Resolución sancionatoria N° 44870 de 2022

REPÚBLICA DE COLOMBIA (12 JULIO 2022) Radicado 19-78100 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales (5) y (9) del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022 y,

CONSIDERANDO

PRIMERO: Que, esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad NETGOSIT S.A.S identificada con Nit. 900.886.785-1, a través de diversas denuncias acumuladas al presente expediente de las cuales se destacan los siguientes hechos: 1.1 El señor XXXXXX XXXXXXXX XXXXXXXX, presentó denuncia ante esta Superintendencia a través de la cual manifestó que: “sin mi consentimiento me envian (sic) mensajes de texto ofreciendo dicho producto la página web de ellos es https://productosquefuncionan.com/contactenos y ofrecen un producto llamado devagras”, donde aportó las siguientes capturas de pantalla: Expediente digital19-78100- -00000 1.2 Que el señor XXXXXX XXXXX presentó denuncia bajo el radicado No.19-161416- -00000 (expediente acumulado) por los siguientes hechos: “(…) recibí un nuevo mensaje de texto (SMS) a mi número celular, sobre una bebida adelgazante, proveniente del número XXXXXXXXXX (Imagen 5).

Tampoco les di autorización para que me enviaran publicidad. La página web luce sospechosamente similar al anterior caso solo que tiene un fondo verde (Imagen 6). Continua en su denuncia afirmando que: “Los días 4 de abril de 2019, 23 de mayo de 2019 y 11 de julio de 2019, de nuevo recibo unos mensajes de texto (SMS), provenientes esta vez de los números de celular XXXXXXXXXX, XXXXXXXXXX y XXXXXXXXXX respectivamente”. 1.3 Que el 21 de agosto de 2019 la señora XXXXX XXXXXX presentó denuncia bajo el radicado No.19188687- -00000 (expediente acumulado) por los siguientes hechos: Manifiesta que: “durante los últimos meses he recibido mensajes de texto por parte de la empresa productos que funcinan.com, promocionando sus productos, cosa que me parece muy molesta.

Ellos en su política de seguridad de datos dicen que toman datos de acuerdo se hayan suministrado para adquirir información o productos, pero jamás he comprado productos de dicha empresa, la cual solo da respuesta a solicitudes de productos o pedidos y no ha tenido en cuenta mi solicitud de que eliminen mis datos de su empresa” Imagen de mensaje de texto aportado por la denunciante consecutivo 19-188687- -00000 página 2 1.4 Que el día 28 de agosto de 2019 el señor XXXXX XXXXX XXXXXX, presentó denuncia bajo el radicado No. 19-195117-00000 (expediente acumulado) en contra de la sociedad productosquefuncionan.com por los siguientes hechos: Manifiesta que: “quiero denunciar a la empresa "Productos que funcionan", quienes llevan más de un año enviando mensajes de texto a mi número celular sin ningún consentimiento.

Busqué en la página http://productosquefuncionan.com/ un contacto o alguna herramienta para darme de baja de sus comunicaciones. Encontré esta opción en la que pedí que me dieran de baja https://productosquefuncionan.com/contactenos, pero nunca recibí respuesta y en cambio sigo recibiendo mensajes promocionales. Buscando en esa misma página encontré un correo electrónico al cual escribí el correo que encontrarán mas abajo.

Lo envié el 13 de agosto y exigí una información de acuerdo con la ley 1581. El plazo ya se cumplió y no recibí ninguna respuesta. Por lo tanto les pido su ayuda exigiendo la respuesta a la empresa y la consecuente baja de por vida de la base de datos de ellos”. 1.5 Que el día 10 de julio de 2019 la señora XXXXX XXXXXX XXXXXXXX XXXXXXXX, presentó denuncia bajo el radicado No. 19-154000- - 00000 (expediente acumulado) por los siguientes hechos: Manifiesta que: “Me envían mensajes de texto todos los días ofreciéndome los productos Devagrass.

Nunca he escuchado sobre esos productos y nunca los he comprado. Por tanto, nunca les he dado mis datos y no deberían usarlos. No sé cómo mis datos llegaron a manos de ellos, pero me molesta bastante recibir todos los días esos mensajes de texto para bajar de peso con sus productos Devagrass” Imagen aportada por la denunciante 19-154000- - 00000 página 2 correspondiente a mensajes de texto recibidos del código corto 85557 y el número de teléfono xxxxxxxxxxx 1.6 Que el 06 de septiembre de 2019 la Dirección de investigaciones de protección de datos personales de esta superintendencia realizó visita de inspección en las instalaciones de la sociedad NETGOSIT S.A.S, ubicada en la Calle 38N #6N-35, C.C. Chipichape, Bodega 6 Oficina 215, en la ciudad de Cali, con el objetivo de realizar las verificaciones preliminares correspondientes y con el fin de recopilar toda la información necesaria para comprobar el cumplimiento de los deberes y requisitos establecidos en la 1581 de 2012 y su correspondiente Decreto Reglamentario 1074 de 2015.

SEGUNDO: Que mediante Resolución N°. 32965 del 30 de junio del 2020, esta Dirección resolvió abrir investigación y en consecuencia formular pliego de cargos en contra de la sociedad NETGOSIT S.A.S., identificada con Nit. 900.886.785-1, por la presunta infracción conforme a lo dispuesto en:  el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la misma Ley, y con el artículo 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015.  el literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012.  literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015.  el literal j) del artículo 17 en concordancia con el artículo 14 y el literal e) del artículo 4 de la Ley 1581 de 2012.  el literal j) del artículo 17 en concordancia con el artículo 15 de la Ley 1581 de 2012.  el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015.

TERCERO: Que la Resolución N°. 32965 del 30 de junio del 2020 se notificó por aviso N° 14687 a la sociedad NETGOSIT S.A.S., el 17 de julio del 2020, según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 19-78100-53 del 10 de agosto del 2020.

CUARTO: Que, dentro del término concedido para el efecto, la sociedad NETGOSIT S.A.S, no presentó escrito de descargos en el presente expediente con el fin de ejercer su derecho a la defensa y contradicción.

QUINTO: Que, a través de la Resolución No.74573 del 23 de noviembre del 2020, se incorporaron y se decretó la práctica de pruebas a la sociedad NETGOSIT S.A.S, las pruebas incorporadas corresponde a las siguientes: “3.1 Documentos obrantes radicado 19-78100-0 denuncia en contra de la sociedad investigada y anexos. 3.2 Requerimiento aplicación de información a denunciante obrante radicado 19-78100-4. 3.3 Requerimientos de información a terceros obrantes radicados 19-78100-5, 19-78100-10, 1978100-11, 19- 78100-12, 19-78100-13, 19-78100-14, 19-78100-15, 19-78100-16, 19-78100-17, 1978100-18. 3.4 Respuesta a requerimiento de información de terceros obrantes radicados 19-78100-6, 19-781007, 19- 78100-8, 19-78100-24, 19-78100-25, 19-78100-26, 19-78100-27, 19-78100-28, 19-78100-29, 19-78100-31, 19- 78100-33, 19-78100-34 3.5 Credencial inspección obrante Radicado 19-78100-22. 3.6 Acta visita de inspección obrante radicado 19-78100-23. 3.7 Evidencias digitales obrante radicado 19-78100-35 3.8 Informe visita de inspección obrante radicado 19-78100-36. 3.9 Acta de preservación de páginas Web obrante radicado 19-78100-37” Se ordenó el decreto de las siguientes pruebas: “(…) 4.1.

Aportar todos los audios de gestión de la relación comercial entre la sociedad NETGOSIT S.A.S. y los titulares: XXXXXXXXXXXXXXXX, XXXXXXXXXXX, XXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXX XXXXX XXXX XXXXXXXX XXXXX. 4.2. Aportar cualquier medio probatorio que asegure la integridad de prueba de los audios de gestión de la relación comercial entre la sociedad NETGOSIT S.A.S. y los titulares: XXXXXXXXXXXXXXXX, XXXXXXXXXXX, XXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXX XXXXX XXXX XXXXXXXX XXXXXXXXXX. 4.3.

Aportar copia de autorización para tratamiento de datos personales de menores de edad debidamente firmada y el correspondiente soporte que asegure la integridad de la prueba de la misma. 4.4. Aportar copia de los manuales de seguridad de la sociedad NETGOSIT S.A.S. 4.5. Aportar copia del manual interno de políticas y procedimientos para garantizar la atención de consultas y reclamos. 4.6.

Aportar copia de la respuesta y recibido de la solicitud de supresión de información elevada por la señora XXXXX XXXXXXX (…)”.

SEXTO: Que la Resolución No. 74573 del 23 de noviembre del 2020, le fue comunicada el 24 de noviembre del 2020 a la sociedad NETGOSIT S.A.S, según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 19-78100-58 de 9 de diciembre del 2020.

SÉPTIMO: Que el 4 de diciembre de 2020 a través del Rdo. 19-78100- -57 la sociedad NETGOSIT S.A.S. se pronunció frente a la Resolución No. 74573 del 23 de noviembre del 2020, donde manifestó lo siguiente: 7.1 Afirma que no guardan audios y realizan llamadas con posterioridad al contacto del cliente: “Cuando el cliente ingresa sus datos al formulario da clic en aceptar los términos de facebook y nuestra política que está enlazada al formulario.

En nuestra política http://netgosit.com/politicade-privacidad/ informamos las finalidades de usos de la información personal”. 7.2. Manifiestan que “es importante precisar que nosotros no compramos bases de datos, ni realizamos llamadas de manera aleatoria, la única manera de contactarnos con los clientes, es porque mostró interés en los productos que ofrecemos”. 7.3 Señalan que no realizan tratamiento de datos personales de menores de edad y remiten copia del manual de seguridad y el manual interno de políticas y procedimientos con el procedimiento de consulta y reclamo. 7.4 Indican que “No hemos dado respuesta a la señora XXXXX XXXXXXX toda vez que ese nombre no se encuentra registrado en nuestras bases de datos”.

OCTAVO: Que el 03 de mayo de 2021 a través de oficio 19-78100- -59 este Despacho dio por concluida la etapa probatoria y corrió traslado para presentar alegatos a la sociedad NETGOSIT S.A.S.

NOVENO: Que, dentro del término concedido para el efecto, la sociedad NETGOSIT S.A.S, no presentó alegatos de conclusión en el presente expediente con el fin de ejercer su derecho a la defensa y contradicción.

DÉCIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO PRIMERO: Análisis del caso 11.1. Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20112, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). (ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a:  El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la misma Ley, y con el artículo 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015.  El literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012.  Literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.2.1 del Decreto Único Reglamentario 1074 de 2015.  El literal j) del artículo 17 en concordancia con el artículo 14 y el literal e) del artículo 4 de la Ley 1581 de 2012.  El literal j) del artículo 17 en concordancia con el artículo 15 de la Ley 1581 de 2012.  El literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta las razones de hecho y de derecho aducidas por la investigada en los escritos allegados y el conjunto de pruebas obrantes en el expediente. 11.2. Valoración probatoria y conclusiones 11.2.1 Respecto al deber de Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

El literal a) del artículo 17 de la Ley 1581 de 2012, establece uno de los deberes que deben cumplir los Responsables del Tratamiento en los siguientes términos: “Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data”. Por su parte, la Corte Constitucional ha definido el derecho de hábeas data en los siguientes términos: “El derecho fundamental de hábeas data, es aquel que otorga la facultad al titular de datos personales, de exigir a las administradoras de datos personales el acceso, inclusión, exclusión, corrección, adición, actualización, y certificación de los datos, así como la limitación en las posibilidades de divulgación, publicación o cesión de los mismos, conforme a los principios que informan el proceso de administración de bases de datos”3.

(Negrilla fuera de texto). En este sentido, los deberes y derechos contenidos en la Ley 1581 de 2012, específicamente para el presente caso son relevantes más aun cuando dentro de dichos los deberes, los Responsables deben garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data. La Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realiza el análisis constitucional de la Ley Estatutaria 1581 de 2012 manifestó: Corte Constitucional, sentencia C-748/11, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

“De conformidad con la jurisprudencia de esta Corporación, dentro de las prerrogativas – contenidos mínimos- que se desprenden de este derecho encontramos por lo menos las siguientes: (i) el derecho de las personas a conocer –acceso- la información que sobre ellas están recogidas en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información;

(ii) el derecho a incluir nuevos datos con el fin de se provea una imagen completa del titular; (iii) el derecho a actualizar la información, es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada y corregida, de tal manera que concuerde con la realidad;

(v) el derecho a excluir información de una base de datos, bien porque se está haciendo un uso indebido de ella, o por simple voluntad del titular –salvo las excepciones previstas en la normativa.” (Negrilla fuera de texto). Al respecto, debe precisar este Despacho, que tal como lo manifiesta la Corte Constitucional, el derecho de habeas data, otorga la facultad al Titular de los datos personales de exigir el acceso, corrección, adición, actualización y eliminación de su información, por lo que resulta apenas claro, que los Responsables y Encargados del Tratamiento, deben proceder de conformidad, implementando las medidas y procedimientos correctos, dirigidos a la protección de los datos personales y su adecuado Tratamiento, garantizando al Titular de la información el libre acceso y el cumplimiento de las solicitudes que él mismo efectúe respecto de su información. En relación con lo anterior, y frente a la posibilidad que tienen los Titulares de eliminar la información que de ellos reposa en bases de datos, el literal a) del artículo 8 de la Ley 1581 de 2012 establece lo siguiente: “Artículo 8°.

Derecho de los Titulares. El Titular de los datos personales tendrá los siguientes derechos: (…) a) Conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado;

(…)”. Así mismo, el artículo 2.2.2.25.4.2 del Decreto Único Reglamentario 1074 de 2015 dispone lo siguiente: “ARTÍCULO 2.2.2.25.4.6. Revocatoria de la autorización y/o supresión del dato. Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.

La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en base de datos. Responsable y encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada, vencido término legal respectivo, el responsable y/o el encargado, según el caso, no hubiera eliminado datos personales, Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión los datos personales.

Para estos efectos se aplicará el procedimiento descrito en el artículo de la Ley 1581 de 2012”. Retomando el caso particular, preliminarmente este Despacho encontró que la sociedad NETGOSIT S.A.S. es la propietaria, desarrolladora y administradora y de las páginas web: productosquefuncionan.com y consejoyfigura.com, de las cuales llegó información publicitaria a los titulares XXXXX XXXXXXX, XXXXX XXXXXXX y XXXXX XXXXXXX XXXXXX, por medio de mensajes de texto a sus teléfonos celulares sin que mediara una autorización por parte de estos.

De igual manera, esta Dirección pudo evidenciar que a pesar de que los denunciantes solicitaron a la sociedad investigada en diferentes oportunidades que suprimiera sus datos personales, esta continúo enviando los mensajes de texto y tratando su información personal tal como se evidencia a continuación:  XXXXX XXXXXXX quien afirmó “jamás he comprado productos de dicha empresa, la cual solo da respuesta a solicitudes de productos o pedidos y no ha tenido en cuenta mi solicitud de que eliminen mis datos de su empresa”4.  XXXXX XXXXXXX manifestó que “Ejerciendo mi derecho de “Revocatoria de la autorización y/o supresión del dato” (artículo 9 del Decreto 1377 de 2013), me dirigí al sitio web de la empresa y busqué la manera de realizar mi reclamación ante la misma.

En la página web no se mostraba información de contacto alguna (Imagen 2), por lo que decidí ir a la sección “No Recibir más Mensajes Clic Aquí en la parte inferior de la página”5, sin embargo, continuó recibiendo mensajes de contenido publicitario.  XXXXX XXXXXXX XXXXX indicó que “Busqué en la página http://productosquefuncionan.com/ un contacto o alguna herramienta para darme de baja de sus comunicaciones.

Encontré esta opción en la que pedí que me dieran de baja https://productosquefuncionan.com/contactenos, pero nunca recibí respuesta y en cambio sigo recibiendo mensajes promocionales” 6 Así mismo, el señor XXXXXX allegó junto con la queja, copia del mensaje de correo electrónico enviando a la investigada solicitando la eliminación de sus datos personales tal como se evidencia a continuación: Así mismo, en la visita administrativa adelantada el 06 de septiembre de 2019 en las instalaciones de la sociedad NETGOSIT S.A.S, se pudo evidenciar que el procedimiento de fidelización de clientes es realizado por un área de call center, quienes realizan llamadas y envían mensajes de texto con base en unos datos suministrados directamente por el Representante legal, quien no atendió la visita ni tampoco allegó la copia de las autorizaciones solicitadas por los funcionarios de la Superintendencia. No obstante, en la diligencia se evidenció que no cuentan con un manual o protocolo en el que se desarrolle el ciclo del dato, esto es el tratamiento desde su recolección hasta su eliminación, aunque cuentan con la opción de “eliminar usuario de las listas de publicidad” no se conserva la evidencia de la forma que se aplica el mismo y si refleja en el sistema un cambio de estado activo a eliminado7.

Expediente acumulado 19-188687- -00000 página 1 Expediente acumulado 19-161416- -00000 página 2 Expediente acumulado 19-195117- -00000 página 1 Expediente digital 19-78100 - -36 folio 8. Por su parte, la sociedad investigada guardó silencio respecto de los cargos formulados en la Resolución 32965 del 30 de junio de 2020, puesto que no presento Descargos ni alegatos de conclusión en la presente investigación, y por lo cual no demostró ni manifestó si realizó la supresión de los datos personales de los denunciantes.

Ahora bien, una vez analizadas las pruebas antes mencionadas, esta Dirección encuentra plenamente probado dentro del expediente que la sociedad NETGOSIT S.A.S. trató los datos personales de los señores XXXXX XXXXXXX, XXXXX XXXXXXX y XXXXX XXXXXXX XXXXXX, al enviar mensajes de texto con información publicitaria a sus teléfonos celulares. De igual manera esta entidad conoció las distintas reclamaciones realizadas por los titulares a la sociedad investigada con el fin de solicitar la eliminación de su información personal y evitar el envío de nuevos mensajes.

No obstante, los titulares manifestaron que pese a las solicitudes continuaron recibiendo los mensajes publicitarios, sin lograr que sus peticiones fueran atendidas de manera diligente y oportuna. Violando así su derecho fundamental de habeas data. En atención a lo anterior, es menester destacar que uno de los pilares fundamentales de la regulación en materia de protección de datos personales es la exigencia de contar con la autorización previa, expresa e informada del Titular, esto es, la expresión de la voluntad inequívoca otorgada por el mismo para que sus datos personales sean recolectados ingrese a la base de datos del caso y se utilicen para los fines que fueron autorizados.

Sin embargo, dicho consentimiento que, si en algún momento fue brindado por los Titular, no es inamovible, pues este puede ser revocado a solicitud de este. Entonces, es claro que de conformidad con los principios que regulan la administración de datos personales, el ejercicio del derecho fundamental de hábeas data permite a los Titulares solicitar la exclusión de información que haya sido recogida en bases de datos, y revocar la autorización y solicitar la supresión del dato cuando, además de que no se respeten los principios, derechos y garantías constitucionales y legales8, no exista una obligación legal o contractual que imponga al titular el deber de permanecer en la referida base de datos.

Sumado a lo anterior, y partiendo del hecho de que la sociedad investigada debió eliminar los datos personales de los titulares una vez estos solicitaron la supresión de estos, no es admisible que la sociedad NETGOSIT S.A.S., no atiende cada una de las peticiones formuladas por los señores XXXXX XXXXXXX, XXXXX XXXXXXX y XXXxxxxxX XXXXXXX XXxxXXXX, y ni siquiera elimine los datos y siga tratando la información personal.

Sumado a lo anterior, esta Dirección tampoco observa que, de En cuyo caso, y con el fin de garantizar el debido proceso, corresponderá a la Superintendencia de Industria y Comercio determinar que en el tratamiento el Responsable o el Encargado han incurrido en conductas contrarias al ordenamiento. acuerdo con lo previsto por el artículo 2.2.25.2.6 del Decreto Reglamentario 1074 de 2015, exista una justificación legal o contractual para no dar trámite a la solicitud elevada por el Denunciante en este sentido.

Así las cosas, esta Dirección encuentra demostrado que la sociedad NETGOSIT S.A.S. no garantizó el derecho de hábeas data de los Titulares mencionados al desconocer la facultad que le asiste de solicitar la eliminación de información que de él se encuentre en bases de datos y que se proceda oportunamente con ello, por lo cual se evidencia el actuar negligente de la investigada en el cumplimiento del deber previsto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal d) del artículo 4 de la misma Ley, y con el artículo 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015. 11.2.2 Respecto al deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento En primer lugar, la regulación colombiana exige a los Responsables del Tratamiento “ser capaces de demostrar (…) que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012” y en sus normas reglamentarias.

Por su parte, en cabeza de los Responsables de Tratamiento de datos personales se encuentra la de cumplir con los principios señalados en la ley. Por ejemplo, el de circulación restringida y de seguridad. De tal manera que, entre otras cosas, los responsables del tratamiento deben garantizar que la información personal no sea objeto de divulgación, pérdida, consulta, uso o acceso no autorizado.

Ahora bien, aun existiendo el consentimiento de éste, la divulgación, circulación y acceso de los datos tiene que estar controlada y restringida frente a terceros no autorizados. Por esta razón, la ley ha impuesto a los responsables del tratamiento una serie de deberes encaminados a dicho fin. Sir ir mas lejos, se encuentra el deber señalado en el literal d) del artículo 17 de la ley 1581 de 2012: “conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración pérdida consulta, uso o acceso no autorizado o fraudulento”.

Así pues, el Responsable deberá tener en cuenta diferentes variables para realizar un análisis de riesgo. Por ejemplo, el volumen de la base de datos a la que realiza Tratamiento, la naturaleza de los datos, sitio y medio en el que se almacena la información, personas que tienen acceso a la misma, entre otras. Con esto, se establecer las vulnerabilidades en cada etapa del ciclo de vida del dato para implementar las medidas o controles de seguridad que sean directamente proporcionales a los riesgos de los datos tratados.

De esta manera, el legislador dispuso, entre otros, como principios rectores del Tratamiento y la administración de los datos personales, el principio de circulación restringida, el principio de seguridad y de confidencialidad. Concretamente, el artículo 4 de la Ley 1581 de 2012 dispone lo siguiente: “(…) f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley; g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma (…)”.

Como se advierte, tanto el principio de acceso y circulación restringida como el de seguridad deben ser cumplidos por los Responsables y Encargados de información para garantizar el derecho de habeas data de los titulares. De la adopción de medidas de conservación de la información y de los controles de seguridad implementados depende que se minimicen los riesgos de exposición de los datos personales.

Al respecto este Despacho considera de gran importancia señalar que, si bien la Superintendencia no ha emitido un listado taxativo de las medidas de seguridad que deben implementar los Responsables y Encargados del Tratamiento de datos personales, el artículo 26 y 27 del Decreto 1377 de 2013 vigentes para la época de los hechos y recopilados por el Decreto Único Reglamentario 1074 de 2015, ha establecido los parámetros con base en los cuales los Responsables deben implementar las medidas apropiadas y efectivas en cumplimiento de lo dispuesto por la Ley 1581 de 2012.

En efecto, las normas en cuestión señalan: “Artículo 26. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”. Por su parte, el artículo 27 estableció: “(…) Artículo 27. Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio.

Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.

La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto (…)”.

De esta manera, es claro entonces que el Responsable de Tratamiento de Datos personales cuenta con unos lineamientos mínimos para implementar las medidas de seguridad que considerara aptas y suficientes con el fin de garantizar la protección de los datos personales de los Titulares registrados en sus bases de datos. Con base en las consideraciones realizadas, encuentra este Despacho que el Responsable del Tratamiento de Datos Personales debe implementar las medidas de seguridad con el fin de conservar la información bajo las condiciones de seguridad necesarias a través de la implementación y documentación de: (i) acuerdos de confidencialidad con las personas que tienen acceso a la información personal, (ii) un procedimiento para la Gestión de usuarios con acceso a la información personal y (iii) una política y procedimiento de gestión de incidentes de seguridad de la información personal, sin perjuicio de otras medidas que considere deban ser implementadas de acuerdo con el estudio y análisis de riesgo desarrollado por la sociedad.

Ahora bien, durante la visita administrativa realizada en a instalaciones de la sociedad NETGOSIT S.A.S. el día 6 de septiembre de 2019, Se pudo observar que la inspeccionada cuenta con una plataforma desde la cual los asesores de ventas obtienen los datos de contacto de potenciales compradores que se registraron en la página. En virtud de la demostración realizada, una vez la asesora ingresa al sitio web con un usuario y contraseña propios, tiene la opción “Ver prospectos sin llamar”, de la cual se despliega una tabla con los datos personales de los titulares a contactar durante el día para ofrecer productos;

Base de datos de la cual no conoce el origen. Imagen 1. Prospectos sin llamar Captura obtenida del video generado durante visita administrativa. Netgosit S.A.S Cali. Como parte de la inspección también se seleccionó el equipo de cómputo de una de las asesoras de venta, donde se encuentra instalada la plataforma “productos que funcionan” y donde se recolectan números de celular y correos electrónicos de los titulares, de la inspección de evidenció lo siguiente:  No existe bloqueo para la utilización de Puertos USB, toda vez que el equipo permitió formatear un disco duro, así como la copia de archivos desde PC a un medio extraíble USB.  Se pueden realizar Capturas de Pantalla.  El usuario puede ejecutar archivos con extensión exe, sin que para esto requiera clave de administrador.  El equipo contaba con una versión de prueba de antivirus cuya licencia había caducado al momento de la visita administrativa.  Se puede acceder a las redes sociales sin ningún tipo de restricción.  Se puede acceder a servicios de almacenamiento en la nube como: Dropbox y Google Drive sin restricciones.  Se tiene libre acceso a cuentas de correo electrónico distintos a los corporativos  El acceso al Equipo requiere una contraseña la cual nunca solicita cambio.

En cuanto a la recolección de los datos personales de los potenciales compradores, se observó que la sociedad NETGOSIT S.A.S tiene disponible en su página web http://netgosit.com/contacto/, un formulario titulado “Contacto” en donde se recolectan los datos: nombre, email, empresa y teléfono, el cual no cuenta con mecanismos de aceptación de los términos y condiciones y de Política de Tratamiento y Protección de Datos Personales.

Imagen 4. Formulario Contacto, obtenida con impresión por pantalla la Aplicación de Microsoft Windows Recortes. La Dirección también encontró que el formulario no contiene validación de seguridad para comprobar que es un humano quien diligencia los registros y no un robot, este no cuenta con certificados de seguridad SSL y la Política de tratamiento de datos personales no se encuentra disponible en el sitio web.

Ahora bien, una vez revisadas las pruebas antes enunciadas este Despacho debe precisar, que la adopción de medidas necesarias para salvaguarda los datos personales de los Titulares, se debe observar teniendo en cuenta factores como el volumen de la información alojada en la base de datos a la que se le realiza el Tratamiento, como la naturaleza de los datos que trata, por lo cual dichos controles deberán ser directamente proporcionales al tipo de base de datos.

De esta manera, se encontró que la sociedad investigada no tiene una infraestructura tecnológica controlada sin prevenir el riesgo al que expone los datos personales de los titulares, pues pese a que aportó una política de seguridad de la información junto con un manual de seguridad, se pudo evidenciar que los pocos controles allí mencionados no son implementados por la compañía, pues, aunque en ellos se menciona la necesidad de contar con un antivirus en los equipos de cómputo, dicho software no estaba en funcionamiento al momento de la visita administrativa.

De acuerdo con lo expuesto, es preciso indicar que dentro de los principios para el Tratamiento de los datos personales dispuestos por la Ley 1581 de 2012, se encuentra el principio de seguridad el cual establece que “La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”.

Por su parte en desarrollo de dicho principio el legislador dispuso entre los deberes a los Responsables del Tratamiento el de “Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, perdida, consulta, uso o acceso no autorizado o fraudulento”. Ahora bien, de la lectura del principio mencionado y del deber correlativo, es notorio que éstos no establecen de manera específica cuáles son las medidas conducentes para brindar la debida seguridad a la información para evitar la “adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”; no obstante, sí señala que deben implementarse las medidas que a juicio del Responsable o el Encargado sean las necesarias para cumplir con los objetivos antes mencionados, que no son otros que los de evitar la adulteración, perdida, consulta, uso o acceso no autorizado o fraudulento de datos personales.

Más aún, el artículo 2.2.2.25.6.1 del Decreto 1074 de 2015, el cual introdujo en la normatividad nacional el concepto de Accountability o Responsabilidad Demostrada, hace énfasis a dicha situación, cuando dispone que “(l)os responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente (…)” (subrayado fuera del texto).

De lo anterior, queda claro que corresponde, en principio, a los Responsables –y por extensión normativa a los Responsables-, demostrar al ente de control que dispusieron de las medidas de seguridad apropiadas para la conservación de la información que es objeto de los Tratamientos por ellos definidos, por lo que son éstos quiénes definirían tales controles, de acuerdo a los cuatro supuestos fundamentales contenidos en el artículo 2.2.2.25.6.1 del Decreto 1074 de 2015, el cual indica lo siguiente: “1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podría causar sobre los derechos de los titulares”.

En tal sentido, se infiere que las organizaciones deberán adoptar políticas internas efectivas a fin de demostrar una debida diligencia en el Tratamiento de los datos personales, para cumplir las obligaciones establecidas por la Ley, situación que no se evidenció en la visita administrativa realizada en las instalaciones de la Sociedad NETGOSIT S.A.S., como tampoco dentro de las oportunidades legales que tenía la investigada para pronunciarse dentro de la presente investigación, y que por el contrario decidió guardar silencio, sin ejercer su derecho de defensa y contradicción. Así pues, se concluye que el responsable del tratamiento no está observando con la debida diligencia el deber establecido en el literal d) del artículo 17 de la Ley 1581 de 2012 ya que la sociedad NETGOSIT S.A.S., motivo por el cual se impondrá la sanción correspondiente. 11.2.3 Respecto al deber de atender las peticiones quejas y reclamos, así como adoptar un manual interno de políticas y procedimientos para dicha atención. La Ley 1581 de 2012 señala en el literal j) del artículo 17 que el Responsable del Tratamiento de Datos de estos deben “[t]ramitar las consultas y reclamos formulados en los términos señalados en la presente ley”.

Adicionalmente, la misma Ley menciona en su artículo 15 que: “ARTÍCULO 15. RECLAMOS. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1.

El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.

Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.

Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.

Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.” (Subrayado fuera del texto original) En este punto, vale la pena recordar, recordar lo señalado por la jurisprudencia de la Corte Constitucional acerca de la protección fundamental del derecho de petición. Así, por ejemplo, en la sentencia T-149 del 2013, el Alto Tribunal precisó que el derecho de petición solo se garantiza y satisface en la medida en que “(…) la entidad [notifique] la respuesta al interesado (…)”.

Sobre este punto, precisó la Corte: “(…) debe precisarse en primer lugar, que esta debe ser efectiva, es decir, real y verdadera, y que cumpla el propósito de que la respuesta de la entidad sea conocida a plenitud por el solicitante. (…)”. De igual manera, en la sentencia T-490 del 2018 la Corte recordó las siguientes reglas: “(…) 1. El derecho de petición está previsto en el artículo 23 de la Constitución Política y fue regulado por la Ley estatutaria 1755 de 2015.

A la luz de esta normativa, toda persona tiene derecho a “presentar peticiones respetuosas a las autoridades por motivos de interés general o particular y a obtener pronta resolución”. En la sentencia C-951 de 2014, la Corte determinó que “el núcleo esencial del derecho de petición se circunscribe a” (i) la formulación de la petición, (ii) la pronta resolución, (iii) la respuesta de fondo y (iv) la notificación de la decisión. 42.

Primero, la formulación de la petición implica el derecho que tienen las personas de presentar “solicitudes respetuosas, sin que éstas se nieguen a recibirlas o se abstengan de tramitarlas”. Segundo, la pronta resolución implica el derecho de las personas a que las autoridades y los particulares respondan las solicitudes en el menor plazo posible, sin que se exceda el tiempo legal previsto para el efecto, esto es, por regla general, “dentro de los quince (15) días siguientes a su recepción”. 43.

Tercero, la respuesta de fondo no implica “otorgar lo pedido por el interesado”, sino el derecho que tienen las personas a que las autoridades y los particulares respondan sus peticiones de manera clara, precisa, congruente y consecuente. La claridad supone que la respuesta sea inteligible y de fácil comprensión. La precisión exige que la respuesta atienda, de manera concreta, lo solicitado, sin información impertinente “y sin incurrir en fórmulas evasivas o elusivas” La congruencia implica que la respuesta “abarque la materia objeto de la petición y sea conforme con lo solicitado”.

La consecuencia de la respuesta conlleva que “no basta con ofrecer una respuesta como si se tratara de una petición aislada o ex novo, sino que, si resulta relevante, debe darse cuenta del trámite que se ha surtido y de las razones por las cuales la petición resulta o no procedente. 44. Cuarto, la notificación de la decisión garantiza el derecho de la persona a conocer la respuesta a su solicitud, así como a impugnarla y controvertirla.

(…)”. (Subrayado fuera del texto original). Es evidente, por lo tanto, que la obligación del Responsable del Tratamiento no cesa con la simple resolución del derecho de petición elevado por el titular de la información, es necesario además que dicha solución remedie sin confusiones el fondo del asunto; que este dotada de claridad y congruencia entre lo pedido y lo resuelto; e igualmente, que su oportuna respuesta se ponga en conocimiento del solicitante, sin que pueda tenerse como real, una contestación falta de constancia y que sólo sea conocida por la persona o entidad de quien se solicita la información relacionada con sus datos personales.

En este sentido, esta Dirección encontró, en etapa preliminar que, en el caso analizado, los titulares XXXX XXXXXXX, y XXXXXX XXXXX XXXXX, solicitaron a la sociedad NETGOSIT S.A.S. que suprimiera sus datos personales, pues advirtieron un presunto incumplimiento a los deberes establecidos en el Régimen General de Protección de Datos Personales.

Al respecto, no reposa dentro de la presente actuación administrativa prueba alguna que permita inferir que la Responsable del Tratamiento tramitó la reclamación presentada por los denunciantes. Ahora bien, revisado el acervo probatorio que obra en el expediente se observa lo siguiente:  La señora XXXXX XXXXXXX, dando respuesta a un mensaje de texto allegado por la sociedad investigada solicita que se le indique, ¿quién autorizo el uso de sus datos, tal como se evidencia en la siguiente imagen? Petición a la cual no tuvo ninguna clase de respuesta.

No obstante, luego del requerimiento realizado a la sociedad NETGOSIT S.A.S., mediante la Resolución N° 74573 de 23 de noviembre de 2020, esta manifestó que “No hemos dado respuesta a la señora XXXXX XXXXXX toda vez que ese nombre no se encuentra registrado en nuestras bases de datos”.  El señor XXXXXX XXXXX XXXXXX, el 13 de agosto de 2019 envió una petición de correo electrónico a la cuenta xxxxxxxx@xxxxxxxxxxxxxxxxxxxx.xxx con el fin de solicitar información respecto de sus datos personales, tal como se evidencia a continuación: No obstante, el titular, indicó que no tuvo ningún tipo de respuesta por parte de la sociedad investigada, y esta tampoco manifestó dentro del desarrollo de la presente investigación, haber atendido en debida forma dicha petición. Al respecto, no se observa dentro del expediente que la sociedad investigada haya tramitado, de conformidad con lo establecido en la Ley 1581 de 2012 y la jurisprudencia citada líneas atrás, las peticiones de los señores XXXXX XXXXXXX, y XXXXXX XXXXX XXXXXX.

Por lo anterior, se encuentra probado el incumplimiento al deber legal de tramitar los reclamos presentados por los Titulares en la medida en que no existe prueba que demuestre que la investigada haya tramitado y resuelto las peticiones. Al respecto, es importante mencionar que la Ley 1581 de 2012, trae consigo, derechos, principios y deberes que deben ser respetados por los Responsables y Encargados del Tratamiento, pues del buen manejo de estos, depende la garantía del derecho fundamental de habeas data, que por su puesto va más allá de la literalidad del derecho a conocer, actualizar y rectificar los datos personales que hayan sido alojados en una base de datos.

Pues el desarrollo legal del derecho de habeas data no se limita a que el titular solo tenga derecho a conocer sus datos, sino también a conocer, quién, el por qué, el para qué, el cuándo y el cómo, fueron recolectados sus datos personales. además, los titulares pueden hacer reclamaciones cuando estos adviertan un presunto incumplimiento de los deberes o principios contenidos en ley por-parte de los Responsables y Encargados del tratamiento De acuerdo con lo expuesto, cobra mayor sentido los principios dispuestos en el artículo 4 de la Ley 1581 de 2012, pues así lo menciona el legislador cuando señala que “en el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios”, entre los cuales encontramos el principio de finalidad, el cual indica que el tratamiento de los datos personales debe obedecer a una finalidad legítima, principio que es traducido a un derecho tal como lo señala el literal c) de su artículo 8 que reza: el titular tiene derecho a ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus datos personales”, y dicho principio también es un deber, el cual lo podemos evidenciar en el literal c) y m) del artículo 17 que disponen: los Responsables del Tratamiento deberán cumplir los siguientes deberes c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada; y m) Informar a solicitud del Titular sobre el uso dado a sus datos.

En consecuencia, este Despacho encuentra que la sociedad investigada incumplió con los deberes contemplado en el literal j) del artículo 17 en concordancia con el artículo 15 de la Ley 1581 de 2012, puesto que no atendió las peticiones de XXXXX XXXXXXX, y XXXXXX XXXXX XXXXXX en el sentido de obtener confirmación sobre los datos registrados que dicha sociedad tiene bajo su custodia o posesión, razón por la cual se impondrá la sanción correspondiente.

Ahora bien, frente a la presunta vulneración al deber que la investigada ostenta en su condición de Responsable del Tratamiento de adoptar un manual para la atención de consultas reclamos, de conformidad con el literal k) del artículo 17 de la Ley 1581 de 2012 y en concordancia con el artículo 2.2.2.26.2.4 del Decreto Único Reglamentario 1074 de 2015 que establecen lo siguiente: "(…) Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial para la atención de consultas y reclamos.” Decreto único Reglamentario 1074 de 2015 “ARTÍCULO 2.2.2.26.2.4.

Canales para ejercer derechos. Son los medios de recepción y atención de peticiones, consultas y reclamos que el Responsable del Tratamiento y el Encargado del Tratamiento deben poner a disposición de los Titulares de la información, con los datos de contacto respectivos, por medio de los cuales el titular puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir sus datos personales contenidos en bases de datos y revocar la autorización que haya otorgado para el Tratamiento de los mismos, cuando esto sea posible.

Estos canales deben prever, por lo menos, la posibilidad de que el titular ejerza sus derechos a través del mismo medio por el cual fue recogida su información, dejando constancia de la recepción y trámite de la respectiva solicitud. En los casos en los que el Tratamiento de datos lo realice el Encargado, el Responsable del Tratamiento registrará la información de contacto del Encargado para que el titular pueda adelantar ante este el ejercicio de sus derechos, sin perjuicio de la posibilidad que tiene de acudir directamente al Responsable del Tratamiento(…)” Al respecto es necesario precisar que los aspectos analizados en el presente cargo se relacionan con los procedimientos internos que deben adoptar los Responsables de la información con el fin de garantizar la adecuada protección de los datos personales que trata, en virtud del desarrollo de sus actividades, por lo cual, su deber es desarrollar políticas internas efectivas que demuestren el cumplimiento de las obligaciones establecidas en la Ley 1581 de 2012 y en su Decreto Reglamentario.

En este sentido, esta Dirección encontró preliminarmente en la visita de inspección realizada en las instalaciones de la investigada, que la misma no ha implementado políticas y procedimientos de atención de consultas, quejas y reclamos. Frente al cargo objeto de estudio, se tiene que a través de la Resolución No. 74573 del 23 de noviembre de 2020 se decretó dentro de la práctica de pruebas aportar copia del manual interno de políticas y procedimientos para garantizar la atención de consultas y reclamos, la investigada manifestó a través de escrito del 4 de diciembre de 2020 que “Enviamos nuevamente el manual interno de políticas y procedimientos con el procedimiento de consulta y reclamo, el cual ya lo habían solicitado en la resolución anterior (la Radicación: 19-88622-35 Trámite: 384 Evento: 330 Actuación: 709 Folios: 1)”.

Al respecto y una vez revisados los documentos aportados por la sociedad NETGOSIT S.A.S., tanto en el expediente 19-88622, como los allegados dentro de la presente investigación se observan dos documentos denominados “MANUAL DE SEGURIDAD DE INFORMACIÓN” y “POLÍTICA DE SEGURIDAD DE INFORMACIÓN”, en los cuales no se evidencia en ninguno de sus acápites, un procedimiento o si quiera una mención, al trámite de para la atención de peticiones quejas o reclamos interpuestas por los titulare, motivo por el cual se impartirá la orden respectiva. 11.2.4.

Respecto al deber de adoptar una Política de Tratamiento de Datos Personales. El literal k) del artículo 17 de la Ley 1581 de 2012 establece el deber de “[a]doptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos”, en concordancia, el literal e) del artículo 4 desarrolla el principio de transparencia “[e]n el Tratamiento debe garantizarse el derecho del Titular a obtener del Responsable del Tratamiento o del Encargado del Tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan”.

Por su parte, el artículo 25 de la Ley 1581 de 2012 señala: “ARTÍCULO 25. DEFINICIÓN. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes.

Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. (…)”. (Resaltado fuera del texto) Al respecto, el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015 señala que los Responsables del Tratamiento deberán (i) escribir sus políticas para el tratamiento de los datos personales;

(ii) implementarlas en medio físico o electrónico, en un lenguaje claro y sencillo; y (iii) ser puestas en conocimiento de los Titulares. El artículo también especifica la información que debe incluir en la política, que en ningún caso debe ser inferior a lo establecido en dicha norma, de conformidad con el artículo 25 de la Ley 1581 de 2012.

Cita la norma: “(…) Artículo 2.2.2.25.3.1. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas. Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares.

Dichas políticas deberán incluir, por lo menos, la siguiente información: 1. 2. 3. 4. 5. 6. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. Derechos que le asisten como Titular.

Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos.

Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente Decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas. (…)”. En este sentido, esta Dirección encontró preliminarmente que la investigada no cuenta y no tiene implementada la Política de Tratamiento de Datos Personales, en consideración a que este Despacho con ocasión a la visita administrativa realizada el 06 de septiembre de 2019 en las instalaciones de la sociedad NETGOSIT S.A.S no acreditó que contaba con una Política de Tratamiento de la Información. Adicionalmente el 12 de julio de 2019 consecutivo 19-78100- -00037 se realizó preservación web donde se evidenció que la sociedad no tenía implementada una Política de Tratamientos Personales: En torno a este asunto, es importante señalar que: (1) la política de tratamiento es una herramienta que permite a los Titulares de la Información pedir, en cualquier tiempo, cuentas a los Responsables del Tratamiento, controlar el uso de sus datos personales y ejercer sus derechos de acceso, actualización, supresión y rectificación de sus datos personales y de revocatoria de la autorización. (2) Este documento debe ser transparente y de fácil acceso para los Titulares de la Información, ya sea por medio escrito9, formatos electrónicos10, medios verbales o cualquier otra tecnología disponible, siempre y cuando garantice y cumpla con el deber de informar al Titular de la Información, y estar redactados un lenguaje sencillo y claro.

(3) Los Responsables del Tratamiento deberán poner en conocimiento al Titular de la Información, a más tardar al momento de la recolección de los datos personales, la política de tratamiento de información personal. La reunión de estos elementos permiten garantizar “el ámbito de protección del derecho de habeas data”11, pues resultan oponibles al sujeto obligado en los procesos de recolección, tratamiento, circulación y disposición final de datos, así como también permite garantizar a los Titulares el pleno y efectivo ejercicio del derecho de habeas data a través de la implementación y puesta en marcha, a su vez, de los principios que rigen el tratamiento de los datos personales mediante herramientas claramente definidas y los procedimientos para su implementación. En virtud de lo expuesto, se contempla la necesidad de impartir una orden administrativa tendiente a que se implemente una Política de tratamiento de Datos personales por la sociedad NETGOSIT S.A.S de acuerdo con las disposiciones del artículo 25 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015. 11.2.5 Frente a la responsabilidad de los administradores en materia de Protección de datos Personales Es oportuno resaltar lo conceptuado en la Resolución No. 83882 del 15 de noviembre de 2018, emanada del Despacho del Superintendente Delegado para la Protección de Datos Personales, respecto de la responsabilidad de los administradores.

Allí se señaló lo siguiente: “(…) 6.1. Responsabilidad de los administradores en materia de tratamiento de datos personales. Por ejemplo: medios impresos, anuncios impresos, formularios, etc Electrónicamente - en mensajes de texto; en los sitios web; en correos electrónicos; en aplicaciones móviles. Corte Constitucional, sentencia C-748 de 2011, M.P. María Victoria Calle Correa El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, ‘garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución’.

Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de, entre otros, los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico.

Por eso, el citado artículo ordena que las ‘autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares’. Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que ‘la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común’.

Dicho ‘bien común’ se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una ‘persona’ y no como un objeto o cosa. En línea con lo anterior, nuestra Carta Política recalca que la ‘libre competencia económica es un derecho de todos que supone responsabilidades’ y que la ‘empresa, como base del desarrollo, tiene una función social que implica obligaciones’.

Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual ‘el fin justifica los medios’. En efecto, no se trata de una libertad ilimitada, sino de una actividad ‘restringida’ porque no sólo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales.

El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas. Es por eso que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley.

Ahora bien, según el artículo 22 de la ley 222 de 1995 20 la expresión administradores comprende al ‘representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones’. Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma.

Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben ‘obrar de buena fe, con lealtad y con la diligencia de un buen nombre de negocios’, sino que en el cumplimiento de sus funciones deben ‘velar por el estricto cumplimiento de las disposiciones legales o estatutarias”21(subrayamos) (…) Nótese que el artículo 2422 de la ley en comento presume la culpa del administrador ‘en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos’.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un ‘buen hombre de negocios’ tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden ‘solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros’23.

Todo lo anterior pone de presente no sólo el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, sino el enorme profesionalismo y diligencia que debe rodear su gestión en el tratamiento de datos personales.”

DÉCIMO SEGUNDO: Imposición y graduación de la sanción 12.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Así mismo, la Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.”12 (Negrilla fuera de texto original).

Por su parte, la Corte Constitucional a través de Sentencia C-557 de 2000, señaló que la Ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental”.

El Plan Nacional de Desarrollo, Ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- implica ser acatado de manera inmediata por parte de todas las Entidades de orden nacional 13. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las Entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En efecto, la Ley 152 de 1994 artículo 26, dispone: “Con base en el Plan Nacional de Desarrollo aprobado, cada uno de los organismos públicos de todo orden a los que se aplica esta Ley preparará su correspondiente plan de acción.” En atención a lo anterior, el Plan de Acción Institucional es el instrumento técnico, legal e idóneo en materia implementación del Plan Nacional de Desarrollo para todas las Entidades públicas del orden Corte Constitucional, Sentencia C-564 de 17 de mayo de 2000, Magistrado Ponente Doctor Alfredo Beltrán Sierra.

Considerando 5.5.2. 13 Las entidades territoriales tienen sus propios Planes de Desarrollo, Ley 152 de 1994 artículos 31 y siguientes. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. nacional, y por tanto, las llamadas a incluir todas las herramientas en materia de planeación de la Entidad para cumplir con el mandato del Legislador.

En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las Entidades que conforman la Rama Ejecutiva del nivel nacional a través del respectivo Plan de Acción Institucional como lo establece la Ley 152 de 1994 artículo 26 inciso 1. Por ende, la Ley 1955 de 2019 artículo 49, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV.” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2022 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”14 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros15. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”16.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia17. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 23 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 12.2 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Frente al cargo formulado a la sociedad investigada, es claro para esta Dirección que la sociedad NETGOSIT S.A.S., en su calidad de Responsable del Tratamiento infringió los siguientes deberes: (i) En el caso sub-examine, quedó demostrado que se puso en peligro los intereses jurídicos tutelados por la ley 1581 de 2012, toda vez que, es claro que la sociedad investigada vulneró el derecho de habeas data del reclamante, pues no atendió efectivamente la solicitud de supresión de datos personales, por lo que mantuvo y trató los datos personales de este en contra de su consentimiento, violando el derecho que le asiste a los señores XXXXX XXXXXXX, XXXXX XXXXX y XXXXX XXXXX XXXXX de “revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.

La revocatoria y/o supresión procederá cuando la Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución”. En virtud de lo anterior, este Despacho impondrá una multa equivalente a A CIENTO VEINTICUARO UNIDADES DE VALOR TRIBUTARIO (124) por el incumplimiento del deber establecido en el literal a) del artículo 17, literal d) del artículo 4 de la misma Ley, y con el artículo 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015, sanción que resulta proporcional a la naturaleza de la infracción. (ii) En segundo término, y respecto al deber de “conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración pérdida consulta, uso o acceso no autorizado o fraudulento” esta Dirección considera que el legislador estatutario incorporó a la norma dicha obligación legal buscando minimizar el riesgo al que son expuestos los datos personales, por lo cual no existe justificación válida para no haber conservado la información personal de los Titulares y pese a que el riesgo no se materializó se puso en peligro dicha información. De esta manera, se debe entender que de las medidas de seguridad implementadas por los Responsables depende que la información no sea usada fraudulentamente llegando a perjudicar gravemente los derechos fundamentales como la intimidad y el buen nombre.

De igual manera, es necesario precisar que, si bien no se materializó ningún acto lamentable respecto de la información personal alojada por la investigada, se puso en peligro el bien jurídico tutelado por la Ley 1581 de 2012, motivo por el cual por el incumplimiento al literal d) del artículo 17 de la norma en mención este Despacho impondrá equivalente a A CIENTO VEINTICUARO UNIDADES DE VALOR TRIBUTARIO (124).

(iii) En tercer lugar, este Despacho encuentra demostrado que i) la sociedad NETGOSIT S.A.S realizó tratamiento de datos personales en calidad de Responsable del Tratamiento de los señores XXXXX XXXXXX, y XXXXX XXXXX XXXXX y que pese a que estos interpusieron peticiones para solicitar información acerca de la autorización otorgada para el tratamiento de los datos personales así como también solicitando la supresión de sus datos personales de las bases de datos de la investigada, no obstante esta no otorgó respuesta a las peticiones dentro del término legal establecido.

De esta manera, esta Superintendencia considera que, respecto a las conductas descritas, en el presente caso se impondrá una sanción equivalente a A CIENTO VEINTICUARO UNIDADES DE VALOR TRIBUTARIO (124), por la vulneración a lo dispuesto en el literal j) del artículo 17 de la Ley 1581 de 2012. 12.2.1 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 no se aplicará toda vez que la investigada no reconoció de manera expresa la comisión de la infracción al deber contemplado en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales a) y e) del artículo 4 y el artículo 15 de la misma Ley, así como con lo establecido en el artículo 2.2.2.25.4.2 del Decreto Único Reglamentario 1074 de 2015.

DÉCIMO TERCERO: ÓRDENES ADMINISTRATIVAS En este orden de ideas, de acuerdo con los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes órdenes: (i) La sociedad NETGOSIT S.A.S deberá implementar medidas técnicas, físicas y humanas de seguridad internas, dispuestas a la prevención y controles respecto del tratamiento de información personal.

Así mismo, deberá utilizar medios eficaces para la divulgación y capacitación de estas medidas y de las políticas de seguridad a todos los empleados de la organización. Igualmente, deberá llegar a este Despacho las pruebas pertinentes que acrediten la implementación de las medidas y la divulgación y capacitación al interior de la asociación. (ii) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial para la atención de consultas y reclamos de acuerdo con lo contemplado en el literal k) del artículo 17 de la Ley 1581 de 2012.

(iii) Implementar y poner en conocimiento de los Titulares de información la Política de Tratamiento de la Información de acuerdo con lo indicado en el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015. Para demostrar lo anterior, la sociedad investigada deberá acreditar ante esta entidad y dentro del término de tres (3) meses contados a partir de la ejecutoria de la presente decisión una certificación de cumplimiento de las órdenes impartidas por esta entidad, junto con las pruebas que acrediten la adopción de las órdenes aquí impuestas.

EXHORTAMOS a los Representantes Legales de la sociedad NETGOSIT S.A.S., para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

DÉCIMO CUARTO: CONCLUSIÓN Se procederá a imponer una sanción por las siguientes razones: (i) Se comprobó que la investigada no suprimió los datos de XXXXX XXXXXXX, XXXXX XXXXX y XXXXX XXXXX XXXXX de la base de datos de la compañía; por lo tanto, no garantizó el derecho de hábeas data de los Titulares mencionados al desconocer la facultad que le asiste de solicitar la eliminación de los datos que se encuentren en bases de datos y que se proceda oportunamente con ello, por lo cual se evidencia el actuar negligente de la investigada.

(ii) La sociedad no contaba con medidas de seguridad y mecanismos necesarias para proteger los datos personales tratados bajo su custodia o posesión, toda vez que los equipos donde se almacenan datos privados pueden ser objeto de adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, de igual forma se encontró que su página web tampoco cuenta con medidas adecuadas.

(iii) La sociedad no cuenta con un procedimiento específico para dar trámite a las solicitudes de los titulares en los términos de la Ley 1581 de 2012. (iv) Este Despacho encuentra demostrado que i) la sociedad NETGOSIT S.A.S realizó tratamiento de datos personales en calidad de Responsable del Tratamiento de los señores XXXXX XXXXXX, y XXXXX XXXXX XXXXX y que pese a que estos interpusieron peticiones para solicitar información acerca de la autorización otorgada para el tratamiento de los datos personales así como también solicitando la supresión de sus datos personales de las bases de datos de la investigada, no obstante esta no otorgó respuesta a las peticiones dentro del término legal establecido.

(v) La sociedad no cuenta con una Política de Tratamiento de la Información, la cual estaba en el deber de desarrollar, conforme a lo previsto de acuerdo con lo previsto en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la Ley 1581 de 2012 y el artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015.

DÉCIMO QUINTO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad NETGOSIT S.A.S identificada con Nit 900.886.785-1, esta Dirección ha concedido el acceso al presente Expediente digital a esta sociedad, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial de la sociedad gerencia@netgosit.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Finalmente, indicando que la totalidad del Expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad NETGOSIT S.A.S considera estrictamente necesario el acceso del Expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.

Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad NETGOSIT S.A.S identificada con Nit 900.886.785-1, de CATORCE MILLONES CIENTO TREINTA Y SIETE MIL CUATROCIENTOS OCHENTA Y OCHO PESOS M/CTE ($14.137.488), equivalente a TRESCIENTOS SETENTA Y DOS UVT (372), por la violación a lo dispuesto en: i) Lo contemplado en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal d) del artículo 4 de la misma Ley, y con el artículo 2.2.2.25.4.3 del Decreto Único Reglamentario 1074 de 2015. ii) El literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012. iv) El literal j) del artículo 17 en concordancia con el artículo 15 de la Ley 1581 de 2012.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 8999990902. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR a la sociedad NETGOSIT S.A.S lo siguiente: i) Implementar medidas de seguridad y mecanismos necesarias para proteger los datos personales tratados bajo su custodia o posesión toda vez que los equipos donde se almacenan datos privados pueden ser objeto de extracción y su página web tampoco cuenta con medidas adecuadas conforme a lo señalado en el literal d) del artículo 17 de la Ley 1581 de 2012. ii) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial para la atención de consultas y reclamos de acuerdo a lo contemplado en el literal k) del artículo 17 de la Ley 1581 de 2012 y en concordancia con el artículo 2.2.2.26.2.4 del Decreto Único Reglamentario 1074 de 2015. iii) Implementar y poner en conocimiento de los Titulares de información la política de tratamiento de datos personales de la responsable del tratamiento de datos.

Para dar cumplimiento a esta orden, la investigada deberá acreditar el cumplimiento de lo ordenado mediante certificación firmada por el representante legal y remitir la documentación pertinente dentro del término de los tres (3) meses siguientes a la ejecutoria de la presente decisión.

PARÁGRAFO PRIMERO: La sociedad NETGOSIT S.A.S identificada con Nit 900.886.785-1, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad NETGOSIT S.A.S identificada con Nit 900.886.785-1, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a sociedad NETGOSIT S.A.S identificada con Nit 900.886.785-1, a través de su representante legal y/o apoderado, entregándole copia de esta e informándole que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO CUARTO: COMUNICAR al señor ALONSO MOSQUERA JARAMILLO identificado con cédula de ciudadanía No. 98.774.095, al señor DANIEL GÓMEZ, a la señora DIANA PATRICIA CABRERA OSORIO identificada con cédula de ciudadanía No. 52.774.441, al señor JULIÁN LÓPEZ y a la señora MARIA CAMILA GONZALEZ ESCANDÓN identificada con cédula de ciudadanía No. 1.151.947.280 el contenido de la presente decisión.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Principal: Carrera 7 N°. 31A - 36, Pisos 3 y 3ª en la ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 12 JULIO 2022 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR MUÑOZ Elaboró: YLAC Revisó: AMCC Aprobó: CESM NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Correo electrónico: Ciudad: NETGOSIT S.A.S Nit 900.886.785-1 XXXXX XXXXXXX XXXXXX XXXXXXX C.C. XX.XXX.XXX Calle 38N #6-35, Bodega 2 gerencia@netgosit.com Cali – Valle del Cauca COMUNICACIÓN: Señor: Identificación: Correo electrónico: Ciudad: XXXXX XXXXXXXX XXXXXXXX C.C. XX.XXX.XXX XXXXXXXXXXXXXXXXX@yahoo.es Medellín. Señor: Identificación: Dirección: Correo electrónico: Ciudad: XXXXX XXXX SIN IDENTIFICACIÓN18 no figura XXXXX@XXXXX.com no figura Señora: Identificación: Dirección: Correo electrónico: Ciudad: DIANA PATRICIA CABRERA OSORIO C.C. XX.XXX.XXX No figura XXXXXXXXX@XXXX.com Cali – Valle del Cauca Señor: Identificación: Dirección: Correo electrónico: Ciudad: XXXXXX XXXXX SIN IDENTIFICACIÓN19 No figura XXXXXXXXXX@XXXXXX.com no figura Señora: Identificación: Dirección: Correo electrónico: Ciudad: XXXXX XXXXXX XXXXXXX XXXXXXX.

C.C. X.XXX.XXX.XXX XXXX XX No. X N. XX XXXXXXXXXXXXXXXX@XXXXX.com Cali – Valle del Cauca No se cuenta con la identificación No se cuenta con la identificación