argumentado por la RECURRENTE, este Despacho considera que el hecho de contar con la autorización previa, expresa e informada de los titulares, tal y como lo indica en el escrito de apelación, no justifica de ninguna manera las conductas investigadas en la presente actuación administrativa, en la medida que el tratamiento de datos personales no se circunscribe únicamente a contar con dicha autorización, NETGOSIT en su calidad de Responsable, está en la obligación de cumplir con todos los principios y deberes establecidos en la Ley 1581 de 2012 y sus normas reglamentarias.
Por lo tanto, este Despacho acoge los argumentos presentados por la Dirección de Investigación de Protección de Datos Personales, en lo que tiene que ver con el primer argumento presentado por la RECURRENTE. 2. NETGOSIT cuenta con los mecanismos, instrumentos y medidas de seguridad previstos en el régimen de protección de datos personales.
Señala la RECURRENTE que, “(…) NETGOSIT cuenta con los mecanismos necesarios, instrumentos y medidas de seguridad previstos en el régimen de protección de datos personales para garantizar el derecho de hábeas data y la seguridad de la información de las personas bajo su custodia o posesión, teniendo en cuenta todas las exigencias legales”.
Para el efecto, allega con el escrito del recurso, los siguientes documentos: 1. Manual de Seguridad de Información NETGOSIT S.A.S. 2. Manual Interno de Políticas y Procedimientos para atender Reclamos por parte de titulares de Información Personal. 3. Política de Seguridad de Información NETGOSIT S.A.S. 4. Política de Protección y Tratamiento de Datos Personales NETGOSIT S.A.S. y Manual de Tratamiento de Datos Personales.
Con el fin de pronunciarnos frente este aspecto del recurso, considera este Despacho necesario traer a colación lo establecido en el artículo 2.2.2.25.6.1 del Decreto 1074 de 2015, que trata sobre el principio de responsabilidad demostrada que deben cumplir los Responsables del tratamiento de información.
ARTÍCULO 2. 2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, cómo también la descripción de las finalidades para las cuáles esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas. Es de resaltar que la Corte Constitucional mediante la sentencia C-32 de 2021 reconoció la existencia de la responsabilidad demostrada en los siguientes términos: “219.
El principio de responsabilidad demostrada, conocido en el derecho comparado como accountability en la protección de datos personales, es incorporado por la legislación interna por el Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2013 (sic). El artículo 26 de esa normativa determina que los responsables del tratamiento de datos personales deberán demostrar, a petición de la Superintendencia de Industria y Comercio, entidad que obra como autoridad colombiana de protección de datos, que han implementado medidas apropiadas y efectivas para cumplir con las citadas normas jurídicas.
Esto de manera proporcional a: (i) la naturaleza jurídica del responsable y, cuando sea el caso, su tamaño empresarial; (ii) la naturaleza de los datos personales objeto de tratamiento; (iii) el tipo de tratamiento; y (iv) los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares del dato personal.
Con este fin, los responsables deben informar a la SIC acerca de los procedimientos usados para el tratamiento de datos. A esta medida se suma lo previsto en el artículo 27 ejusdem, que estipula la obligación del responsable de establecer políticas internas que garanticen: (i) la existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable;
(ii) la adopción de mecanismos internos para poner en práctica dichas políticas; y (iii) la previsión de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, respecto de cualquier aspecto del tratamiento de datos personales. El principio de responsabilidad demostrada, de acuerdo con lo expuesto, consiste en el deber jurídico del responsable del tratamiento de demostrar ante la autoridad de datos que cuenta con la institucionalidad y los procedimientos para garantizar las distintas garantías del derecho al habeas data, en especial, la vigencia del principio de libertad y las facultades de conocimiento, actualización y rectificación del dato personal.”2 (Destacamos) Conforme a las pruebas allegadas a la presente actuación administrativa, la Dirección de Investigación de Protección de Datos Personales, pudo constatar y así lo manifestó en el acto administrativo que se revisa, que NETGOSIT, no tenía implementados los siguientes procesos: Cfr. Corte Constitucional, sentencia C-032 del 18 de febrero de 2021.
M.P. Dra Gloria Stella Ortiz. El texto de la sentencia puede consultarse en: https://www.corteconstitucional.gov.co/relatoria/2021/C-032-21.htm (i) (ii) (iii) Medidas de Seguridad y mecanismos necesarios para proteger los datos personales. Manual Interno de Políticas y procedimientos para garantizar la atención de consultas y reclamos. La Política de Tratamiento de Datos Personales.
Así las cosas, si bien es cierto NETOGOSIT a través del recurso de apelación presentado por su apoderada allegó una serie de documentos con los que pretende demostrar que sí tenía implementadas las medidas a las que se hizo referencia, también lo es que, como lo indica la Dirección, éstos no son suficientes para desvirtuar los hallazgos evidenciados tanto en la visita administrativa realizada, como en la preservación de la página web, lo cual comparte este Despacho.
Adicionalmente, encuentra el Despacho que los argumentos expuestos por la RECURRENTE no son suficientes para modificar o revocar la decisión que se revisa tal y como es solicitado. En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1. CONFIRMAR la Resolución No. 44870 del 12 de julio de 2022, de conformidad con lo expuesto en la parte motiva de la presente resolución.
ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente resolución a NETGOSIT S.A.S, identificado con NIT. 900.886.785-1, a través de su Representante Legal o apoderado, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.
ARTÍCULO 3. INFORMAR el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., julio 12 de 2023 LA SUPERINTENDENTE DELEGADA PARA LA PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CIELO ANGELA PENA RODRIGUEZ Fecha: 2023.07.12 16:58:01 -05'00' CIELO ÁNGELA PEÑA RODRIGUEZ Proyectó: HFTM Revisó: NTL NOTIFICACION: Investigada: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: NETGOSIT S.A.S Nit 900.886.785-1 DIANA CAROLINA RIASCOS VALENCIA C.C. 38.667.440 Calle 38 Norte No. 6 – 35 BG 2 Cali (Valle del Cauca) gerencia@netgosit.com Apoderada: Identificación: Tarjeta Profesional: Dirección: Ciudad: Correo electrónico: ALEXANDRA NAYIBE BRUNAL OBREGÓN C.C. 1.067.847.529 186.807 Avenida 4 Norte No. 6N – 67 Oficina 310 Edificio Torres Empresarial Siglo XXI Cali (Valle del Cauca) juridico@brunalabogados.com