Sanción 9278 de 2021 — SIC

(26 FEBRERO 2021) VERSIÓN ÚNICA “Por la cual se impone una sanción y se imparten órdenes” Radicación 19-134212 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que esta Dirección, en ejercicio de la función vigilancia para garantizar que en el Tratamiento de Datos Personales se respeten los principios, derechos, garantías y procedimientos previstos en el Régimen General de Protección de Datos Personales, otorgada por el artículo 19 de la Ley 1581 de 2012 y conforme a la función de administración del Registro Nacional Público de Bases de Datos -en adelante RNBD- consagrada en el literal h) del artículo 21 ejúsdem y el numeral 7 del artículo 17 del Decreto 4886 de 2011, procedió a examinar la información cargada en el RNBD por la FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA, identificada con el NIT. 900.460.045-9, evidenciando preliminarmente que esta entidad no cumplió con el deber de realizar la inscripción en dicho registro teniendo la obligación legal de hacerlo.

SEGUNDO: Que el artículo 25 de la Ley 1581 de 2012 estableció que “para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes”.

(Negrilla fuera del texto)

TERCERO: Que el Decreto 090 del 18 de enero de 2018 definió los plazos y los sujetos obligados a llevar a cabo la inscripción de sus bases de datos en el RNBD y, periodo durante cual los Responsables obligados debían cargar las Política de Tratamiento de Datos Personales; supuestos facticos y normativos dentro de los que se encuentra incluida la FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA.

CUARTO: Que, con el propósito de verificar, además, el cumplimiento de los deberes a cargo de los Responsables del Tratamiento, mediante oficio con fecha del 14 de junio de 2019 y consecutivo número 19-134212- -00, esta Dirección requirió a la FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA, al correo electrónico de notificación judicial universitecdecolombia@hotmail.com, establecido en el certificado de existencia y representación de la entidad, para que dentro de los cinco (05) días hábiles siguientes a la recepción del mismo, informara lo siguiente: “(…) 1.

Exponga las razones por las no llevó a cabo el proceso de inscripción de sus bases de datos en el Registro Nacional de Bases de Datos – RNBD. 2. Sírvase remitir con destino a esta Dirección copia de la política de Tratamiento de Datos Personales. 3. Sírvase remitir con destino a esta dirección copia de manual de Política de Seguridad. 4. Sírvase remitir con destino a esta dirección copia del manual de procedimientos implementados por la organización para la atención de consultas y reclamos.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 2, VERSIÓN ÚNICA 5. Sírvase remitir con destino a esta Dirección copia del manual de procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de la información. 6. Señale a este Despacho, cuáles son los mecanismos utilizados o las fuentes a través de las cuales recolecta los datos de los Titulares almacenados en sus bases de datos.

(…)”.

QUINTO: Que una vez transcurrido el término establecido en el oficio antes mencionado, se observó que la FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA no allegó la información solicitada, razón por la cual, este Despacho, se permitió requerirla por segunda vez mediante oficio con radicado No. 19134212- -1 del 19 de febrero de 2020, a la dirección CR 6 NO. 9- 33 en Tocancipá (Cundinamarca), establecida como dirección de notificación judicial en el certificado de existencia y representación legal de la entidad, para que dentro de los cinco (05) días hábiles siguientes a la recepción del segundo requerimiento, informara lo requerido inicialmente.

SEXTO: Que transcurrido el término otorgado para dar respuesta al segundo requerimiento de información al que se refiere el numeral anterior, la FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA, no allegó la información solicitada por esta Dirección.

SÉPTIMO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: (i) (ii) (iii) (iv) El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 25 ibídem y el Decreto 090 de 2018;

El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015; El literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 ejúsdem; y El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 ejúsdem, el inciso 2 del artículo 2.2.2.25.2.1. del Decreto Único Reglamentario 1074 de 2015, los artículos 2.2.2.25.6.1. y 2.2.2.25.6.2. ejúsdem y el inciso 2 del 2.2.2.25.2.8. de la misma norma.

El 28 de septiembre de 2020 se inició la presente investigación administrativa mediante la expedición de la Resolución No. 39692 por medio de la cual se formularon cuatro (4) cargos a la sociedad UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA identificada con el NIT. 900.460.045-9 La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante.

OCTAVO: Que, una vez vencido el término establecido para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, la investigada guardó silencio.

NOVENO: Que mediante Resolución No. 59900 del 28 de septiembre de 2020, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 19-134212, radicados 19-134212- -0 al 19-134212- -8, con el valor legal que les correspondiera, y corrió traslado a la investigada para alegar de conclusión por el término de diez (10) días hábiles, en caso de que la misma lo considerara pertinente.

DÉCIMO: Que, una vez vencido el término establecido para presentar alegatos de conclusión, la FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA guardó silencio. HOJA N 3, “Por la cual se impone una sanción y se imparten órdenes” VERSIÓN ÚNICA DÉCIMO PRIMERO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO SEGUNDO: Análisis del caso 12.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por el reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de i) El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 25 ibídem y el Decreto 090 de 2018; ii) El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015; iii) El literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 ejúsdem; y iv) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 ejúsdem, el inciso 2 del artículo 2.2.2.25.2.1. del Decreto Único Reglamentario 1074 de 2015, los artículos 2.2.2.25.6.1. y 2.2.2.25.6.2. ejúsdem y el inciso 2 del 2.2.2.25.2.8. de la misma norma.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta las razones de hecho y de derecho, así como el conjunto de pruebas que obran en el expediente. 12.2 Valoración probatoria y conclusiones 12.2.1 Respecto del deber de los Responsables del Tratamiento de cumplir con las instrucciones impartidas por la Superintendencia de Industria y Comercio consistente en realizar la inscripción en el Registro Nacional de Bases de Datos El deber contemplado en el numeral o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 25 ibídem y el Decreto 090 de 2018, que señalan lo siguiente: Ley 1581 de 2012 “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) 1 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 4, VERSIÓN ÚNICA o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio. (…) Artículo 25. Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes.

Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley.

PARÁGRAFO. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en este los Responsables del Tratamiento. (…) Decreto 090 de 2018 Artículo 1. Modifíquese el artículo 2.2.2.26.1.2 del Decreto 1074 de 2015 - Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, el cual quedará así: “Artículo 2.2.2.26.1.2.

Ámbito de aplicación. Serán objeto de inscripción en el Registro Nacional de Bases de Datos, las bases de datos que contengan datos personales cuyo Tratamiento automatizado o manual sea realizado por los Responsables del tratamiento que reúnan las siguientes características: a) Sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT).

(…) Artículo 2.2.2.26.3.1. Plazo de inscripción. La inscripción de las bases de datos en el Registro Nacional de Bases de Datos se llevará a cabo en los siguientes plazos: a) Los Responsables del Tratamiento, sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 610.000 Unidades de Valor Tributario (UVT), deberán realizar la referida inscripción a más tardar el treinta (30) de septiembre de 2018, de acuerdo con las instrucciones impartidas por la Superintendencia de Industria y Comercio; b) Los Responsables del Tratamiento, sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 y hasta 610.000 Unidades de Valor Tributario (UVT), deberán realizar la referida inscripción a más tardar el treinta (30) de noviembre de 2018, de conformidad con las instrucciones impartidas por la Superintendencia de Industria y Comercio;

En virtud de las normas citadas, existe el deber de los Responsables del Tratamiento de cumplir con las instrucciones impartidas por la Superintendencia de Industria y Comercio, la cual en el caso particular consistió en realizar la inscripción en el Registro Nacional de Bases de Datos, tal como quedó expresado en el Capítulo Segundo - Título V de la Circular Única de la 25 de la Ley 1581 de 2012, dicha inscripción debía realizarse bajo las formas y en los términos señalados por el Gobierno Nacional, aquellos que fueron indicados en el Decreto 090 de 2018, “por el cual se modifican los artículos 2.2.2.26.1.2 y 2.2.26.3.1 del Decreto 1074 de 2015-Decreto 2 La Circular V expedida por la Superintendencia de Industria y Comercio realizó un compendio de las órdenes de inscripción de en el RNB, la cual fue impartida por primera vez mediante Circular Externa 002 del 3 de noviembre de 2015.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 5, VERSIÓN ÚNICA Único Reglamentario del Sector Comercio Industria y Turismo”-, expedido por el Ministerio de Comercio Industria y Turismo. Respecto al caso que nos ocupa, se observa que los activos de la FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA, superaban los 100.000 UVT correspondientes al año 2017 3, razón por la cual, conforme a los parámetros estipulados por el Decreto 090 de 2018, el plazo máximo para realizar la inscripción de sus bases de datos era el 30 de noviembre de 2018.

No obstante, mediante Resolución No. 39692 del 21 de julio de 2020, esta Dirección determinó preliminarmente que la sociedad no había dado cumplimiento a lo ordenado por las citadas disposiciones, transgrediendo de esta forma, las normas de protección de datos personales. Ahora bien, para efectos de determinar la responsabilidad de la investigada, esta Dirección se permitió hacer una valoración de las pruebas que obran en el expediente, observando lo siguiente: (i) Mediante oficio con fecha del 14 de junio de 2019 y radicado 19-134212- -0, esta Dirección, a través de la Coordinación del Grupo de Trabajo de Investigaciones Administrativas, requirió a la FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA, al correo electrónico de notificación judicial universitecdecolombia@hotmail.com, establecido en el certificado de existencia y representación de la entidad, para que dentro de los cinco (05) días hábiles siguientes a la recepción del mismo, informara lo siguiente: “(…) 1.

Sírvase remitir con destino a esta Dirección copia del manual de procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de la información. 6. Señale a este Despacho, cuáles son los mecanismos utilizados o las fuentes a través de las cuales recolecta los datos de los Titulares almacenados en sus bases de datos.

(…)” (ii) Que, transcurrido el término para tal efecto, la investigada no allegó la información solicitada. (iii) En virtud de lo anterior, esta Dirección se permitió requerir a la investigada por segunda vez mediante oficio con radicado 19-134212- -1 del 19 de febrero de 2020, a la dirección CR 6 NO. 9- 33 en Tocancipá (Cundinamarca), establecida como dirección de notificación judicial en el certificado de existencia y representación legal de la entidad, para que dentro de los cinco (05) días hábiles siguientes a la recepción del segundo requerimiento, informara lo siguiente: “(…) 1.

Informe y acredite las razones por las cuales no llevó a cabo el proceso de inscripción de su(s) base(s) de dato(s) en el Registro Nacional de Bases de DatosRBND. 2. Remita copia de la(s) Política(s) de Tratamiento de Datos Personales desarrolla(s) e implementada(s) por la sociedad. 3. Remita copia del manual de políticas y procedimientos implementado por la sociedad para la atención de peticiones, consultas y reclamos. 4.

Remita copia del manual de Políticas de Seguridad implementado por la sociedad. 3 De acuerdo con la Resolución 71 del 21 de noviembre de 2016, expedida por la Dirección de Impuestos y Aduanas Nacionales, el valor de la UVT para el año 2017 es de 31.859 pesos. “Por la cual se impone una sanción y se imparten órdenes” HOJA N 6, VERSIÓN ÚNICA 5.

Informe y acredite cuales son los procedimientos y/o mecanismos implementados por la sociedad para la recolección de la información almacenada en su(s) base(s) de datos. 6. Remita copia del manual políticas y procedimientos implementado por la sociedad para la recolección, almacenamiento, uso, circulación y supresión de la información. (…)” (iv) Que, transcurrido el término para que la investigada allegara la información solicitada en el segundo requerimiento de información, ésta no lo hizo.

Así, es claro entonces que la investigada, aun teniendo la obligación de realizar la inscripción de sus bases de datos a más tardar el 30 de noviembre de 2018, para las fechas en las que se efectuaron los requerimientos de información antes señalados, no lo había llevado a cabo. De igual forma, esta Dirección consultó nuevamente el Registro Nacional de Bases de Datos, encontrando que al día 16 de febrero de 2021, la investigada no había realizado dicha inscripción, tal como se evidencia a continuación: En virtud de lo expuesto, se encontró demostrada la negligencia de la investigada en el cumplimiento de su deber como Responsable del Tratamiento, al no haber dado cumplimiento a lo establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 25 ibídem y el Decreto 090 de 2018.

Esta situación que se subsume en una clara violación al Régimen de Protección de Datos Personales. Al respecto y frente al primer cargo, esta Dirección impartirá una orden administrativa con el fin de que la investigada lleve a cabo la inscripción de sus bases de datos en el Registro Nacional de Bases de Datos- RNBD. Así mismo, impondrá la sanción correspondiente. 12.2.2 Respecto del deber de los Responsables del Tratamiento de adoptar una Política de Tratamiento de Datos Personales Frente al segundo cargo formulado, esta Dirección consideró que la investigada presuntamente había incumplido el deber de adoptar una Política de Tratamiento de Datos Personales de acuerdo con lo previsto en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015; normas que establecen lo siguiente: Ley 1581 de 2012 “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;

(…) Artículo 25. Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. “Por la cual se impone una sanción y se imparten órdenes” HOJA N 7, VERSIÓN ÚNICA Para realizar el registro de bases de datos, los interesados deberán aportar a la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes.

Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. (Subraya adicionada) Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en este los Responsables del Tratamiento”.

(Subrayado y negrita adicionados) Decreto Único Reglamentario 1074 de 2015 “Artículo 2.2.2.25.3.1. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas. Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares.

Dichas políticas deberán incluir, por lo menos, la siguiente información: 1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. 2. Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. 3. Derechos que le asisten como Titular. 4.

Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. 5. Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. 6.

Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente Decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas”.

(Subrayado y negrita adicionados) En primer lugar, es importante precisar que el principio de transparencia definido en el literal e) del artículo 4 de la Ley 1581 de 2012 establece que los Responsables del Tratamiento están obligados a garantizarle al Titular, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.

El anterior principio se materializa, entre otros mecanismos jurídicos, a través de la Política de Tratamiento de Información Personal. Al respecto, tal como señala el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015 antes citado, los Responsables del Tratamiento deberán (i) escribir sus políticas para el tratamiento de los datos personales;

(ii) implementarlas en medio físico o electrónico, en un lenguaje claro y sencillo; y (iii) ser puestas en conocimiento de los Titulares. El artículo también especifica la información que debe incluir en la política, que en ningún caso debe ser inferior a lo establecido en dicha norma, de conformidad con el artículo 25 de la Ley 1581 de 2012.

Ahora bien, es claro que: (i) la política de tratamiento es una herramienta que permite a los Titulares de la Información pedir, en cualquier tiempo, cuentas a los Responsables del Tratamiento, controlar “Por la cual se impone una sanción y se imparten órdenes” HOJA N 8, VERSIÓN ÚNICA el uso de sus datos personales y ejercer sus derechos de acceso, actualización, supresión y rectificación de sus datos personales y de revocatoria de la autorización;

(ii) Este documento debe ser transparente y de fácil acceso para los Titulares de la Información, ya sea por medio escrito, formatos electrónicos, medios verbales o cualquier otra tecnología disponible, siempre y cuando garantice y cumpla con el deber de informar al Titular de la Información, y estar redactados un lenguaje sencillo y claro;

(iii) Los Responsables del Tratamiento deberán poner en conocimiento al Titular de la Información, a más tardar al momento de la recolección de los datos personales, la política de tratamiento de información personal. La reunión de estos elementos permiten garantizar “el ámbito de protección del derecho de habeas data”, pues resultan oponibles al sujeto obligado en los procesos de recolección, tratamiento, circulación y disposición final de datos, así como también permite garantizar a los Titulares el pleno y efectivo ejercicio del derecho de habeas data a través de la implementación y puesta en marcha, a su vez, de los principios que rigen el tratamiento de los datos personales mediante herramientas claramente definidas y los procedimientos para su implementación. Dicho lo anterior, en el caso concreto se observa que, pese a que en dos oportunidades esta Dirección requirió a la FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA para que se sirviera a remitir copia de la Política de Tratamiento de Datos Personales, ésta hizo caso omiso.

Así mismo, en las demás oportunidades y etapas procesales para ejercer su derecho de defensa y aportar las pruebas que pretendiera hacer valer en la presente investigación, la investigada se abstuvo de presentar descargos y alegatos de conclusión, así como las pruebas correspondientes para acreditar que en efecto cuenta con una Política de Tratamiento de Datos Personales.

Así las cosas, se concluye que se encuentra probado el actuar negligente por parte de la investigada frente al tratamiento de los datos en su calidad de Responsable al no contar con una Política de Tratamiento de Datos Personales de conformidad a lo previsto en las normas arriba citadas. Con el fin de velar por la protección y el amparo del derecho de habeas data de los titulares, teniendo en cuenta que la sociedad investigada realiza tratamiento de datos personales, esta Dirección considera necesario impartir una orden administrativa tendiente a que la investigada desarrolle e implemente el referido documento en observancia de las disposiciones consagradas en la Ley 1581 de 2012 y en el Decreto Único Reglamentario 1074 de 2015.

Así mismo, se impondrá una sanción. 12.2.3 Respecto del deber de los Responsables del Tratamiento de cumplir las instrucciones y requerimientos que imparta esta Superintendencia Por su parte, frente al cargo tercero, se observa que presuntamente la investigada habría incumplido el deber en su condición de Responsable del Tratamiento de atender los requerimientos de la autoridad de protección de datos personales, consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 ejúsdem; normas que preceptúan lo siguiente: “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio. (…) Artículo 21.

Funciones. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: (…) f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones”. “Por la cual se impone una sanción y se imparten órdenes” HOJA N 9, VERSIÓN ÚNICA Así, una vez analizado el acervo probatorio, se evidencia que, dentro del caso concreto, esta Dirección, a través de la Coordinación del Grupo de Trabajo de Investigaciones Administrativas, requirió en dos oportunidades a la FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA, mediante oficios con radicados 19-134212- -0 del 14 de junio de 2019 y 19-134212- -1 del 19 de febrero de 2020.

No obstante, la investigada no dio respuesta a los requerimientos de información realizados mediante los oficios enunciados en el párrafo anterior, incluso, teniendo en cuenta que estos fueron enviados al correo electrónico y a la dirección de notificación judicial que constan en el certificado de existencia y representación legal de la investigada, esto último de conformidad con la guía No. RA243811845CO.

De esta manera, quedó probado el actuar negligente por parte de la investigada al quebrantar lo consagrado en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 ejúsdem. Razón por la cual, se le impondrá una sanción. 12.2.4 Respecto del deber de los Responsables del Tratamiento de adoptar políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley 1581 de 2012 Respecto del cargo cuarto, se tiene que la investigada presuntamente vulneró el deber que le asiste como Responsable del Tratamiento de adoptar políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley 1581 de 2012, de conformidad con lo previsto en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 ejúsdem, el inciso 2 del artículo 2.2.2.25.2.1. del Decreto Único Reglamentario 1074 de 2015, los artículos 2.2.2.25.6.1. y 2.2.2.25.6.2. ejúsdem y el inciso 2 del 2.2.2.25.2.8. de la misma norma, que señalan lo siguiente: Ley 1581 de 2012 “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos”.

Artículo 4. Principios para el Tratamiento de Datos Personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…) Decreto 1074 de 2015 Artículo 2.2.2.25.2.1. Recolección de datos personales. (…) “Por la cual se impone una sanción y se imparten órdenes” HOJA N 10, VERSIÓN ÚNICA A solicitud de la Superintendencia de Industria y Comercio, los Responsables deberán proveer una descripción de los procedimientos usados para la recolección, almacenamiento, uso, circulación y supresión de información, como también la descripción de las finalidades para las cuales la información es recolectada y una explicación sobre la necesidad de recolectar los datos en cada caso.

No se podrán utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales. Artículo 2.2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”. Artículo 2.2.2.25.6.2. Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2.25.6.1. anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio.

Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.

La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo”.

Artículo 2.2.2.25.2.8. Limitaciones Temporales Al Tratamiento De Los Datos Personales. (…) Los responsables y encargados del tratamiento deberán documentar los procedimientos para el Tratamiento, conservación y supresión de los datos personales de conformidad con las disposiciones aplicables a la materia de que se trate, así como las instrucciones que al respecto imparta la Superintendencia de Industria y Comercio” “Por la cual se impone una sanción y se imparten órdenes” HOJA N 11, VERSIÓN ÚNICA Al respecto es necesario precisar que los aspectos analizados en el presente cargo, guardan relación a los procedimientos internos que debe adoptar los Responsables de la Información con el fin de garantizar la adecuada protección de los datos personales que trata, en virtud del desarrollo de sus actividades; estas actividades van encaminadas a que los responsables, desarrollen políticas internas efectivas que demuestren el cumplimiento de las obligaciones establecidas en la Ley 1581 de 2012 y en su Decreto Reglamentario.

En este punto, es importante mencionar que el Gobierno Nacional incluyó en su normativa el principio de “accountability” o “responsabilidad demostrada”, desarrollado en el literal k) del artículo 17 de la Ley 1581 de 2012 y los artículos 11, 26 y 27 del Decreto 1377 de 2013, este último Decreto derogado y compilado por el Decreto Único Reglamentario 1074 de 2015.

Este principio consiste en que todo Responsable o Encargado del tratamiento de datos personales, a solicitud de la Superintendencia de Industria y Comercio, debe demostrar que ha implementado (i) una política y manuales internos para el tratamiento adecuado de datos personales, (ii) procedimientos para la recolección, tratamiento y supresión de datos, (iii) mecanismos suficientes para conservar la confidencialidad y seguridad de la información, (iv) una estructura administrativa responsable para la adopción e implementación de la política, y (v) un sistema eficaz para la atención y respuesta de PQR (peticiones, quejas y reclamos) conforme a las exigencias legales.

Aunado a lo anterior, los Responsables y Encargados del tratamiento de datos deberán estar en capacidad de presentar una relación de los procedimientos usados para ello, así como de expresar las finalidades legítimas y la relevancia de los datos recaudados, todo lo anterior atendiendo a la estructura y tamaño de la empresa, el tipo de información que se maneja, la clase de tratamiento empleado y los posibles riesgos.

Por lo tanto, este Despacho considera pertinente resaltar que, con la aplicación del principio de la responsabilidad demostrada, los Responsables de la información crean mecanismos estables y seguros para los Titulares respecto al tratamiento efectivo de sus datos personales, es decir que estos sean tratados para los fines concretamente autorizados y con los más altos niveles de protección y confidencialidad, atendiendo al cumplimiento de los principios generales de la protección de los datos personales establecidos en la constitución y la ley.

Dicho lo anterior, en el caso que nos ocupa, encuentra esta Dirección que la investigada ha sido requerida en varias oportunidades, tal como se ha analizado en los cargos anteriores, para que aportara, entre otras cosas, (i) copia del manual de políticas y procedimientos implementado por la sociedad para la atención de peticiones, consultas y reclamos, (ii) copia del manual de Políticas de Seguridad, y (iii) copia del manual políticas y procedimientos implementado por la entidad para la recolección, almacenamiento, uso, circulación y supresión de la información. No obstante, ni en etapa de averiguación preliminar, ni en las etapas procesales pertinentes para aportar y solicitar las pruebas que se pretendieran hacer valer dentro de la presente investigación administrativa, la investigada aportó los manuales y procedimientos solicitados.

Por lo anterior, no consta en el expediente prueba alguna que acredite que la FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA, en su calidad de Responsable del Tratamiento, ha adoptado políticas y procedimientos para el adecuado cumplimiento del Régimen de protección de datos personales. En virtud de lo expuesto, se concluye que se encuentra probado el actuar negligente por parte de la investigada frente al tratamiento de los datos en su calidad de Responsable al no haber adoptado políticas y procedimientos para el cumplimiento de las normas vigentes sobre protección de datos personales de conformidad con lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 ejúsdem, el inciso 2 del artículo 2.2.2.25.2.1. del Decreto Único Reglamentario 1074 de 2015, los artículos 2.2.2.25.6.1. y 2.2.2.25.6.2. ejúsdem y el inciso 2 del 2.2.2.25.2.8. de la misma norma.

En consecuencia, siendo de vital importancia la implementación de los manuales previamente señalados, esta Dirección impartirá una orden administrativa tendiente a que la investigada documente e implemente (i) un manual de políticas y procedimientos para la atención de peticiones, consultas y reclamos; (ii) un manual de Políticas de Seguridad de la información; y (iii) una política para el correcto tratamiento de la información “Por la cual se impone una sanción y se imparten órdenes” HOJA N 12, VERSIÓN ÚNICA personal en las diferentes etapas del ciclo de vida del dato (recolección, circulación y disposición final).

DÉCIMO TERCERO: Que el parágrafo del artículo 2 de la Ley 1581 de 2012 4 señala que los principios sobre protección de datos serán aplicables a todas las bases de datos incluidas las exceptuadas en el mismo artículo. De ahí que es procedente solicitar a la investigada que garantice el cumplimiento del principio de responsabilidad demostrada desarrollado en el artículo 2.2.2.25.6.1 y subsiguiente del Decreto Único Reglamentario 1074 de 20155.

Al respecto, es oportuno resaltar lo conceptuado en la Resolución No. 83882 del 15 de noviembre de 2018, emanada del Despacho del Superintendente Delegado Para la Protección de Datos Personales, respecto de la responsabilidad de los administradores, acto administrativo en el que se señaló lo siguiente: “(…) 6.1. Responsabilidad de los administradores en materia de tratamiento de datos personales.

El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.

La efectividad de los derechos humanos es un asunta de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.

En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.

En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales. 4Ley 1581 de 2012, artículo 2: “Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.

(…)

PARÁGRAFO. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal. En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley.” 5Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.6.1: Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas. “Por la cual se impone una sanción y se imparten órdenes” HOJA N 13, VERSIÓN ÚNICA El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas.

Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la ley 222 de 19951 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”1 (subrayamos) (…) Nótese que el artículo 241 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”1.

En virtud de lo anterior, EXHORTAMOS al Representante Legal de la FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

DÉCIMO CUARTO: En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones: • La FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA deberá llevar a cabo la inscripción de sus bases de datos en el Registro Nacional de Bases de Datos- RNBD, de conformidad con lo establecido en el numeral o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 25 ibídem y el Decreto 090 de 20186. • La FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA, en su calidad de Responsable del La sociedad investigada puede: (i) realizar el proceso de inscripción;

(ii) consultar video tutorial; (iii) revisar preguntas frecuentes y un manual de ayuda; (iv) y consultar el Registro Nacional de Bases de Datos; a través del siguiente link: https://www.sic.gov.co/registro-nacional-de-basesde-datos. “Por la cual se impone una sanción y se imparten órdenes” HOJA N 14, VERSIÓN ÚNICA Tratamiento, deberá desarrollar, implementar y difundir una Política de Tratamiento de Datos Personales, de conformidad con lo consagrado en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015 7. • La FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA, en su calidad de Responsable del Tratamiento, deberá documentar e implementar (i) Un manual de políticas y procedimientos para la atención de peticiones, consultas y reclamos, de conformidad con lo establecido en los artículos 14 y 15 de la Ley 1581 de 2012, así como del artículo 2.2.2.25.2.6;

(ii) Un manual de Políticas de Seguridad de la información que contenga los procedimientos y mecanismos establecidos por la sociedad para garantizar la seguridad de la información que obra en sus bases de datos y que está bajo su custodia; de conformidad con lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 ejusdem, así como del inciso 2 del artículo 2.2.2.25.2.1. y 2.2.2.25.6.2. del Decreto Único Reglamentario 1074 de 2015;

(iii) Una política para el correcto tratamiento de la información personal en las diferentes etapas del ciclo de vida del dato (recolección, circulación y disposición final), las políticas, procedimientos y mecanismos establecidos por la sociedad para recolectar los datos personales, circularlos, usarlos, compartirlos o transferirlos y disponer finalmente de estos o suprimirlos. de conformidad con lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, así como del inciso 2 del artículo 2.2.2.25.2.1. y 2.2.2.25.6.2. del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del 2.2.2.25.2.8. de la misma norma.

De lo anteriormente ordenado la FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA, deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO QUINTO: Imposición y graduación de la sanción 15.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “Artículo 23. Sanciones. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

“Formato modelo para el cumplimiento de obligaciones establecidas en la Ley 1581 de 2012 y sus decretos reglamentarios”, que no es de obligatorio cumplimiento, sin embargo, orienta a los Responsables y Encargados del Tratamiento sobre el cumplimiento de las obligaciones específicas, como son: (i) solicitar y conservar copia de la autorización y de la información que debe suministrarle a los titulares previo a la autorización;

(ii) contar con una Política de Tratamiento de Datos Personales disponible a los Titulares; (iii) contar con un aviso de privacidad, cuando no sea posible poner a disposición de los Titulares la política. Disponible en el siguiente link: https://www.sic.gov.co/centro-de-publicaciones?field_tema_general_tid=5&field_anos_p_value=All 7 Se encuentra publicada para su consulta: HOJA N 15, “Por la cual se impone una sanción y se imparten órdenes” VERSIÓN ÚNICA (…)”.

Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “El Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 8.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝐿𝑉 UVT vigente 2021 = Multa en UVT 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional9 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho 8 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. 9 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) “Por la cual se impone una sanción y se imparten órdenes” HOJA N 16, VERSIÓN ÚNICA administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”10 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros11. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”12.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia13. 10 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 11 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 12 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 13 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm HOJA N 17, “Por la cual se impone una sanción y se imparten órdenes” VERSIÓN ÚNICA La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2314 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Artículo 24. Criterios Para Graduar Las Sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 15.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Respecto de la sanción administrativa, la proporcionalidad implica también que 14Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva..” “Por la cual se impone una sanción y se imparten órdenes” HOJA N 18, VERSIÓN ÚNICA ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”15 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados16.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que la investigada actuó negligentemente frente al tratamiento de los datos en su calidad de Responsable, al no haber atendido los requerimientos impartidos por esta Superintendencia. En consecuencia, esta Dirección impondrá, dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012, una multa de VEINTITRES MILLONES SEISCIENTOS TREINTA Y SEIS MIL QUINIENTOS OCHO PESOS ($23.636.508) M/CTE, correspondiente a (651) unidades de valor tributaria- UVT17, por la violación de lo establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 25 ibídem y el Decreto 090 de 2018.

De otro lado, se encontró probado el actuar negligente por parte de la investigada frente al tratamiento de los datos en su calidad de Responsable al no contar con una Política de Tratamiento de Datos Personales. En consecuencia, se impondrá dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012, una multa de VEINTITRES MILLONES SEISCIENTOS TREINTA Y SEIS MIL QUINIENTOS OCHO PESOS ($23.636.508) M/CTE, correspondiente a (651) unidades de valor tributaria- UVT18, por violación al literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015.

Por último, quedó demostrado que la investigada no cumplió con los requerimientos impartidos por esta Dirección, pese a que estos se efectuaron en varias ocasiones. En consecuencia, se impondrá dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012, una multa de VEINTITRES MILLONES SEISCIENTOS TREINTA Y SEIS MIL QUINIENTOS OCHO PESOS ($23.636.508) M/CTE, correspondiente a (651) unidades de valor tributaria- UVT19, por la violación al literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 ejúsdem. 15.1.2 Otros criterios de graduación 15 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 16 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada.

En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” 17 Mediante la resolución 000111 del 11 de Diciembre de 2020, la la Unidad Administrativa Especial Dirección de Impuestos y Aduanas Nacionales (DIAN), dio a conocer el valor de la UVT aplicable en 2021, la cual quedó en $36.308. 18 Ibidem. 19 Ibidem.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 19, VERSIÓN ÚNICA Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones. (Se analiza e indica solo lo que aplique al caso).

DÉCIMO SEGUNDO: CONCLUSIÓN Se procederá a imponer una sanción y a impartir unas órdenes por las siguientes razones: i. Se comprobó que la investigada infringió abiertamente las normas sobre protección de datos personales consagradas en: - - El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 25 ibídem y el Decreto 090 de 2018;

Con dicha conducta, el Responsable infringió el deber de cumplir las instrucciones y requerimientos que imparta esta Superintendencia, ya que, pese a que en dos ocasiones se le requirió mediante oficios enviados al correo electrónico y a la dirección de notificaciones judiciales que consta en el certificado de existencia y representación legal, la investigada no atendió los requerimientos ni aportó la información solicitada por esta Dirección. Por esta razón se le impondrá la sanción respectiva. iii.

Se comprobó que la investigada, estando en la obligación de realizar la inscripción de sus bases de datos en el Registro Nacional de Bases de Datos- RNBD, no lo hizo. Razón iv. Es notorio que la investigada falló, en su calidad de Responsable del Tratamiento, en desarrollar e implementar (i) una Política de Tratamiento de Datos Personales;

(ii) un manual de políticas y procedimientos para la atención de peticiones, consultas y reclamos; (iii) un manual de Políticas de Seguridad de la información; y (iv) una política para el correcto tratamiento de la información personal en las diferentes etapas del ciclo de vida del dato (recolección, circulación y disposición final). Razón por la cual se impone una sanción y se imparten las órdenes correspondientes.

Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer la sanción correspondiente a SETENTA MILLONES NOVECIENTOS NUEVE MIL QUINIENTOS VEINTICUATRO PESOS ($70.909.524) M/CTE, correspondiente a (1.953) unidades de valor tributaria- UVT, por la violación de i) el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 25 ibídem y el Decreto 090 de 2018; ii) el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015; y iii) el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 ejúsdem, a la FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 20, VERSIÓN ÚNICA En mérito de lo expuesto este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA, identificada con el Nit. 900.460.045-9, de SETENTA MILLONES NOVECIENTOS NUEVE MIL QUINIENTOS VEINTICUATRO PESOS ($70.909.524) M/CTE, correspondiente a (1.953) unidades de valor tributaria- UVT, por la violación a lo dispuesto en: (i) (ii) (iii) El literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 25 ibídem y el Decreto 090 de 2018;

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR a la FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA, identificada con el Nit. 900.460.045-9, cumplir con las instrucciones impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva, dentro del término de DOS (2) meses siguientes a la ejecutoria de la presente decisión. Las instrucciones son las siguientes: • La FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA deberá llevar a cabo la inscripción de sus bases de datos en el Registro Nacional de Bases de Datos- RNBD, de conformidad con lo establecido en el numeral o) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 25 ibídem y el Decreto 090 de 2018. • La FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA, en su calidad de Responsable del Tratamiento, deberá desarrollar, implementar y difundir una Política de Tratamiento de Datos Personales, de conformidad con lo consagrado en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015. • La FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA, en su calidad de Responsable del Tratamiento, deberá documentar e implementar (i) Un manual de políticas y procedimientos para la atención de peticiones, consultas y reclamos, de conformidad con lo establecido en los artículos 14 y 15 de la Ley 1581 de 2012, así como del artículo 2.2.2.25.2.6;

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 21, VERSIÓN ÚNICA (iii) Una política para el correcto tratamiento de la información personal en las diferentes etapas del ciclo de vida del dato (recolección, circulación y disposición final), las políticas, procedimientos y mecanismos establecidos por la sociedad para recolectar los datos personales, circularlos, usarlos, compartirlos o transferirlos y disponer finalmente de estos o suprimirlos. de conformidad con lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, así como del inciso 2 del artículo 2.2.2.25.2.1. y 2.2.2.25.6.2. del Decreto Único Reglamentario 1074 de 2015 y el inciso 2 del 2.2.2.25.2.8. de la misma norma.

PARÁGRAFO PRIMERO: La FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA identificada con el Nit. 900.460.045-9, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.

Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo. Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de las órdenes, y suscrita por el representante legal de la FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA identificada con el Nit. 900.460.045-9, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: EXHORTAR a la señora MARY NELLY ROJAS GAONA, identificada con cédula de ciudadanía No. 1.077.086.747, en calidad de representante legal de la FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA identificada con el Nit. 900.460.045-9, para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

ARTÍCULO CUARTO: NOTIFICAR personalmente el contenido de la presente resolución a la FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA identificada con el Nit. 900.460.045-9, a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO QUINTO: Que, en virtud de la situación actual, teniendo en cuenta el Estado de Emergencia Sanitaria decretado por el Ministerio de Salud, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la investigada debe: (i) Enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando: HOJA N 22, “Por la cual se impone una sanción y se imparten órdenes” (ii) VERSIÓN ÚNICA número de radicado, nombre completo de la persona que va a consultar el expediente, número de identificación y correo electrónico autorizado;

Una vez reciba respuesta positiva respecto de la solicitud de acceso, la investigada debe registrarse en servicios en línea link https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo link posteriormente al registro puede consultar el expediente de manera digital. No obstante, en aras de garantizar los derechos de defensa y contradicción de la investigada, en el caso en que la misma considere necesario el acceso del expediente en físico, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá. Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 26 FEBRERO 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.02.26 15:27:21 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LMLA Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: FUNDACION UNIVERSO DE INTELIGENCIA TECNOLOGIA Y CULTURA DE COLOMBIA SIGLA UNIVERSITEC DE COLOMBIA Nit 900.460.045-9 Mary Nelly Rojas Gaona C.C. No. 1.077.086.747 universitecdecolombia@hotmail.com Carrera 6 No. 9-33 Tocancipá, Cundinamarca

Resolución sancionatoria N° 9278 de 2021

CONSIDERANDO

RESUELVE