REPUSLICA DE COLOMBIA RESOLUCION NUMERO 38021 - - 0E 2018 31 MAY 201R [ j RadicaciOn 16-430688 EL DIRECTOR DE INVESTIGACION DE PROTECCION DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artIculo 21 do la Ley 1581 de 2012, los numerates 5 y 9 del articulo 17 del Decreto 4886 de 2011 y
CONSIDERANDO
PRIMERO: Que mediante Oficio No. 2014099815-006-000, la Superintendencia Financiera de Colombia procedio a correr traslado por competencia de la comunicaciôn radicada ante dicha entidad bajo el No. 2014099815-000-000 y 2014099815-005-000, mediante los cuales la señora presentO reclamacion contra la sociedad VIA BOGOTA S.A.S. retacionada con la obtencion y utilizaciOn de sus datos personales.
SEGUNDO: Que junto con el Oficio No. 2014099815-006-000 se aportO: (i) copia de correo electrOnico por medio del cual Ia señora R remite Derecho de PeticiOn elevado al BANCO CORPBANCA fl s. 3 y 4), (U) copia del Derecho de Peticion de la señora dirigido al BANCO CORPBANCA (fls. Sal 12) y (iii) copia de la respuesta dada por BANCO CORPBANCA al Derecho de PeticiOn de la titular (fls. 13 y 14).
TERCERO: Que con base en los hechos anotados, a partir de los cuales se advierte la presunta violacion de las normas sobre protecciôn de datos personales, y en particular las disposiciones contenidas en (i) el literal b) del articulo 17, en concordancia con el literal c) del artIculo 4 y el artIculo 9 de la Ley 1581 de 2012, y (i) el literal c) del articulo 17, en concordancia con el literal b) del articulo 4 y el literal a) del articulo 12 de la Ley 1581 de 2012, asi como el inciso primero del articulo 2.2.2.25.2.2.2 del Decreto Unico Reglamentario 1074 de 2015, so iniciô la presente investigacion administrativa, mediante la expediciOn de la 15463 del 31 de marzo de 20172, por medio de la cual se formularon cargos a la parte investigada con el fin de que se pronunciara sobre los hechos materia do la queja y aportara las pruebas que pretendiera hacer valer dentro del referido trámite.
El anterior acto administrativo fue debidamente notificado al investigado confomie la certificacion de acuse de recibo certificado, que obra a folio 18 del expediente.
CUARTO: Que mediante escrito presentado el 10 de mayo de 2017, la investigada aportO escrito de Descargos aduciendo lo siguiente: 4.1 AfirmO la investigada que en virtud de su actividad comercial so sirviO siempre incluso desde antes de la entrada en vigencia de la Ley 1581 de 2012 y el Decreto 1377 de 2013, do la informacion preexistente y disponible al püblico en general, como 10 es el cas o de la aquella consignada en los directorios telefonicos püblicos. 1 Visto a folios 1 y2. 2 Visto a folios 56 al 62. 3 Vistoa folio 64 y65..
RESOLUCION NUMERQ3 802 br. HOJAN 2 "Por la oval se impone una sanc/On" { 4.2 AfurmO que hasta su entrada en liquidación la empresa contaba con su propia base de datos. la cual era manejada bajo las premisas de la Ley 1581 de 2012; en el mismo sentido, en el año 2013, la sociedad adoptO un manual de politicas para el tratamiento de datos personales. 4.3 Manifesto que la obligaciOn establecida por la Ley 1581 de 2012 respecto de contar con la autorizaciOn previa expresa e informada, no se hace necesaria cuando se trata de datos de naturaleza püblica, como considera que es el caso de la informaciOn consignada en directorios telefOnicos. 4.4 Adujo que en los casos en los cuales sea realizada tratamiento sobre informacion privada, se suscribia con el titular la autorizaciOn contentiva en el anexo No. 1 4 del manual de politicas para el tratamiento de datos personales. 4.5 AclarO que los Unicos datos con los que contaba de Ia señora eran nombres y apellidos completos y nümero telefOnico, los cuales considerO de naturaleza pUblica por encontrarse precisamente, en un directorio telefOnico antes de la entrada en vigencia de la Ley 1581 de 2012.
IndicO ademãs, que una vez conocido el reclamo por parte de la titular, procedieron a eliminar toda la informaciOn de la misma en sus bases de datos. 4.6 AfirmO la investigada que considera inoperante que deba solicitar autorizaciones retroactivas para el tratamiento de informaciOn que ya era pUblica o que haya side publicada sin que medie ninguna intervenciOn de la parte receptora. 4.7 Finalmente, solicitO la investigada se procediera con el archive de la presente investigaciOn y se desestimaran todos los cargos en su contra.
QUINTO: Que mediante Resolucian No 79004 del 30 de noviembre de 2017, este Despacho procediO a incorporar las pruebas obrantes en el expediente (fls. I al 73), declarar agotada la etapa probatoria dentro de la presente actuaciôn administrativa y corriO trasiado a la investigada para que en el termino de diez (10) dias hábiles, en caso de encontrarlo pertinente, presente los alegatos respectivos.
SEXTO: Que durante el plazo otorgado para presentar alegatos de conclusion de conformidad con Ia Resoluciôn No. 23813 del 29 de abril de 2016, la investigada guardO silencio.
SEPTIMO: Competencia de la Superintendencia de Industria y Comercio El articulo 19 de la Ley 1581de 2012, establece la funciOn de vigilancia que le corresponde a la se respeten los principios, derechos, garantlas y procedimientos de datos personales.
OCTAVO: Análisis del caso 8.1 Adecuación tipica La Code Constitucional mediante sentencia C-748 de 201 16, estableciO to siguiente en relacion con el principio de tipicidad en el derecho administrativo sancionatorio: "En relaciOn con el principio de tipicidad, encuentra /8 Sala qua pese a la generalidad de Ia fey, as determinable la infracciOn administrative an /8 medida an qua se sehala qua Ia constituye el incumplimiento de las disposiciones de Ia ley, esto es, an términos especificos, ía regulaciOn qua hacen los articulos 17 y 18 del proyecto de fey, an Jos qua se señalan los deberes de los responsab/es y encargados del tratamiento del dato'l Atendiendo a los parámetros senalados por Ia citada jurisprudencia, para el caso especifico se tiene que: Vista a folio 46.
Vista a folio 76 y 77. 6 Carte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaijub, sets (6) de octubre de dos mil once (2011). RESOLUCION NCIMERp3 tj U - bg 7AJw Par /a cuel se impone una saric/On" HOJA N 3 VERSION PCJBLICA ] (I) El articulo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares.
El incumplimiento de tales requisitos dara lugar a Ia aplicacion de las sanciones definidas especificamente en el articulo 23 de la Ley 1581 de 2012(ii) De conformidad con los hechos alegados par el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en ía posible vulneración a (i) el literal b) del articulo 17, en concordancia con el literal c) del articulo 4 y el artIculo 9 de Pa Ley 1581 de 2012, asi coma el inciso primero del articulo 2.2.225.2.2.2 del Decreto Unico Reglamentario 1074 de 2015; y (I) el literal c) del articulo 17, en concordancia con el literal b) del articulo 4 y el literal a) del articulo 12 de la Ley 1581 de 2012, asi como el inciso primero del articulo 2.2.2.25.2.2.2 del Decreto Cinico Reglamentario 1074 de 2015.
En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada par la investigada dará lugar o no a la imposiciOn de una sanciOn para 10 cual se deberãn tener en cuenta los hechos narrados por el denunciante y el conjunto de pruebas allegadas al expediente, 8.2 Valoracion probatoria y conclusiones 8.2.1 Respecto al deber de contar con la autorización para el tratamiento de los datos personales de los titulares y contar con las politicas de tratamiento tie information.
El articulo 15 de la Constitucion Politica establece que las personas, en desarrollo de sus derechos a ía autodeterminaciOn informatica y el principio dE libertad, son quienes de forma expresa deben autorizar que la informaciOn que sabre ellos sea recaudada pueda ser incluida en una base datos. Al respecto la Corte Constitucional ha senalado lo siguiente: Principio de libertad: El tratamiento solo puede ejercerse con el consentimiento, previo, expreso a informado del titular.
Los datos persona/es no podran ser obten/dos 0 divulgados sin prey/a autorizaciOn, o an ausencia de mandato legal a judicial qua re/eve a! consentimiento. Este principio, pilar fundamental de la administration de datos, pem'iite al ciudadano elegir voluntariamente 51 su informaciOn personal puede ser utilizada o no an bases de datos. Tamb,en impide qua la informaciOn ya registrada de un usuario, la cuel ha sido obtenida con su consentimiento, pueda pasar a otro organismo qua Ia utilice con fines distintos para los qua fue autorizado inicialmente.
El literal c) del Proyecto de Ley Estatutaria no solo desarrolla el objeto fundamental de Ia protecciOn del habeas data, sino qua Se encuentra an intima relaciOn con otros derechos fundamentales como el de intimidad y el libre desarrollo de Is personalidad. En efecto, el ser humano goza de la garantia de determiner qué datos quiere Sean conocidos y tiene el derecho a determinar lo que podria denominarse su 'imagen inform6tica"7.
Los principios rectores, además, deben confluir en cuanto a su aplicacion con los deberes y derechos contenidos en la Ley 1581 de 2012, especificamente en el presente caso, es relevante mencionar los deberes que tienen los Responsables de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data. Al respecto la Carte Constitucional en la sentencia C-748 de 2011, mediante la cual realiza el analisis constitucional de la Ley estatutaria 1581 de 2012, manifestO: "De conform/dad con la jurisprudencia de esta CorporaciOn, dentro de las prerrogativas contenidos minimos- qua se desprenden de este derecho encontramos por Jo menos las siguientes: (I) a/ derecho de las personas a conocer —acceso- la informaciOn qua sobre el/as están recogidas an bases de datos, lo qua con/lava el acceso a las bases de datos donde se encuentra dicha informaciOn;
(ii) el derecho a incluir nuevos datos con el fin cia se pro yea una imagen complete del titular; () el derecho a actualizar ía informaciOn, as dec/c a poner al dIa el contenido de dichas bases de datos; (iv) el derecho a qua Ia informaciOn contenida an Ver en: Code Constitucional Sentencia C-748 del 6 de octubre de 2011 MR. Jorge Ignacio Pretelt Chaijub..
RESOLUCION NUMERO 3802A - - HOJA N 4 "Par /a cual se impone una sanciOn" [ bases de datos sea rectificada a corregida, de tal manera qua concuerde con la realidad; (v) el derecho a excluir informacion de una base do daThs, bien por quo so esta haciendo un usa indebido de ella, a par simple voluntad del titular —salvo las excepciones pro vistas an Ia normative." (subrayado fuera de texto).
De esta manera, debe precisar este Despacho que, tal coma lo manifiesta la Carte Constitucional, el derecho de habeas data otorga la facultad al Titular de los datos personales de exigir el acceso, corrección, adicion, actualizacion y eliminacion de su informadon, par lo que resulta apenas clara, que los Responsables y Encargados de la informacian deben implementar mecanismos que le permita al Titular acceder en cualquier momenta a su informaciOn.
Igualmente, es importante indicar que en virtud del principio de libertad, citado lEneas atrás, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorizaciOn previa, expresa e infarmada del Titular, consagrada en el articulo 9 de la Ley 1581 de 20128 y, además, el deber de solicitar y conservar copia de la autorizaciOn de Tratamiento otorgada par el mismo, dispuesto en el literal b) del articulo 17 del mismo compendia normativo9.
De Ia anterior, vale la pena precisar que la jurisprudencia constitucional, en sentencia mencionada lineas atrâs, se reflere a las caracteristicas de los datos personales al analizar la constitucionalidad del proyecto de ley de protecciOn de datos personales, a saber: "i) Estar referidos a aspectos exciusivos y propios de una persona natural; ii) Permitir identificar a la persona, en mayor 0 menor medida, grades a ía visiOn de conjunto qua se logre con of mismo y con otro datos; iii) So propiedad reside exclusivamente en el titular del mismo, situaciOn quo no se a/tera por so obtenciOn por patio de un tercero de manera /icita o i/icita; iv) su tratamiento esta sometido a req/as especiales (principios) an to re/ativo a so captaciOn, administraciOn y divulgaciOn", caracteristicas que se adicionan al concepto de dato personal establecido en la Ley, consistente en un derecho de propiedad sabre éste, que se radical en cabeza del titular.
Sumado a to anterior, el mismo Responsable debe conservar una copia de la autorizacion otorgada por el Titular de la informacion de forma tal que, en el momenta en que sea solicitada para consulta, cuente con Ia misma, Ahora bien, para el caso en concreto se tiene que la sociedad VIA BOGOTA S.A.S., aftrmo en su escrito de descargos, que si bien la Ley 1581 de 2012 y el Decreto 11377 de 2013 establece la obligacion de los responsables de la infarmacion, de obtener la autorizaciôn previa, expresa e informada para recolectar y tratar los datos persanales, sin embargo, la informacion tratada par la sociedad investigada es de naturaleza püblica, por estar contenida en los directorios telefOnicos, par Jo tanto no es requisito la autorizacion previa y expresa.
En este sentido, este Despacho encuentra necesaria precisar la deflnicion de los conceptos de los datos persanales, cuando se consideran de naturaleza pUblica, privada a sensible. "Articulo 22.2.25.1.3. Definiciones. Ademas de las definiciones establecidas an el articu/o 3 de Ia Ley 1581 de 2012, para los efectos de/presente capItulo se entendera por ( ) 2.
Data pOblico. Es eI data qua no sea semiprivado, privada a sensible. Son cansiderados datos pOblicos, entre otros, los datos relativos at estado civil de las personas, a su pro fesiOn u of/cia y a su calidad de comerciante a de seividor pOb/ico. Par su natura/eza, las datos pUb/icas pueden estar contenidas, entre atros, an registros pUblicos, documentas pUb/icas, ° Ley 1581 de 2012. 'Articulo 9".
AutorizaciOn del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual debera ser obtenida por cualquier media que pueda ser objeto de consulta posterior". Ley 1581 de 2012. 'Articulo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en Ia presente ley y en otras que rijan su actividad: ( ) b) Solicitar y conservar, en las condiciones previstas en la presente Icy, copia de la respective autorización otorgada pore! Titular;
RESOLUCION NUMERO3 - -S 02 11DE "Por la cuel se impone una sanciOn" HOJAN 5 j gacetas y boletiries of/cia/es y sentencias judicia/es debidamente ejecutoriadas qua no estén sometidas a reserve. 1••)•" Como bien se puede apreciar en el anterior precepto, cuando la ley se refiere a datos de naturaleza pUblica, como aquellos que se encuentran disponibles en registros pUblicos, documentos püblicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva, lo que permite evidenciar que si bien los nUmeros telefonicos de los titulares pueden accederse a traves de los Directorios telefOnicos, esto no quiere decir que los mismos son datos de naturaleza pUblica, en este sentido es claro que si el Responsable de Ia informaciOn, requiere el tratamiento de los datos personales semiprivados o privados de los titulares, debe adelantar los trámites necesarios para obtener la autorización de los mismos o a través de conductas inequivocas que permitan determinar que la titular ha aceptado el tratamiento de sus datos.
Lo anterior quiere decir, que la sociedad investigada al afirmar que ha venido construyendo una base de datos, a partir de la informacion obtenida en los directorios telefOnicos, los cuales pueden contener informaciOn de naturaleza pUblica, asociada a la profesión y oficio de la persona o datos semiprivados, si son nUmeros de lineas telefônicas privadas, el mismo, tiene la obligaciOn de obtener la autorizaciOn para construir dicha base de datos, no obstante, no existe prueba en el expediente que demuestre que el investigado obtenia tales autorizaciones.
Al respecto, es necesario traer a colacion lo definido por el literal g) del articulo 3 de la Ley 1266 de 200810, que por analogia se aplica en el presente caso, respecto de la definicion del dato semiprivado, el cual establece: g,) Dato semiprivado. Es semiprivado el dato qua no tiene naturaleza intima, reseniada, ni pUb/ice y cuyo conocimiento o divulgacion puede interesar no solo a su titular s/no a cierto sector o grupo de personas o a la sociedad an general, como el data financiero y crediticio de actividad comercial o de servicios a qua se refiere el Titulo IV de ía presente ley.
En conclusion, se tiene que los datos personales que fueron tratados por la investigada, respecto del nUmero telefónico, que por definician constituye un dato semiprivado, requeria la autorizacion previa del titular para su tratamiento, en virtud de lo contemplado en el artIculo 9 de la Ley 1581 de 2012, no obstante, este Despacho debe verificar si la investigada implementO las medidas necesarias a fin de obtener las autorizaciones para el tratamiento de los datos personales.
Por su parte la sociedad investigada, manifesto en su escrito de descargos que los datos de la titular, los cuales se accedieron a través de directorios telefonicos, fueron recolectados antes de la entrada en vigencia de la Ley 1581 de 2012 y que una vez se conociO de la reclamaciOn por pafle de Ia senora, se procediO con la eliminaciOn de la informacion.
En este sentido, es necesario precisar que lo que se reprocha en la presente investigaciOn, es que de acuerdo a lo afirmado por la investigada, no solamente recolecto la informaciOn de la reclamante, sino de otros titulares sobre los cuales trataba su informaciOn y sobre los que construyO una base de datos, con informacion de naturaleza privada frente la cual requeria contar con la autorizacian previa y expresa.
Por lo anterior, a partir de la vigencia de la Ley 1581 de 2012, la cual le impone a los responsables de la informacion, Ia obligaciOn de contar con la autorizacion previa, expresa e informada de los titulares y a pesar que la investigada demostrO contar con una politica para el tratamiento de datos personales, ésta no demostrO que adoptO las medidas establecidas en la ley 10 Ley 1266 de 2006 'Par ía cual so dictan las dispasiciones genera/es del hébeas data y se regale el manejo do (a in!ormaciOn contenida an bases de datos personales, on especial (a linanciera, crediticia, comercial, de servicios y ía proveniente do terceros paises y se dictan otras disposiciones' RESOLUCION NUMER& HOJAN 6 L DE ' "Pot /a cuel se impone una sancion r pare obtener las autorizaciones de los titulares sabre los cuales construyO su base de datos, par lo tanto se concluye que la investigada, reiteradamente he venido tratando datos personales de los titulares sin su autorizaciOn.
Sin embargo, encuentra esta Direccion que a pesar que la investigada, construyo una base de datos, con anterioridad a la vigencia de la Ley 1581 de 2012, VIA BOGOTA S.A.S. en virtud de garantizar el derecho de habeas data de los titulares, debia agotar el procedimiento contemplado en el articulo 2.2.2.25.2.7 del Decreto Unico Reglamentaria 1074 de 2015, el cual compilO el Decreto 1377 de 2013, para obtener las autorizaciones de los titulares, en los casos de quo la informaciOn se hubiera recolectado antes del 27 de junio de 2013, para Ia cual, dicho precepto establece un procedimiento que deben seguir los responsables del tratamiento, a saber: "ArtIculo 2.2.2.23.2.7.
Datos recolectados antes del 27 de junlo de 2013. Para los datos recolectados antes del 27 de jun10 do 2013, se tendra en cuenta /0 siguiente: 1. Los responsablos deberan so/loiter Ia autorizacion do los titulares pare continuer con el Tratamiento do sus datos personales del modo previsto en el articulo 2.2.2.25.2.4., a traves de mecanismos eficientes do comunicaciOn, asi como poner en conocimiento do estos sus politicos de Tratamiento do la información ye! modo do ejercer sus derochos. 2.
Para efectos do Jo dispuosto en 0/ numeral 1, so consideraran como mecanismos eficientes do comunicaciOn aquellos que el rosponsable o oncargado usan en el curso ordinario do su intoracciOn con los Titulares registrados en sus bases do datos. 3. Si los mocanismos citados on el numeral I imponen al rosponsable una carga desproporcionada 0 es imposiblo solicitor a cede Titular ol consentimiento pare 01 Tratamiento de sus datos persona/es y poner on su conocimionto [as politicos do Tratamiento de la ir,formacion y el modo do ojercer sus derochos, el Responsable podrá implemontar mecanismos alternos pare los efoctos dispuestos on ol numeral 1, tales como diarios de amp/ia circulacion nacional, diarios locales o revistas, paginas de Internet dol rosponsable, cartelos informativos, entro otros, e informer al respecto a la Suporintendencia do Industria y Comercio, dentro do los cinco (5) dies siguiontes a su implomentaciOn.
Con elfin do ostablecor cuando oxiste una cargo dosproporcionada pare ol rosponsablo so tendra on cuonta su capacidad econOmica, el nOmero de titulares, Ia antigUo dad de los datos, el ambito territorial y sectorial do operaciOn del rosponsable y el mocanismo alterno do comunicación a utilizer, do manera quo 01 hocho do solicitor el consontimiento a coda uno do los Titulares irnpliquo un costo excosivo y que ello compromota la estabilidad financiora do! responsablo, la realize cion do actividades propias de su negocio o la viabilidad do su presupuesto programado.
A su vez, so considerara quo oxisto una imposibilidad do so/loiter a cede titular 01 consontimionto pare el Tratamionto do sus datos porsonalos y ponor en su conocimiento las politicos do Tratamiento do la informaciOn y el modo do ojercer sus dorechos cuando el rosponsablo no cuente con datos do contacto de los titulares, ya sea porque los mismos no obran en sus archivos, rogistros o bases do datos, o bion, porque estos so oncuontran desactualizados, incorrectos, incompletos o inexactos. 4.
Si en el tOrmino de trointa (30) dies hablles, contado a partir do la implementaciOn de cualesquiera de los mecanismos de comunicaciOn doscritos an los numerales 1, 2 y 3, ol Titular no he contactado a! Rosponsable o Encargado pare solicitar la suprosiOn de sus datos personales on los term inos del presente cap/tub, el responsablo y oncargado podrén continuer roalizando el Tratamiento do los datos contenidos an sus bases do datos pare Ia finalidad o finalidados indicadas en la pol!tica do Tratamionto do la informaciOn, puesta on conocimiento de los titularos median to tales mecanismos, sin porjuicio de la facultad que tiene ol Titular do ejercer en cualquior momento su dorocho y pedir la oliminaciOn del data 5.
En todo ceso ol Responsable y el Encargado doben cumplir con todas las disposiciones ap!icablos do Ia Ley 1581 do 2012 y el prosento capitulo. Asi mismo, sera necosario qua Ia finalidad o finalidades do! Tratamiento vigentos soon igualos, analogas o compatibles con aquolla o aquellas pare las cue/es so recabaron los datos personalos inicialmente.
RESOLUCIÔN NCJMERO Par /a cuel se impone una sanciOn" DE -' HOJAN 7 LVERSION PLJBLICA j Paragrafo. La implementaciOn de los mecanismos alternos de comunicaciOn previstos en esta norma deberá realizarse a mas tardar dentro del mes siguiente de Ia publicaciOn del Decreto 1377 de 2013." Por to anterior se tiene que la sociedad investiaada. no demostro haber adoDtado un procedimiento para obtener las autori:aciones de los titulares, sabre los cuales construyO su sabe de datos, pues Si bien aportó on SUS descargos, la politica de tratamiento de datos personales, as[ coma el modelo de au DrizaciOn manejado por la investigada, para casos en las cuales se manejaba informaciOn que r D era pUblica, tambi(§n resultaba estrictamente necesario que demostrara haber agotado el rei uisito de la comunicacion alternativa, a fin de dare a conocer a los titulares sabre la existen ia de la politica para el tratamiento de la informacion, asi como ]as finalidades para las cuales, la investigada ha venido recolectando la informacion.
Con base en Ia ex,puesto, tal como quedO demostrado en el expediente, esta Direccion encuentra que la sociedad VIA BOGOTA S.A.S, vulnero la norma contenida en el literal b) del articulo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del articulo 4 yet articulo 9 de la misma norma, asi coma el inciso primero del articulo 2.2.2.25.2.2 del Decreto Unico Reglamentario 1074 de 2015.
Razon par la cual sancionará par el presente cargo. 8.2.2 Del deber de Informar debidamente al Titular sobre la finalidad de la recoleccion y los derechos que le asisten por virtud de la autorización otorgada. El titulo II de la Ley 1581 de 2012 contiene los principios rectores del Regimen General de Proteccion de Datos Personales, los cuales deben ser interpretados y aplicados armOnicamente al momenta de realizar una investigaciOn por infracciones al mencionado regimen.
Especificamente el literal c) del articulo 4 se encuentra relacionado con el caso en concreto, que expresamente senala: "Articulo 40• Principios Pan el Tratamiento de Datos Personales. En el desarrollo, interpretac/On y aplicaciOn de la presente ley, se aplicaran, de man era armOnica e integral, los siguientes principios: b) Pnncipio de final/dad: El Tratamiento debe obedecer a una final/dad legitima cia acuerdo con Ia ConstituciOn y ía Ley, la cual debe ser informada a! Titular;" Los principios rectores, ademãs, deben confluir en cuanto a su aplicacion con los deberes y derechos contenidos en la Ley 1581 de 2012, especificamente en el presente caso, es relevante mencionar los deberes que tienen los Responsables de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data.
Al respecto, debe precisar este Despacho que, tal coma Jo manifiesta la Code Constitucional, que el derecho de habeas data otorga la facultad al Titular de los datos personales de exigir el acceso, correcciôn, adicion, actualizacion y eliminacion de su informacion, por Jo que resulta apenas claro, que los Responsables y Encargados de la informacion deben implementar mecanismos le permita al Titular acceder en cualquier momenta a su informaciOn.
Frente a la posibilidad que tienen los Titulares de conocer la finalidad para el tratamiento de su informacion, el literal a) del articulo 12 de la Ley 1581 de 2012 establece lo siguiente: 'ArtIculo 12. Deber de informar at Titular. El Responsable del Tratamiento, at momento de solicitar at Titular la autorización, debera informarle de manera clara y expresa to siguiente: a)El Tratamiento al cuel serán sometidos sus datos persona/es y la finalidad del misrno; b) El caracter facultativo de Ia respuesta a las preguntas que le sean hechas, cuando estas versen sabre datos sensibles a sabre los datos de las nines, niños y adolescentes; c)Los derechos que le asisten coma Titular;
RESOLUCION N(JMERO3 802 tr "Por ía cual se impone una sanc/On" J HOJAN 8 [VERSION PUBLICA ] d) La identificac/On, direcciOn f/s/ca o electron/ca y telOfono del Responsable del Tratamiento. Al respecto, es oportuno senalar que el citado articulo 12 establece que los Titulares tienen derecho a conocer la finalidad para la cual se recolecta su informacion personal.
Adicionalmente, el literal c) del articulo 17 de la Ley 1581 establece a los responsables del tratamiento el deber de informar debidamente al titular sobre la finalidad de la recolecciOn y los derechos que le asisten, asi mismo, el articulo 12 do la misma Ley, senala que el responsable debe informar clara y expresamente al titular: (i) el tratamiento al cual seran sometidos sus datos personales y la finalidad del mismo;
(H) El caracter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; (iii) Los derechos que le asisten como Titular; (iv) La identificacion, direcciOn flsica 0 electronica y telefono del Responsable del Tratamiento. En virtud de lo expuesto, es importante aclarar quo el consentimiento es un elemento esencial en el manejo de la administracion de los datos, y que el mismo debe ser calificado, por cuanto debe ser previo, expreso e informado, as[ pues, el titular antes de expresar su consentimiento debe conocer las finalidades para las cuales seran tratados sus datos, con el fin de autorizar su conservación, uso y circulaciOn segUn lo informado pore? responsable del tratamiento, y as[ poder hacer uso de la libertad frente al poder informatico y la autodeterminaciOn informatica.
En este mismo sentido, la Code Constitucional senalo lo siguiente: 'La libertad an ía administraciOn de datos personales sign/f/ca qua a/ sujeto concern/do mantenga, an todo momento, las facultades de conocimiento, actualize c/On y rectif/caciOn de la information personal contenida an las bases de datos. Si ello es asi, as evidente qua Ia libertad del md/v/duo ante el poder informatico se concrete, entre otros aspectos, an ía pos/b/I/dad de controlar Ia /nformac/On personal qua sobre s/ repose an las bases de datos, competencia qua esta suped/tada a qua exprese su consentim/ento pare la incorporaciOn de la /nformaciOn an el banco de datos o arch ivo correspondiente.
Este ejercicio de la libertad an los procesos informaticos, a juicio de la Corte, se concreta an la exigencia de autorizaciôn previa, expresa y suficiente POT parte del titular de la information, requisito predicable de los actos de administration de datos personales de contenido comercial y crediticio. La elimination del consentimiento del titular, adicionalmente, genera una desnaturalización del dato financiero, comercial y crediticio, qua viola el derecho fundamental al habeas data, en tanto restringe injustificadamente la autodeterminaciOn del sujeto respecto de su informacion personal.
Para la Constitution, la libertad del sujeto concernido significa qua la administration de datos personales no pueda realizarse a sus espaldas, sino qua debe tratarse do un proceso transparente, an qua an todo momento y lugar pueda conocer an dOnde estâ su information personal, para qué propOsitos ha sido recolectada y qué mecanismos tiene a su disposition pare su actualizatiOn y rectification.
La elimination de la autorización previa, expresa y suficiente pare la incorporatiOn del dato en Jos archivos y bancos do datos administrados por los operadores permite, en Ultimas, la ejecucion de actos ocultos tie acopio, tratamiento y divulgacion de information, operaciones del todo incompatibles ton los derechos y garantias propios del habeas data.
(Resaltado fuera del texto)"" Ahora bien, al analizar el caso en concreto, la premisa factica es que el investigado recolectO la informaciOn del titular, con anterioridad a la vigencia de la Ley 1581 de 2012, no obstante adopto una politica para el tratamiento de los datos personales, en el que claramente se puede evidenciar las finalidades para la cuales se trataran los datos personales de los titulares, asi como los canales de informacion, por medio de los cuales, los mismos pueden ejercer sus derechos.
Asi las cosas, analizar el documento presentado por la investigada, a folio 46 se encuentra que el mismo, contiene las finalidades para las cuales VIA COLOMBIA S.A.S., va a tratar los datos personales de los titulares de Ia informacion, el cual sera netamente comercial y administrativo; sin embargo la sociedad investigada, no dio a conocer a los titulares de la informacion, sobre las finalidades para Los cuales se iban a tratar sus datos, asi como el derecho que le asiste a los " Ver en: Corte Constitucional Sentencia c-748 del 6 de octubre de 2011 MP.
Jorge Ignacio Pretelt Chaijub. RESOL(JCION NCIMER&* IJLIt4 HOJA N 9 DIE= "Por la cue!.se impone line sanciôn" [ mismos, para actualizar, rectificar a suprimir su infarmaciOn, de acuerdo a Ia establecido en el artIculo 2.2.2.25.2.7 del Decreto Unica Reglamentario 1074 de 2015. En este sentido, es clara que coma bien Ia afirma el investigado, la base de datos se construyO a partir de un directaria telefônico pOblico y con anterioridad a la Ley 1581 de 2012, pero coma ya se ha analizado anteriormente, el responsable de la informaciOn, no solo trataba datos de naturaleza publica, sino tambien datos de naturaleza semiprivada coma lo es el nümero telefOnico de los titulares, sobre el cual requeria autarizaciOn previa, expresa e informada para su tratamiento; además debiO adelantar el trâmite descrito en el articulo 2.2.2.25.2.7, del Decreta Unico Reglamentaria 1074 de 2015 con el fin de poder continuar tratando la informacion de los titulares, cuanda está, se haya obtenida con anterioridad a la vigencia de la Ley 1581 de 2012.
Cabe resaltar que la aplicacion del mencionado artIculo, es con el propôsita de dar a conocer a los titulares a través de mecanismos eficientes de comunicaciOn, de las paliticas de Tratamiento de la informaciOn del Responsable, documento que debe contener las finalidades para el tratamiento de la informacion y el modo de que ellos puedan ejercer sus derechos.
Par lo tanta, este Despacho encuentra probado que la sociedad investigada no cumplió con el deber contemplado en el literal c) del articulo 17 de la Ley 1581 de 2012, en cancordancia con el literal b) del articulo 4 y el literal a) del articulo 12 de la misma disposiciOn, asi coma el incisa primera del artIculo 2.2.2.25.2.2.2 del Decreto Unica Reglamentarlo 1074 de 2015, razOn par la cual se sancionará par este cargo.
NOVENO: lmposicion y graduacion de la sancion 9.1 Facultad sancionatoria La Ley 1581 de 2012 le confirio a la Superintendencia de Industria y Comercio una potestad sancionatoria que se cancreta en el articulo 23 de la Ley 1581 de 2012, establecienda algunos criterios de graduaciOn que se encuentran señaladas en el artIcula 24 ibidem, par lo tanto, atendiendo dichos criterias, este Despacho entrarã a determinar cuales debera tener en cuenta en el caso concreto, asi: 9.1.1 ImposiciOn y graduaciOn de la sanciOn Respecto a las sanciones que se imponen por la infracciOn a las deberes cantenidos en la Ley 1581 de 2012, debe precisarse que canforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administratiVa debe ejercer su potestad sancianadara en forma razonable y proporcianada, de mado que [ogre el equilibria entre la sanciôn y la finalidad de la norma que fuera trasgredida, as! coma la proporcionalidad entre el hecha canstitutiVo de la infracciOn y la sanciôn aplicada.
Asi [as casas, con el objeta de realizar una carrecta adecuaciOn entre los hechas y la sanciOn aplicable, esta DirecciOn debe analizar en primera instancia la dimension del dana a peligro a los intereses juridicas tuteladas, asi camo el pasible beneficia económica, de suede que luego se analicen las demAs circunstancias abjeta de graduacian de la sanciOn, camo lo son, la capacidad econOmica del investigada, la reincidencia en la camisiOn de la infracciOn, la calaboracion del investigado en el esclarecimiento de los hechas objeto de inVestigaci6n12.
Tamblen se tendra en cuenta para la dasificaciOn de la sancion, el tamana de Ia empresa, sus ingresas aperacianales, patrimania, y en general, su infarmaciOn financiera, de tal manera que la Ley 1581 de 2012. ARTiCULO 24. CR!TERIOS P/WA GRADUAR LAS SANCIONES. Las sanciones por in!racciones a las quo so teheran al articulo anterior, so graduaràn atendiendo los siguientos ciiteiios, an cuanto resulteri aplicablos: a) La dimension del daño o pellgro a los intereses juridicos tutelados pot la presente Joy; b) El bone ucla econOmico obtenido pot at infractor a tercoros, an virtud do la comisiOn de (a infraction; c) La reincidencia en ía comisiOn de ía infractiOn; d) La resistencia, negative u obstructiOn a ía actiOn inveshigadora a do vigilancia de ía Superintendencia do Industria y Comorcio; a) La ronuencia a dosacato a cumpOr las Ordenes impadidas pot ía Superintendencia de industria y Comercio; 9 El reconocimiento o aceptaciOn expresos quo haga el investigado sobre la comisiOn de ía infraction antes do la imposiciOn do ía sanc (On a quo hubiere lugar.
RESOLUCION NUMERO HOJA N 10 DE "Por !a cual se impone una sanciOn" [ J sanciOn resulte disuasoria mas no confiscatoria Finalmente, se tendrá en cuenta la conducta investigada durante el tramite de la investigación administrativa. En el caso sub-examine, quedO demostrado que la investigada, reconociO que construyO una base de datos, a partir de la informaciOn contenida en los directorios telefOnicos, que a pesar de contener informacion de naturaleza pUblica, tambien contienen informacion de naturaleza privada, razOn por la cual, el deber de contar con la autorizaciOn previa y expresa de los titulares, le correspondia cumplirlo a la investigada, en virtud del artIculo 9 de la Ley 1581 de 2012; sin embargo y como lo manifiesta, que dicha base de datos se construyO con anterioridad a la expediciOn de dicha ley, la sociedad investigada debio haber realizado el procedimiento para obtener las autorizaciones de los titulares, en virtud de los senalado en el articulo 2.2.2.25.2.7 del Decreto Unico Reglamentario 1074 de 2015, dado que su base de datos de clientes y prospectos comerciales contienen informacion de naturaleza privada.
Lo anterior conlleva a esta Direccion a concluir que con Ia conducta mencionada, vulnero el derecho fundamental de habeas data del titular, el cual se encuentra expresamente protegido por la Constitucion Politica y enmarcado dentro de los principios de la administracion de datos, establecidos en el articulo 4 de la Ley 1581 de 2012, que para el caso particular, VIA BOGOTA S.A.S., en calidad de Responsable de informacion, debe enmarcar sus actuaciones de conforrnidad con el principio de transparencia, previsto en la mentada ley.
En consecuencia, no hay lugar a dudas para esta DirecciOn acerca de la dimension del dano que efectivamente se materializo en el caso en cuestiOn, por cuanto VIA BOGOTA al continuar enviando informacion al correo electrOnico del titular, a pesar de que este previamente habia solicitado la supresiOn de su informaciOn, es evidente que los intereses juridicos tutelados por la Ley Estatutaria de Habeas Data fueron vulnerados.
De acuerdo con lo anterior, en el presente caso, procede la imposiciOn de una multa de carácter pecuniario a la investigada, pero dado que demuestra su situaciOn de insolvencia, este Despacho determina que se impondrá como sanciOn la suspension de actividades, hasta por el termino de seis (6) meses, hasta tanto obtenga las autorizaciones para el tratamiento de datos de sus clientes y prospectos de clientes si va a continuar con el tratamiento de datos Como quiera que es claro que Ia sociedad investigada vulnerO el derecho de habeas data del titular, respecto a la violaciOn al debar contemplado en (i) el literal b) del articulo 17, en concordancia con el literal c) del artIculo 4 y el articulo 9 de la Ley 1581 de 2012, y (i) el literal c) del articulo 17, en concordancia con el literal b) del articulo 4 y el literal a) del articulo 12 de la Ley 1581 de 2012, asi como el inciso primero del artfculo 2.2.2.25.2.2.2 del Decreto Unico Reglamentario 1074 de 2015, esta Superintendencia ordenará a VIA BOGOTA S.A.S., la suspension de actividades hasta por el término de seis (6) meses hasta tanto obtenga las autorizaciones para el tratamiento de datos de sus clientes y prospectos de clientes, si va a continuar con el tratamiento de datos. 9.1.2 Ott-os criterios de graduaciOn Por Ultimo se aclara que los criterios de graduaciOn de la sanción senalados en los Iiterales b), c), d), e) y f) del articulo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigacion realizada no se encontrO que la investigada hubiera (i) obtenido beneficio econômico alguno P01 la comisiOn de la infraccion, (ii) no hubo reincidencia en la comision de la infracciOn;
(iii) no hubo resistencia u obstrucciOn a la accián investigativa de la Superintendencia, (iii) no reconociO la comisiOn de la infracciOn; y (iv) no hubo renuencia 0 desacato a cumplir las Ordenes e instrucciones del Despacho. En mérito de lo expuesto este Despacho,
RESUELVE
ARTICULO PRIMERO: Ordenar a VIA BOGOTA S.A.S., la suspension de las actividades relacionadas con el tratamiento de datos por el término de seis (6) meses, o demuestre que - RESOLUCION NUMERO UPor ía CL/al se impone L/fl8 sanc/On" HOJAN11 VERSION PCJBLICA obtuvo las autorizaciones para el tratamiento de datos de sus clientes y prospectos de clientes, si va a continuar con el tratamiento de datos, por las razones expuestas en la parte motiva del presente acto.
ARTICULO SEGUNDO: Notificar personalmente el contenido de la presente resoluciOn a la sociedad VIA BOGOTA S.A.S. identificada con Nit. 900.373.115-3, entregandole copia de la misma e informandole que contra ella procede el recurso de reposiciOn ante el Director de InvestigaciOn de Proteccion de Datos Personales, y en subsidio el de apelaciOn ante el Superintendente Delegado para la ProtecciOn de Datos Personales, dentro de los diez (10) dIas siguientes a la diligencia de notificaciOn.
ARTICULO TERCERO: Comunicar a Ia señora identificada con cedula de ciudadania No., de Ia presente decision.
NOTIFIQUESE
COMUNIQUESE Y CUMPLASE Dada en Bogota D. C., El Director de lnvestigaciOn de ProtecciOn de Datos Persc Proyeclá: YLAC Reviso: CESM Aprobo: CESM NOTIFICACION: Investigada: Entidad: VIA BOGOTA S.A.S. ldentificaciôn: Nit. 900.373.115-3 Representante Legal: _________________________ Identificacion: C.C. No. Dirección: Carrera 15 No. 81 —30 Piso 5 Ciudad: Bogota D.C. Correo Electrônico: contabiIidadmpgmail,com COMUNICACION: Reclamante: 31MM 2019