Sanción 85259 de 2022 — SIC

(30 NOVIEMBRE 2022) “Por la cual se impone una sanción Administrativa y se imparte una orden” Radicación 22-5763 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y el artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022; y

CONSIDERANDO

PRIMERO: Que mediante denuncia radicada ante esta Superintendencia bajo el número 2257631, la Titular XXXX XXXXXXX XXXXXXXX XXXXXX identificada con cédula de ciudadanía número XXXXXXXXXXX puso en conocimiento de esta Superintendencia que, la sociedad GOURMET & VACATION PEOPLE S.A.S., con Número de Identificación Tributaria 900.596.3157 habría llevado a cabo conductas presuntamente violatorias del Régimen de Protección de Datos Personales, por los siguientes hechos: “ ( ) El día 26 de Noviembre de 2021 la Sra. XXXXXX XXXXXXX, se comunicó́ a mi número de celular, informando que era funcionaria de PREFERRED GOURMET + LEISURE - PG&LEn la llamada me informó: a. Que en razón a unos datos de contacto que yo había suministrado en algún almacén de cadena o estación de gasolina, había participado en un sorteo interno con la compañía y había sido seleccionada para la entrega “sin costo” de un certificado de viaje a Cartagena para dos personas, denominado CERTIFICADO VACACIONAL A CARTAGENA. b. Que el Certificado otorgado, constaba de tiquetes (ida y regreso Bogotá- Cartagena), hospedaje, alimentación (desayuno, almuerzo y cena) por tres días dos noches.

Certificado que tiene una vigencia máxima de redención por dos meses. c. Que la adquisición y redención del certificado no tenía ningún costo y para obtenerlo solo debida ir a una sesión de media hora en las instalaciones de su empresa, ubicada en Cl. 110 #9 - 25 Oficina 512, Bogotá, en la cual me darían a conocer el programa y sus beneficios, indicándome que ellos NO ERAN UNA AGENCIA DE VIAJES (lo cual es falso) y que son UN PROGRAMA DE PRIVILEGIOS DONDE SOLO PUBLICITAN HOTELES Y RESTAURANTES (lo cual es falso) y que NO ME VENDERÍAN NINGÚN PROGRAMA DE VIAJES O PAQUETES VACACIONALES (lo cual también es falso). d. Que debida asistir máximo al día siguiente para no perder el certificado, por lo que accedí́ a presentarme a la cita propuesta el día 27 de Nov con mi acompañante.

PRETENSIONES Teniendo en cuenta los hechos y marco normativo descrito anteriormente, solicito respetuosamente atender las siguientes pretensiones: 1. Aportar el soporte de la autorización previa y expresa de tratamiento de datos personales por mi otorgada, mediante la cual autorizo el uso de mis datos a la empresa PREFERRED GOURMET + LEISURE - PG&L o, en su defecto, al tercero informado, donde específicamente lo autoricé a compartir mi información con PREFERRED GOURMET + LEISURE - PG&L para tratar mi información con fines comerciales y publicitarios.

( )”

SEGUNDO: Que, con fundamento en la denuncia presentada, esta Dirección adelantó las averiguaciones preliminares que se describen a continuación: 2.1. Requerimiento de información a la sociedad GOURMET & VACATION PEOPLE S.A.S de fecha de 18 de abril de 2022; en Expediente electrónico, consecutivo número 3. Solicitando que informara lo siguiente: “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, “1.

Informen y acrediten qué datos personales (v. gr. número telefónico, dirección de residencia, número de identificación, correo electrónico, entre otros) de la Titular XXXXXX XXXXXXXXXXXX XXXXXX se encuentran almacenados en su(s) base(s) de dato(s). 2. Informen y acrediten la fecha y la forma de obtención o recolección de los datos personales de la Titular XXXXXXXXXXXXXXXXXXXXXXXXXX. 3.

Manifieste ante este Despacho quien o quienes fueron los funcionarios que se encargaron de tramitar la activación del producto y/o vinculación de la quejosa. 4. En los términos del artículo 9 de la Ley 1581 de 2012, informen si cuentan con la autorización previa, expresa e informada de la Titular XXXXX XXXXXXX XXXXXXX XXXXXX para el tratamiento de sus datos personales.

“ 2.2. Respuesta suministrada por parte de la sociedad GOURMET & VACATION PEOPLE S.A.S, al requerimiento de información, fechada del 21 de abril de 2022; en Expediente electrónicos, consecutivo número 5, en la cual indicaron lo siguiente: “( ) 1. De la ciudadana XXXXX XXXXXXX XXXXXXX XXXXXX no tenemos ninguna información en nuestros sistemas u operación, en todo caso advirtiendo que si se le realizo alguna venta y que no tengamos ese registro, desconocemos la forma en que se presentaría en nuestra sala de ventas o el acto de la venta. 2.

De la ciudadana XXXXX XXXXXXX XXXXXXX XXXXXX no tenemos ninguna información en nuestros sistemas u operación, en todo caso advirtiendo que si se le realizo alguna venta y que no tengamos ese registro, desconocemos la forma en que se presentaría en nuestra sala de ventas o el acto de la venta. 3. De la ciudadana XXXXX XXXXXXX XXXXXXX XXXXXX no tenemos ninguna información en nuestros sistemas u operación, en todo caso advirtiendo que si se le realizo alguna venta y que no tengamos ese registro, desconocemos la forma en que se presentaría en nuestra sala de ventas o el acto de la venta. 4.

De la ciudadana XXXXX XXXXXXX XXXXXXX XXXXXX no tenemos ninguna información en nuestros sistemas u operación, en todo caso advirtiendo que si se le realizo alguna venta y que no tengamos ese registro, desconocemos la forma en que se presentaría en nuestra sala de ventas o el acto de la venta. 5. De la ciudadana XXXXX XXXXXXX XXXXXXX XXXXXX no tenemos ninguna información en nuestro sistemas u operación, en todo caso advirtiendo que si se le realizo alguna venta y que no tengamos ese registro, desconocemos la forma en que se presentaría en nuestra sala de ventas o el acto de la venta. 6.

De la ciudadana XXXXX XXXXXXX XXXXXXX XXXXXX no tenemos ninguna información en nuestros sistemas u operación, en todo caso advirtiendo que si se le realizo alguna venta y que no tengamos ese registro, desconocemos la forma en que se presentaría en nuestra sala de ventas o el acto de la venta. 7. Los datos personales que las personas nos suministran nos lo señalan para redactar el contrato de afiliación únicamente, por lo cual una vez celebrado el contrato, no guardamos dicha información personal. 8.

La Empresa no cuenta con bases de datos. 9. De la ciudadana XXXXX XXXXXXX XXXXXXX XXXXXX no tenemos ninguna información en nuestros sistemas u operación, en todo caso advirtiendo que si se le realizo alguna venta y que no tengamos ese registro, desconocemos la forma en que se presentaría en nuestra sala de ventas o el acto de la venta. 10.Como no guardamos la información personal de nuestros afiliados, no la trasferimos. 11.Como no guardamos la información personal de nuestros afiliados, no requerimos política de protección de datos. 12.Como no guardamos la información personal de nuestros afiliados, no requerimos política de seguridad de la información. 13.Como no guardamos la información personal de nuestros afiliados, no tenemos un manual en el que describan los procedimientos usados para la recolección, uso, circulación y supresión de la información. 14.La única información que tenemos son los acuerdos de afiliación celebrados, los cuales se encuentran en físico, y guardados en nuestros archivos bajo llave. 15.Formato utilizado para que las personas autoricen el tratamiento de sus datos: AUTORIZACIÓN DEL TITULAR Con la firma de este documento, autorizo de manera previa, expresa e informada a GOURMET & VACATION PEOPLE SAS, para recolectar, recaudar, almacenar, usar, circular, suprimir, procesar, compilar, intercambiar, dar tratamiento, actualizar y disponer de la información personal aquí́ suministrada y que pueda ser incorporada en distintas bases o bancos de datos para la prestación del servicio que he adquirido.

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, El tratamiento del cual serán sujetos mis datos personales se hará́ en consonancia con lo establecido en la Ley 1581 de 2012, el Decreto 1377 de 2013, cualquier otra norma que los modifique y/o complemente. En relación con los Datos Personales recolectados y tratados y de acuerdo con la Ley 1581 de 2012 y el Decreto 1377 de 2013, he sido informado que tengo los siguientes derechos:        Conocer, actualizar y corregir mis Datos Personales.

Puedo ejercer este derecho, entre otros, en relación con la información, parcial, inexacta, incompleta, dividida, información engañosa o cuyo tratamiento sea prohibido o no autorizado. Requerir prueba del consentimiento otorgado para la recolección y el tratamiento de mis Datos Personales. Ser informado del uso que se le han dado a mis Datos Personales.

Presentar quejas ante la Superintendencia de Industria y Comercio en el caso en que haya una violación por parte del responsable del manejo de datos, de las disposiciones de la Ley 1581 de 2012, el Decreto 1377 de 2013 y otras normas que los modifiquen, adicionen o complementen, de conformidad con las disposiciones sobre el requisito de procedibilidad establecido en el artículo 16 Ley 1581 de 2012.

Revocar la autorización otorgada para el tratamiento de mis Datos Personales. Solicitar ser eliminado de su base de datos. Tener acceso a mis Datos Personales que se hubieran recolectado y tratado. Los responsables del tratamiento de los datos están ubicados en la Coll 110 # 9 – 25, Oficina 512 de la torre empresarial Pacific en la ciudad de Bogotá y podrán ser contactados en los teléfonos XXXXXXXXX y (571) XXXXXXX y al correo electrónico, concierge@preferredclub.com Se reitera que los datos personales serán utilizados exclusivamente para los fines anteriormente enunciados, y en ninguna circunstancia se comercializará mi información personal.

En todo caso aplicaran las excepciones de ley. SI NO Atentamente, ____________________________ ----NOMBRE---C.C. N° 16.El mecanismo de las personas para presentar quejas es el indicado en la autorización: “Los responsables del tratamiento de los datos están ubicados en la Coll 110 # 9 – 25, Oficina 512 de la torre empresarial Pacific en la ciudad de Bogotá́ y podrán ser contactados en los teléfonos XXXXXXXXX y (571) XXXXXXX y al correo electrónico, concierge@preferredclub.com”, y el proceso interno es que una vez recibida la queja o solicitud, la persona encargada le dará́ el trámite respectivo según lo solicitado. 17.

TERCERO: Que mediante Resolución 56592 del 24 de agosto de 2022 la Dirección de Investigación de Protección de Datos Personales resolvió iniciar investigación administrativa contra la sociedad GOURMET & VACATION PEOPLE S.A.S, identificada con NIT 900.596.3157, por la presunta violación de las normas sobre protección de datos personales, consagradas en particular las siguientes:  Ley 1581 de 2012 artículo 17 literal b), en concordancia con lo establecido el literal c) del artículo 4 y el artículo 9 de la misma ley y los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5., del Decreto Único Reglamentario 1074 de 2015 HOJA N, “Por la cual se impone una sanción administrativa y se imparte una orden”  Ley 1581 de 2012 artículo 17 literal c), en concordancia con lo establecido en el artículo 4 literal b) y el artículo 12 literal a) de la misma Ley; y en el Decreto Único Reglamentario 1074 de 2015 artículo 2.2.2.25.2.2 inciso primero  Ley 1581 de 2012, literal k), en concordancia con el inciso 3 del artículo 25 de la misma Ley, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.2, 2.2.2.25.3.3 y 2.2.2.25.3.4 del Decreto Único Reglamentario 1074 de 2015.

En virtud de lo anterior, esta entidad le concedió un término de quince (15) días hábiles a la investigada para que rindiera los respectivos descargos y aportara o solicitara las pruebas que pretendía hacer valer dentro de la presente actuación administrativa.

CUARTO: Que, la Resolución No. 56592 del 24 de agosto de 2022 fue notificada de manera electrónica el 5 de septiembre de 2022, de conformidad con la certificación radicada bajo el número 22-5763- -13 del 6 de septiembre de 2022 expedida por la Secretaría General Ad- Hoc de esta Superintendencia. Que, durante el término establecido por esta Dirección para que la investigada presentara descargos, la investigada guardó silencio.

QUINTO: Que mediante Resolución No. 69526 del 6 de octubre de 2022, se incorporaron pruebas, se prescindió del término para el periodo probatorio y se corrió traslado para alegar.

SEXTO: Que la Resolución No. 69526 del 6 de octubre de 2022 fue notificada el 7 de octubre de 2022, de conformidad con la certificación radicada bajo el número 22-5763- -17 del 18 de octubre de 2022 expedida por la Secretaría General Ad- Hoc de esta Superintendencia. Que, durante el término establecido por esta Dirección para que la investigada presentara descargos, la investigada guardó silencio.

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012 establece la función de vigilancia que le corresponde a la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto se refiere a la actividad de administración de datos personales que se regula en la mencionada Ley.

OCTAVO: Análisis del caso 8.1 Adecuación típica La Corte Constitucional en Sentencia C-748 de 2011 1 estableció lo siguiente respecto del principio de tipicidad en materia de derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 9 ibídem, y 1 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, el literal c) del artículo 4 de la misma ley, como también el artículo 2.2.2.25.2.2 y 2.2.2.25.2.5, del Decreto Único Reglamentario 1074 de 2015; (ii) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el literal a) del artículo 12 de la misma Ley, como también con el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015;

(iii) literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la misma Ley, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.2, 2.2.2.25.3.3 y 2.2.2.25.3.4 del Decreto Único Reglamentario 1074 de 2015 En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada tanto en su escrito de alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 8.2 Valoración probatoria y conclusiones 8.2.1 Respecto al deber de solicitar y conservar la respectiva autorización otorgada por el titular El artículo 15 de la Constitución Política, establece que “[t]odas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar.

De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”. Dicha norma establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos.

En desarrollo de lo anterior, el literal b) del artículo 17 la Ley 1581 de 2012 le impone a los Responsables del Tratamiento de Datos Personales el deber de “[s]olicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”; Respecto de la autorización para el tratamiento de datos personales, el artículo 9 de la mencionada Ley, dispone: ARTÍCULO 9o.

AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. El Decreto 1074 de 2015, a través de los artículos 2.2.2.25.2.4 y 2.2.2.25.2.5 en lo que tiene que ver con el modo de obtener la autorización y su prueba, dispone lo siguiente: “Artículo 2.2.2.25.2.4.

Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.2.1, del presente Decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.

Artículo 2.2.2.25.2.1 Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los titulares de datos personales para el Tratamiento de los mismos”. Por su parte el artículo 10 de la Ley 1581 de 2012, dispone lo siguiente: “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, “ARTÍCULO

10. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓN. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.

Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley”. Así mismo, respecto a las características que debe tener una autorización de tratamiento de datos personales la Corte Constitucional en la sentencia C.748 del 2011 indicó lo siguiente: “En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato.

Así por ejemplo, en la Sentencia T-022 de 1993, se dijo que la veracidad del dato no implica que el Responsable del Tratamiento no tenga el deber de obtener una autorización anterior. En igual sentido, la Sentencia T-592 de 2003 dijo que el derecho al habeas data resulta afectado cuando los administradores de la información recogen y divulgan hábitos de pago sin el consentimiento de su titular.

La Corte expresó que el consentimiento previo del titular de la información sobre el registro de sus datos económicos “en los procesos informáticos, aunado a la necesidad de que aquel cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, resultan esenciales para salvaguardar su derecho a la autodeterminación informática.” En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito.

Lo anterior, por varias razones: En primer lugar, la jurisprudencia constitucional ha exigido tal condición y ha dicho que el consentimiento debe ser explícito y concreto a la finalidad específica de la base de datos. (…) En segundo lugar, de una interpretación armónica de todo el articulado se deduce que el legislador estatutario tuvo una intención inequívoca que el consentimiento siempre fuese expreso.

Así, desde el artículo 3 se dice que éste debe ser “previo, expreso e informado”. Esto mismo se repite en el artículo 4. Posteriormente, el artículo 8 ordinal b), garantiza al Titular el derecho de solicitar prueba de la autorización, y señala que ésta sólo puede considerarse exceptuada en los casos consagrados en el artículo 10. El artículo 9 ordena que la autorización sea “obtenida por cualquier medio que pueda ser objeto de consulta posterior” Por otro lado, el artículo 10 señala, en forma taxativa, los casos en que no se requiere autorización, y no hace referencia alguna a la existencia de un consentimiento tácito, lo cual necesitaría expresa autorización legal.

(…) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. En este mismo sentido, en la Sentencia T-592 de 2003, la Corte señaló que la autorización debe ser cualificada y debía contener una explicación de los efectos de la misma.

Además, a pesar de que se presente la autorización, el Responsable y Encargado del Tratamiento debe actuar de buena fe. De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez.

( ) Visto lo anterior, el consentimiento, como uno de los fundamentos jurídicos del tratamiento de datos personales, para que sea válido bajo la Ley 1581 de 2012, debe cumplir los siguientes requerimientos legales: a) El consentimiento debe ser expreso. El Titular debe realizar alguna acción positiva que indique su consentimiento y debe tener la libertad de no consentir. b) El consentimiento debe estar informado.

El artículo 12 de la Ley 1581 de 2012 enumera la información que debe suministrársele al Titular; esa información debe ser claramente visible, destacada y completa. No basta con ponerla a disposición en algún sitio de la página web, sin que la persona no la conozca. c) El consentimiento debe ser previo. La obtención del consentimiento debe ser previa a la recolección de los datos.

De este modo es claro que el Responsable del Tratamiento debe adoptar los procedimientos adecuados para solicitar y conservar copia de la autorización otorgada por cada uno de los Titulares que se encuentre en su(s) base(s) de datos o ficheros de información y debe informar cuáles datos serán recolectados junto con las finalidades específicas para las cuales se va a obtener el consentimiento del Titular.

Aterrizando las anteriores consideraciones al caso en cuestión se tiene que, preliminarmente, se evidenció que la señora XXXX XXXXXXX XXXXXXXX XXXXXX fue contactada el 26 de noviembre de 2021 por medio de la aplicación de WhatsApp, para la entrega de “un certificado de viaje a Cartagena para dos personas, denominado CERTIFICADO VACACIONAL A CARTAGENA” y aportó las siguientes capturas de pantalla, como prueba de su denuncia: “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, De lo anteriormente mencionado, se extrae que la sociedad presuntamente no contaba con autorización del titular de los datos, la señora XXXXX XXXXXX XXXXXXXX XXXXXX, al momento de ser contactada para ofrecerle para la entrega de “un certificado de viaje a Cartagena para dos personas, denominado CERTIFICADO VACACIONAL A CARTAGENA” En respuesta a esta situación, la Denunciada guardó silencio, nunca aportó prueba alguna para acreditar la autorización de la señora XXXX XXXXXXX XXXXXXXX XXXXXX para el tratamiento de sus datos personales, así como tampoco ejerció sus derechos presentando descargos o alegatos de conclusión, por lo tanto frente al silencio de la investigada se entenderán como ciertos los hechos expuestos por la denunciante.

En consecuencia, se concluye que la investigada actuó de manera contraria a lo establecido en la Ley 1581 de 2012, pues hizo el tratamiento de los datos de la señora XXXX XXXXXXX XXXXXXXX XXXXXX sin contar con su autorización previa e informada del Titular, infringiendo lo consagrado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015. 8.2.2 Respecto al deber de informar al Titular de manera previa, clara y expresa sobre las finalidades del Tratamiento al que serán sometidos sus datos personales.

El literal c) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;

(…)” El precepto consagrado en el literal c) del artículo 17 de la Ley 1581 de 2012 hace referencia al deber de Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, dicho precepto se armoniza con el principio de finalidad, contenido en el literal b) del artículo 4 de la misma disposición y el literal a) del artículo 12 de la Ley Estatutaria.

Esta normatividad, a su vez, ha sido objeto de especial atención por parte de la Corte Constitucional, tal como quedó reflejado en la Sentencia C-748 de 2011, así: “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, “En el título VI, “DE LOS DEBERES DE LOS RESPONSABLES Y ENCARGADOS DEL TRATAMIENTO DEL DATO”, el legislador enlistó en preceptos separados los deberes de los responsables y de los encargados del tratamiento.

Los deberes enumerados, en términos generales, buscan garantizar el pleno ejercicio del derecho al habeas data por parte de los titulares (…). Estos deberes hacen referencia, según el sujeto concernido, a lo siguiente: (…) Específicamente se dispone que son deberes de esta parte de la relación: (i) Solicitar y conservar la autorización para el tratamiento del dato -en los términos descritos previamente, lo que se ajusta plenamente al principio de libertad y consentimiento expreso del titular del dato.

(ii) Informar al titular la finalidad de esa autorización y actuar en consecuencia; por tanto, el responsable no puede conducirse por fuera de los lineamientos de la autorización.” En referencia al principio de finalidad, este se traduce en el deber de informar al Titular lo que se pretende hacer con su información y se encuentra contenido en el artículo 12 de la Ley 1581 de 2012, así: “Artículo 12.

Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” Parágrafo.

El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” Como puede observarse, el principio de finalidad, que se encuentra íntimamente ligado al principio de libertad, impone unos límites al tratamiento de los datos que están siendo administrados por el Responsable; dichos límites se derivan de la naturaleza de la información y del uso que se dará a los datos recolectados.

En palabras de la Corte Constitucional “(…) [t]anto el acopio, el procesamiento y la divulgación de datos personales, debe obedecer a una finalidad constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista (…)”. 2 Dicho principio se hace efectivo al momento en que se solicita autorización al Titular, pues es allí en que se cumple el término máximo para informarle al Titular los fines de la recolección de su información, ya que como lo dispuso el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015 “[e]l Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento” Ahora bien, abordando estos aspectos la Corte Constitucional en Sentencia C-748 de 2011, expuso lo siguiente: “(…) La definición establecida por el legislador estatutario responde a uno de los criterios establecidos por la Corporación para el manejo de las bases de datos.

Sin embargo, debe hacerse algunas precisiones. Por una parte, los datos personales deben ser con un propósito específico y explícito. En este sentido, la finalidad no sólo debe ser legítima sino que la referida información se destinará a realizar los fines exclusivos para los cuales fue entregada por el titular. Por ello, se deberá informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y por tanto, no podrá recopilarse datos sin la clara especificación acerca de la finalidad de los mismos.

Cualquier utilización diversa, deberá ser autorizada en forma expresa por el Titular. Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, Esta precisión es relevante en la medida que permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad autorizada.

Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato. Así mismo, los datos personales deben ser procesados sólo en la forma que la persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que la persona razonablemente no espera, debe obtenerse el consentimiento previo del titular.

Por otro lado, de acuerdo la jurisprudencia constitucional y los estándares internacionales relacionados previamente, se observa que el principio de finalidad implica también: (i) un ámbito temporal, es decir que el periodo de conservación de los datos personales n exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) un ámbito material, que exige que los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas (…)”.

Frente al cargo objeto de estudio preliminarmente se encontró que, mediante radicado 22-57633, se envió requerimiento de información del 18 de abril de 2022, dirigido a la sociedad GOURMET & VACATION PEOPLE S.A.S, solicitándole, entre otros, lo siguiente: “[ ]En caso de ser afirmativa su respuesta, remitan copia del formulario, formato y/o soporte mediante el cual se realizó este procedimiento y se le informó a la Titular la finalidad de la recolección y los derechos que le asisten de conformidad con la autorización otorgada” 3 Este requerimiento fue contestado por la sociedad GOURMET & VACATION PEOPLE S.A.S., a través de comunicación 22-5763-5 del 21 de abril de 2022, mediante la cual informó lo siguiente: “[ ]De la ciudadana XXXXX XXXXXXX XXXXXXX XXXXXX no tenemos ninguna información en nuestros sistemas u operación, en todo caso advirtiendo que si se le realizo alguna venta y que no tengamos ese registro, desconocemos la forma en que se presentaría en nuestra sala de ventas o el acto de la venta4 En el presente caso, es claro que la sociedad GOURMET & VACATION PEOPLE S.A.S., en el ostenta la calidad de Responsable del Tratamiento, y por lo tanto debía haber informado a la Titular XXXXX XXXXXX XXXXXXXX XXXXXX, los requisitos mínimos establecidos en el artículo 12 de la Ley 1581 de 2012, puntualmente, lo relativo a las finalidades objeto del tratamiento, según dispone el literal a) del artículo 12 de la referida norma.

Una vez revisadas todas las pruebas obrantes en el expediente, así como la respuesta dada por la Investigada se tiene que no se encuentra prueba alguna mediante la cual se acredite, la obtención de la autorización previa, expresa e informada por parte de la Titular de la información, en los términos del artículo 9 de la Ley 1581 de 2012, y mucho menos se encontró que se le haya informado a la Titular XXXXX XXXXXX XXXXXXXX XXXXXX, de manera previa y expresa acerca de las finalidades del Tratamiento para las cuáles serían sometidos sus datos personales.

Por lo anterior, de acuerdo a las pruebas obrantes en el expediente, la respuesta dada por la investigada en la etapa preliminar y el silencio de la misma a lo largo de la investigaicón se concluye claramente que, la sociedad GOURMET & VACATION PEOPLE S.A.S., actuó en contravención de lo dispuesto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015, y se deberá imponer una sanción por este incumplimiento. 8.2.3 Respecto al del deber de adoptar una Política de Tratamiento de Datos Personales El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la misma Ley, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.2, 2.2.2.25.3.3 y 2.2.2.25.3.4 del Decreto Único Reglamentario 1074 de 2015, que preceptúan lo siguiente: 3 Expediente electrónico, consecutivo número 3, página 2, folio 3. 4 Expediente electrónico, consecutivo número 5, página 2, folio 2.

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, “Artículo 17. Deberes de los Responsables del Tratamiento: “Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos” Artículo 25.

Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. ( ) Para realizar el registro de bases de datos, los interesados deberán aportar a la cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes.

Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. ( )” Decreto Único Reglamentario 1074 de 2015 “Artículo 2.2.2.25.3.1. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas.

Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares. Dichas políticas deberán incluir, por lo menos, la siguiente información: 1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. 2.

Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. 3. Derechos que le asisten como Titular. 4. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. 5.

Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. 6. Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente Decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas”.

Artículo 2.2.2.25.3.2. Aviso de privacidad. En los casos en los que no sea posible poner a disposición del Titular las políticas de tratamiento de la información, los responsables deberán informar por medio de un aviso de privacidad al titular sobre la existencia de tales políticas y la forma de acceder a las mismas, de manera oportuna y en todo caso a más tardar al momento de la recolección de los datos personales.

Artículo 2.2.2.25.3.3. Contenido mínimo del Aviso de Privacidad. El aviso de privacidad, como mínimo, deberá contener la siguiente información: 1. Nombre o razón social y datos de contacto del responsable del tratamiento. 2. El Tratamiento al cual serán sometidos los datos y la finalidad del mismo. 3. Los derechos que le asisten al titular. 4.

Los mecanismos dispuestos por el responsable para que el titular conozca la política de Tratamiento de la información y los cambios sustanciales que se produzcan en ella o en el Aviso de Privacidad correspondiente. En todos los casos, debe informar al Titular cómo acceder o consultar la política de Tratamiento de información. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, No obstante, lo anterior, cuando se recolecten datos personales sensibles, el aviso de privacidad deberá señalar expresamente el carácter facultativo de la respuesta a las preguntas que versen sobre este tipo de datos.

En todo caso, la divulgación del Aviso de Privacidad no eximirá al Responsable de la obligación de dar a conocer a los titulares la política de tratamiento de la información, de conformidad con lo establecido en este capítulo. Artículo 2.2.2.25.3.4. Deber de acreditar puesta a disposición del aviso de privacidad y las políticas de Tratamiento de la información. Los Responsables deberán conservar el modelo del Aviso de Privacidad que utilicen para cumplir con el deber que tienen de dar a conocer a los Titulares la existencia de políticas del tratamiento de la información y la forma de acceder a las mismas, mientras se traten datos personales conforme al mismo y perduren las obligaciones que de este se deriven.

Para el almacenamiento del modelo, el Responsable podrá emplear medios informáticos, electrónicos o cualquier otra tecnología que garantice el cumplimiento de lo previsto en la Ley 527 de 1999”. Para el análisis de este caso, es necesario considerar que esta Dirección mediante radicado 225763-3, envió requerimiento de información el 18 de abril de 2022 a la sociedad GOURMET & VACATION PEOPLE S.A.S, solicitándole, entre otros, lo siguiente: “Remita copia de la Política de Protección de Datos Personales implementada por la sociedad”5 El mencionado requerimiento fue contestado por la sociedad GOURMET & VACATION PEOPLE S.A.S., bajo escrito de radicado No. 22-5763-5 del 21 de abril de 2022, mediante la cual informó lo siguiente: “Como no guardamos la información personal de nuestros afiliados, no requerimos política de protección de datos”. 6 En consecuencia, bajo el argumento de no guardar información personal de los afiliados la sociedad GOURMET & VACATION PEOPLE S.A.S., no aportó la Política de Tratamiento de Datos Personales, pues asevera que no la requieren puesto que no guardan información personal de afiliados, lo cual resulta carente de toda lógica, pues como es posible administrar un servicio de afiliados sin sus datos, y además demuestra una respuesta evasiva por parte de la investigada.

En contravía de lo anteriormente expuesto, en el consecutivo 22-5763-5 del 21 de abril de 2022, la sociedad GOURMET & VACATION PEOPLE S.A.S., aportó el siguiente formato de autorización del titular7 5 Expediente electrónico, consecutivo número 3, página 2, folio 2. 6 Expediente electrónico, consecutivo número 5, página 2, folio 2. 7 Expediente electrónico, consecutivo número 5, página 2, folio 3 a 5.

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, Como se evidencia, en este formato se establecen los lineamientos de recolección, uso, circulación y supresión de los datos personales de los titulares y manifiesta que los mismos serán incorporados en las bases de datos. Por lo tanto la afirmación de la investigada según la cual, “Como no guardamos la información personal de nuestros afiliados, no requerimos política de protección de datos” es contraria a la realidad, es decir, la sociedad investigada si recolecta información y realiza tratamiento de la misma sin contar con la política de tratamiento de datos personales conforme a las normas establecidas.

Por lo anterior, se concluye que, la conducta de la sociedad GOURMET & VACATION PEOPLE S.A.S., constituye una grave infracción del deber de adoptar una Política de Tratamiento de Datos Personales establecido en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la misma Ley, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.2, 2.2.2.25.3.3 y 2.2.2.25.3.4 del Decreto Único Reglamentario 1074 de 2015.

En esta medida, se impondrá la sanción pertinente y se impartirá la orden administrativa correspondiente.

NOVENO: En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones:   La sociedad GOURMET & VACATION PEOPLE S.A.S. deberá documentar y poner a disposición de los titulares una Política de Tratamiento de Datos Personales que cumpla con el contenido mínimo establecido en el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.

La sociedad GOURMET & VACATION PEOPLE S.A.S. deberá realizar un inventario de todos los datos personales que obran bajo su custodia, recordando que el solo hecho de usar o almacenar datos ya es tratamiento, con el fin de suprimir todos los datos personales respecto de los cuales no cuente con la autorización previa, expresa e informada, así mismo deberá implementar el modelo de autorización para solicitar siempre, de manera previa al tratamiento, el consentimiento de los titulares, informando siempre las finalidades especificas del tratamiento al que serán sometidos.

Igualmente, la sociedad GOURMET & VACATION PEOPLE S.A.S. deberá guardar evidencia de la autorización otorgada por los Titulares. De lo anteriormente ordenado la sociedad GOURMET & VACATION PEOPLE S.A.S. deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO: Imposición y graduación de la sanción 10.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 23 8. Esta potestad sancionatoria, que es una 8Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, manifestación del poder punitivo del Estado, derivado de los artículos 2 9, 4 10 y 6 11 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo12.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”13 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional14.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En efecto, el artículo 26 de la Ley 152 de 1994 dispone: “Con base en el Plan Nacional de Desarrollo aprobado, cada uno de los organismos públicos de todo orden a los que se aplica esta Ley preparará su correspondiente plan de acción. En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV.” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Tributario (UVT).

Por 9 Artículo 2. (…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) 10 Artículo 4. La Constitución es norma de normas.

(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) 11 Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.

(negrita añadida) 12 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017);

Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). 13 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2022 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional 15 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”16 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 23 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros17. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991. 15 Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 16 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 17 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad.

Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”18.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia19. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2320 de la misma.

Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Ley 1581 de 2012, artículo 24: “Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 10.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012.

Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “El artículo 23 del proyecto establece las sanciones que puede aplicar la Superintendencia de Industria y Comercio a los responsables del tratamiento y encargados del tratamiento, dentro de las cuales contempla las multas, la suspensión de las actividades relacionadas con el tratamiento, el cierre temporal de las operaciones relacionadas con el tratamiento y finalmente el cierre inmediato y definitivo de la operación: 18 Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos 19 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 20 Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, Esta norma constituye una disposición de carácter sancionatorio y por ello debe cumplir con todos los principios propios del debido proceso sancionador contemplados en la Constitución Política y reconocidos por la jurisprudencia de esta Corporación: En primer lugar, el principio de legalidad, de acuerdo con el cual: “las conductas sancionables no sólo deben estar descritas en norma previa sino que, además, deben tener un fundamento legal, por lo cual su definición no puede ser delegada en la autoridad administrativa”.

Este axioma tiene una interpretación menos rigurosa en el Derecho administrativo sancionador que en el Derecho penal, pues es posible una flexibilización razonable de la descripción típica: “Ha reiterado la Corte, que en el derecho administrativo sancionador "aunque la tipicidad hace parte del derecho al debido proceso en toda actuación administrativa, no es demandable en este campo el mismo grado de rigurosidad que se exige en materia penal”, por cuanto la naturaleza de las conductas reprimidas, los bienes jurídicos involucrados y la teleología de las facultades sancionadoras en estos casos, hacen posible también una flexibilización razonable de la descripción típica, en todo caso, siempre erradicando e impidiendo la arbitrariedad y el autoritarismo, que se haga prevalecer los principios de legalidad y de justicia social, así como los demás principios y fines del Estado, y que se asegure los derechos constitucionales, los intereses legítimos y los derechos de origen legal o convencional de todas las personas”.

Esta norma cumple con el principio de tipicidad, para lo cual debe interpretarse conjuntamente con el artículo 22 de la futura ley estatutaria, que establece la posibilidad de imponer sanciones cuando se hayan incumplido las disposiciones de esta ley. En este sentido, el supuesto de hecho que completa la norma jurídica sancionatoria está constituido por la infracción de las disposiciones de la futura ley estatutaria por la cual se dictan disposiciones generales para la protección de datos personales.

(…) 21 Conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y adecuada, de modo que logre la equidad entre el hecho constitutivo de la infracción, en este caso la renuencia o desacato al cumplimiento de una orden administrativa y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “(…) En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad. (…)” 22 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la comisión de la acción de renuencia o desacato que desencadene en incumplimiento de lo ordenado por la autoridad administrativa, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine, está probado el actuar contrario a la Ley 1581 de 2012 por las razones que a continuación se exponen: i) Frente a cargo primero, la sociedad GOURMET & VACATION PEOPLE S.A.S debía contar con la autorización del tratamiento de datos personales de la señora XXXX XXXXXXX XXXXXXXX XXXXXX y de todos los Titulares cuyos datos reposan en su base de datos para poder recolectar y tratar sus datos, ya que no resulta admisible que, por vía de la aplicación para teléfonos móviles conocida como “WhatsApp”, se 21Corte Constitucional, Sentencia C-748 de 2011, M.P: Jorge Ignacio Pretelt Chaljub.

FJ: 2.22.3. 22 Corte Constitucional. Sentencia C-125 de 2003. M.P: Marco Gerardo Monroy Cabra. FJ: 5. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, realice tratamiento del dato personal del titular, número celular, sin antes tener su autorización previa. Por esta infracción se impondrá una multa equivalente a cincuenta UNIDADES DE VALOR TRIBUTARIO VIGENTES (50 UVT). ii) Frente a cargo segundo, la sociedad GOURMET & VACATION PEOPLE S.A.S debía, en su calidad de Responsable, informar a la señora XXXX XXXXXXX XXXXXXXX XXXXXX lo relativo a las finalidades objeto del tratamiento de sus datos y sus derechos como titular.

Por esta infracción se impondrá una multa equivalente a cincuenta UNIDADES DE VALOR TRIBUTARIO VIGENTES (50 UVT). iii) En el caso bajo estudio se encuentra que la sociedad GOURMET & VACATION PEOPLE S.A.S no acreditó haber adoptado una política de tratamiento de datos personales, mecanismo dispuesto por la Ley para hacer efectivo el derecho de los Titulares al Habeas Data.

Por esta infracción se impondrá una multa equivalente a cincuenta UNIDADES DE VALOR TRIBUTARIO VIGENTES (50 UVT)23. Por los motivos previamente expuestos, se impondrá sanción por parte de esta Dirección, dentro del margen que le otorga el artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, de una multa de cinco millones setecientos mil seiscientos PESOS M/CTE ($5.700.600) correspondiente a ciento cincuenta UNIDADES DE VALOR TRIBUTARIO VIGENTES (150 UVT)24. 10.1.2.

Respecto de los otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que las investigadas no reconocieron o aceptaron la comisión de las infracciones.

DÉCIMO PRIMERO: CONCLUSIÓN  La investigada no acredito contar con la autorización para el tratamiento de datos personales otorgada por la Titular XXXX XXXXXXX XXXXXXXX XXXXXX por lo que, se concluye que la sociedad GOURMET & VACATION PEOPLE S.A.S infringió lo dispuesto en el literal b) del artículo 17 de la Ley 1581 del 2012, en concordancia con el artículo 9 y el literal c) del artículo 4 de la misma Ley, como también el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 del 2015.  Una vez revisadas todas las pruebas obrantes en el expediente, así como la respuesta dada por la Investigada se tiene que no se encuentra prueba alguna mediante la cual se acredite, la obtención de la autorización previa, expresa e informada por parte de la Titular de la información, en los términos del artículo 9 de la Ley 1581 de 2012, y mucho menos se encontró que se le haya informado a la Titular XXXXX XXXXXX XXXXXXXX XXXXXX, de manera previa y expresa acerca de las finalidades del Tratamiento para las cuáles serían sometidos sus datos personales.  La investigada no acreditó haber adoptado una política de tratamiento de datos personales, la conducta que constituye una grave infracción a la norma contenida en el literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la misma Ley, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.2, 2.2.2.25.3.3 y 2.2.2.25.3.4 del Decreto Único Reglamentario 1074 de 2015. 23 Mediante la resolución 000140 del 25 de noviembre de 2021, la Unidad Administrativa Especial Dirección de Impuestos y Aduanas Nacionales (DIAN), dio a conocer el valor de la UVT aplicable en 2022, la cual quedó en $38.004. 24 Mediante la resolución 000140 del 25 de noviembre de 2021, la Unidad Administrativa Especial Dirección de Impuestos y Aduanas Nacionales (DIAN), dio a conocer el valor de la UVT aplicable en 2022, la cual quedó en $38.004.

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, DÉCIMO SEGUNDO: Que con el fin de garantizar los derechos fundamentales de contradicción de la sociedad GOURMET & VACATION PEOPLE S.A.S., identificada con número de identificación tributaria 900.596.315-7, esta Dirección ha concedido el acceso al presente Expediente digital, por intermedio de su Representante legal vinculado al correo electrónico de notificación judicial de la sociedad gvppgl@gmail.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

En mérito de lo expuesto este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad GOURMET & VACATION PEOPLE S.A.S., identificada con Nit. 900.596.315-7, de CINCO MILLONES SETECIENTOS MIL SEISCIENTOS PESOS M/CTE ($5.700.600) correspondiente a CIENTO CINCUENTA UNIDADES DE VALOR TRIBUTARIO VIGENTES (150 UVT)25. por la violación a lo dispuesto en las siguientes normas:  Ley 1581 de 2012 artículo 17 literal b), en concordancia con lo establecido el literal c) del artículo 4 y el artículo 9 de la misma ley y los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5., del Decreto Único Reglamentario 1074 de 2015  Ley 1581 de 2012 artículo 17 literal c), en concordancia con lo establecido en el artículo 4 literal b) y el artículo 12 literal a) de la misma Ley; y en el Decreto Único Reglamentario 1074 de 2015 artículo 2.2.2.25.2.2 inciso primero  Ley 1581 de 2012, literal k), en concordancia con el inciso 3 del artículo 25 de la misma Ley, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.2, 2.2.2.25.3.3 y 2.2.2.25.3.4 del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR a la sociedad GOURMET & VACATION PEOPLE S.A.S identificada con Nit. 900.596.315-7 que en su calidad de Responsable del Tratamiento, cumplan con las siguientes órdenes, dentro del término de dos (2) meses siguientes a la ejecutoria de la presente decisión:   La sociedad GOURMET & VACATION PEOPLE S.A.S. deberá documentar y poner a disposición de los titulares una Política de Tratamiento de Datos Personales que cumpla con el contenido mínimo establecido en el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015.

La sociedad GOURMET & VACATION PEOPLE S.A.S. deberá realizar un inventario de todos los datos personales que obran bajo su custodia, recordando que el solo hecho de 25 Mediante la resolución 000140 del 25 de noviembre de 2021, la Unidad Administrativa Especial Dirección de Impuestos y Aduanas Nacionales (DIAN), dio a conocer el valor de la UVT aplicable en 2022, la cual quedó en $38.004.

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, usar o almacenar datos ya es tratamiento, con el fin de suprimir todos los datos personales respecto de los cuales no cuente con la autorización previa, expresa e informada, así mismo deberá implementar el modelo de autorización para solicitar siempre, de manera previa al tratamiento, el consentimiento de los titulares, informando siempre las finalidades especificas del tratamiento al que serán sometidos.

Igualmente, la sociedad GOURMET & VACATION PEOPLE S.A.S. deberá guardar evidencia de la autorización otorgada por los Titulares.

PARÁGRAFO PRIMERO: La sociedad GOURMET & VACATION PEOPLE S.A.S identificada con el Nit. 900.596.315-7, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.

Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad GOURMET & VACATION PEOPLE S.A.S., identificada con el Nit. 900.596.315-7, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad GOURMET & VACATION PEOPLE S.A.S, identificada con Nit. 900.596.315-7, a través de su Representante Legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO CUARTO: COMUNICAR a la señora XXXX XXXXXXX XXXXXXXX XXXXXXidentificada con Cédula de Ciudadanía No. xxxxxxxxxxxx, el contenido de la presente decisión.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Avenida Carrera 7 # 31 A - 36 pisos 3 y 3a. en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 30 NOVIEMBRE 2022 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUNOZ SALAZAR MUNOZ Fecha: 2022.11.30 19:58:35 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JIHM Revisó: AMVJ Aprobó: CESM “Por la cual se impone una sanción administrativa y se imparte una orden” NOTIFICACIÓN: Investigada: Sociedad: GOURMET & VACATION PEOPLE S.A.S Identificación: N.I.T. 900.596.315-7 Representante Legal: vvvvvvvvvvvvvvvvvvvvv Identificación: bbbbbbbb Dirección: Carrera 27 No. 53-61 Oficina 506 Ciudad: Bogotá D.C. Correo electrónico: gvppgl@gmail.com COMUNICACIÓN: Señora: XXXXX XXXXXX XXXXXXXX XXXXXX Identificación: C.C. No. xxxxxxxxxxxx Ciudad: Bogotá D.C. Correo electrónico: bbbbbbbbbbbbbbbbbbbbbbbbbbbbb HOJA N,

Resolución sancionatoria N° 85259 de 2022

CONSIDERANDO

RESUELVE