Decisión 2654 de 2023 — SIC

(03 MAYO 2023) VERSIÓN ÚNICA “Por la cual se impone una sanción y se imparte una orden” Radicación 20-306679 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, los numerales 5 y 9 del artículo 17 Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, esta Dirección, en ejercicio de la función de vigilancia para garantizar que en el Tratamiento de Datos Personales se respeten los principios, derechos, garantías y procedimientos previstos en el Régimen General de Protección de Datos Personales, otorgada por el artículo 19 de la Ley 1581 de 2012 y conforme a la función de velar por el cumplimiento de la legislación en materia de protección de datos personales establecida en el artículo 21 literal a) de la misma ley y en el Decreto 4886 de 2011, artículo 17 numeral 5, procedió a examinar la forma mediante la cual la sociedad WAY MEDICALS S.A.S. identificada con Número de Identificación Tributaria 901.228.442-0, realizaba la recolección y Tratamiento de información personal a través de las siguientes URL’s: • https://www.way.com.co/ • https://www.way.com.co/pacientes.html • https://www.way.com.co/profesionales.html • https://www.way.com.co/contacto.html • https://way.com.co/movil/privacidad.php • https://play.google.com/store/apps/details?id=mobil.way.app • https://apps.apple.com/co/app/way-pacientes/id1504242607 • https://apps.apple.com/co/app/way-medicals/id1504242623 • https://play.google.com/store/apps/details?id=mobil.wayespecialistas.app • https://www.youtube.com/watch?v=CvI26HfHaaU&feature=youtu.be • https://www.youtube.com/watch?v=f_D0-2R2ySs&feature=youtu.be • Aplicaciones móviles Way Pacientes y Way Medicals para Android Respecto a lo anterior, el Grupo de Investigaciones Administrativas de Protección de Datos Personales, realizó Acta de Preservación de Páginas Web1, documento que fue radicado el 9 de septiembre de 2020 bajo el número 20-306679-1, en el cual se consignó, entre otras cosas, lo siguiente: “[…] el expediente con radicado N° 20-306679 con el fin de realizar la revisión y preservación de las siguientes URL’S; • https://www.way.com.co/ • https://www.way.com.co/pacientes.html • https://www.way.com.co/profesionales.html • https://www.way.com.co/contacto.html • https://way.com.co/movil/privacidad.php • https://play.google.com/store/apps/details?id=mobil.way.app • https://apps.apple.com/co/app/way-pacientes/id1504242607 • https://apps.apple.com/co/app/way-medicals/id1504242623 • https://play.google.com/store/apps/details?id=mobil.wayespecialistas.app • https://www.youtube.com/watch?v=CvI26HfHaaU&feature=youtu.be • https://www.youtube.com/watch?v=f_D0-2R2ySs&feature=youtu.be 1 Expediente Virtual, Consecutivo No. 1.

Páginas 1 a 90 HOJA N 2, “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÚNICA • Aplicaciones móviles Way Pacientes y Way Medicals para Android

1. DESCRIPCIÓN DEL REQUERIMIENTO Con el objetivo de identificar datos personales publicados en el mismo y/o políticas de protección de datos, a fin de recaudar y preservar las pruebas que puedan llegar a ser indicios de prácticas en contra del régimen de Protección de Datos Personales por parte de dichos sitios web. […] 9. OBSERVACIONES Se realizan las observaciones enumeradas a continuación. A. Se realiza la apertura y comprobación del sitio web Way Medicals – (https://www.way.com.co/), se encuentran tres (3) opciones de navegación: 1.

Soy un paciente, 2. Soy un profesional de la salud y 3. Canales de Atención. No se encuentran avisos de privacidad ni enlaces que dirijan a la política. B. En la opción 1. Soy un paciente, se encuentran tres opciones: 1. enlace para descargar la aplicación en Google Play, 2. enlace para descargar la aplicación en App Store y 3. Un vídeo del funcionamiento de la aplicación, como se puede ver en la imagen 2.

C. En la opción 1. Soy un Profesional de la salud, se encuentran tres opciones: 1. enlace para descargar la aplicación en Google Play, 2. enlace para descargar la aplicación en App Store y 3. Un vídeo del funcionamiento de la aplicación, como se puede ver en la imagen 6 D. En la opción 3. Canales de Atención, se encuentra un formulario en el que se recolecta la siguiente información personal: a. Su Nombre* b. Su Apellido* c. Su Email* d. Su Teléfono* e. Mensaje* En este formulario no se encuentra autorización expresa al titular de la información, tampoco se encuentra aviso de privacidad o enlace que dirija a las políticas de privacidad del sitio web.

Este formulario se describe detalladamente en las imágenes de la 10 a la 13. E. Una vez descargada la aplicación Way Pacientes, se encuentran tres opciones: 1. Iniciar Sesión, 2. Crear una cuenta y 3. Términos y Condiciones. Al seleccionar la segunda opción 2. Crear una cuenta, se encuentra un formulario en el que se recolecta la siguiente información: a. Nombre b. Apellido c. Tipo de Documento d. Número de Documento e. Fecha de Nacimiento f. Celular g. Departamento h. Ciudad i. Dirección j. E-mail k. Genero l. Contraseña En este formulario no se encuentra autorización expresa al titular de la información, tampoco se encuentra aviso de privacidad o enlace que dirija a las políticas de privacidad del sitio web.

Este formulario se describe detalladamente en las imágenes de la 18 a la 21. F. Una vez descargada la aplicación Way Medicals, se encuentran tres opciones: 1. Iniciar Sesión, 2. Crear una cuenta y 3. Términos y Condiciones. Al seleccionar la segunda opción 2. Crear una cuenta, se encuentra un formulario en el que se recolecta la siguiente información: a. Nombre b. Apellido c. Fecha de Nacimiento d. Tipo de documento e. Número de documento f. E-mail g. Celular h. Genero i. Departamento j. Ciudad k. Dirección “Por la cual se impone una sanción y se imparte una orden” HOJA N 3, VERSIÓN ÚNICA l. Contraseña En este formulario no se encuentra autorización del titular de la información, tampoco se encuentra aviso de privacidad o enlace que dirija a las políticas de privacidad del sitio web.

Este formulario se describe detalladamente en las imágenes de la 77 a la 80. G. Los términos y Condiciones encontrados en la aplicación Way Pacientes son iguales a los encontrados en la aplicación Way Medicals. H. En los Términos y Condiciones encontrados al inicio de las aplicaciones Way Pacientes y Way Medicals no se encuentran enlaces que dirijan a la política de privacidad de la información. I. La política de privacidad de la información encontrada en la aplicación Way Pacientes es igual a la encontrada en la aplicación Way Medicals.

J. La política de privacidad de la información encontrada en las aplicaciones Way Pacientes y Way Medicals se encuentra en el siguiente enlace: https://way.com.co/movil/privacidad.php. K. K. En la parte superior del documento de la política de privacidad, se encuentra un texto titulado “Aviso de Privacidad”. L. No se evidencia la recolección de datos de menores de edad, tampoco se evidencia exposición de la información recolectada.

En la política de privacidad no se especifican los datos que la aplicación recolecta ni la finalidad de los datos recolectados. M. Según la revisión realizada para determinar la reputación del dominio correspondiente al sitio web Way Medicals, se encuentra que esta se encuentra alojada en un servidor cuya dirección IP es la 170.249.202.138, el ISP es de Redes de sistemas privados y de encuentra ubicada en la ciudad de West Chester, Pensilvania, Estados Unidos, como se puede ver más detalladamente en las imágenes 137 y 138.

N. La configuración de los certificados de seguridad (SSL)5 del sitio web Way Medicals (www.way.com.co) tienen una calificación “A” lo que significa que la seguridad del canal de comunicación entre un sitio web y sus usuarios es confiable, está bien configurado y soporta el protocolo TLS6 1.2+ en su servidor, como se puede ver en la imagen 140 O. De acuerdo con las revisiones realizadas, se encuentra que el dominio del sitio web Way Medicals (https://www.way.com.co/) no se encuentra clasificado, como se puede ver en la imagen 136, también se realiza la revisión de virus del dominio encontrando que este se encuentra libre de los mismos, como se puede ver en la imagen 139. […]” 2 SEGUNDO: Que, con el fin de verificar el cumplimiento de los deberes a cargo de la sociedad WAY MEDICALS S.A.S. en calidad de Responsable del Tratamiento, esta Dirección a través del Grupo de Trabajo de Investigaciones Administrativas le solicitó, mediante Requerimiento de información del 8 de noviembre de 2021 radicado bajo el No. 20-306689-2, que informara lo siguiente: “[…] 1.1.

Enuncie qué tipo de datos personales son recolectados por la sociedad (por ejemplo: nombre, teléfono, número de identificación, correo electrónico, etc.). Al respecto, sírvase discriminar su respuesta entre los distintos tipos de Titulares de la información (por ejemplo: “pacientes”, “profesionales de la salud”, entre otros.) 1.2. Informe cuáles son los mecanismos implementados por la sociedad para la recolección de los datos personales de los Titulares de la Información. Acredite su respuesta, de ser el caso aporte los formatos utilizados por la sociedad para recolectar los datos personales de los Titulares. 1.3.

Aporte prueba mediante la cual se acredite que la sociedad informó a los Titulares las finalidades de la recolección y los derechos que le asisten en virtud de la autorización otorgada. 1.5. Informe si recolecta datos sensibles de los Titulares de la información. De ser afirmativa la respuesta: (i) Aporte copia de las autorizaciones expresas, previas e informadas otorgadas por los Titulares, para el Tratamiento de sus datos personales sensibles;

(ii) Aporte prueba mediante la cual se acredite que la sociedad informó a los titulares que por tratarse de datos sensibles no estaban obligados a autorizar su Tratamiento; (iii) Aporte prueba mediante la cual se acredite que la sociedad informó a los titulares de forma explícita y previa cuáles de los datos que serían objeto de Tratamiento son sensibles y la finalidad del Tratamiento de estos. 1.6.

Informe si recolecta datos personales de menores de edad. De ser afirmativa la respuesta indique: (i) qué tipo de datos personales son recolectados por la sociedad, por ejemplo: nombre, teléfono, número de identificación, correo electrónico, etc.; (ii) ¿Cuenta con la autorización de los padres o representantes legales de los menores de edad para el Tratamiento de sus datos personales? Acredite su respuesta. 1.7.

De acuerdo con lo establecido en el Decreto Único Reglamentario 1074 de 2015, artículos 2.2.2.25.3.2 y 2.2.2.25.3.3, indique si cuenta con avisos de privacidad en el sitio web y/o en las diferentes aplicaciones relacionadas con https://www.way.com.co. De ser afirmativa la respuesta, remita copia de los avisos en mención. 1.8. Manifieste si ha tenido algún tipo de incidente de seguridad en los que se haya accedido sin su autorización a los datos personales de los titulares.

De ser afirmativa la respuesta, indique y acredite si puso en conocimiento de esta Superintendencia el incidente de seguridad acontecido. 2. Respecto del cumplimiento del Régimen General de Protección de Datos Personales establecido en la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015 (Capítulo 25), informe: 2.1. Informe las políticas internas de seguridad bajo los cuales la sociedad conserva los datos personales de los Titulares para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. 2.2.

Informe si la sociedad ha recibido consultas y/o reclamos, de Titulares de la Información respecto del Tratamiento de sus Datos Personales. De ser afirmativa la respuesta, allegue copia de las reclamaciones presentadas por los Titulares, y de las respuestas brindadas por la sociedad a estos con su respectiva constancia de recibido. 2.3. Informe si la sociedad realiza capacitaciones a sus empleados, colaboradores, y/o prestadores de servicio en temas relacionados con Protección de Datos Personales.

Acredite su respuesta. 2.4. Informe si la sociedad tiene implementadas cláusulas de confidencialidad con sus empleados, colaboradores, y/o prestadores de servicio. Acredite su respuesta. 2.5. Informe si los datos personales de los Titulares de la información son transmitidos a un Encargado para su tratamiento, de acuerdo con lo establecido en el Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.1.3, numeral 5 y el artículo 2.2.2.25.5.2.

De ser afirmativa la respuesta: (i) informe los datos de identificación y contacto del Encargado del tratamiento; (ii) aporte copia del contrato celebrado con el Encargado del tratamiento; (iii) Indique las medidas que la sociedad le exige implementar al Encargado del Tratamiento, para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento a los datos personales de los titulares.

Al punto, acredite las medidas implementadas por el Encargado del Tratamiento, y los controles o procedimientos implementados por la sociedad para verificar la pertinencia y eficacia de las medidas implementadas por el Encargado; (iv) Informe si la sociedad le exige al Encargado del Tratamiento, realizar capacitaciones a sus empleados, colaboradores, prestadores de servicio y/o proveedores en temas relacionados con Protección de Datos Personales.

Acredite su respuesta; (v) Informe si la sociedad le exige al Encargado del Tratamiento implementar cláusulas de confidencialidad con sus empleados, colaboradores, prestadores de servicio y/o proveedores. Acredite su respuesta. 2.6. Remita copia de la Política de Tratamiento de Datos Personales actualizada, desarrollada e implementada por parte de la sociedad.

Acredite su implementación. “Por la cual se impone una sanción y se imparte una orden” HOJA N 5, VERSIÓN ÚNICA 2.7. Remita copia de la Política de Seguridad de la información desarrollada e implementada por parte de la sociedad, en relación con la conservación de la información y los datos personales de los Titulares, a fin de impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Acredite su implementación. 2.8. Remita copia del Manual de procedimientos, desarrollado e implementado al interior de la sociedad, para la recolección, almacenamiento, uso, circulación y, eventual, supresión de los Datos Personales de los Titulares de Información implementado por la sociedad. Acredite su implementación. 2.9. Remita copia del Manual o procedimiento, desarrollado e implementado al interior de la sociedad, para la atención de consultas y reclamos de los Titulares de los Datos Personales.

Acredite su implementación. […]”.

TERCERO: Que el 24 de noviembre de 2021 la sociedad WAY MEDICALS S.A.S., por intermedio de su representante legal, presentó respuesta radicada bajo el No. 20-306679-3 4 frente al requerimiento de información del 8 de noviembre de 2021 en los siguientes términos: “[…] I. BREVE RESEÑA DE LA SPIN OFF IUE - WAY: La relación de WAY MEDICALS S.A.S. con la INSTITUCION UNIVERSITARIA DE ENVIGADO se basa en un CONVENIO MARCO DE COOPERACIÓN por el cual se conformó la SPIN OFF IUEWAY en diciembre de 2019.

Según este convenio, la INSTITUCIÓN UNIVERSITARIA DE ENVIGADO, ejerce la Dirección de la SPIN OFF, por este motivo, en el aparte 2.4. observarán que los convenios y contratos han sido suscritos por la INSTITUCIÓN UNIVERSITARIA DE ENVIGADO con las personas jurídicas y naturales. II. RESPUESTA A REQUERIMIENTO […] 1.1 […] RESPUESTA 1.2 […] RESPUESTA: a. Frente a la página web https://www.way.com.co/ Se cuenta con un formato en línea como se muestra a continuación: “Por la cual se impone una sanción y se imparte una orden” HOJA N 6, VERSIÓN ÚNICA b. Frente a la APP Way Pacientes: Al momento de crear la cuenta en la APP se cuenta con un formulario como se muestra a continuación: c. Frente a la APP WAY MEDICALS: Cuando se va a crear la cuenta en la app se abre un formato en línea donde se solicita la siguiente información: “Por la cual se impone una sanción y se imparte una orden” HOJA N 7, VERSIÓN ÚNICA 1.3 […] RESPUESTA: a. Frente a la página web https://www.way.com.co/ Actualmente se implementó la aceptación de términos y condiciones a través de una casilla de verificación que permite obtener la aceptación por parte del usuario de la página de los términos y condiciones del sitio web, los cuales incluyen en el numeral 20 la información relativa al aviso de privacidad y habeas data. ▪ Sitio web: https://www.way.com.co/contacto.html b. Frente a la APP Way Pacientes: Se cuenta con una casilla de verificación en la cual el usuario puede indicar si acepta o no los términos y condiciones, que contienen un vínculo que refiere a los términos y condiciones de uso “WAY MEDICALS”, los cuales incluyen en el numeral 20 la información relativa a Datos Personales y “Habeas Data” como se muestra a continuación: “Por la cual se impone una sanción y se imparte una orden” HOJA N 8, VERSIÓN ÚNICA c. Frente a la APP Way Medicals: Se cuenta con una casilla de verificación en la cual el usuario puede indicar si acepta o no los términos y condiciones, que contienen un vínculo que refiere a los términos y condiciones de uso “WAY MEDICALS” los cuales incluyen en el numeral 20 la información relativa al aviso de privacidad y “Habeas Data” como se muestra a continuación Adicionalmente, los términos y condiciones expuestos deben ser aceptados por el paciente o el profesional (según el caso) para continuar haciendo uso de la aplicación. 1.4. […] RESPUESTA a. Frente a la página web https://www.way.com.co/ En la página web mencionada no se hace recolección de datos personales sensibles. b. Frente a la APP Way Pacientes: En la app se recolectan los siguientes datos sensibles de los pacientes: ▪ Sintomatología ▪ Fotografía del síntoma (de contarse con esta) Se aclara que estos datos solamente son solicitados una vez el paciente ha aceptado los términos y condiciones de WAY MEDICALS y una vez ha creado la cuenta en la APP.

Por otro lado, una vez se solicita la consulta con algún profesional le llega al usuario un aviso en el que debe decir si desea firmar o no el consentimiento informado, el cual tiene un aparte sobre protección de datos personales como se observa a continuación: “Por la cual se impone una sanción y se imparte una orden” HOJA N 9, VERSIÓN ÚNICA Se anexa copia de varios consentimientos informados firmados electrónicamente por varios pacientes. c. Frente a la APP Way Medicals: En esta APP se recolectan los siguientes datos sensibles de los profesionales de la salud: • Fotografía. Se aclara que estos datos solamente son solicitados una vez el profesional de la salud ha aceptado los términos y condiciones de WAY MEDICALS y una vez ha creado la cuenta en la APP. 1.5. […] RESPUESTA: d. A través de la página web https://www.way.com.co/ y la APP Way Pacientes se recolectan datos personales de menores de edad quienes actúan en calidad de pacientes.

(i) Los datos personales recolectados se relacionan a continuación: “Por la cual se impone una sanción y se imparte una orden” HOJA N 10, VERSIÓN ÚNICA (ii) No se cuenta con la autorización de los padres o representantes legales de los menores de edad cuando estos proporcionan sus datos personales a través de los canales https://www.way.com.co/ y APP Way Pacientes 1.6. […] RESPUESTA: a. Frente a la página web https://www.way.com.co/: El aviso de privacidad y hábeas data se encuentra en los términos y condiciones que han sido vinculados en el formulario de recolección de los datos personales para solicitar la autorización. Este aviso consagra lo siguiente: ‘20.

Aviso de privacidad y “Habeas Data” WAY MEDICALS, en cumplimiento de la Ley 1581 de 2012 y demás normas concordantes, es responsable del tratamiento de sus datos personales. Los datos personales que WAY MEDICALS solicita serán utilizados para los siguientes fines: prestación de servicios de teleorientación en salud, promoción y prevención en salud y en educación para la salud; dar a conocer los servicios ofrecidos por WAY MEDICALS, participar en eventos y capacitaciones organizados por WAY MEDICALS, de participación Como titular de información tiene derecho a conocer, actualizar y rectificar sus datos personales y, sólo en los casos en que sea procedente, a suprimirlos o revocar la autorización otorgada para su tratamiento.

Si requiere mayor información para conocer nuestra política de tratamiento de datos personales y los cambios sustanciales que se produzcan en ella, consulte la política de tratamiento de datos. Si desea presentar una consulta, reclamo o petición de información relacionada con la protección de datos personales puede ingresar a la aplicación a través de centro de soporte en línea, escribir al correo electrónico asistencia@way.com.co, o comunicarse al teléfono celular 3207267928, o en la Sede Principal, CL 32C SUR NO 47 65 Envigado’ Por último, en la página web https://way.com.co/politicapdpway.pdf se encuentra alojada la política de protección de datos personales de Way Medicals. 1.7. […] RESPUESTA: No se ha tenido ningún tipo de incidente de seguridad en los que se haya accedido sin nuestra autorización a los datos personales de nuestros titulares. 2.1. […] RESPUESTA: Se anexan las políticas de seguridad de la información. Adicionalmente, desde el 01 de abril de 2020, día de publicación de la aplicación, se han creado actualizaciones y mejoras en la seguridad, diariamente el equipo de desarrollo monitorea los accesos a la aplicación y los movimientos dentro de esta, se evalúan posibles riesgos y se programa reuniones semanales para planificar la ejecución de actualizaciones.

La aplicación está desarrollada con niveles de seguridad para contrarrestar el ingreso indebido a la información o manipulación de esta, ya que se realiza doble encriptación de datos, protegiendo el acceso utilizando técnicas como Password hash, base64 decode, openssl encrypt y técnicas anti CSRF. Se utiliza el servicio de AWS de AMAZON WEB SERVICES. 2.2. […] RESPUESTA: No se han recibido requerimientos por parte de los titulares sobre sus datos personales, hasta el momento solo se han presentado solicitudes de asistencia y servicios médicos y psicológicos. 2.3. […] RESPUESTA: La sociedad no realiza capacitaciones a los empleados, colaboradores y/o prestadores del servicio por los siguientes motivos: Según la resolución 2654 de 2019 la empresa Way Medicals S.A.S. es un proveedor tecnológico, el cual está definido como: Adicionalmente, los servicios de salud que se ofertan a través de la APP Way Pacientes son prestados exclusivamente por las personas jurídicas con las cuales se tienen convenios vigentes y a quienes se les exige en todo momento el respeto por la confidencialidad de la información. 2.4. […] RESPUESTA: “Por la cual se impone una sanción y se imparte una orden” HOJA N 11, VERSIÓN ÚNICA Efectivamente, la sociedad tiene implementadas cláusulas de confidencialidad con los empleados, colaboradores y prestadores del servicio.

Se anexan los siguientes convenios o contratos: 2.5. […] RESPUESTA: No se han transmitido los datos a un encargado para su tratamiento. 2.6. […] RESPUESTA: Se anexa copia de la Política de Tratamiento de Datos Personales actualizada de WAY MEDICALS, la cual se encuentra ubicada en el sitio web https://way.com.co/politicapdpway.pdf para consulta de los interesados, titulares y responsables y la Política de Privacidad de la Institución Universitaria de Envigado, la cual se encuentra alojada en el sitio web https://www.iue.edu.co/documentos/acuerdos/consejodirectivo/2014/acuerdoCD005.pdf. 2.7. […] RESPUESTA: Se anexa copia de la política de seguridad de la información desarrollada. 2.8. […] RESPUESTA: Se anexa copia del manual de procedimientos de protección de datos personales. 2.9. […] RESPUESTA: Se anexa copia del manual de procedimientos de protección de datos personales.

En los presentes términos damos respuesta al requerimiento enviado. […]” 3.1. Para soportar su respuesta, la sociedad WAY MEDICALS S.A.S. remitió los siguientes elementos materiales probatorios: “ 1. CONSENTIMIENTOS INFORMADOS, HC No. 00013192; 00013204; 00013240; 00013323; 00013355; 00013368; 00013376; 00013377; 00013402; 00013405.6

2. ACUERDO DE VOLUNTADES PROYECTO CORONAVIRUS COVID-19 IUE SECRETARIA DE SALUD MUNICIPIO DE ENVIGADO (1).pdf 7

3. ACUERDO DEL CONSEJO DIRECTIVO No. 005 DE LA INSTITUCIÓN UNIVERSITARIA DE ENVIGADO “Por medio de la cual se implementa la política de privacidad”8

4. AVISO DE PRIVACIDAD WAY MEDICALS9 5. CONSENTIMIENTO INFORMADO, HC No. 00011821 (Perfil prueba)10 6. Texto del CONSENTIMIENTO INFORMADO WAY MEDICALS - PACIENTES11

7. CONTRATO DE PRESTACIÓN DE SERVICIOS entre la FUNDACIÓN HUELLAS DEL AYER y la INSTITUCIÓN UNIVERSITARIA DE ENVIGADO12

8. CONVENIO INTERADMINISTRATIVO DE PRESTACIÓN DE SERVICIOS No. AF- 227202113

9. CONTRATO DE PRESTACIÓN DE SERVICIOS PROFESIONALES No. 132-202014 10. Comunicación del 20 de marzo de 202015

11. CONVENIO DE COOPERACIÓN LA ESTRELLA del 29 de abril de 2020 No. 10031192202016

12. CONVENIO MARCO DE COOPERACIÓN PARA LA CONFORMACIÓN DE SPIN-OFF UNIVERSITARIA EN ASOCIACIÓN CELEBRADO ENTRE LA INSTITUCIÓN UNIVERSITARIA DE ENVIGADO Y WAY MEDICALS S.A.S.17

13. MANUAL DE PROCEDIMIENTOS DE PROTECCIÓN DE DATOS PERSONALES DE WAY MEDICALS S.A.S.18 HOJA N 12, “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÚNICA

14. MEMORANDO DE ENTEDNIMIENTO entre el MINISTERIO DE SALUD Y PROTECCIÓN SOCIAL y la INSTITUCIÓN UNIVERSITARIA DE ENVIGADO19

15. MEMORANDO DE ENTEDNIMIENTO entre la UNIVERSIDAD EL BOSQUE y la INSTITUCIÓN UNIVERSITARIA DE ENVIGADO20

16. CAPTURA DE PANTALLA DE LA PANTALLA DE INICIO DE LA APP WAY MEDICALS21

17. POLÍTICA DE TRATAMIENTO DE LA INOFRMACIÓN PERSONAL DE WAY MEDICALS S.A.S.22

18. POLÍTICAS DE SEGURIDAD INFORMÁTICA WAY MEDICALS S.A.S.23

19. CAPTURA DE PANTALLA DEL REGISTRO A LA APP WAY MEDICALS24 20. TÉRMINOS Y CONDICIONES DE USO ‘WAY MEDICALS’25 21. TÉRMINOS Y CONDICIONES DE USO ‘WAY MEDICALS’ (PRESTADORES)26 22. TÉRMINOS Y CONDICIONES DE USO ‘WAY MEDICALS’ (PACIENTES)27”

CUARTO: Que, la sociedad WAY MEDICALS S.A.S. identificada con Número de Identificación Tributaria 901.228.442-0, ostenta la calidad de Responsable del Tratamiento de los datos del Titular, en los términos del literal e) del artículo 3 de la Ley 1581 de 2012: “Ley 1581 de 2012, artículo 3: “Para los efectos de la presente ley, se entiende por: (…) e) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos;

(…)” Lo anterior, considerando que la sociedad WAY MEDICALS S.A.S. es la persona jurídica que, para el caso en referencia decide e imparte Tratamiento sobre los datos personales que recolecta, como lo indicó en el documento denominado “POLÍTICA DE TRATAMIENTO DE LA INFORMACIÓN PERSONAL DE WAY MEDICALS S.A.S.”3 remitido en su respuesta del 24 de noviembre de 2021 de la siguiente forma: “[…]2.

INFORMACIÓN GENERAL DE WAY MEDICALS COMO RESPONSABLE DEL TRATAMIENTO DE DATOS PERSONALES Razón social: WAY MEDICALS S.A.S. NIT 901228442-0 Domicilio: Envigado-Antioquia. Correo electrónico: asistencia@way.com.co […]. WAY MEDICALS actuando como Responsable del Tratamiento ha adoptado procedimientos para solicitarle, a más tardar en el momento de la recolección de sus datos personales, su autorización para el Tratamiento de los mismos e informarle cuáles son los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene su consentimiento. […]”

QUINTO: Que, con base en los hechos anotados y de acuerdo con las pruebas recolectadas en la etapa preliminar de esta investigación a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, el día 10 de junio del 2022 se inició la presente investigación administrativa mediante la expedición de la Resolución N° 36649, por medio de la cual se formularon cargos a la sociedad WAY MEDICALS S.A.S. por el presunto incumplimiento en: i. El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015. ii.

El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015 SEXTO: Que la mencionada Resolución N°. 36649 le fue notificada a la investigada electrónicamente el día 16 de junio del 2022 de conformidad con la certificación expedida por la Secretaria General de esta Superintendencia bajo radicado número 20-306679-9 para que se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendiera hacer 3 Expediente virtual, consecutivo número 3, páginas 125 a 135 “Por la cual se impone una sanción y se imparte una orden” HOJA N 13, VERSIÓN ÚNICA valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

SÉPTIMO: Que, encontrándose dentro del término de quince (15) días hábiles para que la sociedad WAY MEDICALS S.A.S. ejerciera su derecho de defensa y contradicción de acuerdo con lo establecido en el inciso tercero del artículo 47 del Código Administrativo y de lo Contencioso Administrativo, la sociedad presento escrito de descargos4 el día 12 de julio del 2022, manifestando lo siguiente: 7.1 En primer lugar, la sociedad investigada hace una breve descripción de los antecedentes de la presente actuación administrativa. 7.2 A continuación, indicó frente al primer cargo formulado por este Despacho, en relación con el deber de solicitar y conservar copia de la autorización, lo siguiente: “TERCERO. En la página web, también indican frente al apartado 3, “Canales de atención” que “En este formulario no se encuentra autorización expresa al titular de la información, tampoco se encuentra aviso de privacidad o enlace que dirija a las políticas de privacidad del sitio web.” Al respecto se debe indicar que como se demuestra a continuación, en el formulario el internauta sí debe autorizar expresamente el tratamiento de sus datos personales, para poder realizar él envió de su mensaje, a continuación, se destaca la casilla que otorga la expresa autorización no solo al tratamiento de datos personales, sino su consentimiento frente a los términos y condiciones y política de privacidad.

(…) Lo anterior, no es simplemente una aceptación para el uso de la página web, sino que se configura como la aceptación de estos documentos y una prueba de la autorización del titular para el tratamiento de sus datos personales, según lo dispuesto en el Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.2.5. A continuación, se adjunta una prueba de la autorización que reposa en el sistema cuando un usuario da clic en dicha casilla y autoriza los documentos.”5 (…) 7.2 Posteriormente la sociedad se refiere al tratamiento de datos de menores de edad, indicando que: “CUARTO. Frente al uso de la página web por menores de edad se debe indicar que los Términos y Condiciones de uso de la página web, los cuales se anexan al material probatorio aportado, frente a la capacidad del usuario son claros en indicar que: Los servicios de El Sitio estarán disponibles sólo para aquellas personas que tengan capacidad legal para contratar de acuerdo a la legislación colombiana vigente, es decir para mayores de edad, para el caso de uso y atención a menores de edad estos deberán contar con autorización expresa de alguno de sus padres y/o responsables y contar con supervisión. (Negrilla y cursiva fuera de texto original) Por lo cual, se busca la protección y cautela de los menores de edad por este canal y no se vulneran sus datos personales.

Así mismo, en las aplicaciones, al corroborar que el usuario es menor de edad, inmediatamente se le impedirá el registro y le solicitará completar un formulario por parte de sus padres o representante, el cual se adjunta en el material probatorio; por parte de la entidad una vez completado el formulario se le autorizará al menor la creación de su cuenta.

Adicionalmente, para que un profesional tratará a un menor de edad, el padre o acudiente debía autorizar el tratamiento mediante el consentimiento, tema que se cumplía rigurosamente y que se puede corroborar en la atención brindada por Margarita Marín, Coordinadora del Consultorio Psicológico, disponible en el siguiente enlace. https://www.dropbox.com/s/9jil5vtj8rw5tu7/Autorizaci%C3%B3n%20Menores%20%20CP%20IUE.m4a?dl=0 Escrito de descargos radicado bajo número 20-306679-8 del 13 de julio del 2022.

Expediente virtual, consecutivo número 8 página 4 “Por la cual se impone una sanción y se imparte una orden” HOJA N 14, VERSIÓN ÚNICA QUINTO. Frente a las aplicaciones, se debe indicar que, según las recomendaciones de la entidad, a las mismas se les han hecho ajustes para ajustarse a la normatividad vigente, se debe indicar que para IOS, actualmente se encuentra suspendida la aplicación, por temas directos con el servidor que actualmente están en revisión, como se demuestra a continuación. (…) Para Android, la aplicación permite su descarga y se puede observar que en la primera descarga al ingresar por primera vez a la aplicación pregunta nuevamente si autoriza el tratamiento de los datos personales, indicando en un hipervínculo los respectivos documentos, al hacer clic en ellos”6 7.3 Frente al segundo cargo formulado por este Despacho, en relación con el deber de informar las finalidades, lo siguiente: “SÉPTIMO. Frente al aviso de privacidad y la Política de Tratamiento de Datos Personales, ambas fueron modificadas con los ajustes anotados por la entidad, indicando expresamente los datos personales recolectados, la finalidad de los mismos y el especial tratamiento de los datos sensibles.

Para los efectos se cita el apartado correspondiente de la Política de Tratamiento de datos:

6. DATOS PERSONALES RECOLECTADOS. WAY MEDICALS, como entidad prestadora de servicios, recolecta datos personales de los pacientes, médicos y quienes utilicen su sitio web, estos son otorgados por los mismos usuarios y frente a los datos se debe otorgar autorización expresa para utilizar los servicios y frente a los mismos se ejercen por parte de los titulares los derechos consagrados en la normatividad los cuales son enunciados a continuación, conocer, actualizar y rectificar sus datos personales y, solo en los casos en que sea procedente, a suprimirlos o revocar la autorización otorgada para su tratamiento; los datos recolectados para la efectiva prestación del servicio son: el nombre, apellido, fecha de nacimiento, tipo de documento y número, correo electrónico, celular género, información relativa a la geolocalización, como departamento, ciudad, dirección, eps, información relativa a la sintomatología y registro fotográfico o videográfico de esta, registro de audio de las llamadas, registro fotográfico del personal en salud y copia de la cédula de estos, los mismos se configuran cómo necesarios para la prestación de un servicio de calidad de manera lícita, leal y transparente.

Los Usuarios de la página web y de las Apps son conscientes que para la efectiva prestación del servicio son solicitados datos sensibles, tales como los relativos al género, estado de salud y registro de audio, fotografíco y audiovisual, los cuales la autorización de su tratamiento es facultativo, es decir, no están obligados a autorizar su tratamiento, pero ello impedirá una efectiva prestación del servicio.”7 (…) 7.4 Igualmente, precisó que “En atención a los requerimientos de la Superintendencia de Industria y Comercio, la sociedad siempre ha actuado diligentemente y ha realizado las correcciones pertinentes, siempre buscando actuar en pro de los colombianos y garantizar que se respeten sus derechos y que estos se encuentren bien tanto física como mentalmente, en virtud de ello y dadas los cambios y ajustes que se realizaron en virtud de los requerimientos de la entidad, solicitamos comedidamente se proceda al archivo de la presente investigación, sustentado en las siguientes pruebas:”8 OCTAVO: Que mediante Resolución N°. 64956 del 21 de septiembre del 2022, esta Dirección incorporó las siguientes pruebas del expediente radicado bajo el número 20-306679-10, con el valor legal que les correspondiera y negó una prueba. 8.1.

Pruebas aportadas por la investigada 8.1.1 Copia de la colaboración que ha realizado la sociedad con el Gobierno Colombiano, disponible en el sitio web https://coronaviruscolombia.gov.co/Covid19/aislamiento-saludable/saludmental.html 8.1.2 Copia de la página principal de Way Medicals respecto del aviso de privacidad y de canales de atención. Expediente virtual, consecutivo número 8 página 5 y 6 Expediente virtual, consecutivo número 8 página 7 y 8 Expediente virtual, consecutivo número 8 página 10 “Por la cual se impone una sanción y se imparte una orden” HOJA N 15, VERSIÓN ÚNICA 8.1.3 Copia de la autorización de datos personales que queda en el sistema cuando un usuario acepta. 8.1.4 Copia del consentimiento que se solicita en caso de que un menor solicite un servicio. 8.1.5 Copia de “la no posibilidad de descarga de la aplicación en IOS” 8.1.6 Copia de la descarga de la aplicación en Android. 8.1.7 Copia de términos y condiciones de uso “WAY MEDICALS” 8.1.8 Copia del aviso de privacidad WAY MEDICALS 8.1.9 Copia de la política de Tratamiento de Datos Personales. 8.1.10 Copia de los estados financieros de la investigada para los años 2019, 2020 y 2021 NOVENO: Que a la sociedad investigada le fue comunicada la Resolución N°. 64956 del 21 de setiembre del 2022 de conformidad con la certificación9 de radicada el 29 de septiembre del 2022 por la Secretaria General de esta Superintendencia.

DÉCIMO: Que la sociedad WAY MEDICALS S.A.S., el 5 de octubre del 2022 presentó escrito de alegatos de conclusión con radicado 20-306679-14, en el cual reitera lo dicho en el escrito de descargos, adicionando lo siguiente: “(…)

TERCERO. En la página web, también indican frente al apartado 3, “Canales de atención” que “En este formulario no se encuentra autorización expresa al titular de la información, tampoco se encuentra aviso de privacidad o enlace que dirija a las políticas de privacidad del sitio web. ” Al respecto se debe indicar que como se demuestra a continuación, en el formulario el internauta sí debe autorizar expresamente el tratamiento de sus datos personales, para poder realizar él envió de su mensaje, a continuación, se destaca la casilla que otorga la expresa autorización no solo al tratamiento de datos personales, sino su consentimiento frente a los términos y condiciones y política de privacidad.

Lo anterior, no es simplemente una aceptación para el uso de la página web, sino que se configura como la aceptación de estos documentos y una prueba de la autorización del titular para el tratamiento de sus datos personales, según lo dispuesto en el Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.2.5. A continuación, se adjunta una prueba de la autorización que reposa en el sistema cuando un usuario da clic en dicha casilla y autoriza los documentos. 9 Certificado de notificación radicado bajo el número 20-306679-13 “Por la cual se impone una sanción y se imparte una orden” HOJA N 16, VERSIÓN ÚNICA ” (…) ALEGATOS PRIMERO. PRESTACIÓN DEL SERVICIO EN SITUACIÓN DE EMERGENCIA SANITARIA.

El funcionamiento operativo de la sociedad se dio en el marco de la pandemia generada por el COVID- 19, el cual género un rápido actuar por parte de los gobiernos y demás instituciones para velar por la salud, no solo física, sino también mental de sus habitantes, por ello se operativizo más pronto de lo esperado los servicios ofertados por Way Medicals.

En todo momento, la finalidad de la compañía ha sido velar por el cuidado del ser humano en sus diferentes esferas, por lo cual, atentar contra sus derechos fundamentales, como lo sería el habeas data, no es la finalidad de la compañía y en caso de haber cometido algún yerro en el procesamiento de estos datos, se excusa y se pone en disposición inmediata para corregirlo para poder continuar ofertando sus servicios.

SEGUNDO. BUENA FE DE LA SOCIEDAD Y DILIGENCIA. Es evidente que, ante cada requerimiento de la entidad, se ha procedido inmediatamente a otorgar la información requerida en término y a realizar las modificaciones y retroalimentaciones con las áreas encargadas cuando se considera pertinente, buscando siempre respetar y dar prevalencia a los derechos fundamentales de las personas.

Adicionalmente, se puede observar en el expediente que el manejo de la compañía ha sido tan pulcro frente al tratamiento de los datos, que no reposa queja alguna de un particular en la Superintendencia, careciendo la compañía de antecedentes o sanciones y a su vez de correcciones o anotaciones por parte de la entidad.

TERCERO. REALIDAD ECONÓMICA DE LA SOCIEDAD. Al contemplar los Estados Financieros aportados en el expediente, se puede observar que la sociedad no genera ganancias, ya que todo ingreso que tiene se destina a gastos administrativos, generando apenas en el año precedente (2021) una ganancia de un millón seiscientos setenta y ocho mil pesos (COP. $1.678.000), lo que resulta realmente ínfimo y demuestra que la sociedad no está en capacidad de asumir una sanción económica por parte de la entidad, lo que en la eventualidad de ocurrir la llevaría a liquidarse y dejar de prestar un servicio generado en beneficio de la sociedad.

Al respecto, cabe mencionar que la Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, as í como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada; una eventual sanción pecuniaria, llevaría a la sociedad a liquidación, ya que no estaría en capacidad de asumir ni siquiera sus propios gastos administrativos, lo que generaría un perjuicio desproporcionado y un daño a la labor social desempeñada.

CUARTO. LESIVIDAD DEL ACTUAR. Las acciones diligentes, que demuestran la buena fe de la compañía, no han generado ningún perjuicio a la población, prueba de ello es la carencia de reclamaciones al respecto del tratamiento de los datos personales de la compañía, lo que demuestra que no se vulnero ningún bien jurídico en concreto.

QUINTO. INCONSISTENCIAS EN EL EXPEDIENTE. Observado con detenimiento el expediente administrativo, especialmente la parte inicial, podemos observar que en el mismo se aprecian afirmaciones inconsistentes destacadas en los hechos de los presentes alegados, que, ante la duda, se debe apreciar a favor de la compañía que represento. Con los materiales obrantes en el expediente, aportados por la misma administración y el objeto de la investigación claramente determinado y acreditado, se demuestra que no habría motivo para sancionar a la sociedad que represento; por el contrario, motivo del requerimiento HOJA N 17, “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÚNICA inclusive se mejoró las políticas actuales para cumplir con un estándar aún más estricto de la normatividad vigente.

PETICIÓN. Así las cosas y de conformidad con lo plasmado en los presentes alegatos, en atención a la buena fe con la que ha obrado la compañía y la realidad económica de la misma, les rogamos que, sí observan alguna incongruencia frente a nuestras estipulaciones y el tratamiento de datos vigente, frente a la legislación actual, nos realicen la respectiva anotación, para proceder con las modificaciones requeridas, dando prioridad a la función instructiva y pedagógica de la Superintendencia frente a la sancionadora.

Nuestra voluntad es cumplir la ley a cabalidad y brindar facilidades y soluciones médicas a nivel psicoterapéutico para las personas, velando en todo momento por la salud mental, brindando facilidades de acceso a las personas a este servicio y respetando sus derechos.”

DÉCIMO PRIMERO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO SEGUNDO: Análisis del caso 12.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 201117, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: "En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato".

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: I) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

De conformidad con los hechos alegados por el reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración en: i. ii. El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta el acta de visita administrativa realizada por e este Despacho, así como las pruebas aportadas por la investigada y las recolectadas por esta Dirección. 12.2 Valoración probatoria y conclusiones 12.2.2 Respecto del deber solicitar y conservar autorización previa, expresa e informada del titular para el tratamiento de sus datos personales “Por la cual se impone una sanción y se imparte una orden” HOJA N 18, VERSIÓN ÚNICA Para referirse a este cargo, es necesario, en primer lugar, aludir al artículo 15 de la Constitución Política: "ARTÍCULO 15.

Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas". Dicha norma establece que las personas, en desarrollo de sus derechos a la autodeterminación informática, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos.

Al respecto, la Corte Constitucional10 ha señalado lo siguiente: "Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.

Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su "imagen informática"11 Igualmente, es importante indicar que, en virtud del principio de libertad, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la ley 1581 de 2012 y, además, el deber de solicitar y conservar copia de la autorización de Tratamiento otorgada por el mismo, dispuesto en el literal b) del artículo 17 de la ley mencionada.

Relacionado con dicho deber, se encuentra el principio de finalidad dispuesto en el literal b) del artículo 4 de la Ley 1581 de 2012, en los siguientes términos: ARTÍCULO 4o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: ( ) b) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; ( ) ARTÍCULO 9o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.

"ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

( )." Decreto Único Reglamentario 1074 de 2015 "ARTÍCULO 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP.

Jorge Ignacio Pretelt Chaljub. Considerando 2.6.5.2.Análisis de la constitucionalidad de los preceptos Ibídem “Por la cual se impone una sanción y se imparte una orden” HOJA N 19, VERSIÓN ÚNICA datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento". (Subrayado y Negrita fuera del texto original) "ARTÍCULO 2.2.2.25.2.5. Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos".

Definición del consentimiento: En la Ley 1581 de 2012 el consentimiento es tanto un principio rector (artículo 4 (literal c) como un elemento de legitimación constitucional de los procesos de administración de datos personales (artículos 9, 10, y artículo 26, literal a). El artículo 9 establece que en el tratamiento se requiere la autorización previa, expresa, e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior, mientras que el artículo 10 prevé las excepciones o los otros fundamentos de legitimación constitucional del tratamiento de datos personales, incluidos los casos de urgencia manifiesta, tratamiento de información autorizado por la ley para fines históricos, estadísticos o científico, etc.

Por su parte, el literal a) del artículo 3 de la Ley 1581 de 2012 establece que el consentimiento o autorización exigida para el tratamiento de datos personales es, además, calificado, por cuanto debe ser previo, expreso e informado. En este sentido, la Corte Constitucional interpretó esta definición en sentencia C-748 del 2011 de la siguiente manera: "En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato.

Así por ejemplo, en la Sentencia T-022 de 1993, se dijo que la veracidad del dato no implica que el Responsable del Tratamiento no tenga el deber de obtener una autorización anterior. En igual sentido, la Sentencia T-592 de 2003 dijo que el derecho al habeas data resulta afectado cuando los administradores de la información recogen y divulgan hábitos de pago sin el consentimiento de su titular.

La Corte expresó que el consentimiento previo del titular de la información sobre el registro de sus datos económicos "en los procesos informáticos, aunado a la necesidad de que aquel cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, resultan esenciales para salvaguardar su derecho a la autodeterminación informática." En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito.

Lo anterior, por varias razones: En primer lugar, la jurisprudencia constitucional ha exigido tal condición y ha dicho que el consentimiento debe ser explícito y concreto a la finalidad específica de la base de datos. ( ) En segundo lugar, de una interpretación armónica de todo el articulado se deduce que el legislador estatutario tuvo una intención inequívoca que el consentimiento siempre fuese expreso.

Así, desde el artículo 3 se dice que éste debe ser "previo, expreso e informado". Esto mismo se repite en el artículo 4. Posteriormente, el artículo 8 ordinal b), garantiza al Titular el derecho de solicitar prueba de la autorización, y señala que ésta sólo puede considerarse exceptuada en los casos consagrados en el artículo 10. El artículo 9 ordena que la autorización sea "obtenida por cualquier medio que pueda ser objeto de consulta posterior'.

“Por la cual se impone una sanción y se imparte una orden” HOJA N 20, VERSIÓN ÚNICA Por otro lado, el artículo 10 señala, en forma taxativa, los casos en que no se requiere autorización, y no hace referencia alguna a la existencia de un consentimiento tácito, lo cual necesitaría expresa autorización legal. ( ) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. En este mismo sentido, en la Sentencia T-592 de 2003, la Corte señaló que la autorización debe ser cualificada y debía contener una explicación de los efectos de la misma.

Además, a pesar de que se presente la autorización, el Responsable y Encargado del Tratamiento debe actuar de buena fe. De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez, ( )" No existe, por tanto, otra interpretación legal y constitucional diferente a aquella que el consentimiento debe cumplir con los requisitos de ser previo, expreso e informado para que el mismo pueda considerarse legal, pues, de lo contrario, se estaría afectando, como lo señaló la Corle en la sentencia arriba citada, el derecho a la autodeterminación informática entendido como el núcleo esencial del derecho al habeas data y, en la práctica, el Titular perdería el control de sus datos personales.

Las definiciones de expreso, previo e informado contienen elementos claves que se analizan a continuación, con el fin de que se asegure que sólo el consentimiento que se interprete conforme a la Ley 1581 de 2012 será considerado como tal. Elementos del consentimiento: (i) Expreso: el término expreso significa la manifestación de voluntad libre del Titular para permitir el tratamiento de sus datos personales por parte de un tercero. Así mismo, esa necesidad de manifestación por parte de la persona impide que la falta de actuación - o quizás mejor, el comportamiento pasivo - constituya un consentimiento válido bajo la Ley 1581 de 2012, pues, como lo señaló la Corte Constitucional en la Sentencia C-748 de 2011, "no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito".

Esto obliga a los Responsables del Tratamiento a crear procedimientos para garantizar que las personas otorguen su consentimiento y, a su vez, proporcionan pruebas al Responsable del Tratamiento de que se ha obtenido el consentimiento. Los ejemplos más clásicos son la firma manuscrita en la parte inferior de un formulario de papel y la selección de una casilla en un sitio web en Internet.

(ii) Informado: el término informado significa que la persona debe conocer las finalidades del tratamiento de sus datos, la persona natural o jurídica, pública o privada, que decidirá sobre el tratamiento de los datos concernidos, los derechos relativos al tratamiento de sus datos, así como del modo de hacer valer sus derechos en relación con el tratamiento y, en general, las condiciones en que se efectuarán las actividades de acopio, recopilación y circulación del mismo.

En ese sentido, el artículo 12 de la Ley 1581 de 2012 establece que cuando se va a solicitar la autorización al Titular de la Información, el Responsable del tratamiento deberá informarle de manera clara y expresa lo siguiente: a) el tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles.

(iii)Previo: el término previo significa que la persona debe otorgar su consentimiento antes del comienzo del tratamiento de su información personal, debiendo cumplirse a más tardar en el momento en que el dato va a ser recogido, sin que sea admisible, en este punto, considerar su HOJA N 21, “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÚNICA acatamiento con posterioridad a su recolección, pues sólo así quedaría garantizado el derecho de la persona a tener una apropiada información antes de otorgar su consentimiento.

Visto lo anterior, el consentimiento, como uno de los fundamentos jurídicos del tratamiento de datos personales, para que sea válido bajo la Ley 1581 de 2012, debe cumplir los siguientes requerimientos legales: 1. El consentimiento debe ser expreso. El Titular debe realizar alguna acción positiva que indique su consentimiento y debe tener la libertad de no consentir. 2.

El consentimiento debe estar informado. El artículo 12 de la Ley 1581 de 2012 enumera la información que debe suministrársele al Titular; esa información debe ser claramente visible, destacada y completa. No basta con ponerla a disposición en algún sitio de la página web, sin que la persona no la conozca. 3. El consentimiento debe ser previo.

La obtención del consentimiento debe ser previa a En el caso objeto de estudio, se encuentra que, mediante Acta de Preservación de Páginas Web12, de la sociedad WAY MEDICALS S.A.S., documento que fue radicado el 9 de septiembre de 2020 bajo el número 20-306679-1, efectuado por el Grupo de Investigaciones Administrativas de Protección de Datos Personales, se encontró que la sociedad investigada recolectó datos personales sin autorización previa expresa e informada otorgada por los Titulares, como se evidencia a continuación: “(…) 7.

¿Se solicita autorización expresa al Titular en cada uno de los formularios identificados en la página o aplicación inspeccionada para el Tratamiento de la información recolectada? En los formularios inspeccionados en la página web y en la aplicación móvil no se encuentra autorización expresa al titular de los datos, tampoco se encuentra aviso de privacidad o enlace que dirija a las políticas de privacidad, como se puede ver en las imágenes: Página web a. Way Medical – Canales (https://www.way.com.co/contacto.html): Imágenes de la 10 a la 13. de Atención Aplicación Móvil a. Way Pacientes – Crear Cuenta: Imágenes de la 18 a la 21. b. Way Medicals – Crear Cuenta: Imágenes de la 77 a la 80. 13” Ahora bien, el 24 de noviembre de 2021 la sociedad WAY MEDICALS S.A.S., por intermedio de su representante legal, presentó respuesta radicada bajo el No. 20-306679-3 frente al requerimiento de información del 8 de noviembre de 2021, indicando el tipo de datos que recolecta, así: Expediente Virtual, Consecutivo No. 1.

Páginas 1 a 90 Acta de preservación 20-306679-1 página 65 y 66 HOJA N 22, “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÚNICA Así las cosas, este Despacho evidencia que la sociedad WAY MEDICALS S.A.S realiza el tratamiento de datos de salud y biométricos los cuales son clasificados como sensibles, de acuerdo con lo establecido en el artículo 2.2.2.25.1.3 del Decreto Único Reglamentario 1074 del 2015, veamos: "3.

Datos sensibles. Se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual, y los datos biométricos." Igualmente, es claro que la sociedad en cuestión realiza tratamiento de datos privados.

Para el efecto, se trae a colación dicha definición: “(…) Los datos semiprivados corresponden a aquellos que no tienen naturaleza íntima, reservada, ni pública y que. por ende: su conocimiento puede interesar no solo a su Titular sino a cierto sector o grupo de personas o a la sociedad en general. Ejemplo de esta categoría es el dato financiero y crediticio de actividad comercial o de servicios, el que como se ha indicado insistentemente en esta decisión, es el objeto de regulación del Proyecto de Ley.

Por último, el dato privado es aquel que por su naturaleza íntima o reservada sólo es relevante para el Titular14"(Negrilla fuera del texto original) Por otro lado, la Corte Constitucional explicó, respecto de los datos sensibles, que: "( ) la naturaleza de esos datos pertenece al núcleo esencial del derecho a la intimidad, entendido como aquella esfera o espacio de vida privada no susceptible de la interferencia arbitraria de las demás personas. que al ser considerado un elemento esencial del ser. se concreta en el derecho a poder actuar libremente en la mencionada esfera o núcleo, en ejercicio de la libertad personal y familiar, sin más limitaciones que los derechos de los demás y el ordenamiento jurídico”15.

Entonces el dato sensible no es una información que solamente esté relacionada con la garantía propia del ejercicio del derecho de habeas data, sino que va ligada también al derecho fundamental a la intimidad, el cual, igualmente, es sujeto de protección constitucional. Así las cosas, frente al deber de solicitar y conservar la autorización este Despacho inició investigación administrativa de carácter sancionatorio mediante la Resolución 36649 del 10 de junio del 2022, motivado en que con la respuesta16 al requerimiento realizado por este despacho con radicado 20-306679- 2 y Acta de Preservación de Páginas Web17, se concluyó de forma preliminar que la sociedad WAY MEDICALS S.A.S., no allegó la autorización previa expresa e informada otorgada por los Titulares para el tratamiento de sus datos personales que suministran a través de la página web https://www.way.com.co/, así como a través de las Apps ‘WAY PACIENTES’ y ‘WAY MEDICALS’.

Al respecto, la investigada en su escrito de descargos18, sustenta su defensa, afirmando que la página web cuenta la casilla que otorga la expresa autorización no solo al tratamiento de datos personales, sino su consentimiento frente a los términos y condiciones y política de privacidad, allegando la siguiente imagen: 14 Corte Constitucional, Sentencia c-1011 de 16 de octubre de 2008 MP Jaime Córdoba Triviño. Considerando 3.1.3.

Artículo 3º Definiciones 15 Ibídem Respuesta radicada bajo el No 20-306679-3 del 24 de noviembre de 2021 Expediente Virtual, Consecutivo No. 1. Páginas 1 a 90 Descargos radicado bajo el No 20-306679-8 del 13 de julio del 2022 HOJA N 23, “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÚNICA Frente a la página web https://www.way.com.co/ la sociedad WAY MEDICALS S.A.S: El aviso de privacidad y hábeas data se encuentra en los términos y condiciones que han sido vinculados en el formulario de recolección de los datos personales para solicitar la autorización. Este aviso consagra lo siguiente: “20.

Si requiere mayor información para conocer nuestra política de tratamiento de datos personales y los cambios sustanciales que se produzcan en ella, consulte la política de tratamiento de datos. Si desea presentar una consulta, reclamo o petición de información relacionada con la protección de datos personales puede ingresar a la aplicación a través de centro de soporte en línea, escribir al correo electrónico asistencia@way.com.co, o comunicarse al teléfono celular 3207267928, o en la Sede Principal, CL 32C SUR NO 47 65 Envigado” Ahora bien, en la página web https://way.com.co/politicapdpway.pdf se encuentra incluida la política de protección de datos personales de la sociedad WAY MEDICALS S.A.S., De igual modo, frente a la solicitud de la autorización mediante la aplicación IOS, la sociedad indicó que actualmente se encuentran en revisión para realizar los respectivos ajustes de acuerdo a las recomendaciones de la entidad.

Por otro lado, frente a la solicitud de la autorización mediante la aplicación ANDROID manifestó que los Titulares mediante un hipervínculo al hacer clic autorizan el tratamiento de sus datos: Términos y condiciones de la aplicación WAY MEDICALS S.A.S HOJA N 24, “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÚNICA Aviso de privacidad de la aplicación WAY MEDICALS S.A.S Ahora bien, frente a la autorización con respecto al tratamiento de menores de edad la sociedad manifiesta que, el padre o acudiente debe autorizar el tratamiento mediante el la página web y/o las aplicaciones, así mismo indicó que: “Henry hola, no nosotros no tenemos no tenemos esos consentimientos acuérdate que como están en la plataforma lo que hacemos es que cuando vamos a atender un menor de edad la primera consulta siempre se hace con los papás y los papás son los que deben firmar pues aceptar el consentimiento informado y ya atendemos al menor pero no lo tenemos exactamente pues así firmado no, sino que así es el protocolo a seguir primero la primera consulta siempre asisten los padres firman el consentimiento o por lo menos le dan aceptar y ya se puede iniciar el proceso con el menor”19 Respecto lo anterior, no se cuenta con la autorización de los padres o representantes legales de los menores de edad cuando estos proporcionan sus datos personales a través de los canales https://www.way.com.co/ y APP Way Pacientes Es importante precisar que, para la recolección y uso de datos personales sensibles deben observarse las reglas especiales señaladas en el artículo 6 del Decreto 1377 de 2013 en concordancia con lo dispuesto en los artículos 9 y 12 de la Ley Estatutaria 1581 de 2012.

La obtención de la autorización especial puede hacerse mediante cualquiera de los medios autorizados en el artículo 7 de dicho decreto, incluso las conductas inequívocas. No obstante, no debe perderse de vista que el Responsable de Tratamiento debe estar en capacidad de probar que obtuvo el consentimiento previo, expreso e informado del Titular de los datos.

De hecho, no solo el Titular tiene el derecho de la citada autorización, sino que es deber del Responsable de Tratamiento solicitar y conservar, en las condiciones previstas en la Ley Estatutaria, copia de la respectiva autorización otorgada por el Titular. Ahora bien, en cuanto al acervo probatorio, se evidencia lo siguiente: La presente investigación administrativa tuvo su génesis en los hallazgos encontrados en Preservación de Páginas Web y APPS 20 realizada por funcionarios de este Superintendencia, y en la respuesta 21 al requerimiento realizado por este despacho con radicado 20-306679- 2 de la sociedad WAY MEDICALS S.A.S. Audio mediante https://www.dropbox.com/s/9jil5vtj8rw5tu7/Autorizaci%C3%B3n%20Menores%20- %20CP%20IUE.m4a?dl=0” Expediente Virtual, Consecutivo No. 1.

Páginas 1 a 90 Radicado bajo el No 20-306679- 3 “Por la cual se impone una sanción y se imparte una orden” HOJA N 25, VERSIÓN ÚNICA En este punto, entra la Dirección a analizar si la sociedad investigada contaba con la autorización previa, expresa e informada por parte de los Titulares que han suministrado su información personal a través de la página web https://www.way.com.co/, así como a través de las Apps ‘WAY PACIENTES’ y ‘WAY MEDICALS, encontrando lo siguiente: En el expediente número 20-306679 NO reposa prueba de la autorización otorgada por los Titulares del dato.

Por su parte, la sociedad WAY MEDICALS S.A.S se limitó a afirmar mediante descargos y alegatos de conclusión que en el momento en que los Titulares se registran en la página web y aplicaciones, la compañía obtiene la autorización para el tratamiento de sus datos personales. Sobre el particular, advierte esta Dirección un error mayúsculo, en tanto la investigada pretende equiparar la aceptación de los términos y condiciones que regulan su plataforma digital, pagina web y de la política de tratamiento de la información, aviso de privacidad con la autorización previa, expresa e informada otorgada por los Titulares; situación que no resulta menor y que amerita las siguientes precisiones: En primer lugar: el hecho de aceptar los términos y condiciones que regulan la plataforma digital de una sociedad no se traduce en que los Titulares de la información autorice el Tratamiento de sus datos personales, conforme a lo requerido por la ley.

En segundo lugar: es preciso resaltar que los Titulares no están obligados a aceptar la Política de Tratamiento de la Información por cuanto lo que exige la regulación es que la misma sea puesta en conocimiento de los Titulares, tal y como lo ordena el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, mas no que para la prestación de un servicio los mismos se vean obligados a aceptar dicha Política.

En tercer lugar, cobra especial relevancia, destacar que el Decreto Único Reglamentario 1074 de 2015 en el artículo 2.2.2.25.3.2 desarrolla el concepto de “Aviso de Privacidad” precisando que, en caso de que no sea posible poner a disposición del Titular las Políticas de Tratamiento de la información, los responsables puedan informar por medio dicho aviso acerca de la existencia de tales políticas y la forma de acceder a las mismas de manera oportuna.

De esa manera, queda absolutamente clara la finalidad establecida por el Gobierno Nacional en relación con la implementación del referido instrumento, que no es otro que poner en conocimiento de los Titulares, la existencia de una Política de Tratamiento de Datos. Respecto a los argumentos expuestos por la investigada en el curso de la presente actuación, es imperioso recordar que en ningún caso puede confundirse el “aviso de privacidad” con la autorización previa y expresa otorgada por parte de los titulares; dado que el aviso de privacidad tiene una génesis y finalidad sustancialmente diferentes a las de la autorización para el tratamiento de los datos personales, las cuales ya fueron suficientemente expuestas y explicadas.

En suma, validar dicho funcionamiento por parte de la investigada constituye imponerle un deber a los Titulares al cual no están obligados por la Constitución, ni la ley. Aunado a lo anterior, no encuentra esta Dirección que el procedimiento descrito por la sociedad investigada permita: (i) comprobar la identidad plena de la persona que acepta los términos y condiciones, (ii) verificar que el consentimiento de los Titulares se obtuvieron con anterioridad a la recolección y tratamiento de sus datos personales, (iii) acreditar el cumplimiento de los preceptos contenidos en el artículo 12 de la Ley 1581 de 2012 referentes al consentimiento expreso e informado y la capacidad del Responsable de suministrar plena prueba del consentimiento de cada Titular del dato.

Así las cosas, aceptar los términos y condiciones, la Política de Tratamiento de la Información o el aviso de privacidad no es imperativo para los Titulares, ni releva al Responsable del Tratamiento del deber de obtener la autorización previa, expresa e informada por parte de este para el tratamiento de sus datos personales. Ahora bien, frente a la aclaración realizada por la sociedad investigada en el escrito de descargos, en la que manifiesta que ha realizado una serie de modificaciones al mecanismo mediante el cual obtiene y conserva la autorización por parte de los Titulares para el tratamiento de sus datos personales, y en relación con el material probatorio que allega como soporte de dicha aclaración consistente en una captura de pantalla de la APP IOS en revisión y ajustes al aviso de privacidad y la Política de Tratamiento de Datos Personales, encuentra este Despacho que las mismas no “Por la cual se impone una sanción y se imparte una orden” HOJA N 26, VERSIÓN ÚNICA desvirtúan el cargo formulado a la sociedad WAY MEDICALS S.A.S., esto en razón de que el ejemplo, además de no realizar aporte alguno al caso bajo examen, solo da cuenta de unos hechos posteriores, que en nada inciden en la presente investigación administrativa.

Consecuencia de lo anterior, en el presente caso la sociedad WAY MEDICALS S.A.S., al no haber acreditado la obtención de la autorización previa, expresa e informada por parte de los Titulares de la información que han suministrado su información personal a través de la página web https://www.way.com.co/, así como a través de las Apps ‘WAY PACIENTES’ y ‘WAY MEDICALS, y de otro lado, la autorización por parte de los representantes legales de menores de edad que accedieron al aplicativo.

Razón por la cual, se impondrá la respectiva sanción pecuniaria. 12.2.2 Respecto del deber de informar a los Titulares sobre la finalidad de la recolección y los derechos que le asisten por la autorización otorgada El literal c) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;” Literal b) del artículo 4: “ARTÍCULO 4o.

PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular”;

En referencia al principio de finalidad, este se traduce en el deber de informar al Titular lo que se pretende hacer con su información y se encuentra contenido en el artículo 12 de la Ley 1581 de 2012, así: “Artículo 12. Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” Parágrafo.

El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” Como puede observarse, el principio de finalidad, que se encuentra íntimamente ligado al principio de libertad, impone unos límites al tratamiento de los datos que están siendo administrados por el Responsable; dichos límites se derivan de la naturaleza de la información y del uso que se dará a los datos recolectados.

El deber de informar la finalidad del tratamiento, de acuerdo con los pronunciamientos de la Corte Constitucional por medio de la sentencia C 748 del 2011, se ha entendido así: “(…) Específicamente se dispone que son deberes de esta parte de la relación: (…) “Por la cual se impone una sanción y se imparte una orden” HOJA N 27, VERSIÓN ÚNICA (ii) Informar al titular la finalidad de esa autorización y actuar en consecuencia; por tanto, el responsable no puede conducirse por fuera de los lineamientos de la autorización, lo que significa que, por ejemplo, no puede suministrar al encargado del tratamiento más datos que los que fueron objeto de autorización, ni puede someterlos a un tratamiento con finalidades diferentes a las informadas.

En este orden de ideas, los deberes establecidos en los literales a), b) y h) son desarrollo del principio de finalidad. (…)” 22. Adicionalmente, la Corte Constitucional en la misma sentencia ha explicado el alcance del artículo 12 de la Ley 1581 de 2012, es decir el deber de informar al Titular de la siguiente manera: “(…) El artículo 12 dispone las características de la información que deberá ser suministrada por el Responsable del Tratamiento.

La disposición es constitucional, pero el literal b) debe condicionarse por las siguientes razones. La norma señala a los Titulares deberá informárseles “el carácter facultativo a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes”. En una primera lectura podría entenderse que la norma está autorizando el Tratamiento de datos sensibles y de niñas, niños y adolescentes, a pesar de encontrarse prohibida.

Sin embargo, existe una forma de interpretar la disposición de una manera que se avenga a los postulados constitucionales. En primer lugar, el carácter facultativo, en razón del principio de libertad, es predicable de todas las preguntas. Sin embargo, cuando se trate de una de las situaciones en que excepcionalmente se permite el Tratamiento de un dato sensible o de una niña, niño o adolescente, el Responsable del Tratamiento deberá informar las limitaciones y derechos que le son predicables de este tipo de dato.

(…)” 23 Frente a este cargo, este Despacho inició investigación administrativa de carácter sancionatorio mediante la Resolución 36649 del 10 de junio del 2022, de acuerdo con lo siguiente: “ Al respecto, mediante Oficio 20-306679-2 se envió requerimiento de información del 8 de noviembre de 2021 dirigido a la sociedad WAY MEDICALS S.A.S., solicitándole, solicitándole, entre otros, lo siguiente: “[…] 1.3.

“[…]1.4. […] RESPUESTA a. Frente a la página web https://www.way.com.co/ En la página web mencionada no se hace recolección de datos personales sensibles. b. Frente a la APP Way Pacientes: En la app se recolectan los siguientes datos sensibles de los pacientes: ▪ Sintomatología ▪ Fotografía del síntoma (de contarse con esta) Se aclara que estos datos solamente son solicitados una vez el paciente ha aceptado los términos y condiciones de WAY MEDICALS y una vez ha creado la cuenta en la APP.

Por otro lado, una vez se solicita la consulta con algún profesional le llega al usuario un aviso en el que debe decir si desea firmar o no el consentimiento informado, el cual tiene un aparte sobre protección de datos personales como se observa a continuación: Cfr. Corte Constitucional, sentencia C 748 del 2011 del seis (6) de octubre de dos mil once (2011).

M.P.: Jorge Ignacio Pretelt Chaljub Considerando 2.17.3. Constitucionalidad de los artículos 17 y 18 Ibid. Considerando 2.14.3 “Por la cual se impone una sanción y se imparte una orden” HOJA N 28, VERSIÓN ÚNICA Considerando que el artículo 12 de la Ley 1581 de 2012 establece unos deberes a cargo del Responsable del Tratamiento, consistentes en informar al Titular de los datos al momento de obtener la autorización, respecto de lo siguiente a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo;

(Subraya fuera del texto original). b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

En línea con lo anterior, que la sociedad WAY MEDICALS S.A.S. en el presente caso ostenta la calidad de Responsable del Tratamiento, esta debía haber informado a cada uno de los Titulares respecto de los cuales ha recolectado información, al momento de solicitar su autorización, los presupuestos mínimos establecidos en el artículo 12 de la Ley 1581 de 2012, puntualmente, para el presente cargo, lo relativo a las finalidades objeto del tratamiento, el carácter facultativo de las respuestas a las preguntas relacionadas sobre datos sensibles y los derechos que le asisten a cada Titular de conformidad con la autorización otorgada, según disponen los literales a), b) y c) de la referida norma.

Habiendo estudiado la respuesta y los documentos remitidos por la sociedad WAY MEDICALS S.A.S. en los cuales soportó su respuesta frente al requerimiento de información, no se encuentra prueba mediante la cual se acredite, como se indicó previamente, la obtención de la autorización previa, expresa e informada por parte de los Titulares de la información, inclusive aquellos que han podido llegar a suministrar información sensible, bien sea relativa al estado de salud o de menores de edad, en los términos del artículo 9 de la Ley 1581 de 2012, así como tampoco que a estos se les haya informado de manera previa y expresa acerca de las finalidades del Tratamiento para las cuáles serían sometidos sus datos personales, el carácter facultativo de las respuestas a las preguntas relacionadas sobre datos sensibles y los derechos que le asisten a cada Titular de conformidad con la autorización otorgada.

Por lo que, preliminarmente, se encuentra que, la sociedad WAY MEDICALS S.A.S realizó una aparente contravención al deber consistente en informar debidamente a los Titulares sobre la finalidad de la recolección de sus datos y los derechos que le asisten por virtud de la autorización otorgada, dispuesto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.” Por lo anterior, se evidenció preliminarmente que la sociedad WAY MEDICALS S.A.S mediante su página web y APP, a las que acceden los Titulares estas no le indican las finalidades del Tratamiento de los datos sensibles y de los datos de niños, niñas y adolescentes, así como el carácter facultativo de las respuestas a las preguntas relacionadas sobre datos sensibles y los derechos que le asisten a cada Titular de conformidad con la autorización otorgada para las cuales se recolectan sus datos, así como la posibilidad de ejercer los derechos de que trata el artículo 12 de la Ley 1581 de 2012.

Sobre el particular, la sociedad WAY MEDICALS S.A.S como argumentos de defensa en el escrito de descargos (se aclara que esta sociedad reitera dichos argumentos de defensa en los alegatos de conclusión) manifiesta que: “(…) Frente al aviso de privacidad y la Política de Tratamiento de Datos Personales, ambas fueron modificadas con los ajustes anotados por la entidad, indicando expresamente los datos personales recolectados, la finalidad de los mismos y el especial tratamiento de los datos sensibles.

Para los efectos se cita el apartado correspondiente de la Política de Tratamiento de datos: “Por la cual se impone una sanción y se imparte una orden” HOJA N 29, VERSIÓN ÚNICA

6. DATOS PERSONALES RECOLECTADOS. WAY MEDICALS, como entidad prestadora de servicios, recolecta datos personales de los pacientes, médicos y quienes utilicen su sitio web, estos son otorgados por los mismos usuarios y frente a los datos se debe otorgar autorización expresa para utilizar los servicios y frente a los mismos se ejercen por parte de los titulares los derechos consagrados en la normatividad los cuales son enunciados a continuación, conocer, actualizar y rectificar sus datos personales y, solo en los casos en que sea procedente, a suprimirlos o revocar la autorización otorgada para su tratamiento; los datos recolectados para la efectiva prestación del servicio son: el nombre, apellido, fecha de nacimiento, tipo de documento y número, correo electrónico, celular género, información relativa a la geolocalización, como departamento, ciudad, dirección, eps, información relativa a la sintomatología y registro fotográfico o videográfico de esta, registro de audio de las llamadas, registro fotográfico del personal en salud y copia de la cédula de estos, los mismos se configuran cómo necesarios para la prestación de un servicio de calidad de manera lícita, leal y transparente.

(…) De acuerdo con lo expuesto, tal como se explicó en el anterior cargo por autorización, una vez mencionado el artículo 2.2.2.25.1.3 del Decreto Único Reglamentario 1074 del 2015, se evidenció que los datos personales sobre los cuales la sociedad WAY MEDICALS S.A.S realiza el tratamiento, se encuentran dentro de la categoría de datos sensibles, pues trata datos biométricos como las fotografías, videos.

Teniendo en cuenta que, mediante respuesta 24al requerimiento por parte de esta Dirección la sociedad manifestó que si realiza tratamiento de datos personales de menores de edad, como se evidencia a continuación: Al respecto, es necesario confirmar que en el presente caso, en efecto, se realiza tratamiento de datos de a menores de edad, ya que la sociedad manifestó que se recolectan datos personales de menores de edad quienes actúan en calidad de pacientes.

Ahora bien, tal y como lo señala el literal c) del artículo 3 de la Ley 1581 de 2012, un dato personal se entiende como “Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables”. Expediente Virtual, Consecutivo No. 3 Páginas 24 y 25 “Por la cual se impone una sanción y se imparte una orden” HOJA N 30, VERSIÓN ÚNICA Sobre este punto en particular, tal y como lo ha reiterado la Dirección en oportunidades anteriores, las imágenes que permitan establecer la identidad de una persona son datos personales y su tratamiento, se rige por, entre otras disposiciones, la Ley 1581 de 2012.

Adicionalmente, los datos biométricos, a su vez, son un ejemplo de dato sensible, tal y como se puede constatar en la definición legal del artículo 5 de la Ley 1581 de 2012. Los datos biométricos incluyen información sobre las características físicas (rostro, huella dactilar, palma de la mano, retina, ADN) y comportamentales (forma de firmar, tono de voz) sobre las personas.

En la regulación europea son definidos como “datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos.”25 (Negrilla fuera del texto original) Ahora bien, la Corte al realizar el examen de constitucionalidad de la Ley Estatutaria, mediante sentencia C-748 de 2011, señaló respecto del inciso segundo del artículo 7, que: “Esta Sala observa que la interpretación del inciso segundo, no debe entenderse en el sentido de que existe una prohibición casi absoluta del tratamiento de los datos de los menores de 18 años, exceptuando los de naturaleza pública, pues ello, daría lugar a la negación de otros derechos superiores de esta población como el de la seguridad social en salud, interpretación ésta que no se encuentra conforme con la Constitución. De lo que se trata entonces, es de reconocer y asegurar la plena vigencia de todos los derechos fundamentales de esta población, incluido el habeas data.

En este mismo sentido, debe interpretarse la expresión “naturaleza pública”. Es decir, el tratamiento de los datos personales de los menores de 18 años, al margen de su naturaleza, pueden ser objeto de tratamiento siempre y cuando el fin que se persiga con dicho tratamiento responda al interés superior de los niños, las niñas y adolescentes y se asegure sin excepción alguna el respeto de sus derechos prevalentes.” En esta sentencia, también se refirió a la clasificación de los datos personales, en los siguientes términos: “En primer lugar, la clasificación de los datos personales en públicos, semiprivados y privados o sensibles, es solamente una posible forma de categorizar los datos, pero no la única; otras clasificaciones podrían ser producto de criterios diferentes al grado de aceptabilidad de la divulgación del dato.

El legislador, por tanto, tiene libertad para elegir o no elegir una categorización. (…) Para poder dar sentido a este precepto, a juicio de la Sala, basta con acudir a las definiciones elaboradas por la jurisprudencia constitucional o a las definiciones de otros preceptos legales, como la Ley 1266, cuyo artículo 3 dispone: “f) Dato público.

Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas; g) Dato semiprivado.

Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley. h) Dato privado.

Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular.” En virtud de lo anterior, es evidente que la investigada trata datos privados y sensibles, datos relativos a la salud, de niños niñas y adolescentes. Así las cosas, la autorización utilizada por la Cfr. Numeral 14 del artículo 4 del Reglamento europeo de protección de datos (2016): PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA (2016) REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO (27 de abril de 2016) relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).

“Por la cual se impone una sanción y se imparte una orden” HOJA N 31, VERSIÓN ÚNICA sociedad WAY MEDICALS S.A.S. no cumple con el requisito del literal b) del artículo 12 de la Ley 1581 de 2012, el cual consagra lo siguiente: “b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes;” Ahora bien, en cuanto al acervo probatorio, se evidencia lo siguiente: Requerimiento de información bajo radicado No 20-306679-2 del 8 de noviembre de 2021 dirigido a la sociedad WAY MEDICALS S.A.S., solicitándole, entre otros, lo siguiente: “(…) 1.3.

Manifieste si cuentan con la autorización clara, expresa e informada de los Titulares que conforman sus bases de datos para la recolección de sus datos personales. De ser afirmativa la respuesta, documente su respuesta mediante la copia de dichas autorizaciones. 1.4. Aporte prueba mediante la cual se acredite que la sociedad informó a los Titulares las finalidades de la recolección y los derechos que le asisten en virtud de la autorización otorgada (…)” Respuesta al requerimiento de información por la sociedad WAY MEDICALS S.A.S., a través de comunicación 20-306679-3 del 24 de noviembre de 2021, respecto de la cual se resalta lo siguiente. 1.4. […] RESPUESTA a. Frente a la página web https://www.way.com.co/ En la página web mencionada no se hace recolección de datos personales sensibles. b. Frente a la APP Way Pacientes: En la app se recolectan los siguientes datos sensibles de los pacientes: ▪ Sintomatología ▪ Fotografía del síntoma (de contarse con esta) Se aclara que estos datos solamente son solicitados una vez el paciente ha aceptado los términos y condiciones de WAY MEDICALS y una vez ha creado la cuenta en la APP.

En este sentido, es claro que la sociedad mediante la página web https://www.way.com.co/ y APP Way, no informa a los Titulares de manera expresa el carácter facultativo de las respuestas cuando las preguntas versen sobre datos sensibles o sobre los datos de niños, niñas y adolescentes. Por otro lado, tampoco se menciona la facultad que se tiene de entregar o no los datos cuando se trata de datos sensibles y cuando se trata de datos de menores, incumpliendo los deberes establecidos en la Ley y vulnerando el derecho a la protección de datos de los menores de edad.

Obrando en consecuencia con la importancia constitucional y legal atribuida al dato sensible, el legislador estatutario, en el artículo 6 de la Ley 1581 de 2012 prohibió, por regla general, el tratamiento de información sensible de los Titulares, de tal forma que sólo consagró unas excepciones taxativas a dicha exclusión, las cuales responden a la necesidad de garantizar otros derechos constitucionales tales como la vida, la educación y el derecho de asociación. Teniendo presente tal situación, el legislador estatutario dispuso que, para que el Responsable del Tratamiento pueda tratar datos sensibles debe realizarlo conforme a lo establecido en el artículo 6 de la Ley 1581 de 201226 y además requiere que se le comunique al titular que los datos que está pretendiendo recoger son sensibles y que no está obligado a entregarlos ni a responder cuestiones acerca de los mismos.

Condiciones relevantes que garantizarán que el titular entregue o no su consentimiento de manera informada, circunstancia esencial para que proceda el Tratamiento de los datos sensibles por parte del Responsable de acuerdo a la ley. Ahora bien, dejando claro que la sociedad WAY MEDICALS S.A.S efectúa el tratamiento de datos sensibles, es menester señalar que dicho Tratamiento debe estar rodeado de especial cuidado y diligencia en su recolección, uso, seguridad o cualquier otra actividad que se realice con los mismos.

ARTÍCULO 6 o. TRATAMIENTO DE DATOS SENSIBLES. Se prohíbe el Tratamiento de datos sensibles, excepto cuando: a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización; b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado.

En estos eventos, los representantes legales deberán otorgar su autorización; c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad.

En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular; d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial; e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares.

“Por la cual se impone una sanción y se imparte una orden” HOJA N 33, VERSIÓN ÚNICA En efecto, la Corte Constitucional, tal y como lo señaló en la sentencia C-748 de 2011, exige responsabilidad reforzada por parte de los Responsables y Encargados, en la medida que, “como se trata de casos exceptuados y que, por tanto, pueden generar altos riesgos en términos de vulneración del habeas data, la intimidad e incluso la dignidad de los titulares de los datos, los agentes que realizan en estos casos el tratamiento tiene una responsabilidad reforzada que se traduce en una exigencia mayor en términos de cumplimiento de los principios del artículo 4 y los deberes del título VI”.27 Por ende, los datos sensibles deben ser objeto de mayores medidas de seguridad, confidencialidad, circulación restringida y uso limitado.

En este punto es importante resaltar que, el tratamiento de datos personales de menores está permitido siempre y cuando se acuda a una interpretación restringida, según la cual ese uso de la información se debe sujetar a la interpretación señalada por la Corte Constitucional cuando analizó la exequibilidad del artículo 7 de la Ley 1581 de 2012.

Aun cuando el texto original de la norma estableció en principio que quedaba "proscrito el Tratamiento de datos personales de niños, niñas y adolescentes. salvo aquellos datos que sean de naturaleza pública ", la Corte en sentencia C-748 de 2011 aclaró que dicha disposición "no debe entenderse en el sentido de que existe una prohibición absoluta del tratamiento de los datos de los menores de 18 años, exceptuando los de naturaleza pública, pues ello: daría lugar a la negación de otros derechos superiores de esta población ( )" 28.

Siguiendo esa línea de interpretación, esa Corporación concluyó que "( ) el tratamiento de los datos personales de menores de 18 años, al margen de su naturaleza, pueden ser objeto de tratamiento siempre y cuando el fin que se persiga con dicho tratamiento responda al interés superior de los niños: niñas y adolescentes y se asegure sin excepción alguna el respeto de sus derechos prevalentes" 29.

Tal interpretación fue recogida por el Decreto Único Reglamentario 1074 de 2015, el cual estableció que, para el tratamiento de datos personales de niños, niñas y adolescentes, excepto cuando se trate de datos de naturaleza pública, deberá cumplirse con los siguientes parámetros y requisitos: (i) que responda y respete el interés superior de los niños, niñas y adolescentes y (ií) que se asegure el respeto de sus derechos fundamentales.

Cumplidos los anteriores requisitos, el representante legal del niño, niña o adolescente otorgará la autorización previo ejercicio del menor de su derecho a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto. A su vez, la citada norma también estableció que '' Todo responsable y encargado involucrado en el tratamiento de los datos personales de niños, niñas y adolescentes, deberá velar por el uso adecuado de los mismos.

Para este fin deberán aplicarse los principios y obligaciones establecidos en la Ley 1581 de 2012 y el presente decreto". De manera concordante con lo expuesto, en la recolección de la autorización, tal y como lo expone el literal b) del artículo 12 de la Ley 1581 de 2012, “el Responsable del Tratamiento al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: ( ) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando versen sobre datos sensibles o sobre los datos de niños, niñas y adolescentes".

Al respecto, es importante mencionar que el literal b) del artículo 4 de la Ley 1581 de 2012, establece que “el Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular”. De esta forma, dicha norma, impuso como requisito del Tratamiento para los datos personales de los Titulares, la autorización previa, expresa e informada de éstos, pues no es suficiente que este autorice previa y expresamente el Tratamiento de sus datos, sino es necesario también que el Titular esté plenamente consciente de los efectos de haber otorgado dicha autorización, ya que tal y como lo manifestó la Corte Constitucional en la sentencia C-748 de 2011“(…) la autorización debe ser cualificada y debía contener Cfr Corte Constitucional Sentencia C-748 del 06 de octubre de 2011.

Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb 2.8.4. Considerando. Examen de la constitucionalidad de las excepciones a la prohibición de tratamiento de datos sensibles Cfr Corte Constitucional Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb. Considerando 2.9.3.4. El examen de constitucionalidad del artículo 7 Ibídem “Por la cual se impone una sanción y se imparte una orden” HOJA N 34, VERSIÓN ÚNICA una explicación de los efectos de la misma.

Además, de que se presente la autorización, el Responsable y Encargado del tratamiento debe actuar de buena fe”30. Ahora bien, sobre el particular, la sociedad WAY MEDICALS S.A.S con ocasión a la formulación de cargos, realizaron los respectivos ajustes indicando expresamente los datos personales recolectados, la finalidad de los mismos y el especial tratamiento de los datos sensibles y datos de menores de edad.

“(…) Frente al aviso de privacidad y la Política de Tratamiento de Datos Personales, ambas fueron modificadas con los ajustes anotados por la entidad, indicando expresamente los datos personales recolectados, la finalidad de los mismos y el especial tratamiento de los datos sensibles. Para los efectos se cita el apartado correspondiente de la Política de Tratamiento de datos:  AVISO DE PRIVACIDAD:  Finalidades en la Política de protección de datos personales de la sociedad WAY MEDICALS S.A.S Cfr. Corte Constitucional, sentencia C 748 del 2011 del seis (6) de octubre de dos mil once (2011).

M.P.: Jorge Ignacio Pretelt Chaljub. Considerando 2.6.5.2.3. Principio de libertad: “Por la cual se impone una sanción y se imparte una orden” HOJA N 35, VERSIÓN ÚNICA Así las cosas, es evidente que para la fecha de la preservación de la página web y Apps ‘WAY PACIENTES’, ‘WAY MEDICALS de la sociedad WAY MEDICALS S.A.S no informaban de manera previa y expresa las finalidades del Tratamiento para las cuáles serían sometidos los datos personales y el carácter facultativo de las respuestas a las preguntas relacionadas sobre datos sensibles.

Como lo establece el literal b) del artículo 12 de la Ley 1581 de 2012, el cual dispone “El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes;”, así como, con el artículo 2.2.2.25.2.3. del decreto 1074 del 2015 el cual consagra que, “ Informar al titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento.”.

Igualmente, para esta Dirección resulta imperativo resaltar que esta omisión no resulta ser menor o insignificante pues le impide al Titular conocer que tiene la facultad de autorizar o no el tratamiento de sus datos sensibles y de los datos de los niños, niñas y adolescentes. En consecuencia, este Despacho concluye que la sociedad WAY MEDICALS S.A.S incumplió con el deber de informar las finalidades del Tratamiento de los datos sensibles, así como de los datos de niños, niñas y adolescentes, así como el carácter facultativo de las respuestas a las preguntas relacionadas sobre datos sensibles y los derechos que le asisten a cada Titular de conformidad con la autorización otorgada.

Razón por la cual este Despacho impondrá la correspondiente sanción.

DÉCIMO TERCERO: CONCLUSIONES La sociedad WAY MEDICALS S.A.S, realizó tratamiento de datos personales en calidad de responsable mediante su página web y Apps ‘WAY PACIENTES’, ‘WAY MEDICALS, sin contar con autorización previa, expresa e informada de los Titulares, así como la autorización por parte de los representantes legales de menores de edad que accedieron al aplicativo.

La sociedad WAY MEDICALS S.A.S., no informó de manera previa y expresa acerca de las finalidades del Tratamiento para las cuáles serían sometidos sus datos personales, el carácter facultativo de las respuestas a las preguntas relacionadas sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes y los derechos que le asisten a cada Titular de conformidad con la autorización otorgada.

Pues únicamente con ocasión a la formulación de cargos, realizaron los respectivos ajustes indicando la finalidad de los mismos y el especial tratamiento de los datos sensibles y datos de menores de edad.

DÉCIMO CUARTO: ÓRDENES ADMINISTRATIVAS En este orden de ideas, de acuerdo con los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones:  Ordenar a la sociedad WAY MEDICALS S.A.S, que implemente mecanismos necesarios para solicitar previo al tratamiento de los datos personales, la autorización de tal manera que este se ajuste a la exigencia relacionada con el carácter expresa, respecto de los datos personales recolectados a través de su página web https://www.way.com.co/, así como a través de las Apps ‘WAY PACIENTES’ y ‘WAY MEDICALS’, de conformidad con lo establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

La investigada deberá acreditar el cumplimiento de lo ordenado mediante certificación firmada por el representante legal y remitir la documentación pertinente dentro del término de los TRES (3) meses siguientes a la ejecutoria de la presente decisión.

DÉCIMO QUINTO: Imposición y graduación de la sanción 15.1 Facultad sancionatoria “Por la cual se impone una sanción y se imparte una orden” HOJA N 36, VERSIÓN ÚNICA La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 23 31. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 2 32, 4 33 y 6 34 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo 35.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)” 36 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)”.

El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 37. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En efecto, el artículo 26 de la Ley 152 de 1994 dispone: “Con base en el Plan Nacional de Desarrollo aprobado, cada uno de los organismos públicos de todo orden a los que se aplica esta Ley preparará su correspondiente plan de acción. En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.

(negrita añadida) Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones. (negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000);

Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000).

Considerando 5.5.2. Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. HOJA N 37, “Por la cual se impone una sanción y se imparte una orden” VERSIÓN ÚNICA PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV.” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Tributario (UVT).

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional38 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”39 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 23 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros40. Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 39 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.

Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas.

“Por la cual se impone una sanción y se imparte una orden” HOJA N 38, VERSIÓN ÚNICA La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”41.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia42. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2343 de la misma.

Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Ley 1581 de 2012, artículo 24: “Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012.

Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “El artículo 23 del proyecto establece las sanciones que puede aplicar la Superintendencia de Industria y Comercio a los responsables del tratamiento y encargados del tratamiento, dentro de las cuales contempla las multas, la suspensión de las actividades relacionadas con el tratamiento, el cierre temporal de las operaciones relacionadas con el tratamiento y finalmente el cierre inmediato y definitivo de la operación: Esta norma constituye una disposición de carácter sancionatorio y por ello debe cumplir con todos los principios propios del debido proceso sancionador contemplados en la Constitución Política y reconocidos por la jurisprudencia de esta Corporación: En primer lugar, el principio de legalidad, de acuerdo con el cual: “las conductas sancionables no sólo deben estar descritas en norma previa sino que, además, deben tener un fundamento legal, por lo cual su definición no puede ser delegada en la autoridad administrativa”.

Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que s e hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción y se imparte una orden” HOJA N 39, VERSIÓN ÚNICA Este axioma tiene una interpretación menos rigurosa en el Derecho administrativo sancionador que en el Derecho penal, pues es posible una flexibilización razonable de la descripción típica: “Ha reiterado la Corte, que en el derecho administrativo sancionador "aunque la tipicidad hace parte del derecho al debido proceso en toda actuación administrativa, no es demandable en este campo el mismo grado de rigurosidad que se exige en materia penal”, por cuanto la naturaleza de las conductas reprimidas, los bienes jurídicos involucrados y la teleología de las facultades sancionadoras en estos casos, hacen posible también una flexibilización razonable de la descripción típica, en todo caso, siempre erradicando e impidiendo la arbitrariedad y el autoritarismo, que se haga prevalecer los principios de legalidad y de justicia social, así como los demás principios y fines del Estado, y que se asegure los derechos constitucionales, los intereses legítimos y los derechos de origen legal o convencional de todas las personas”.

Esta norma cumple con el principio de tipicidad, para lo cual debe interpretarse conjuntamente con el artículo 22 de la futura ley estatutaria, que establece la posibilidad de imponer sanciones cuando se hayan incumplido las disposiciones de esta ley. En este sentido, el supuesto de hecho que completa la norma jurídica sancionatoria está constituido por la infracción de las disposiciones de la futura ley estatutaria por la cual se dictan disposiciones generales para la protección de datos personales.

(…) 44 Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 15.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

En el caso sub-examine, con base en el literal a) del artículo 24 de la Ley 1581 de 2012, esta Dirección evidencia que los cargos comprobados en contra de la entidad WAY MEDICALS S.A.S., afectaron de forma real y concreta los intereses jurídicos consagrados en la Ley 1581 de 2012 y sus normas complementarias. También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Así como, la conducta de la investigada durante el trámite de la investigación administrativa. Como se ha expuesto la sociedad WAY MEDICALS S.A.S., infringió el siguiente deber que le asiste en calidad de Responsable del tratamiento de datos en virtud de la Ley Estatutaria:  El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

En consecuencia, se impondrá una sanción pecuniaria de UN MILLÓN DIECISIETE MIL OCHOCIENTOS OCHENTA Y OCHO PESOS M/CTE ($1.017.888) equivalente a VEINTICUATRO (24) Unidades de Valor Tributario (UVT)45  El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.

En consecuencia, se impondrá una sanción pecuniaria de UN MILLÓN DIECISIETE MIL OCHOCIENTOS OCHENTA Y OCHO PESOS M/CTE ($1.017.888) equivalente a VEINTICUATRO (24) Unidades de Valor Tributario (UVT)46 15.1.2 Otros criterios de graduación Corte Constitucional, Sentencia C-748 de 2011, M.P: Jorge Ignacio Pretelt Chaljub. FJ: 2.22.3. Mediante la Resolución 001264 del 18 de noviembre del 2022, la Dian fijó el valor de la unidad de valor tributario –UVT– aplicable para el año gravable 2023 en $42.412.

Mediante la Resolución 001264 del 18 de noviembre del 2022, la Dian fijó el valor de la unidad de valor tributario –UVT– aplicable para el año gravable 2023 en $42.412. “Por la cual se impone una sanción y se imparte una orden” HOJA N 40, VERSIÓN ÚNICA Por último, se aclara que frente a la sociedad investigada los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) no hubo beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones de esta Dirección. Tampoco se tendrá en cuenta el criterio de atenuación señalado en el literal f) por cuanto, la sociedad investigada no admitió la comisión de la infracción de los hechos materia te investigación.

DÉCIMO SEXTO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad WAY MEDICALS S.A.S. identificada con NIT. 901.228.442-0, con el correo electrónico de notificación judicial gerencia@way.com.co., quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 20-306679. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad WAY MEDICALS S.A.S., identificada con el Nit. 901.228.442-0, de DOS MILLONES TREINTA Y CINCO MIL SETECIENTOS SETENTA Y SEIS PESOS M/CTE ($2.035.776) equivalentes a CUARENTA Y OCHO (48) Unidades de Valor Tributario vigentes por la violación a lo dispuesto en: i. El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015. ii.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR a la sociedad WAY MEDICALS S.A.S, identificada con el Nit. 901.228.442-0, cumplir con las siguientes instrucciones, dentro del término de tres (3) meses siguientes a la ejecutoria de la presente decisión:  Ordenar a la sociedad WAY MEDICALS S.A.S, que implemente mecanismos necesarios para solicitar previo al tratamiento de los datos personales, la autorización de tal manera que este se ajuste a la exigencia relacionada con el carácter expresa, respecto de los datos personales recolectados a través de su página web https://www.way.com.co/, así como a través de las Apps ‘WAY PACIENTES’ y ‘WAY MEDICALS’, de conformidad con lo establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la “Por la cual se impone una sanción y se imparte una orden” HOJA N 41, VERSIÓN ÚNICA misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO PRIMERO: La sociedad WAY MEDICALS S.A.S, identificada con el Nit. 901.228.442-0, deberá acreditar el cumplimiento de lo ordenado mediante certificación firmada por el representante legal y la documentación pertinente dentro del término de los cinco (5) días hábiles siguientes a la ejecutoria de la presente decisión.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad WAY MEDICALS S.A.S, identificada con el Nit. 901.228.442-0, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad WAY MEDICALS S.A.S, identificada con el Nit. 901.228.442-0, a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO CUARTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Alterna: Avenida Carrera 7 No. 31ª - 36 Pisos 3 y 3A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 03 MAYO 2023 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR MUNOZ SALAZAR Fecha: 2023.05.03 13:08:32 MUNOZ -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JMBG Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Investigada: WAY MEDICALS S.A.S Identificación: Nit. 901.228.442-0 Representante Legal: JORGE MARIO BERRIO MARIN Identificación: C.C. No. 71671411 Dirección: CL 32C SUR No 47 - 65 Correo electrónico: gerencia@way.com.co Ciudad: ENVIGADO / ANTIOQUIA

Resolución sancionatoria N° 2654 de 2023

CONSIDERANDO

RESUELVE