Resolución sancionatoria N° 55363 de 2021

(30 AGOSTO 2021) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación 17-154376 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y el numeral 8 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que mediante escrito presentado ante esta Superintendencia, radicado con el número 17-154376-00000 del 6 de junio de 2017, el señor xxxxxxxxxxxxxxxxxxxxxx, identificado con C.C. No. xxxxxxxxxx, denunció los siguientes hechos: 1.1 La empresa NOVOCLICK, sitio web http://novoclick.com/, envió mensajes de texto sin la posibilidad de realizar una solicitud para la eliminación de sus datos personales. 1.2 El denunciante manifestó que realizó una investigación para saber cuál era la empresa que le enviaba mensajes de texto, para así determinar que la empresa era NOVOCLICK. 1.3 Los datos personales del denunciante fueron recolectados sin autorización por parte de NOVOCLICK y/o las empresas clientes de esta. 1.4 Su número de celular se encuentra inscrito en el Registro Nacional de Excluidos y que, aun así, recibe mensajes publicitarios por parte de NOVOCLICK.

SEGUNDO: Que, con el propósito de tener más elementos de juicio sobre los hechos, esta Dirección a través del Grupo de Trabajo de Investigaciones Administrativas adelantó las siguientes averiguaciones preliminares: 2.1 Que el 24 de mayo de 2018 se solicitó al Laboratorio de Informática Forense de la http://www.novoclick.com, con el fin de reunir las pruebas contra la presunta vulneración del Régimen General de Protección de Datos Personales1. 2.2 Que en la preservación de la página web2 se pudo establecer lo siguiente: • En la búsqueda de información referente a la existencia y representación legal (RUES3) NOVOCLICK E.U., NIT. 830.092.036-1, su estado es cancelada4. • Teniendo en cuenta lo anterior, y una vez revisada la Política de Privacidad se estableció que el Responsable y Encargado del Tratamiento de datos personales es la sociedad TUCONSULTA COLOMBIA S.A.S., NIT. 900.318.063-55. 1 Como consta en el informe técnico del Laboratorio Forense finalizado el 6 de junio de 2018, correspondiente al Acta- Informe LIF N° 118-18, anexo a la comunicación con radicado 17-154376-00049 del 11 de marzo de 2021. 2 Obrante en el informe técnico del Laboratorio Forense finalizado el 6 de junio de 2018, correspondiente al Acta- Informe LIF N° 118-18, anexo a la comunicación con radicado 17-154376-00049 del 11 de marzo de 2021. 3 Registro Único Empresarial. 4 Folio 12 reverso. 5 Folio 21.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” • 2.3 Se logró evidenciar que en la página web http://www.novoclick.com/contacto/ existe un formulario de registro que recolecta los datos personales, tales como: nombre, apellidos, correo electrónico y teléfono. En la fecha en que se realizó la preservación, este formulario no contaba con un mecanismo de aceptación de Tratamiento de datos6.

Mediante oficio con radicado 17-154376-00004 del 17 de julio de 2017 se solicitó a NOVOCLICK E.U. que aclarara lo siguiente: 1. “¿Cuáles son los mecanismos implementados por ustedes para obtener y recolectar la información personal almacenada en su base de datos? 2. ¿Cuenta con autorización expresa, previa e informada de los titulares de la información contenida en las bases de datos o archivos que manejan? En caso afirmativo sírvase remitir copia del modelo o formulario implementado para tales fines. 3.

¿Qué información personal del señor xxxxxxxxxxxx, se encuentra almacenada en sus bases de datos? 4. ¿Cuál es la finalidad del tratamiento de la información personal del señor xxxxxx xxxxxx? 5. En los términos del artículo 9 de la Ley 1581 de 2012, ¿cuenta con la autorización previa, expresa e informada, del señor xxxxxxxxxxx para el tratamiento de sus datos personales? De resultar afirmativa la respuesta dada al anterior numeral, favor remitir copia de la autorización otorgada por el señor xxxxxxxxxxx para el tratamiento de sus datos personales.

En la cual, además se indique la finalidad de la recolección y tratamiento de los mismos. 6. ¿Cuáles son las políticas internas de seguridad documentadas e implementadas para la conservación de la información de los titulares, para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento? Sírvase remitir a esta Superintendencia copia de las mismas. 7.

¿Cuáles son las Políticas de Tratamiento implementadas por ustedes para el manejo de datos personales? Sírvase remitir a esta Superintendencia copia de las mismas. 8. Aclare si el tratamiento que realiza a las bases de datos que tiene almacenadas lo hace en calidad de Responsable y/o Encargado. 9. Remita copia del acuerdo de confidencialidad o, en su defecto, del documento contentivo del mismo, que hace firmar a los trabajadores que tienen acceso a la base de datos por ustedes administradas. 10.

Sírvase indicar cuáles son las medidas técnicas de seguridad implementadas al interior de su organización para las personas que acceden a la información personal almacenada en su base de datos. 11. En los términos del artículo 2.2.2.25.5.2 del Decreto único Reglamentario 1074 de 2015, ¿existe algún vínculo contractual o convenio en virtud del cual le es suministrada o transmitida información por parte de un tercero? En caso afirmativo, sírvase remitir copia del mismo. 12.

De acuerdo a lo estipulado por el artículo 2.2.2.25.4.4 del Decreto 1074 de 2015, ¿Quién es la persona o área encargada de la función de Protección de Datos Personales, que dará trámite a las solicitudes de los Titulares?” 2.4 Mediante comunicación con radicado 17-154376-00005 del 10 de agosto de 2017, la sociedad NOVOCLICK E.U. dio respuesta al requerimiento con radicado 17-154376-00004 del 17 de julio de 2017, señalando: 6 Folio 25, anverso y reverso.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” “Toda la información ha sido obtenida y recolectada conforme lo dispuesto en la ley 1582 (sic) de 2012 y su decreto reglamentario 1377 de 2013. Tenemos 3 bases de datos registrados en el Registro Nacional de Bases de Datos – RNBD: • Base de datos Nomina (sic).

Los datos son recolectados previa autorización de cada persona. • Base de Datos Clientes. Los datos son recolectados previa autorización de la persona o empresa. • Base de datos Suscriptores o destinatarios de comunicaciones. Los datos son obtenidos y recolectados mediante: (…) ¿Qué información del Titular se encuentra almacenada en sus bases de datos? No tenemos ninguna información personal del titular almacenado en nuestras bases de datos por los siguientes motivos: a) La única información que tuvimos y fue eliminada el mismo día 06 de Junio (sic) de 2017 cuando se procedió a la supresión son la NATURALEZA PUBLICA (sic) Y DOMINIO PUBLICO (sic), fueron correo electrónico corporativo y numeración celular que se encuentran publicadas en sitios de dominio público incluyendo la Cámara de Comercio de Bogotá y múltiples sitios de internet entre los que se encuentran http://www.bogotamiciudad.com/Directorio/, www.cijuf.org.co (…) b) Solo hasta el día Martes 06 de Junio (sic) de 2017 obtuvimos información personal del titular mediante una llamada telefónica que él realizó a nuestra oficina y un correo electrónico que nos remitió por correo electrónico en los cuales suministró los dos datos personales requiriendo la supresión de un número de teléfono al cual enviamos un mensaje de texto o NOMBRE SIN APELLIDO (datos de naturaleza pública) o Numeración (sic) DE CELULAR (datos de naturaleza pública) De manera inmediata se indicó mediante llamada telefónica realizada el mismo 06 de Junio (sic) de 2017 que cualquier información que reposara en nuestro poder sería eliminada atendiendo así la respectiva supresión. c) Finalidad del tratamiento de la información personal del señor d) Teniendo en cuenta el punto anterior, la finalidad del tratamiento de la información personal suministrada por el titular (Un nombre y un celular) el día 06 de Junio (sic) de 2017 fue la de eliminar completamente toda la información de dominio público que teníamos: o NOMBRE SIN APELLIDO (datos de naturaleza pública) o NUMERACION (sic) CELULAR (datos de naturaleza pública e) En los términos del artículo 9 de la Ley 1581 de 2012 ¿cuenta con la autorización previa, expresa e informada, del titular para el tratamiento de sus datos personales? De resultar afirmativa la respuesta dada al anterior numeral, favor remitir copia de la autorización otorgada por el titular para el tratamiento de sus datos personales En la cual, se indique la finalidad de la recolección y tratamiento de los mismos.

Los datos a que hace referencia éste documento son de naturaleza pública motivo por el cual no es necesaria la autorización, cito a continuación Artículo 10 de la ley 1581 de 2012: (…) Adicionalmente debe tenerse en cuenta que dado cumplimiento a las disposiciones de ley, se dio tramite (sic) inmediato al derecho de supresión ejercido por el titular lo cual le fue manifestado en su llamado telefónico al titular el mismo día de su llamada 06 Junio (sic) de 2017 y motivo por el cual ya no volvió a recibir mensaje alguna (sic) de nuestra parte.

(…)”. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 2.5 Mediante oficio con radicado 17-154376-00006 del 14 de febrero de 2019 se solicitó a la sociedad TUCONSULTA COLOMBIA S.A.S. que aclarara los siguientes puntos: “1. Sírvase informar si la sociedad TU CONSULTA S.A.S., identificada con NIT. 900.318.063-6, es quien actúo como administrador y Responsable del Tratamiento de la información que se recolecta en la página web www.novoclick.com. 2.

En respuesta aportada a este Despacho el día 08 de agosto del año 2017 bajo radicado No. 17-154376-00005, el señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx manifestó actuar como representante legal de la sociedad NOVOCLICK EU. Una vez este Despacho verificó el certificado de la existencia y representación legal de dicha sociedad, esta se encuentra disuelta y liquidada desde el 14 de marzo de 2017.

Sírvase aclarar a este Despacho por qué usted dio respuesta en calidad de representante legal de la sociedad NOVOCLICK EU, habiéndose liquidado esta desde el 14 de marzo de 2017”. 2.6 Mediante comunicación con radicado 17-154376-00013 del 4 de marzo de 2019, la sociedad TUCONSULTA COLOMBIA S.A.S., en relación con el requerimiento enunciando en el numeral anterior, informó: “1.

La única información a que se tuvo acceso es de Naturaleza Pública y Origen Público y de acuerdo al artículo 10 de la Ley 1581, no es necesaria autorización en dichos casos; los datos referidos fueron únicamente correo electrónico corporativo y numeración celular publicados en sitios de dominio público incluyendo la Cámara de Comercio de Bogotá y múltiples sitios de internet entre los que se encuentran http://www.bogotamiciudad.com/Directorio/, www.cijuf.org.co,http://investigacionyprogramacion.com/docs_descargaslibres/alojamiento.pdf (sic) (que señala en su URL ‘descargas libres’) entre muchos otros donde se exponen sus celulares: (…) 1.

La sociedad TUCONSULTA COLOMBIA SAS identificada con Nit 900.318.03-5 (sic) actúa como administrador y responsable del tratamiento de la información recolectada por la marca Novoclick en formularios en Internet entre los cuales se encuentra el sitio www.novoclick.com y fuentes de Naturaleza Pública de acuerdo con el artículo 10 de la Ley 1581. 2.

Bajo el principio de la Buena Fé (sic), di respuesta a su comunicación ya que el único representante legal de dicha sociedad liquidada unos pocos meses antes, era yó (sic)”.

TERCERO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en (i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, y con el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 y;

(ii) el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma ley, se inició la presente actuación administrativa mediante la Resolución No. 5809 del 29 de octubre de 2019, por medio de la cual se formularon DOS (2) cargos a la sociedad TUCONSULTA COLOMBIA S.A.S., identificada con NIT. 900.318.063-5.

La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante.

CUARTO: Que la sociedad TUCONSULTA COLOMBIA S.A.S., a través de su representante legal, presentó escrito de descargos con el radicado 17-154376-00026 el 4 de diciembre de 20197 dentro del término legal. 7 La investigada presentó nuevamente descargos el mismo 4 de diciembre de 2019 bajo el radicado 17-154376-00027, incluyendo en esta segunda radicación las pruebas enunciadas en el escrito de descargos.

El contenido del escrito de descargos es el mismo tanto en la radicación 17-154376-00026 como en la 17-154376-00027. En la primera de ellas, solo se envió el escrito de descargos sin anexos. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación”

QUINTO: Que, a través de la Resolución No. 9541 del 3 de marzo de 2020, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente 17-154376 del folio 1 al 142, con el valor probatorio que les corresponda, rechazó las pruebas solicitadas por la investigada relativas a (i) una prueba técnica de los sitios web https://investigacionyprogramacion.com/ y http://elexperimento.com y (ii) los testimonios de un adquirente de los servicios de la empresa y de una funcionaria de la misma y; de oficio se decretaron unas pruebas.

SEXTO: Que a través de la comunicación con radicado 17-154376-00031 del 1 de abril de 2020 la investigada, aportó oportunamente las pruebas técnicas decretadas en la Resolución No. 9541 de 2020. Las pruebas decretadas en esta resolución fueron nuevamente radicadas por la investigada mediante comunicación con radicado 17-154376-00033 del 14 de julio de 2020.

SÉPTIMO: Que, con el fin de tener mayores elementos de juicio para evaluar la presente investigación administrativa, esta Dirección solicitó al Laboratorio Forense de la entidad que emitiera concepto técnico en relación con las pruebas contenidas en el documento aportado por la investigada mediante radicado 17-154376-00033 del 14 de julio de 2020, lo anterior, con fundamento en lo establecido en el artículo 40 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo que establece que “durante la actuación administrativa y hasta antes de que se profiera la decisión de fondo se podrán aportar, pedir y practicar pruebas de oficio o a petición del interesado sin requisitos especiales (…)”.

OCTAVO: Que mediante comunicación con radicado 17-154376-00034 del 12 de agosto de 2020 el Laboratorio Forense de la Delegatura para la Protección de Datos Personales radicó un análisis técnico de expediente suscrito el 3 de agosto de 2020, con el cual emite “(…) concepto técnico relativo al documento aportado en el expediente 17-154376 bajo consecutivo 31, en el sentido de determinar si éste da respuesta a lo requerido mediante Resolución N° 9541 de 3 de marzo de 20120, (…)”.

NOVENO: Que mediante la Resolución No. 54052 del 4 de septiembre de 2020 este Despacho incorporó a esta investigación administrativa el análisis técnico de expedientes, obrante en el radicado 17-154376-00034 del 12 de agosto de 2020, realizado a las pruebas aportadas por la investigada con el radicado 17-154376-00033 del 14 de julio de 2020.

A su vez, se corrió traslado a la sociedad TUCONSULTA COLOMBIA S.A.S. para que presentara alegatos de conclusión.

DÉCIMO: Que la investigada dentro del término legal, radicó con el número 17-154376-00042 el 21 de septiembre de 2020 escrito de alegatos de conclusión.

DÉCIMO PRIMERO: Que a través de la Resolución No. 8339 del 25 de febrero de 2021 esta Dirección en la parte motiva consideró lo siguiente: “DÉCIMO TERCERO: Que este Despacho encuentra que en la Resolución No. 9541 del 3 de marzo de 2020 se incorporó la prueba recaudada por esta Dirección referente al acta de preservación de la página web http://www.novoclick.com de fecha del 24 de mayo de 2018, obrante a folios 5 al 23 del expediente físico 17-154376, la cual no obra en el expediente digital.

Si bien la sociedad TUCONSULTA COLOMBIA S.A.S. puede acceder al expediente físico enviando un correo electrónico a la dirección de correo electrónico habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente con radicado 17-154376, en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá, con el objeto que el acta de preservación del 24 de mayo de 2018 repose también en el expediente digital, se ordena lo siguiente: • Un ingeniero del Grupo de Trabajo de Investigaciones Administrativas deberá digitalizar el acta de preservación de la página web http://www.novoclick.com del 24 de mayo de 2018, obrante en el expediente físico 17-154376 en los folios 5 a 23, y deberá radicarla en el expediente digital de esta actuación administrativa.

Por otra parte, es preciso señalar que a través de la Resolución No. 63613 de 2019 proferida por el Superintendente de Industria y Comercio suspendieron “(…) los términos procesales de las actuaciones administrativas y jurisdiccionales que se surtan ante las dependencias de la Superintendencia de Industria y Comercio durante el día tres (03) de diciembre de 2019, (…)”, por lo cual la presentación de los descargos mediante los radicado 17-15437600026 y 17-154376-00027 el 4 de diciembre de 2019 se efectuó dentro del término legal por parte de la investigada.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” (…)

DÉCIMO SÉPTIMO: Que este Despacho encuentra que la sociedad TUCONSULTA COLOMBIA S.A.S. solicitó a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co acceso al expediente digital 17-154376 mediante correos electrónicos del (i) 8 de septiembre de 2020 con radicado 17-154376- -00038, (ii) 15 de septiembre de 2020 del 17-154376-00039 y;

(iii) 18 de septiembre de 2020 con radicado 17-154376-00040. Que, en consideración a ello y con el objeto de garantizar el derecho de defensa y contradicción de la investigada, este Despacho concede acceso al expediente 17-154376 al señor xxxxxxxxxxxxxxxxxxxxxxxxxx, identificado con C.C. x.xxx.xxxx y cuyo correo electrónico es xxxxxxxxxxxxxxxxxxxxxxxxxx, para que a través del link https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php se registre con su nombre, documento de identidad y correo electrónico, y posterior al registro a través del mismo link puede consultar el expediente completo con radicado 17-154376.

RESUELVE

ARTÍCULO SEGUNDO: ORDENAR de oficio la práctica de la siguiente prueba: • Un ingeniero del Grupo de Trabajo de Investigaciones Administrativas deberá digitalizar el acta de preservación de la página web http://www.novoclick.com del 24 de mayo de 2018, obrante en el expediente físico 17-154376 en los folios 5 a 23, y deberá radicarla en el expediente digital 17-154376.

(…)

ARTÍCULO TERCERO: ORDENAR de oficio la práctica de la siguiente prueba: • La sociedad TUCONSULTA COLOMBIA S.A.S. deberá aportar prueba técnica mediante la cual acredite la fecha de eliminación de toda la información personal del señor xxxxxxxxxxx, identificado con C.C. xx.xxx.xxxx, de todas sus bases de datos, y el procedimiento de eliminación utilizado”.

DÉCIMO SEGUNDO: Que frente a la orden de la Resolución No. 8339 de 2020, la sociedad TUCONSULTA COLOMBIA S.A.S. con la comunicación con radicado 17-154376-00048 del 11 de marzo de 2021 manifiesta y prueba que la información del Titular fue eliminada de todas sus bases de datos el 6 de junio de 2017.

DÉCIMO TERCERO: Que, un ingeniero del Laboratorio Forense de esta Superintendencia en cumplimiento de los ordenado mediante la Resolución No. 8339 de 2021 digitalizó el acta del 6 de junio de 2018 y sus anexos que obran en el expediente físico 17-154376, obrantes a folios 5 a 23, y los radicó al expediente digital 17-154376 bajo el radicado 17-154376-00048 del 11 de abril de 2021.

DÉCIMO CUARTO: Que mediante comunicación con radicado 17-154376-00050 del 23 de marzo de 2021 se corrió traslado a la investigada para que presentara alegatos de conclusión, guardando silencio la sociedad TUCONSULTA COLOMBIA S.A.S.

DÉCIMO QUINTO: Que mediante la Resolución No. 41383 del 2 de julio de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la sociedad TUCONSULTA COLOMBIA S.A.S., identificada con NIT. 900.318.063-5, de TRES MILLONES DOSCIENTOS SESENTA Y SIETE MIL SETECIENTOS VEINTE PESOS M/CTE ($ 3.267.720), equivalente a NOVENTA (90) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación de lo dispuesto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma ley.

A su vez, a través de la Resolución No. 41383 del 2 de julio de 2021 se impartieron unas órdenes administrativas a la sociedad TUCONSULTA COLOMBIA S.A.S. tendientes a garantizar el cumplimiento del Régimen General de Protección de Datos Personales y evitar que se vulnere el derecho de hábeas data de los Titulares de la información. Estas órdenes son: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” • “La sociedad TUCONSULTA COLOMBIA S.A.S., identificada con NIT. 900.318.0635, deberá retirar la selección por defecto en los diferentes checkbox habilitados en los formularios de inscripción que tiene dispuestos y que llegue a implementar en su página web, así como en los diferentes medios electrónicos que disponga para la recolección de datos, de acuerdo con lo dispuesto en la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015. • La sociedad TUCONSULTA COLOMBIA S.A.S., identificada con NIT. 900.318.063-5, deberá en los formularios en los que pregunta ¿cuánto invierte en publicidad al año? informar la Política de Tratamiento de Datos Personales y habilitar un mecanismo para que el Titular decida si acepta que su información se trate bajo lo dispuesto en ella. • La sociedad TUCONSULTA COLOMBIA S.A.S., identificada con NIT. 900.318.063-5, deberá implementar los mecanismos necesarios para garantizar que el Titular de la información consulte la Política de Protección de Datos Personales y sea informado de lo previsto en el artículo 12 de la Ley 1581 de 2012 cuando accede a los formularios de inscripción que tiene dispuestos y que llegue a implementar en su página web, así como en los diferentes medios electrónicos que disponga para la recolección de datos”.

De igual manera, se impartió el siguiente exhorto al representante legal de la sociedad TUCONSULTA COLOMBIA S.A.S.: “EXHORTAR al señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, identificado con C.C. No. xxxxxxxxxx, en calidad de representante legal de la sociedad TUCONSULTA COLOMBIA S.A.S., identificada con NIT. 900.318.063-5, para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los titulares de los datos. 3) Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el Tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de esta Superintendencia en la “Guía para la implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales, especialmente los de libertad y finalidad. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data”.

DÉCIMO SEXTO: Que la Resolución No. 41383 del 2 de julio de 2021 fue notificada el 15 de julio de 2021 mediante aviso No. 15988 a la sociedad TUCONSULTA COLOMBIA S.A.S., a través de su representante legal, de acuerdo con la certificación expedida por la Secretaría General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado 17-154376-00058 del 21 de julio de 2021.

A su vez, esta resolución fue comunicada al denunciante.

DÉCIMO SÉPTIMO: Que la sociedad TUCONSULTA COLOMBIA S.A.S. mediante la comunicación con radicado 17-154376-00059 del 29 de julio de 2021, por conducto de su representante legal, interpuso recurso de reposición y en subsidio de apelación a la Resolución No. 41383 del 2 de julio de 2021, a fin de que se revoque en su integridad la sanción pecuniaria impuesta y en subsidio, se disminuya.

Los argumentos expuestos por la recurrente son los siguientes: 17.1 Manifiesta que en el sitio web se tienen implementados mecanismos para la recolección de los datos personales de los Titulares, que incluso en su mayoría estaban presentes para el año 2017. Añade que en la decisión se fundamentó solo en el único formulario que no tenía mecanismo de checkbox para obtener la autorización de los titulares. 17.2 Expresa que la autorización del Titular para el Tratamiento de los datos personales no es el único mecanismo para legitimar el Tratamiento, por cuanto: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” “(…) fenómenos como el comercio electrónico y la transformación digital han impuesto nuevas realidades para la captura de información sin que esta, per se, este precedida de un conocimiento siquiera del titular de los datos.

Y a pesar que a ojos de la entidad esto suponga un reproche, es la forma, en que están configuradas tecnologías actuales. Así por ejemplo, la conexión a sitios web desde dispositivos, tienen como precedente, que se capturen datos y otros tipos de información como lugar de conexión, navegadores, fecha y hora por supuesto, de quien accede a un sitio web.

Con la intención de reforzar lo antes expuesto, traigo a colación lo estipulado por el Reglamento Europeo de Proteccion (sic) de Datos, que sobre el particular señaló ‘Artículo 6: Licitud del tratamiento: El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: … el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos’ Así mismo el Art. 7 del RGPD.

Condiciones para el consentimiento …Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.’ (sic) ”. 17.3 Arguye con fundamento en el Reglamento Europeo de Protección de Datos Personales, lo siguiente: “La principal novedad que se introduce en el RGPD con respecto a la normativa es que el consentimiento debe de consistir en una declaración afirmativa o una clara acción afirmativa para la prestación del mismo, no admitiéndose por tanto el consentimiento tácito.

De esta manera, el consentimiento debe de ser claro de tal forma que refleje una manifestación de voluntad libre, específica, informada e inequívoca del interesado. Expresamente se indica en el considerando 32 la posibilidad de utilizar casillas para la obtención del mismo, estableciendo que la casilla pre marcada o la inacción no constituye una forma de prestar el consentimiento.

Igualmente, también se establece en dicho considerando que cuando existan varios fines para el tratamiento se deberá recabar el consentimiento para todos ellos. … Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales.

Concluimos entonces para nuestro caso de marras, que si bien la Entidad ha optado por indicar que las casillas premarcadas no constituyen una forma valida del consentimiento; no es menos cierto que, esta situación vino a ser incorporada inicialmente por el RGPD o Reglamento General de Protección de Datos en 2016, en vigor desde Mayo de 2018 y sus postulados fueron expresados por la SIC en Conceptos recientes como una medida de buena practica (sic) que en todo caso, no fue antes de la ocurrencia de los hechos que originaron esta actuación administrativa.

Así las cosas, era imposible que para 2017 nuestros mecanismos reflejaran la buena practica (sic) de no estar PREMARCADAS las casillas en el checkbox de autorización”. 17.4 Señala que se investigó y sancionó por aspectos diferentes, en consideración a que el Despacho indica que los datos del Titular son de naturaleza pública al estar relacionados con sus actividades comerciales; sin embargo, “(…) reprocha la entidad el cumplimiento del resto de requisitos respecto del régimen de protección de datos”. 17.5 Solicita que en caso de que no se revoque la sanción impuesta, se disminuya su monto en consideración a que el monto en este momento es muy alto para la empresa y la podría llevar a la quiebra.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación”

DÉCIMO OCTAVO: Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

DÉCIMO NOVENO: Que el artículo 77 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo) consagrada los requisitos para presentar los recursos y el 78 de la misma Ley, las causales de rechazo de los mismos. Al respecto, este Despacho concluye que se encuentran presentes los requisitos necesarios para estudiar de fondo el recurso de reposición, por cuanto: 19.1 El recurso fue interpuesto por la sociedad TUCONSULTA COLOMBIA S.A.S. dentro del término legal, ya que fue radicado dentro del plazo otorgado en el Artículo Cuarto de la parte resolutiva de la Resolución No. 41383 de 2021 y acorde con el artículo 76 de la Ley 1437 de 2011.

Esto en consideración a: 19.1.1 La recurrente fue notificada mediante aviso No. 15988 el 15 de julio de 2021 de la Resolución No. 41383 de 2021, de acuerdo a certificación expedida por la Secretaría General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado 17154376-00058 del 21 de julio de 2021. 19.1.2 La recurrente interpuso recurso de reposición y en subsidio de apelación el 29 de julio de 2021 a través de correo electrónico con radicado 17-154376-00059, encontrándose presentado dentro del término legal. 19.2 La recurrente manifestó los motivos de inconformidad que presenta respecto de la Resolución No. 41383 de 2021, los cuales fueron expuestos en el numeral considerativo décimo sexto de esta resolución. 19.3 Respecto de los documentos aportados como pruebas por el recurrente, junto con el recurso de reposición y en subsidio de apelación aportó el estado de resultados integral a corte del 31 de mayo de los años 2020 y 2021. 19.4 Sobre la indicación del nombre y dirección del recurrente, y correo electrónico si desea ser notificado por este medio.

Al respecto, la recurrente en el recurso de reposición y en subsidio de apelación, anexo a la comunicación con radicado 17-154376-00059 del 29 de julio de 2021, informa la razón social de la empresa, el nombre del representante legal, la dirección física y el correo electrónico para efectos de la notificación.

VIGÉSIMO: Que una vez revisados los argumentos presentados por la recurrente se encuentra que los mismos se concretan en cuatro aspectos, a saber: (i) imputación jurídica y conducta sancionada, (ii) proporcionalidad y razonabilidad en la imposición de la sanción y; (iii) de las pretensiones. 20.1 Respecto de la imputación jurídica y la conducta sancionada La recurrente, en primera medida, señala que la sanción impuesta es consecuencia de haber “(…) vulnerado el Régimen General de Proteccion (sic) de Datos Personales, por la circunstancia de no contar con Autorización (…)”.

Y agrega que “(…) la empresa si contaba con distintos mecanismos tanto para divulgar la Política de tratamiento de datos y mecanismos técnicos para recoger las autorizaciones con la incorporación de checkbox como forma automatizada de que el titular manifestara su consentimiento”, concentrándose el Despacho en el único formulario que no tenía mecanismo de checkbox para obtener la autorización de los Titulares.

También manifiesta la recurrente que el Despacho desconoce la nueva realidad en la captura de información e “(…) insiste en que la autorización es el mecanismo fundamental para legitimar el tratamiento de los datos (…)”. Adicionalmente, alega que los datos del Titular fueron considerados “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” de naturaleza pública pero se cuestiona que no haya dado cumplimiento a los demás requisitos del Régimen General de Protección de Datos Personales, violándose el “(…) Principio de congruencia que debe existir entre los cargos objeto de investigación y los resultados del procedimiento sancionatorio (…)”.

De acuerdo con el recurso de reposición y en subsidio de apelación interpuesto8 por la sociedad TUCONSULTA COLOMBIA S.A.S., este Despacho evidencia que presenta argumentos respecto del cargo formulado en la Resolución No. 58059 de 2019 por la presunta vulneración del literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley y el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, sobre el cual la recurrente no fue sancionada en la Resolución No. 41383 de 2021.

Además, se encuentra que algunas de sus manifestaciones tergiversan el análisis expuesto por esta autoridad administrativa en la Resolución No. 41383 de 2021, así como otras no están relacionadas con los hechos materia de investigación. Por ello, en primer término se reiterará el objeto de la formulación de cargos y el fundamento de la decisión adoptada en el acto administrativo recurrido para cada cargo.

A continuación, se indican los dos cargos formulados en la Resolución No. 58059 de 2019 “[p]or la cual se inicia una actuación administrativa y se formulan cargos” y lo expuesto frente a cada uno de ellos en la Resolución No. 41383 de 2021 “[p]or la cual se impone una sanción y se imparten unas órdenes administrativas”, a saber: (i) El primer cargo formulado en la Resolución No. 58059 de 2019 fue por la presunta vulneración de lo dispuesto en literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley y el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

Este cargo se fundamentó preliminarmente en dos hechos: • Respecto del denunciante, “(…) posiblemente no cuenta con autorización del señor xxxxxxxxxxxxx para el Tratamiento de sus datos personales”9. • Respecto de los Titulares en general, “(…) tampoco contaba al momento de la preservación de la página web mencionada con un mecanismos de aceptación del tratamiento de los datos recolectados en el sitio web (…)”10.

Sobre este primer cargo, en consideración a que se formuló por encontrarse preliminarmente que la recurrente a través de dos conductas diferentes presuntamente vulneró el deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012, en la Resolución No. 41383 de 2021 se aclaró lo siguiente: “Ahora bien, respecto del cargo materia de estudio, este Despacho efectuará dos análisis por separado.

De una aparte, si la investigada obtuvo la autorización previa, expresa e informada del Titular (denunciante) para el Tratamiento de su información y; por otra parte, si cuenta con los mecanismos de solicitud de la autorización previa, expresa e informada de los titulares en su página web”. (Se subraya fuera de texto) Adviértase que este Despacho efectuó la valoración probaría respecto del primer cargo, por cada una de las presuntas negligencias cometidas por la recurrente.

Precisamente, por cada una de ellas se realizó así: • “Sobre la autorización previa, expresa e informada del denunciante para el Tratamiento de sus datos personales”11 “En síntesis, al disponerse los números de celular titularidad del denunciante para desarrollar las actividades comerciales de la empresa INVESTIGACIÓN Y 8 Obrante en la comunicación con radicado 17-154376-00059 del 29 de julio de 2021. 9 Resolución No. 58059 de 2019. 10 Ibídem. 11 Resolución No. 41383 de 2021.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” PROGRAMACIÓN S.A.S., estos datos son públicos para efectos de tales actividades y en consecuencia, para ello pueden ser tratados sin requerirse de la autorización del denunciante; no obstante, las demás disposiciones de la Ley 1581 de 2012 sí deben cumplirse respecto de estos datos.

En todo caso, la investigada actuó diligentemente al proceder con la eliminación de los datos personales del Titular una vez tuvo conocimiento de que si bien los números de celular son utilizados para las actividades comerciales de la mencionada empresa, son titularidad del señor xxxxxxxxxxxxx xxxxxxxxx quien no se encontraba de acuerdo con los mensajes recibidos.

En consecuencia, de conformidad con lo expuesto, respecto de los datos personales del denunciante este Despacho encuentra que la sociedad TUCONSULTA COLOMBIA S.A.S. no vulneró el deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, y con el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

(…) En conclusión, en esta actuación administrativa no se encuentra demostrado el actuar negligente de la sociedad TUCONSULTA COLOMBIA S.A.S. frente al cumplimiento del deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, y con el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, en la medida en que: i) los números de celular recolectados del denunciante son de naturaleza pública al disponerse para el desarrollo de los negocios de la empresa INVESTIGACIÓN Y PROGRAMACIÓN S.A.S. (…)”.

(Se subraya y resalta fuera de texto) De acuerdo con la anterior exposición de la Resolución No. 41383 de 2021 respecto del primer cargo, específicamente en cuanto a si la sociedad TUCONSULTA COLOMBIA S.A.S. contaba con autorización del señor xxxxxxxxxxxxxxxxxxxxxx para el Tratamiento de sus datos personales, nótese que este Despacho concluyó que la recurrente no vulneró el deber de “[s]olicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”12.

Además en cuanto a lo señalado por la recurrente en el sentido de que se desconoce el principio de congruencia en la medida en que en el acto recurrido se expuso que los datos del Titular son de naturaleza pública al destinarlos para sus actividades comerciales, pero a su vez se reprocha que no dio cumplimiento a los demás requisitos del Régimen General de Protección de Datos Personales.

Sobre este argumento expuesto por la sociedad TUCONSULTA COLOMBIA S.A.S., es preciso indicar lo siguiente: - El artículo 10 de la Ley 1581 de3 2012 establece los casos en los que no es necesario contar con la autorización previa, expresa e informada del Titular para que sus datos personales sean sometidos a Tratamiento, el cual establece: “ARTÍCULO

10. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓN. La autorización del Titular no será necesaria cuando se trate de: (…) b) Datos de naturaleza pública; (…) Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley”. (Se subraya fuera de texto) A partir de la norma anterior se tiene que los datos públicos 13 pueden ser sometidos a Tratamiento sin autorización del Titular; sin embargo, es preciso 12 Literal b) del artículo 17 de la Ley 1581 de 2012. 13 Numeral 2 del artículo 2.2.2.25.1.3. del Decreto Único Reglamentario 1074 de 2015: “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” aclarar que así los datos públicos no requieran autorización para su Tratamiento, ello no exime al Responsable de dar cumplimiento a las demás disposiciones de la Ley 1581 de 2012 respecto de estos datos como lo señala el artículo 10 de la misma norma en su último párrafo y sobre ello la Corte Constitucional en sentencia C-748/11 dispuso: “(…) una lectura de la norma permite interpretar que lo que busca el legislador estatutario es que en los casos taxativos permitidos por el artículo 10, en los que no es necesario el consentimiento del Titular, el uso del dato también debe sujetarse a todos los principios y limitaciones consagrados en la Ley.

Por el contrario, jamás podría interpretarse como una autorización abierta para que se accedan a datos personales sin consentimiento de su titular”. - En la decisión adoptada en la Resolución No. 41383 de 2021 respecto del deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012, al indicarse que “(…) estos datos son públicos para efectos de tales actividades y en consecuencia, para ello pueden ser tratados sin requerirse de la autorización del denunciante; no obstante, las demás disposiciones de la Ley 1581 de 2012 sí deben cumplirse respecto de estos datos”, corresponde a una aclaración que este Despacho efectuó para que tanto la sociedad TUCONSULTA COLOMBIA S.A.S. como cualquier Responsable del Tratamiento que lea el acto administrativo tenga claro que si bien la ley prevé unas excepciones al deber de solicitar la autorización de los Titulares, como en el caso de los datos públicos, siempre se debe dar cumplimiento a las demás disposiciones de la Ley 1581 de 2012.

Esta aclaración fue solo ello, una explicación y no implicó que se sancionará a la sociedad TUCONSULTA COLOMBIA S.A.S. por esta razón, como lo afirma en el escrito del recurso de reposición y en subsidio de apelación14. Precisamente, en garantía del derecho al debido proceso que además es de rango constitucional al estar previsto en el artículo 29 de la Constitución Política, este Despacho valoró si la recurrente vulneró o no el deber del literal b) del artículo 17 de la Ley 1581 de 2012.

Para el caso concreto, contrario a lo manifestado por la recurrente, no se sancionó a la sociedad TUCONSULTA COLOMBIA S.A.S. al encontrarse que no vulneró el primer cargo respecto del Titular, lo cual quedó claramente expuesto en el siguiente sentido: En consecuencia, de conformidad con lo expuesto, respecto de los datos personales del denunciante este Despacho encuentra que la sociedad TUCONSULTA COLOMBIA S.A.S. no vulneró el deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, y con el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015”.

(Se subraya y resalta fuera de texto) • “Sobre los mecanismos para solicitar la autorización previa, expresa e informada de los titulares en el sitio web http://www.novoclick.com” “En conclusión, en esta actuación administrativa no se encuentra demostrado el actuar negligente de la sociedad TUCONSULTA COLOMBIA S.A.S. frente al cumplimiento del deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012, en “Artículo 2.2.2.25.1.3.

Definiciones. Además de las definiciones establecidas en el artículo 3 de la Ley 1581 de 2012, para los efectos del presente capítulo se entenderá por: (…) 2. Dato público. Es el dato que no sea semiprivado, privado o sensible. Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público.

Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva. (…)”. 14 Obrante en la comunicación con radicado 17-154376-00059 del 29 de julio de 2021. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, y con el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, en la medida en que: (…) ii) los datos recolectados en los formularios dispuestos en los sitios web de la investigada son públicos al corresponder a personas naturales que los proveen en desarrollo de sus actividades comerciales y otros no se someten al régimen de protección de datos personales de la Ley 1581 de 2012 por corresponder a información de personas jurídicas.

(…)”. De acuerdo con lo anterior, nótese que se encontró que la sociedad TUCONSULTA COLOMBIA S.A.S. no desconoció el cumplimiento del deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012 respecto a los mecanismos dispuestos en su sitio web y en consecuencia, no hubo lugar a la imposición de una sanción. (ii) El segundo cargo formulado en la Resolución No. 58059 de 2019 fue por la presunta vulneración de lo dispuesto en literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley.

Este cargo se basó preliminarmente en dos hechos: • Respecto del denunciante, “(…) posiblemente no comunicó la finalidad del tratamiento y los derechos del Titular (…)”15. • Respecto de los Titulares en general, “(…) tampoco contaba al momento de la preservación de la página web mencionada con un mecanismo de comunicación de las finalidades del tratamiento de información que se recolecta en dicha página (…)”16.

Frente a este segundo cargo, en consideración a que se formuló por encontrarse preliminarmente que la investiga a través de dos conductas diferentes presuntamente vulneró el deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012, en la Resolución No. 41383 de 2021 se consideró lo siguiente: “Procede este Despacho a examinar si la sociedad TUCONSULTA COLOMBIA S.A.S. actuó negligentemente frente al cumplimiento del deber contemplado en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, para lo cual primero se analizara respecto del denunciante y luego, en relación a los mecanismos para comunicar las finalidades a los titulares previstos en la página web de la investigada”.

(Se subraya fuera de texto) De con lo enunciando en el párrafo transcrito de la Resolución No. 41383 de 2021, esta Dirección realizó el análisis probatorio del segundo cargo por cada una de las presuntas negligencias cometidas por la sociedad TUCONSULTA COLOMBIA S.A.S. El examen de cada una de ellas se efectuó de la siguiente manera: • “Sobre informar las finalidades del Tratamiento al Titular (denunciante)”17 “Por lo anterior, es claro que, independientemente de que la autorización no sea necesaria por encontrarse inmersa en una de las excepciones legales, se debe cumplir con todas las demás disposiciones contenidas en la Ley 1581 de 2012, por lo que la sociedad TUCONSULTA COLOMBIA S.A.S. debía informar las finalidades del Tratamiento y lo establecido en el artículo 12 de la norma en cita.

Dentro del acervo probatorio no obra evidencia alguna de que se le haya informado al denunciante las finalidades del Tratamiento de los números de celular xxxxxxxxxxx y xxxxxxxxxxx. Adicionalmente, la investigada argumenta en el escrito de descargos18 que se obtuvieron las líneas celulares de la página web de la empresa INVESTIGACIÓN Y PROGRAMACIÓN S.A.S. para fines comerciales (…). 15 Resolución No. 58059 de 2019. 16 Ibídem. 17 Resolución No. 41383 de 2021. 18 Ibídem.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Además, este Despacho al revisar el contenido de las cuatro imágenes19 con los mensajes recibidos a los números de celular del denunciante, evidencia claramente que su contenido no es para fines comerciales por parte de la sociedad TUCONSULTA COLOMBIA S.A.S. a la empresa INVESTIGACIÓN Y PROGRAMACIÓN S.A.S., toda vez que si bien son mensajes de contenido comercial están destinados a personas naturales porque se refieren a: (i) aspectos físicos del cuerpo de un individuo, (ii) programas de educación superior y;

(iii) promoción de apartamentos. No obstante, la investigada eliminó de sus bases de datos los números de celular el 6 de junio de 2017, de acuerdo con lo solicitado por el denunciante”20. (Se resalta fuera de texto) Conforme con lo expuesto en la Resolución No. 41383 de 2021, este Despacho en lo que refiere al señor xxxxxxxxxxxxxxxxxxxxxx concluyó que no se sanciona la sociedad TUCONSULTA COLOMBIA S.A.S. en consideración a que la recurrente de forma inmediata eliminó los datos del Titular cuando él le reclamó y por cuanto esta supresión se efectuó el 6 de junio de 2017. • “Sobre los mecanismos para informar las finalidades del Tratamiento a los titulares en el sitio web http://www.novoclick.com” “En el caso materia de estudio, los formularios web de la investigada están destinados para personas naturales en calidad de comerciantes y para personas jurídicas que desarrollen actividades empresariales.

Respecto de los primeros, como se mencionó en el cargo anterior, en la medida en que los datos que provean sea en desarrollo de sus actividades comerciales, estos datos para el caso concreto son de naturaleza pública, a lo cual es necesario aclarar que si bien los datos públicos no requieren autorización para su Tratamiento, de acuerdo con el artículo 12 de la Ley 1581 de 2012 al señalar que “[q]uien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley”, es mandatario que se cumpla con lo dispuesto en las demás preceptos de la Ley 1581 de 2012, entre ellos, que se informe a los titulares de la información las finalidades del Tratamiento como lo dispone el literal a) del artículo 12 de la Ley 1581 de 2012.

En esta investigación administrativa es evidente que las pruebas allegadas por la sociedad TUCONSULTA COLOMBIA S.A.S. en la comunicación con radicado 17154376-00034 del 12 de agosto de 2020 y que fueron analizadas por el Laboratorio Forense de esta Superintendencia[21], así como la imagen 8 del chat de contacto que se encuentra en la preservación de la página web realizada por el mismo Laboratorio que consta en el Acta-Informe LIF N° 118-18[22], demuestra que la sociedad TUCONSULTA COLOMBIA S.A.S. no informa las finalidades del Tratamiento, ya que frente al campo de Acepto las políticas de privacidad y de tratamiento de datos personales de las siguientes imágenes, este se encuentra marcado automáticamente, es decir, los titulares de la información no requieren hacer clic para seleccionar estar opción y visualizar, entre otros aspectos, las finalidades del Tratamiento.

(…) Por su parte, sobre las personas jurídicas que desarrollan actividades empresariales, como no están sujetas, en principio, a la Ley 1581 de 2012, en consideración al literal c) del artículo 3 de esta Ley, respecto de ellas no se exige que se informen las finalidades del Tratamiento. Así, en esta actuación administrativa se encuentra demostrado que la sociedad TUCONSULTA COLOMBIA S.A.S. actuó negligentemente en el cumplimiento del deber previsto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma ley, al no informar a las personas naturales que ejercen actividades comerciales las finalidades del Tratamiento al momento de recolectar su información personal a través de los diferentes formularios de los que dispone en su sitio web, por lo cual se impondrá una sanción de carácter pecuniario y se impartirá una orden”.

(Se subraya fuera de texto) Conforme con lo anterior, este Despacho a través de la Resolución No. 41383 de 2021 sancionó a la sociedad TUCONSULTA COLOMBIA S.A.S. por actuar 19 Anexas a las denuncia con radicados 17-154376-00000 y 17-154376-00001 del 6 de junio de 2017. 20 Ibídem. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” negligentemente en el cumplimiento del deber de “[i]nformar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada”21.

Así las cosas, de acuerdo con cada una de las precisiones efectuadas en los literales i) y ii) sobre los cargos por los cuales fue objeto de investigación la sociedad TUCONSULTA COLOMBIA S.A.S., nótese que esta sociedad solo fue sancionada mediante la Resolución No. 41383 de 2021 por su desconocimiento del deber previsto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, es decir por no “[i]nformar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada”22.

A su vez, adviértase que la sanción impuesta por la vulneración de este deber es únicamente por no informar a las personas naturales que ejercen actividades comerciales las finalidades del Tratamiento en los diferentes formularios de los que dispone la recurrente en su sitio web. De manera que, respecto al fundamento del recurso de reposición y en subsidio de apelación23 por la vulneración del deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012 y según lo señalado por la recurrente en el sentido de que en el acto administrativo recurrido esta Dirección concluyó que se vulneró el Régimen General de Protección de Datos Personales “por la circunstancia de no contar con Autorización conforme a las disposiciones legales y reglamentarias”24, de acuerdo con lo expuesto claramente en la Resolución No. 41383 de 2021 y como se explicó en párrafos atrás, este Despacho no sancionó a la sociedad TUCONSULTA COLOMBIA S.A.S. por el primer cargo25, sino únicamente por el segundo cargo26 al no informar las finalidades del Tratamiento en los formularios que obran en la página web de la recurrente.

Ahora bien, frente a lo argumentado por la recurrente en el sentido de que la decisión se basó en el único formulario web que no tenía el mecanismo checkbox para la autorización, es preciso señalar que este Despacho valoró de forma conjunta todas las pruebas obrantes en el expediente 17-154376 como claramente se evidencia en el análisis probatorio consignado en la Resolución No. 41383 de 2021, encontrándose falencias en las fechas de preservación de la página web www.novoclick.com27 y en el análisis técnico del expediente28 no solo en un formulario sino en varios de ellos29 frente a la Ley 1581 de 2012.

En todo caso, es preciso señalar que la vulneración del Régimen General de Protección de Datos Personales no se determina a partir de un número dado de formularios que no cuenten con lo previsto en la Ley 1581 de 2012, ya que con uno solo a través del cual recolecten datos personales y no informen las finalidades específicas se está incumpliendo con la normatividad sobre protección de datos personales y vulnerando el derecho fundamental de hábeas data de los Titulares. 21 Literal c) del artículo 17 de la Ley 1581 de 2012. 22 Ibídem. 23 Obrante en la comunicación con radicado 17-154376-00059 del 29 de julio de 2021. 24 Recurso de reposición y en subsidio de apelación obrante en la comunicación con radicado 17-154376-00059 del 29 de julio de 2021. 25 Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley y el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015. 26 Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma ley. 27 La preservación de la página web www.novoclick.com por parte del Laboratorio Forense de la Superintendencia de Industria y Comercio finalizó el 6 de junio de 2018, como obra en el Acta-Informe LIF N° 118-18 anexa a la comunicación con radicado 17-154376-00049 del 11 de marzo de 2021. 28 El análisis técnico del expediente, específicamente de las pruebas aportadas por la recurrente en el consecutivo 31, se finalizó el 3 de agosto de 2020 por parte del Laboratorio Forense de esta Superintendencia como obra en la comunicación con radicado 17-154376-00034 del 12 de agosto de 2020.

Como puede evidenciarse en las imágenes 7 y 17 del informe técnico del Laboratorio Forense de esta Superintendencia finalizado el 6 de junio de 2018, correspondiente al Acta-Informe LIF N° 118-18, anexa a la comunicación con radicado 17-154376-00049 del 11 de marzo de 2021, así como en las imágenes 2, 3, 4, 5, 6 y 7 del informe técnico de análisis de expediente del Laboratorio Forense del 9 de julio de 2020, adjunto a la comunicación con radicado 17-154376-00034 del 12 de agosto de 2020.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Téngase en cuenta que tanto para el primer cargo30 como para el segundo31, se efectuó un examen de los diferentes formularios y cabe reiterar que la sanción impuesta no fue por no solicitar y conservar la autorización sino por no informar las finalidades a los Titulares.

A continuación, se relacionan apartes de la Resolución No. 41383 de 2021 en las que explícitamente este Despacho se refiere a diferentes formularios que hacen parte del acervo probatorio de esta investigación administrativa: “Respecto del deber de solicitar y conservar copia de la autorización previa, expresa e informada (…) Sobre los mecanismos para solicitar la autorización previa, expresa e informada de los titulares en el sitio web http://www.novoclick.com (…) Teniendo en cuenta las pruebas que obran el Acta-Informe LIF N° 118-18 y sus anexos[37], así como en el resto del expediente, este Despacho evidencia: (i) Algunos medios para la recolección de datos personales de titulares no cuentan con mecanismos para para la recolección de su autorización previa, expresa e informada.

De los enlaces con estas características dentro de las pruebas que hacen parte de esta investigación se extraen las siguientes imágenes obrantes en el Acta-Informe LIF N° 118-18, finalizada el 6 de junio de 2018,[38] del Laboratorio de Forense de esta Superintendencia. 30 Literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley y el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015. 31 Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma ley.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” (…). Así, en esta actuación administrativa no se encuentra demostrado que la sociedad TUCONSULTA COLOMBIA S.A.S. respecto de dichos formularios omitiera el deber de solicitar la autorización, previa, expresa e informada de los titulares para el Tratamiento de su información acorde con la Ley 1581 de 2012 y demás normas sobre la materia; sin embargo, con el objeto de evitar que se llegue a desconocer el Régimen General de Protección de Datos Personales se impartirá una orden administrativa.

(ii) En algunos medios dispuestos para la recolección de datos personales de los titulares se dispone de un checkbox que está seleccionado automáticamente. Se extraen del acervo probatorio las siguientes evidencias con esta característica: • Imagen del chat de contacto obrante en el Acta-Informe LIF N° 118-18, finalizada el 6 de junio de 2018,[43] del Laboratorio de Forense de esta Superintendencia. Sobre esta imagen el Laboratorio Forense de esta Superintendencia en el ActaInforme LIF N° 118-18 señala que: ‘(…) se realiza una revisión del sitio web http://www.novoclick.com observando la existencia de un chat de ayuda (¿necesita ayuda?) el cual en la parte inferior se ubica un checkbox activado por defecto el cual da por aprobada la política de privacidad y de tratamiento de datos.

La política de Tratamiento se encuentra publicada en la página: De acuerdo al requerimiento, se realiza revisión del sitio web http://www.novoclick.com, encontrando que se puede acceder a la política de privacidad y de tratamiento de datos haciendo click sobre el texto ubicado en la parte inferior de la ventana del chat ¡necesita ayuda? Abriendo una nueva ventana del navegador con la dirección http://novoclick.ner/politicas-de-privacidad-2013’. • Imágenes obrantes en el informe técnico de análisis de expediente del Laboratorio Forense del 9 de julio de 2020[44], con el cual se revisó el contenido de las pruebas y enlaces aportados por la investigada mediante la comunicación con radicado 17154376-00033 del 14 de julio de 2020.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” En el informe técnico de análisis de expediente del Laboratorio Forense del 9 de julio de 2020[32], se concluye que ‘[l]os formularios contenidos en el numeral 2 de la respuesta contienen un mecanismo de aceptación de políticas de privacidad y de tratamiento de datos personales consistente en un checkbox, se evidencia que este se encuentra activado por defecto’.

(…) En conclusión, en esta actuación administrativa no se encuentra demostrado el actuar negligente de la sociedad TUCONSULTA COLOMBIA S.A.S. frente al cumplimiento del deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, y con el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, en la medida en que: i) los números de celular recolectados del denunciante son de naturaleza “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” pública al disponerse para el desarrollo de los negocios de la empresa INVESTIGACIÓN Y PROGRAMACIÓN S.A.S. y; ii) los datos recolectados en los formularios dispuestos en los sitios web de la investigada son públicos al corresponder a personas naturales que los proveen en desarrollo de sus actividades comerciales y otros no se someten al régimen de protección de datos personales de la Ley 1581 de 2012 por corresponder a información de personas jurídicas.

En todo caso, con el objeto de prevenir que se llegue a vulnerar el Régimen General de Protección de Datos Personales se impartirá una orden administrativa. Respecto del deber de informar las finalidades del Tratamiento (…) Sobre los mecanismos para informar las finalidades del Tratamiento a los titulares en el sitio web http://www.novoclick.com (…) En esta investigación administrativa es evidente que las pruebas allegadas por la sociedad TUCONSULTA COLOMBIA S.A.S. en la comunicación con radicado 17154376-00034 del 12 de agosto de 2020 y que fueron analizadas por el Laboratorio Forense de esta Superintendencia[51], así como la imagen 8 del chat de contacto que se encuentra en la preservación de la página web realizada por el mismo Laboratorio que consta en el Acta-Informe LIF N° 118-18[52], demuestra que la sociedad TUCONSULTA COLOMBIA S.A.S. no informa las finalidades del Tratamiento, ya que frente al campo de Acepto las políticas de privacidad y de tratamiento de datos personales de las siguientes imágenes, este se encuentra marcado automáticamente, es decir, los titulares de la información no requieren hacer clic para seleccionar estar opción y visualizar, entre otros aspectos, las finalidades del Tratamiento. • Imagen del chat de contacto obrante en el Acta-Informe LIF N° 118-18, finalizada el 6 de junio de 2018,[53] del Laboratorio de Forense de esta Superintendencia. • Imágenes obrantes en el informe técnico de análisis de expediente del Laboratorio Forense del 9 de julio de 2020[54], con el cual se revisó el contenido de las pruebas y enlaces aportados por la investigada mediante la comunicación con radicado 17154376-00033 del 14 de julio de 2020.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” (…) Así, en esta actuación administrativa se encuentra demostrado que la sociedad TUCONSULTA COLOMBIA S.A.S. actuó negligentemente en el cumplimiento del deber previsto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma ley, al no informar a las personas naturales que ejercen actividades comerciales las finalidades del Tratamiento al momento de recolectar su información personal a través de los diferentes formularios de los que dispone en su sitio web, por lo cual se impondrá una sanción de carácter pecuniario y se impartirá una orden”.

En cuanto a lo expresado por la recurrente referente a que “(…) todos los mecanismos señalados en la Resolución y que hoy son objeto de una orden administrativa por supuesto los tenemos “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” implementados”32, valga decir que esta Superintendencia investiga los hechos que ocurrieron en un momento dado o en un periodo de tiempo, de manera que la multa impuesta corresponde a la vulneración del deber de informar las finalidades del Tratamiento en los mecanismos dispuestos en el sitio web de la sociedad TUCONSULTA COLOMBIA S.A.S. De acuerdo con los resultados obtenidos en el informe técnico de análisis de expediente del Laboratorio Forense33 al 3 de agosto de 2020, a esa fecha se continuaba por parte de la recurrente con la vulneración a este deber, ya que esta fecha corresponde a la de finalización de este informe.

Además, las órdenes administrativas impartidas buscan evitar que se vuelva a desconocer el Régimen General de Protección de Datos Personales, por lo cual es mandatorio que la sociedad TUCONSULTA COLOMBIA S.A.S. dé cumplimiento a las órdenes y/o demuestre su acatamiento de acuerdo con el artículo segundo de la parte resolutiva de la Resolución No. 41383 de 2021 y que no simplemente se limite a indicar que las instrucciones impartidas se encuentran implementadas.

Adicionalmente, el literal e) del artículo 21 de la Ley 1581 de 201234 faculta a esta entidad a impartir las órdenes que sean necesarias para que los Responsables y Encargados del Tratamiento adopten medidas y procedimientos que garanticen el cumplimiento de la antedicha ley, atribución que es independiente de su facultad sancionatoria. Por otra parte, la recurrente se refiere a que el comercio electrónico y la transformación digital han dado lugar a que la recolección de los datos personales se efectúe incluso sin conocimiento de los Titulares, insistiendo la Superintendencia “(…) en que la autorización es el mecanismo fundamental para legitimar el tratamiento de los datos (…)”.

Al respecto, este Despacho reitera que en esta actuación administrativa no se encontró demostrado que la sociedad TUCONSULTA COLOMBIA S.A.S. desconociera el deber de solicitar y conservar la autorización; no obstante, téngase presente que salvo las excepciones que se prevén en el artículo 10 de la Ley 1581 de 201235, el Responsable del Tratamiento siempre de debe contar con la autorización previa, expresa e informada del Titular independientemente de los mecanismos de los que disponga para el Tratamiento de los datos, ya sean físicos o electrónicos, debiendo solicitar esta autorización a más tardar al momento de la recolección de los datos personales36.

A su turno, está prohibido “utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de Datos Personales”37. A su vez, es de aclarar que la Ley 1581 de 2012 es neutral tecnológicamente en su aplicación, de manera que independientemente de los mecanismos y herramientas técnicas, tecnológicas, electrónicas, entre otras que se adopten, destinen y usen para el Tratamiento de datos personales, es esta la norma la llamada a aplicarse, lo cual conlleva a que la Ley 1581 de 2012 permanezca vigente ante los avances e innovación tecnológica. 32 Recurso de reposición y en subsidio de apelación obrante en la comunicación con radicado 17-154376-00059 del 29 de julio de 2021. 33 Informe obrante en la comunicación con radicado 17-154376-00034 del 12 de agosto de 2020. 34 “ARTÍCULO 21.

FUNCIONES. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: (…) e) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley; (…)”. 35 “ARTÍCULO

10. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓN. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.

Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley”. 36 Artículos 2.2.2.25.2.1 y 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. 37 Artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Además, respecto a las disposiciones del Reglamento Europeo de Protección de Datos Personales invocadas por la sociedad TUCONSULTA COLOMBIA S.A.S., es preciso indicar que el Tratamiento de las bases de datos que se efectúa en el territorio colombiano se sujeta a la Ley 1581 de 2012 y sus normas complementarias.

Al respecto, el artículo 2 de la ley en mención dispone lo siguiente: “ARTÍCULO 2o. ÁMBITO DE APLICACIÓN. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales.

(…)”. En todo caso, así las normas invocadas por la recurrente del Reglamento Europeo de Protección de Datos Personales coincidan con el ordenamiento jurídico colombiano al prever que se requiere que el Responsable demuestre que obtuvo el consentimiento del Titular para el Tratamiento de sus datos, es de precisar que la única norma que constituye el Régimen General de Protección de Datos Personales que es aplicable en el territorio colombiano es la Ley 1581 de 2012.

Además, en cuanto a lo expresado por la recurrente respecto a que para la época de los hechos materia de investigación ni el Reglamento Europeo de Protección de Datos Personales se encontraba vigente ni la Superintendencia de Industria y Comercio había adoptado como una medida de buena práctica que las casillas del checkbox no estuvieran seleccionadas por defecto, para este Despacho es de suma importancia señalar que las guías y cartillas de contenido general que expide esta Superintendencia a través de la Delegatura para la Protección de Datos Personales tienen por objeto apoyar a los Responsables y Encargados del Tratamiento para que den cumplimiento a la normatividad en materia de protección de datos personales; sin embargo, la ausencia de un documento que dé recomendaciones, sugerencias o explicaciones sobre esta normatividad no exime al Responsable o Encargado del cumplimiento de la Ley 1581 de 2012 y sus normas complementarias.

Así mismo, la Ley 1581 de 2012 es aplicable “(…) a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada (…)”38 y “(…) al tratamiento de datos personales efectuado en territorio colombiano (…)”39, siendo así esta norma de aplicación general a cualquier base de datos en los términos señalados y bajo las excepciones previstas en el artículo 2 de la Ley 1581 de 201240. 38 Artículo 2 de la Ley 1581 de 2012. 39 Ibídem. 40 “ARTÍCULO 2o.

ÁMBITO DE APLICACIÓN. Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. La presente ley aplicará al tratamiento de datos personales efectuado en territorio colombiano o cuando al Responsable del Tratamiento o Encargado del Tratamiento no establecido en territorio nacional le sea aplicable la legislación colombiana en virtud de normas y tratados internacionales.

El régimen de protección de datos personales que se establece en la presente ley no será de aplicación: a) A las bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico. Cuando estas bases de datos o archivos vayan a ser suministrados a terceros se deberá, de manera previa, informar al Titular y solicitar su autorización. En este caso los Responsables y Encargados de las bases de datos y archivos quedarán sujetos a las disposiciones contenidas en la presente ley; b) A las bases de datos y archivos que tengan por finalidad la seguridad y defensa nacional, así como la prevención, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo; c) A las Bases de datos que tengan como fin y contengan información de inteligencia y contrainteligencia; d) A las bases de datos y archivos de información periodística y otros contenidos editoriales; e) A las bases de datos y archivos regulados por la Ley 1266 de 2008; f) A las bases de datos y archivos regulados por la Ley 79 de 1993.

PARÁGRAFO. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” De manera que, desde la entrada en vigencia de la Ley 1581 de 2012 todo Responsable que somete a Tratamiento datos personales de Titulares, debe implementar las disposiciones de la Ley 1581 de 2012 en su operación de Tratamiento de datos.

Así las cosas, desde ese entonces cualquier mecanismo de checkbox presente en formularios de sitios web debe no estar seleccionado por defecto, que para el caso concreto de la sociedad TUCONSULTA COLOMBIA S.A.S. garantiza que los Titulares deben consultar la Política de Tratamiento de Datos Personales de forma previa a la selección del checkbox, lo cual les permite conocer las finalidades del Tratamiento.

De acuerdo con lo anteriormente expuesto, no hay lugar a revocar la sanción pecuniaria impuesta y tampoco las órdenes administrativas impartidas. Respecto a estas últimas, en virtud del literal e) del artículo 21 de la Ley 1581 de 2012 esta entidad tiene la potestad de impartir órdenes administrativas, la cual es independiente de su facultad sancionatoria. 20.2 Respecto de la proporcionalidad y la razonabilidad de la sanción La recurrente indica que, si no se accede a la revocatoria de la sanción impuesta, se disminuya o elimine en consideración a la situación financiera actual de la empresa e invoca jurisprudencia que se refiere a los principios de proporcionalidad y legalidad, así como a la discrecionalidad de la facultad sancionatoria.

En lo que respecta al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal y que la misma sea aplicada sin afectar irrazonablemente los intereses del investigado, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.

Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 24 de la Ley 1581 de 2012 para tasar el monto de la sanción, veamos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar”.

Al respecto, la Corte Constitucional sobre la constitucionalidad de este artículo manifestó en sentencia C-748/11, lo siguiente: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución”. características de estar amparados por la reserva legal.

En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley”. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” De acuerdo con estos criterios de graduación, este Despacho, en primer lugar se refiere al previsto en el literal a) del artículo 24 de la Ley 1581 de 2012.

Dentro de su marco, se encuentra que a lo largo de la presente investigación se demostró la infracción cometida por la recurrente, específicamente respecto del deber del literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 el artículo 12 de la misma Ley. Esta infracción por la negligencia de la recurrente respecto del cumplimiento del deber de “[i]nformar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada”, del cual se evidenció su desconocimiento al no contar con los mecanismos en su sitio web para informar las finalidades del Tratamiento de forma previa a la recolección de los datos a las personas naturales que ejercen actividades comerciales.

Además, al demostrarse a lo largo de la presente investigación de manera inequívoca la comisión de la infracción al Régimen General de Protección de Datos Personales se configuró un peligro a los interés de los Titulares contemplados en la Ley 1581 de 2012, al no informarse a ellos de forma previa las finalidades del Tratamiento en el sitio web de la recurrente.

Ahora bien, este Despacho aclara a la recurrente que para la disminución del monto de la sanción impuesta en la resolución recurrida, la Ley 1581 de 2012 en el artículo 23, le confiere la facultad a la Superintendencia de Industria y Comercio para ejercer la función de vigilancia de los Responsables y Encargados del Tratamiento, para garantizar que se respeten los principios, derechos, garantías y procedimientos previstos en la ley.

Este artículo dispone: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”.

Al respecto, es pertinente resaltar que la valoración de los criterios señalados no comporta la existencia de un procedimiento cuantitativo en el que se indique, a manera de ejemplo, el valor con que será sancionada una determinada falta, pues lo que este Despacho analiza es que una vez demostrada la infracción de una disposición y valoradas las circunstancias particulares de cada caso, con apego a los criterios legales expuestos, hay lugar a la imposición de la sanción pecuniaria dentro de los rangos indicados en la norma.

Sobre las sanciones que se imponen por la infracción a los deberes contenidos en la Ley 1581 de 2012, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionadora en forma razonable y proporcionada, de modo en que logre el equilibrio entre la sanción y la finalidad de la norma que fue trasgredida, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Así las cosas, es claro que los parámetros que condicionan el ejercicio de la facultad sancionatoria por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que sin lugar a dudas se tuvieron en cuenta en el caso sub examine, como quiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la recurrente vulneró el deber previsto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 el artículo 12 de la misma Ley.

Ahora bien, el literal a) del artículo 23 de la Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio puede imponer a título de sanción “[m]ultas de carácter personal e institucional hasta por el equivalente a dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción (…)”, por lo cual para el año 2021 la sanción máxima por violación del Régimen General de Protección de Datos Personales asciende a mil millones ochocientos diecisiete mil cincuenta y dos mil pesos M/CTE ($ 1.817.052.000), teniendo en cuenta que para la vigencia 2021 el salario mínimo mensual legal vigente es de novecientos ocho mil quinientos veintiséis pesos M/CTE ($ 908.526).

A partir del tope máximo que puede imponerse de acuerdo con el literal a) del artículo 23 de la ley 1581 de 2012, la multa impuesta en la Resolución No. 41383 de 2021 de tres millones doscientos sesenta y siete mil setecientos veinte pesos M/CTE ($ 3.267.720) corresponde al 0,179% de la sanción pecuniaria máxima que puede aplicar este Despacho.

En todo caso, es importante que la sociedad TUCONSULTA COLOMBIA S.A.S. tenga presente que al analizarse el presente caso y al revisarse el material probatorio, así como los argumentos de hecho y de derecho de la recurrente, no solo se encontró que para el caso es aplicable el criterio del literal a) del artículo 24 de la Ley 1581 de 2012, sino que también para determinar el monto de la sanción se tiene en cuenta que no hubo lugar a aplicar otros agravantes o el atenuante previstos en el antedicho artículo, el tamaño de la empresa de la recurrente, sus ingresos operacionales, el patrimonio, y, en general, su información financiera, todo lo cual se aprecia en directa relación con los principios de proporcionalidad y razonabilidad de tal forma que la sanción resulte disuasoria y no confiscatoria.

Así, conforme con la información financiera obrante en el expediente para la fecha de expedición de la Resolución No. 41383 de 2021, 2 de julio de 2021, este Despacho encontró que la sanción impuesta atiende los principios de proporcionalidad y razonabilidad de la misma, resultando como una sanción de carácter disuasoria y no confiscatoria.

Respecto a la solicitud de la recurrente de disminuir la sanción en consideración a su situación financiera, soportándolo a través de los estados de resultados del periodo del 1 de enero al 31 de mayo de los años 2020 y 2021, este Despacho no accederá a su solicitud por cuanto para la determinación de la sanción se tiene en cuenta la información financiera de las 3 últimas vigencias, del 1 de enero al 31 de diciembre, aportadas por la sociedad TUCONSULTA COLOMBIA S.A.S. que obran en la comunicación con radicado 17-154376-00027 del 4 de mayo de 2019, no siendo de recibo información fragmentada de los años 2020 y 2021 cuando debería existir la información financiera de la vigencia del año 2020 y que no fue allegada con el recurso de reposición y en subsidio de apelación para demostrar la recurrente lo que pretendía. Además, incluso tomándose la información fragmentada del año 2020, se tienen resultados en las ganancias que distan de cualquier desconocimiento a los principios de proporcionalidad y razonabilidad en la imposición de la sanción. Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad.

Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012. Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros41. 41 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí solo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia42. 20.3 Respecto de las pretensiones La recurrente solicita que se revoque la multa impuesta en la Resolución No. 41383 de 2021 y subsidiariamente, se disminuya o elimine la sanción pecuniaria de conformidad con los criterios de proporcionalidad y razonabilidad.

Al respecto, al encontrarse confirmada la conducta negligente de la recurrente en el cumplimiento del deber dispuesto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma ley, se prueba la vulneración que dio lugar a la sanción impuesta y se evaluaron los criterios de graduación del artículo 24 de la Ley 1581 de 2012, así como la situación financiera de la sociedad TUCONSULTA COLOMBIA S.A.S. Así las cosas, en razón a que no es procedente revocar la Resolución No. 41383 de 2021, se concederá el recurso de apelación ante el Delegado para la Protección de Datos Personales.

VIGÉSIMO PRIMERO: Conclusiones 21.1 En esta actuación administrativa la recurrente solo fue sancionada mediante la Resolución No. 41383 de 2021 por su desconocimiento del deber previsto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley. A su vez, la sanción impuesta por la vulneración de este deber es únicamente respecto a no contar con los mecanismos en su sitio web para informar las finalidades del Tratamiento de forma previa a la recolección de los datos a las personas naturales que ejercen actividades comerciales. 21.2 En el acto administrativo recurrido no se sancionó a la recurrente por el primer cargo, es decir por el deber de solicitar y conservar la autorización de los titulares de acuerdo con el literal b) del artículo 17 de la Ley 1581 de 2012. 21.3 Se valoraron de forma conjunta todas las pruebas obrantes en el expediente 17-154376, encontrándose falencias en el cumplimiento de la Ley 1581 de 2012 no solo en un formulario con checkbox sino en varios de ellos.

En todo caso, la vulneración del Régimen General de Protección de Datos Personales no se determina a partir de un número dado de formularios que no cuenten con lo previsto en la Ley 1581 de 2012, ya que con uno solo se puede estar vulnerando esta normatividad. Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas.

Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 21.4 Las órdenes administrativas impartidas buscan evitar que se vuelva a desconocer el Régimen General de Protección de Datos Personales, por lo cual es mandatorio que la sociedad TUCONSULTA COLOMBIA S.A.S. dé cumplimiento a las mismas. 21.5 El literal e) del artículo 21 de la Ley 1581 de 2012 faculta a esta entidad a impartir las órdenes que sean necesarias para que los Responsables y Encargados del Tratamiento adopten medidas y procedimientos que garanticen el cumplimiento de la antedicha ley, atribución que es independiente de su facultad sancionatoria. 21.6 El Tratamiento de las bases de datos que se efectúa en el territorio colombiano se sujeta a la Ley 1581 de 2012 como lo prevé el artículo 2 de esta Ley. 21.7 En la determinación de la sanción pecuniaria impuesta en el acto administrativo recurrido se encontró que es aplicable el criterio de graduación del literal a) del artículo 24 de la Ley 1581 de 2012 y que no hay lugar a aplicar los otros agravantes o el atenuante de este artículo, así como también es tenido en cuenta el tamaño de la empresa de la recurrente, sus ingresos operacionales, el patrimonio, y, en general, su información financiera, todo lo cual se aprecia en directa relación con los principios de proporcionalidad y razonabilidad de tal forma que la sanción resulte disuasoria y no confiscatoria. 21.8 Conforme con la información financiera obrante en el expediente para la fecha de expedición de la Resolución No. 41383 de 2021, 2 de julio de 2021, este Despacho encontró que la sanción impuesta atiende los principios de proporcionalidad y razonabilidad de la misma, resultando en una sanción de carácter disuasoria y no confiscatoria. 21.9 La cuantificación de la sanción tiene en cuenta la información financiera de las 3 últimas vigencias, del 1 de enero al 31 de diciembre, aportadas por la sociedad TUCONSULTA COLOMBIA S.A.S. que obran en la comunicación con radicado 17-154376-00027 del 4 de mayo de 2019, no siendo de recibo información fragmentada de los años 2020 y 2021 cuando debería existir la información financiera de la vigencia del año 2020 y que no fue allegada con el recurso de reposición y en subsidio de apelación para demostrar lo que pretendía la recurrente.

En todo caso, incluso tomándose la información fragmentada del año 2020, se tienen resultados en las ganancias que distan de cualquier desconocimiento a los principios de proporcionalidad y razonabilidad en la imposición de la sanción.

VIGÉSIMO SEGUNDO: Este Despacho se permite informar que la sociedad TUCONSULTA COLOMBIA S.A.S. se encuentra autorizada para acceder al expediente digital como se indicó en el artículo décimo séptimo de la parte motiva de la Resolución No. 8339 de 2021, al concederse el acceso al expediente 17-154376 al señor xxxxxxxxxxxxxxxxxxxxxxxxx, identificado con C.C. x.xxx.xxx y cuyo correo electrónico es xxxxxxxxxxxxxxxxxxxxxxxxxxxx, para que a través del link https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php se registre con los datos previamente señalados, y posterior al registro, consulte el expediente en mención a través del mismo link.

No obstante, en aras de garantizar los derechos de defensa y contradicción de la sociedad, en el caso en que la misma considere necesario el acceso del expediente en físico, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá. Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.

Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (571) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: CONFIRMAR en todas sus partes la Resolución No. 41383 de 2021 por las razones expuestas en la parte motiva de este acto administrativo. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación”

ARTÍCULO SEGUNDO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la recurrente y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.

ARTÍCULO TERCERO: NOTIFICAR personalmente a la sociedad TUCONSULTA COLOMBIA S.A.S., identificada con NIT. 900.318.063-5, a través de su representante legal, entregándole copia de la misma.

ARTÍCULO CUARTO: COMUNICAR el contenido de la presente resolución al señor xxxxx xxxxxxxxxxxxxxx, identificado con C.C. No. xx.xxx.xxx.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá, de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 30 AGOSTO 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.08.30 13:45:52 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LACA Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Investigada: Sociedad: TUCONSULTA COLOMBIA S.A.S. Identificación: NIT. 900.318.063-5 Representante Legal: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Identificación: C.C. No. xx.xxx.xxx Dirección: Calle 116A No. 70D – 14, piso 1.

Ciudad: Bogotá Correo electrónico: contabilidad@novoclick.net COMUNICACIÓN: Señor: xxxxxxxxxxxxxxxxxxxxxx Identificación: C.C. No. xx.xxx.xxx Correo electrónico: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx