Resolución sancionatoria N° 45002 de 2021

(26 OCTUBRE 2021) VERSIÓN PÚBLICA “Por la cual se impone una sanción y se imparten unas órdenes” Radicación 20-135203 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que, mediante Resolución No. 10207 del día 30 de abril de 2019, expedida por esta Dirección a través del Grupo de Trabajo de Habeas Data, se ordenó lo siguiente: “ARTÍCULO SEGUNDO: Remitir copia de la presente Resolución al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección con el fin de que determine si existe o no mérito para adelantar una actuación administrativa de carácter sancionatorio y, conforme a la decisión adoptada, se informe al Grupo de Trabajo de Habeas Data lo pertinente”.

SEGUNDO: Que, en la parte motiva de la Resolución No. 10207 del día 30 de abril de 2019, expedida por esta Dirección a través del Grupo de Trabajo de Habeas Data, de cara a la queja presentada ante esta Superintendencia por el señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, identificado con cédula de ciudadanía No. xxxxxxxxxxxxx, contra la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A., identificada con NIT. 890.704.196-6, se consideró lo siguiente: “6.2.

Respecto del trámite a seguir cuando el titular de la información o sus causahabientes presente una petición frente al responsable del manejo de la información. (…) En el caso en particular, encuentra este Despacho que el Titular de Información afirma que presentó un derecho de petición ante la sociedad Aerovías de Integración Regional S.A., y/o Latam Airlines Colombia S.A., y asegura que vencido el término legal establecido no obtuvo respuesta, sin embargo, asevera recibió un correo electrónico de una cuenta de Gmail, mediante el cual le solicitaron que remitirá información relacionada con su cuenta bancaria.

A su vez, manifiesta que considera una falta grave el actuar de dicha sociedad, puesto que: ‘1 que me envíen un requerimiento desde una cuenta de Gmail cuando la entidad cuenta con correos institucionales. 2- Que me soliciten datos de mi cuenta bancaria. 3- He solicitado dos veces mediante canal de comunicación de Facebook se me entregado (sic) manual de tratamiento de datos… y no se obtiene respuesta alguna’ (fl.3): Por su parte, la sociedad investigada indicó en primer lugar, que el día 20 de febrero de 2017 el titular solicitó la devolución del dinero de los tiquetes por no haber utilizado uno de sus tramos ‘(…) proceso que requiere para LATAM (…) información bancaria y de contacto de la persona que adquirió los tiquetes, con el fin de poder dar trámite a su solicitud, y por tal motivo, realizó dicho requerimiento al pasajero’ (fl.12), y afirmó que es esa misma fecha, a través de correo electrónico se le otorgó información al señor xxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxx sobre su solicitud de devolución, así mismo, se le señaló que sería enviada al área de devoluciones para su revisión y validación. En segundo lugar, manifestó que el día 3 de marzo se le indicó al señor xxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx que su solicitud había sido aprobada, razón por la cual, se gestionaría la devolución del dinero, por lo cual el día 7 de marzo le remitió un correo al titular informándole que la devolución había sido enviada al Banco Davivienda, sin embargo, la misma fue rechazada por que dio un número de cuenta inválido, razón por la cual el día 24 de marzo de 2017 designó a una persona encargada de contactar a los pasajeros para que HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” les solicitara la información al correo electrónico genérico pasantelan@gmail.com para lo cual tuvo la respectiva firma de LATAM Airlines Colombia.

En tercer lugar, manifestó que el día 26 de marzo de 2017 el señor xxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx presentó un derecho de petición, en el cual solicitó entre otras cosas ‘(…) me envíen a mi correo xxxxxxxxxxxxxxxxxxx la POLÍTICA DE TRATAMIENTO DE DATOS que tiene establecido Latam para con sus usuarios 3- Que me sea informado el correo del oficial de tratamiento de datos 4.

Que me informen porque me enviaron un correo desde la cuenta de Gmail y no una cuenta empresarial de Latam y porque mis datos son visibles para todos los usuarios informados’(…) a la cual se le otorgó respuesta en esa misma fecha en la cual se le indicó que su caso sería asignado a un ejecutivo para su investigación y el día 12 de abril se le otorgó respuesta a sus solicitudes (…).

(…) No obstante lo anterior, se observa que dicha respuesta no contiene la dirección física o correo electrónico a la cual fue remitida, si bien contiene el nombre del titular no se evidencia que la misma haya sido enviada al señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, de otra parte, al revisar el contenido de dicha respuesta se evidencia que la misma no fue de fondo frente a las pretensiones planteadas por el titular, razón por la cual, se evidencia una posible vulneración por parte de la misma al deber contenido en el artículo 15 de la Ley 1581 de 2012.

(…)”.

TERCERO: Que, dentro de la actuación administrativa adelantada por el Grupo de Trabajo de Habeas Data, se recolectaron, entre otros, los elementos materiales probatorios que se enlistan a continuación: 3.1 Comunicación remitida por la Superintendencia Financiera de Colombia, radicada con el número 17-124153-00000 del 18 de mayo de 2017, mediante la cual se traslada la denuncia del señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx en la que él manifiesta que solicitó un trámite para la devolución de dinero por unos tiquetes aéreos ante la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A., y que, “(…) a pesar de que ya vencieron los tiempos de respuesta me enviaron un correo desde una cuenta de Gmail solicitándome que envíe datos de mi cuenta bancaria”.

Igualmente denuncia que, “[h]e solicitado dos veces mediante canal de comunicación de Facebook me sea entregado manual de tratamiento de datos y oficial de tratamiento y no se obtiene respuesta alguna, solo ignoran mis mensajes”. A esta comunicación se anexan los siguientes documentos: (i) pantallazo de correo electrónico enviado el día 24 de marzo de 2017, desde la dirección electrónica “pasantelan@gmail.com”, dirigido a múltiples destinatarios e incluido el señor xxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxx, y con el que se requiere la entrega de datos bancarios; y (ii) pantallazo de mensajes entre la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. y el señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, presuntamente a través de la red social Facebook, y en los que se solicita información acerca de la devolución de su dinero, y se requiere la entrega de Política de Tratamiento de Datos Personales, y la dirección electrónica del Oficial de Tratamiento de Datos Personales de la sociedad. 3.2 Oficio con radicado 17-124153-00006 del 25 de enero de 2019, mediante el cual esta Dirección, a través del Grupo de Trabajo de Hábeas Data, solicitó a la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A., entre otras cosas, que informara lo siguiente: “(…) 3.

Si ustedes han tratado la información del Titular en calidad de Encargado o Responsable. En caso de ser en calidad de Encargado favor indicar el nombre e identificación del Responsable del tratamiento de la información. 4. Informar si el Titular ha presentado una reclamación o petición ante ustedes, en caso de ser afirmativa su respuesta favor aportar copia de la(s) misma(s) con su respectiva respuesta.

(…)”. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” 3.3 Comunicación presentada ante esta Superintendencia con radicado 17-124153-00007 del 13 de febrero de 2019, mediante la cual, la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A., en atención del requerimiento enunciado en el numeral anterior, informó lo siguiente: Imagen 1.

Tomada del anexo a la comunicación realizada por la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. el día 13 de febrero de 2019, obrante en el radicado 17-124153-00007, página 1. Imagen 2. Tomada del anexo a la comunicación realizada por la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. el día 13 de febrero de 2019 obrante en el radicado 17-124153-00007 del 13 de febrero de 2019, página 2.

Imagen 3. Tomada del anexo a la comunicación realizada por la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. el día 13 de febrero de 2019 obrante en el radicado 17-124153-00007 del 13 de febrero de 2019, página 2. A la comunicación con radicado con radicado 17-124153-00007 del 13 de febrero de 2019 se anexan, entre otros, los siguientes documentos: (i) documento titulado “Anexo contrato transporte complementario para Colombia”, que contiene la Autorización para el Tratamiento de datos personales que los pasajeros otorgan a la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A., (ii) pantallazo de mensaje electrónico presuntamente del día 26 de marzo de 2017, proveniente del correo xxxxxxxxxxxxxxxxxxxxxxx, mediante el cual el señor xxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxx interpone petición ante la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. y;

(iii) pantallazo de mensaje electrónico presuntamente del 12 de abril de 2017, proveniente de “xxxxxxxxxxxxxxxx” y dirigido al señor xxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxx, por el que se da respuesta a petición del Titular. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” 3.4 En cumplimiento de la orden emitida por esta Superintendencia en Resolución No. 10207 del día 30 de abril de 2019, la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. remitió comunicación con radicado 17-124153-00017 del 20 de mayo de 2019, en la que acredita el cumplimiento de dicha orden al aportar evidencia de la respuesta a la petición interpuesta el 26 de marzo de 2017, por el señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx.

CUARTO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: (i) el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el numeral 3) del artículo 15 ejúsdem y; ii) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 ejúsdem, el 13 de julio de 2020 se inició la presente investigación administrativa mediante la expedición de la Resolución No. 37551 por medio de la cual se formularon dos (2) cargos a la sociedad AEROVIAS DE INTEGRACIÓN REGIONAL S.A., identificada con Nit. 890.704.196-6.

La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación, y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante.

QUINTO: Que mediante comunicación con radicado 20-135203-00009 del 18 de agosto de 2020 la sociedad AEROVIAS DE INTEGRACIÓN REGIONAL S.A., a través de su representante legal, dio respuesta a la formulación de cargos en el siguiente sentido: 5.1 Indicó que respecto a la petición que el denunciante menciona que presentó a través de la red social Facebook, esta carece de los elementos que debe contener una petición de acuerdo con el artículo 16 de la Ley 1755 de 2015, por lo cual las comunicaciones enviadas por el Titular a través de dicha red social se trataron por la compañía como respuesta a mensajes y agregó: “(…) en la interacción sostenida a través de dicha red social, LATAM Airlines Colombia le dio respuesta al Pasajero, y le indicó que, para radicar una queja formal, debía hacerlo a través del link que le fue dispuesto en respuesta a uno de sus mensajes, dado que ‘Facebook’, no es el canal idóneo y eficaz para recepcionar y conocer ese tipo de requerimientos, tal y como se evidencia a continuación, en el pantallazo que el Pasajero adjuntó en su reclamación: ” Imagen 4.

Tomada del escrito de descargos obrante en el radicado 20-135203-00009, página 1, folio 3. 5.2 Señaló que los mensajes en Facebook del denunciante no cumplen con los requisitos del artículo 15 de la Ley 1581 de 2012 “(…) para que fueran tratados como un reclamo de protección de datos personales, y por eso LATAM Airlines Colombia no los tramito bajo ese concepto (…)” y “(…) LATAM Airlines Colombia en la obligación de tramitar dicho reclamo en el término señalado en esta ley, ya que éste, no cumplía con las condiciones establecidas en la misma”. 5.3 Manifestó que el requerimiento inicial del denunciante de solicitud de devolución de dinero, fue tramitado y “(…) el día 20 de abril de 2017, se le notificó que ésta (sic) había sido procesada exitosamente por parte del Banco Davivienda, como se muestra a continuación: HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” ” Imagen 5.

Tomada del escrito de descargos obrante en el radicado 20-135203-00009, página 1, folio 4. 5.4 Agregó, que también se dio cumplimiento a la orden impartida por la Superintendencia de Industria y Comercio mediante la Resolución No. 10207 de 2019, en la cual “(…) nos ordenó dar respuesta completa y de fondo al Pasajero, por lo cual, dimos cabal cumplimiento el pasado 15 de mayo de 2019, entendiendo que, con esta instrucción impartida por la autoridad, se dio la protección correspondiente al Pasajero”. 5.5 Aportó imagen de la respuesta dada al Titular el 12 de abril de 2017, en la que se visualiza el correo electrónico al que se envió. La imagen es la siguiente: Imagen 6.

Tomada del escrito de descargos obrante en el radicado 20-135203-00009, página 1, folio 5. 5.6 Manifestó que en consideración al literal d) del artículo 17 de la Ley 1581 de 2012 y lo señalado por esta Superintendencia en Resolución No. 45002 de 2020 en el sentido de que “(…) la redacción del principio de seguridad tiene un criterio eminentemente preventivo, lo cual obliga a los Responsables o Encargados a adoptar medidas apropiadas y efectivas para evitar afectaciones a la seguridad de la información sobre las personas (…)”, los datos personales del Titular fueron “(…) almacenados y mantenidos con las condiciones de seguridad requeridas, por lo que su conservación no se vio vulnerada, y en ese sentido”.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” 5.7 Agregó que, tampoco, respecto del Titular se incumplieron los literales f) y g) del artículo 4 de la Ley 1581 de 2012 y señaló que: “Como se informó a esta autoridad anteriormente, el correo electrónico genérico utilizado por un área específica de la compañía (pasantelan@gmail.com) que incluía la respectiva firma de la aerolínea, fue dado de baja por LATAM Airlines Colombia en el mes de julio de 2017, y con el fin de tener mejores prácticas, se creó el correo electrónico control.devoluciones@latam.com, el cual contaba con dominio latam, quedando incluido como correo corporativo de la compañía, y en el que se encontraba nombrado el tema de devoluciones, dando así mayor tranquilidad a nuestros pasajeros en caso de hacer algún requerimiento relacionado con este tema a través de ese medio electrónico.

Sin embargo, damos alcance a la autoridad en el presente escrito, informando desde el mes de abril de 2020, éste correo electrónico mencionado anteriormente no se ha utilizado por la compañía para los fines antes descritos, por lo que podemos afirmar que LATAM Airlines Colombia ha venido adoptando diferentes medidas para evitar afectaciones a la seguridad de la información de nuestros pasajeros, acogiendo de esta manera, las prácticas necesarias y efectivas tendientes a mitigar posibles fallas en las medidas de seguridad, que sean de carácter permanente, y garantizando la efectiva protección de los datos personales.

De todas formas, consideramos importante aclarar que, en el caso concreto, tal y como se puede evidenciar de los hechos alegados por el Pasajero, la información posiblemente comprometida en el correo masivo enviado el área de Revenue Accounting, fue únicamente su correo electrónico, en ningún momento se vio implicada información personal adicional, por lo que el envío del correo masivamente, no generó un peligro de alto impacto, ya que en dicho correo, solo se envió un formato para que cada uno de los pasajeros lo diligenciara y lo hiciera llegar a la compañía. Como lo manifestó esta autoridad en la Resolución 45002 de 2020, ‘debe entenderse que la norma busca establecer un elemento preventivo para que los Responsables, al igual que los Encargados, cuando sea el caso, adopten las medidas necesarias y efectivas de carácter reforzado para así evitar afectaciones a la seguridad de la información de los Titulares’.

En ese sentido, comprometidos con implementar mejores prácticas, LATAM Airlines Colombia adoptó las medidas necesarias para evitar posibles afectaciones a la seguridad de la información personal, la cual es apropiada, cumpliendo así con lo exigido por el principio y el deber de seguridad, de manera que se evite: (i) el acceso no autorizado o fraudulento, (ii) el uso no autorizado o fraudulento, (ii) la consulta no autorizada o fraudulenta y (iv) la pérdida de información personal”. 5.8 Invocó que en aplicación del principio de responsabilidad demostrada, imparten capacitaciones a través de la Academia Corporativa de la empresa que da el curso de “Protección de Datos Personales y Prevención de Lavado de Activos” que es obligatorio para todos los empleados, y añadió que: “(…) LATAM Airlines Colombia tiene implementadas políticas internas, las cuales queremos hacer énfasis, son de obligatorio cumplimiento para todos nuestros colaboradores, y que tienen como objetivo garantizar la protección de la información como lo son: (i) Política de Gestión de Vulnerabilidades, en la cual se establecen reglas sobre la gestión de vulnerabilidades en el entorno de sistemas, (ii) Política de Control de Acceso Lógico a la Información, en la cual se establecen las reglas de acceso a los sistemas de información, (iii) Política de Clasificación de la Información, en la cual se establecen los criterios de clasificación de la información y responsabilidades de la misma, (iv) Política de Seguridad de la Información del Grupo LATAM Airlines, en la cual se entregan directrices para la protección de información de la compañía, y (v) Política de Normas de Seguridad PCI-DSS, en la cual se establecen directrices sobre la operación en comercio con tarjetas de crédito y débito”. 5.9 Señaló que operó el fenómeno de la caducidad de la facultad sancionatoria previsto en el artículo 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, en consideración a: “ dio respuesta al reclamo interpuesto por el Pasajero en el mes de febrero de 2017 a través de la red social ‘Facebook’ y el 26 de marzo de 2017, el término para emitir y notificar acto administrativo sancionatorio o absolutorio era el pasado 18 de abril de 2020.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” incumplió con el deber de conservación de la información como Responsable del Tratamiento por el correo electrónico que envió el día 24 de marzo de 2017, el término para emitir y notificar acto administrativo sancionatorio o absolutorio era el pasado 23 de marzo de 2020”.

SEXTO: Que mediante Resolución No. 17183 del 29 de marzo de 2021, este Despacho incorporó las pruebas obrantes en la totalidad del expediente con radicado 20-135203, con el valor probatorio que les corresponda, y corrió traslado para alegatos de conclusión a la sociedad AEROVIAS DE INTEGRACIÓN REGIONAL S.A. por el término de diez (10) días hábiles.

SÉPTIMO: Que mediante la comunicación con radicado 20-135203-00016 del 16 de abril de 2021 la sociedad AEROVIAS DE INTEGRACIÓN REGIONAL S.A., a través de su representante legal, presentó escrito de alegatos de conclusión, reiterando lo expuesto en los descargos1.

OCTAVO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

NOVENO: Análisis del caso 9.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20112, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del Tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de: i) el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el numeral 3) del artículo 15 ejúsdem y; ii) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 ejúsdem.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 9.2 Valoración probatoria y conclusiones A continuación, se realizará un análisis de cada uno de los cargos imputados a la investigada en la presente actuación, así como del acervo probatorio recaudado, para en cada caso establecer si se presentó una infracción al Régimen de Protección de Datos Personales. 1 Radicado 20-135203-00009 del 18 de agosto de 2020, página 1. 2 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretlt Chaljub, seis (6) de octubre de dos mil once (2011).

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” 9.2.1 Respecto del deber de responder las peticiones, consultas y reclamos presentados por los Titulares El literal j) del artículo 17 de la Ley 1581 de 2012 establece el deber de los Responsables y Encargados de atender los reclamos ante ellos presentados, así: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley; (…)”. Este deber se sustenta en el derecho fundamental de petición previsto en el artículo 23 de la Constitución Política que establece: “Toda persona tiene derecho a presentar peticiones respetuosas a las autoridades por motivos de interés general o particular y a obtener pronta resolución. El legislador podrá reglamentar su ejercicio ante organizaciones privadas para garantizar los derechos fundamentales”.

Adicionalmente, la Corte Constitucional en la sentencia C-748 de 2011, al realizar el estudio de constitucionalidad de la Ley 1581 de 2012, respecto de las consultas y reclamos que los Titulares de la información pueden realizar a los Responsables y Encargados del Tratamiento, expresó: “Este artículo regula un procedimiento similar al que contempla el artículo 16, II, numerales 1,2 y 3 de la Ley 1266 de 2008, hallado exequible por la Corte en la sentencia C-1011 de 2008.

Sobre este mecanismo de reclamos que se consagra ante los responsables y encargados del dato, se puede advertir que los términos que se dieron para que el obligado conteste los requerimientos hechos son los mismos que se consagran para el derecho de petición en el Código Contencioso Administrativo, razón por la que se pueden transpolar los comentarios que se dejaron consignados sobre el carácter instrumental del derecho de petición, en aras de permitir al titular del dato ejercer las facultades que se derivan del habeas data”.

De esta manera, los mecanismos de consultas y reclamos frente a los Responsables y Encargados del Tratamiento, constituye un desarrollo del artículo 23 de la Constitución Política, es decir, la reglamentación del derecho de petición frente a particulares que va específicamente orientado a la salvaguarda del derecho de hábeas data. Al respecto, se debe traer a colación el siguiente aparte de la Sentencia C-748 de 2011, que reza: “En consecuencia, el precepto revisado resulta ajustado a la Constitución. No obstante, la Sala debe advertir que la jurisprudencia constitucional ha perfilado unas características que debe tener la respuesta para que se entienda satisfecho el derecho de petición. En ese orden, tanto los responsables como los encargados del tratamiento están obligados a observar esos parámetros que en términos generales se pueden resumir de la siguiente manera: (i) la respuesta debe ser de fondo, es decir, no puede evadirse el objeto de la petición, (ii) que de forma completa y clara se respondan a los interrogantes planteados por el solicitante, (iii) oportuna, asunto que obliga a respetar los términos fijados en la norma acusada”.

(Se subraya fuera de texto) Así mismo, la Corte Constitucional, además de establecer que las respuestas a las peticiones deben ser oportunas, de fondo y congruentes, también ha señalado que deben ser claras y precisas, respecto de lo cual ha indicado: “La trascendencia constitucional del derecho fundamental de petición implica que ésta garantía sólo se garantiza cuando la solicitud del ciudadano es contestada bajo criterios materiales y sustantivos que posibilitan una respuesta real y efectiva a su petición. De este modo, el pronunciamiento de las autoridades debe ser: (i) claro, como quiera que debe contener argumentos comprensibles y razonables;

(ii) de fondo, lo cual significa que debe resolver de manera completa y detallada todos los asuntos indicados en la petición; (iii) preciso, que haya sido realizado con exactitud y rigurosidad; y, (iv) congruente, HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” es decir, que exista relación entre lo respondido y lo pedido, excluyendo referencias evasivas o que resulten ajenas al asunto planteado.

(…) La Corte Constitucional ha establecido que el derecho de petición comprende dos facetas, una relacionada con la posibilidad de elevar peticiones respetuosas a la administración pública, y otra con el deber de las autoridades de responder de fondo y oportunamente a las mismas. Así, constituye vulneración al derecho de petición: (i) la ausencia de respuesta por parte de la administración dentro de los términos legales establecidos para tal fin y (ii) la respuesta vaga, imprecisa o que no atiende de fondo lo pedido, sin que ello implique resolver favorablemente las pretensiones del administrado”3.

Por tanto, es deber de los Responsables y Encargados del Tratamiento garantizar el ejercicio del derecho de hábeas data, así como garantizar el pleno y efectivo derecho de petición, consulta o reclamación, es decir, atender cada una de las solicitudes de los titulares, sin dilaciones ni retrasos, de manera completa, de fondo, clara, precisa y congruente.

Por su parte, el artículo 15 de la Ley 1581 de 2012, dentro del marco del derecho fundamental de hábeas data, desarrolla el mecanismo de presentación y respuesta de reclamos, al indicar: “ARTÍCULO 15. RECLAMOS. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1.

El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.

Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.

Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga ‘reclamo en trámite’ y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.

Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término”. (Se subraya fuera de texto) Preliminarmente este Despacho evidenció que la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. no dio respuesta oportuna y completa a la petición presentada por el Titular el 26 de marzo de 2017, así como tampoco atendió de forma completa las peticiones presentadas por el Titular a través de la red social Facebook.

Por su parte, la investigada señaló en descargos que no dio respuesta oportuna al reclamo presentado por el Titular en la red social Facebook, en consideración a que este reclamo no se trata de una petición al no cumplir con los requisitos que prevé el artículo 16 de la Ley 1755 de 2015 y en todo caso, se le informó el canal idóneo para para la presentación de su reclamación. Así mismo, señala, que las condiciones que dispone el artículo 15 de la Ley 1581 de 2012 tampoco estaban presentes en el reclamo del denunciante.

Agregó la investigada que, en todo caso, la solicitud inicial de devolución de dinero se le tramitó al Titular y además, en cumplimiento de lo ordenado por la SIC en Resolución No. 10207 de 2019, el 15 de mayo de 2019 se dio respuesta de fondo al Titular. Indicó que respecto de este cargo operó el 3 Ver en: Corte Constitucional, Sentencia T-621/17 del 6 de octubre de 2017, M.P.: Alberto Rojas Ríos.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” fenómeno de la facultad sancionatoria del artículo 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo. Ahora bien, las peticiones del Titular que dieron lugar a la formulación de cargos mediante la Resolución No. 37551 de 2020 son las siguientes: i) la presentada en la red social de Facebook en febrero/marzo de 20174 y; ii) la realizada el 26 de marzo de 2017 a través de formulario web5.

A continuación, este Despacho procede a examinar de manera individual cada una de las dos peticiones presentas por el denunciante a la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. que ocasionaron la formulación del primer cargo en la Resolución No. No. 37551 de 2020, a saber: (i) Petición presentada en la red social de Facebook en febrero/marzo de 2017 Dentro de los documentos aportados en la denuncia6 se encuentra la solicitud presentada por el Titular en febrero/marzo de 2017, visualizándose así: Imagen 7.

Tomada del radicado 20-135203-00001, página 1, folio 18. Nótese que el Titular formula dos solicitudes a la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A.: i) que le haga entrega de la Política de Tratamiento de la Información de la empresa y; ii) que le informe el correo del Oficial de Tratamiento de Datos Personales de la compañía. Frente a esta petición, a través de la red social Facebook, la investigada dio la siguiente respuesta: Imagen 8.

Tomada del radicado 20-135203-00001, página 1, folio 19. De la anterior respuesta se evidencia que la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. informó al Titular el canal a través del cual podía formalizar la reclamación y no dio respuesta clara, completa y de fondo a las dos solicitudes formuladas en mensaje del Titular por la red social.

Ahora bien, sobre lo manifestado7 por la investigada respecto a que la petición en la red social no cumple con los requisitos del artículo 16 de la Ley 1755 de 2015 “[p]or medio de la cual se regula el Derecho Fundamental de Petición y se sustituye un título del Código de Procedimiento Administrativo y de lo Contencioso Administrativo”, es preciso traer a colación la sentencia T-230/20 del 7 de julio de 2020, MP.: Dr. Luis Guillermo Guerrero Pérez: 4 De acuerdo con los mensajes de Facebook aportados en la denuncia, obrantes a folio 18 de la página 1 del radicado 20-135203-00001 del 27 de junio de 2020 del expediente digital, no es posible determinar la fecha exacta de la petición presentada en la red social Facebook; no obstante, del historial de la conversación sí es claro que el denunciante efectuó la petición por dicha red social los últimos días del mes de febrero o los primeros días del mes de marzo de 2017. 5 Obrante en radicado 20-135203-00009, página 1, folio 52. 6 Obrante en el radicado 20-135203-00001 del 27 de junio de 2020. 7 En escrito de descargos obrante en el radicado 20-135203-00009, página 1, folio 2.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” “4.5.2.1. Las peticiones también podrán elevarse excepcionalmente ante organizaciones privadas. En los artículos 32 y 33 de la Ley 1437 de 2011, modificados por el artículo 1 de la Ley 1755 de 2015[43], se estipula que cualquier persona tiene el derecho de formular solicitudes ante entidades de orden privado sin importar si cuentan o no con personería jurídica[44], cuando se trate de garantizar sus derechos fundamentales.

En el ejercicio del derecho frente a privados existen iguales deberes de recibir, dar trámite y resolver de forma clara, oportuna, suficiente y congruente, siempre que sean compatibles con las funciones que ejercen[45]. En otras palabras, los particulares, independientemente de su naturaleza jurídica, son asimilables a las autoridades públicas, para determinados efectos, entre ellos, el relacionado con el derecho de petición. (…) 4.5.6.1.

Formas de canalizar las peticiones. El derecho de petición se puede canalizar a través de medios físicos o electrónicos de que disponga el sujeto público obligado, por regla general, de acuerdo con la preferencia del solicitante. Tales canales físicos o electrónicos pueden actuarse de forma verbal, escrita o por cualquier otra vía idónea que sirva para la comunicación o transferencia de datos[61]. 4.5.6.1.1.

Ahora bien, los medios físicos pueden definirse como aquellos soportes tangibles a partir de los cuales es posible registrar la manifestación de un hecho o acto. Dentro de los más comunes para la presentación de solicitudes se destacan la formulación presencial –ya sea verbal o por escrito– en los espacios físicos destinados por la autoridad, y el correo físico o postal para remitir el documento a la dirección destinada para tal efecto.

En cualquiera de los dos eventos, al peticionario debe asignársele un radicado o algún tipo de constancia sobre la presentación de la solicitud, de manera que sea posible hacer su seguimiento. Por su parte, los medios electrónicos son herramientas que permiten la producción, almacenamiento o transmisión digitalizada de documentos, datos e informaciones, a través de cualquier red de comunicación abierta o restringida.

Esta última supone un diálogo entre sujetos –al menos un emisor y un receptor– en el que se da una transmisión de señales que tienen un código común[62]. Estas herramientas tecnológicas se encuentran contenidas en las Tecnologías de la Información y las Comunicaciones (TIC), que son ‘el conjunto de recursos, herramientas, equipos, programas informáticos, aplicaciones, redes y medios, que permiten la compilación, procesamiento, almacenamiento, transmisión de información como voz, datos, texto, video e imágenes.’[63] Dentro de estos servicios se resaltan los de telemática e informática en los que se ubica la Internet[64], hoy por hoy, medio que, por excelencia, facilita la transmisión de información y comunicaciones entre la población. (…) En este orden de ideas, las peticiones formuladas a través de mensajes de datos en los diferentes medios electrónicos habilitados por la autoridad pública –siempre que permitan la comunicación–, deberán ser recibidos y tramitados tal como si se tratara de un medio físico.

(…) 4.7.2.2. Tal como fue desarrollado en el aparte de consideraciones generales de esta providencia, el CPACA de ninguna manera restringe a ciertas formas o canales el ejercicio del derecho a presentar peticiones, sino que, por el contrario, utiliza un esquema amplio y abierto para el efecto, siendo posible formular solicitudes por vía verbal o escrita.

En cuanto a esta última, también se admite la utilización de cualquier tipo de medio electrónico, siempre que éste permita la comunicación y la entidad lo tenga habilitado para su uso. En este orden de ideas, a diferencia de lo alegado por el accionado, los mensajes de datos regulados en la Ley 527 de 1999 son herramientas que permiten y facilitan el ejercicio del derecho de petición, en tanto que tienen igual eficacia jurídica que un documento consignado en papel.

Tal como se explicó en el apartado de consideraciones generales, ese instrumento de comunicación está dotado de integridad siempre que su contenido no hubiese sido alterado; característica que fácilmente puede satisfacerse a partir de los sistemas de protección de la información como la criptografía y las firmas digitales. De ahí que, las peticiones elevadas a través de mensajes de datos en los diferentes medios electrónicos habilitados por una autoridad pública –siempre que permitan la comunicación–, deberán ser recibidos y tramitados tal como si se tratara de un medio físico.

En el caso de las redes sociales, se indicó que algunas de ellas permiten la transferencia de datos y la comunicación bidireccional, por lo que si una entidad crea su cuenta, los canales que se habiliten como consecuencia de ello, son vías a través de las cuales los usuarios HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” pueden eventualmente acudir para ejercer su derecho fundamental de petición. En todo caso, es preciso destacar que no toda manifestación que hagan los administrados en los medios digitales deben ser tratadas como ejercicio de dicha garantía constitucional.

Tal como se anunciaba, al menos en el caso de Facebook cuando se crea una página (como ocurre en el caso concreto), muchas de las respuestas a las publicaciones que haga la entidad serán opiniones o sugerencias, cuyo trámite por el administrador es opcional. En esa medida, ante el volumen de intercambio que puede generarse, podría ser válido que la entidad disponga los medios para racionalizar la atención de las solicitudes, y deshabilite la posibilidad de recibir mensajes directos de los ciudadanos, de manera que su cuenta no sea, en principio, un medio para tramitar derechos de petición. En consecuencia, de habilitarse en una red social como Facebook la posibilidad de recibir mensajes directos, la institución debe prever las modificaciones internas de distribución de trabajo que corresponden, a efectos de responder efectivamente a la demanda de atención al público que se suscita con la creación de una cuenta en alguna red social.

Esto necesariamente implica la obligación de direccionar internamente la petición recibida por el chat hacia el área competente para dar respuesta. De ahí que, alejado de lo mencionado por la entidad accionada, no cabe duda de que las redes sociales pueden ser medios idóneos para la presentación de solicitudes, y que carece de trascendencia alguna la circunstancia de que su administración no se encuentre en cabeza del área de servicio al ciudadano o atención al usuario.

Los trámites internos para responder a la nueva demanda de PQR que se suscita con la utilización de redes sociales, dependerá directamente de la entidad, sin que dicha carga se pueda transferir al ciudadano[123]. De lo expuesto hasta el momento, la Sala entiende que el mensaje remitido por el accionante a través de mensaje directo a la página de Facebook denominada ‘Acueducto de Popayán’, en principio, debe ser entendido como parte del ejercicio del derecho de petición, toda vez que fue formulado a través de un medio idóneo.

En particular, dado que la plataforma utilizada para enviar la petición fue la página de Facebook de la entidad demandada, la cual tenía habilitada la opción de recibir mensajes directos por parte de la ciudadanía. En esa medida, el Acueducto debió proceder a remitir internamente la solicitud al área correspondiente para que se brindara respuesta.

No obstante, aún se presentan algunos asuntos que requieren de mayor precisión a efectos de establecer si se generó o no una afectación de la garantía constitucional en estudio, a saber: (i) si el contenido del mensaje responde a los estándares establecidos por la ley y la jurisprudencia para el ejercicio del derecho de petición y, específicamente, si es posible una identificación suficiente del solicitante; y (ii) si se exime a la empresa de dar respuesta por el hecho de que la página de Facebook a la cual se remitió el mensaje no hubiera surtido hasta ese momento el proceso de verificación. 4.7.2.3.

En relación con el primero de estos interrogantes, como se anunciaba previamente, el artículo 16 del CPACA contiene los parámetros mínimos que deben tener los derechos de petición para que puedan ser respondidos por la entidad, y el hecho que la solicitud no contenga alguno de ellos, no constituye una barrera para el ejercicio del derecho.

Por el contrario, de estimarse necesario complementar la información dada por el solicitante, la entidad deberá buscar directamente los elementos faltantes de contar con la información, o solicitarle al peticionario que los remita. En cuanto al requisito relativo a las “razones en las que se fundamenta la petición”, es preciso anotar que, en muchos casos, la sola lectura de la solicitud permite inferir la justificación de la misma.

Por lo demás, no resultaría razonable descartar la petición de plano por esa sola circunstancia, pues, como se ha dicho, el deber de la entidad es requerir entonces la explicación de la justificación, y no ampararse en su supuesta omisión, para no cumplir sus obligaciones como entidad de la Administración Pública. (…)”. (Se subraya fuera de texto) Teniendo en cuenta lo dispuesto por la jurisprudencia de la Corte Constitucional, este Despacho encuentra que la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. cuenta con el mecanismo de recibo de mensajes y envío de respuestas habilitado a través de la red social Facebook, lo cual se evidencia con la conversación sostenida con el Titular8.

Así, la investigada al recibir a través de esta red social la petición del Titular debió darle respuesta, a través del mismo medio o gestionar internamente dentro de la compañía para que el área o persona encargada atendiera la solicitud del Titular, no siendo de recibo para este Despacho que se entendiera contestada su petición al indicarle que la queja podía formalizarla a través 8 Esta conversación obra en el radicado 20-135203-00001, página 1, folios 17 a 19.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” del formulario https://goo.gl/rbbyjE, así como tampoco es de recibo que la red social Facebook no se considere como el canal idóneo para la atención de la petición cuando a través de ella la investigada recibe comunicaciones y las contesta. Además, en cuanto al artículo 16 de la Ley 1755 de 20159 que establece el contenido mínimo de las peticiones, es preciso señalar que cuando el receptor de la petición identifica que hacen falta alguno de los elementos que establece esta norma, está en la obligación de completar aquello que haga falta acudiendo a la información que disponga sobre el tema y/o peticionario y/o solicitarle al peticionario que allegue la información faltante.

Sobre esto último, precisamente el artículo 17 10 de la misma Ley establece que cuando una petición está incompleta, dentro de los 10 días siguientes a su recibo se debe requerir al peticionario para que la complemente. Para el caso particular y frente al argumento expuesto por la investigada sobre el antedicho artículo 16, este Despacho evidencia:  La petición 11 del Titular está dirigida a la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. al presentarla a través de la red social Facebook de la compañía.  Dentro de los mensajes12 del Titular con la investigada a través de la red social, él indicó su número de cédula de ciudadanía y el código de reserva de su tiquete aéreo, información que es suficiente para que la empresa, de haber sido necesario, consultara los datos que hubiesen sido imperiosos para efectos de atender la petición.  El Titular señaló de forma clara el objeto de la petición que corresponde a solicitar: i) la Política de Protección de la Información y; ii) el correo del Oficial de Tratamiento de Datos Personales.  Del contenido de la petición se concluye cuáles son las razones de la petición, la cual es la inconformidad del Titular respecto a que le están solicitando sus datos a pesar de que la investigada los tiene en sus bases de datos. 9 “Artículo 16.

Contenido de las peticiones. Toda petición deberá contener, por lo menos: 1. La designación de la autoridad a la que se dirige. 2. Los nombres y apellidos completos del solicitante y de su representante y o apoderado, si es el caso, con indicación de su documento de identidad y de la dirección donde recibirá correspondencia. El peticionario podrá agregar el número de fax o la dirección electrónica.

Si el peticionario es una persona privada que deba estar inscrita en el registro mercantil, estará obligada a indicar su dirección electrónica. 3. El objeto de la petición. 4. Las razones en las que fundamenta su petición. 5. La relación de los documentos que desee presentar para iniciar el trámite. 6. La firma del peticionario cuando fuere el caso.

PARÁGRAFO 1 o. La autoridad tiene la obligación de examinar integralmente la petición, y en ningún caso la estimará incompleta por falta de requisitos o documentos que no se encuentren dentro del marco jurídico vigente, que no sean necesarios para resolverla o que se encuentren dentro de sus archivos.

PARÁGRAFO 2 o. En ningún caso podrá ser rechazada la petición por motivos de fundamentación inadecuada o incompleta”. 10 “Artículo 17. Peticiones incompletas y desistimiento tácito. En virtud del principio de eficacia, cuando la autoridad constate que una petición ya radicada está incompleta o que el peticionario deba realizar una gestión de trámite a su cargo, necesaria para adoptar una decisión de fondo, y que la actuación pueda continuar sin oponerse a la ley, requerirá al peticionario dentro de los diez (10) días siguientes a la fecha de radicación para que la complete en el término máximo de un (1) mes.

A partir del día siguiente en que el interesado aporte los documentos o informes requeridos, se reactivará el término para resolver la petición. Se entenderá que el peticionario ha desistido de su solicitud o de la actuación cuando no satisfaga el requerimiento, salvo que antes de vencer el plazo concedido solicite prórroga hasta por un término igual.

Vencidos los términos establecidos en este artículo, sin que el peticionario haya cumplido el requerimiento, la autoridad decretará el desistimiento y el archivo del expediente, mediante acto administrativo motivado, que se notificará personalmente, contra el cual únicamente procede recurso de reposición, sin perjuicio de que la respectiva solicitud pueda ser nuevamente presentada con el lleno de los requisitos legales”. 11 Obrante en el radicado 20-135203-00001, página 1, folio 18. 12 Obrantes en el radicado 20-135203-00001, página 1, folios 17 a 20.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ”  El Titular no relaciona documentos al no requerirse para el objeto de la petición y en consideración a que la solicitud la efectuó por la red social Facebook, para el caso no se requiere la firma. Realizadas las anteriores precisiones sobre el artículo 16 de la Ley 1755 de 2015 respecto a la petición presentada por el Titular a través de la red social Facebook, se evidencia que el contenido mínimo de una petición sí estaba presente.

En todo caso, aunque se hubiesen omitido algunos de los elementos que prevé la norma, ello no hubiese exonerado a la investigada de dar respuesta en consideración a que en su cabeza recae el deber de completar la información faltante, ya sea acudiendo a la información de la que dispone sobre el tema y/o el peticionario y/o solicitándole al peticionario que aporte la información faltante.

Así las cosas, se desestima el argumento de la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. respecto a que no dio respuesta a la solicitud del Titular dentro del término para atender peticiones al no considerarla como tal al no cumplir con el contenido mínimo que establece el artículo 16 de la Ley 1755 de 2015. Por su parte, en relación a lo planteado13 por la investigada en relación a que el mensaje del Titular no se trataba de un reclamo por no cumplir con los requisitos que dispone el artículo 15 de la Ley 1581 de 2012, invocando específicamente el aparte de que “(…) se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer […]”, téngase presente que este artículo es una manifestación en materia de protección de datos personales del derecho fundamental de petición previsto en el artículo 23 de la Constitución Política.

De manera que, aludiéndose a la jurisprudencia anteriormente señalada, si hubiese faltado en la solicitud alguno de los elementos que establece el artículo 15, la investigada estaba en el deber de solicitarle al Titular que completara la información. Precisamente, el mismo artículo 15 en el numeral 1, expresamente señala: “Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.

(…)”. Así las cosas, no tiene fundamento alguno lo expuesto14 por la investigada, sobre que no se cumplió lo previsto en el artículo 15 de la mentada Ley para que se tramitara el mensaje del Titular como un reclamo, y menos aun cuando claramente se encuentra en la petición que: i) se dirigió a la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. en calidad de Responsable del Tratamiento, ii) el Titular informó su cédula de ciudadanía y número de reserva del tiquete aéreo, iii) son explícitas las dos solicitudes del Titular y; iv) se efectuó frente a la solicitud de datos que el Titular reclama que ya tenía la investigada.

Ahora bien, dentro del expediente no obra prueba alguna que acredite que la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. dio respuesta específicamente a la petición de febrero/marzo de 2017 presentada a través de la red social Facebook; no obstante, las dos solicitudes que contiene fueron reiteradas dentro de las cuatro solicitudes de la petición del 26 de marzo de 201715, por lo cual en la medida en que a través de la Resolución No. 10207 de 2019 se ordenó por esta Superintendencia que la investigada diera respuesta a la petición del 26 de marzo de 2017 y esta la contestó íntegramente con comunicación fechada del 17 de mayo de 2019 enviada al correo electrónico del Titular, se evidencia que en la antedicha fecha los dos requerimientos del reclamo presentado a través de la red social fueron finalmente atendidos y cesó la vulneración al deber previsto en el literal j) del artículo 17 de la Ley 1581 de 2012.

(ii) Petición del 26 de marzo de 2017 La investigada en averiguaciones preliminares16 aportó la petición del 26 de marzo de 2017 del Titular, de la cual se toma la siguiente imagen: 13 En escrito de descargos obrante en el radicado 20-135203-00009, página 1, folio 3. 14 Ibídem. 15 Obrante en el radicado 20-135203-00001, página 1, folio 52. 16 Obrante en el radicado 20-135203-00001 del 27 de junio de 2020.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Imagen 9. Tomada del radicado 20-135203-00001, página 1, folio 52. En la anterior petición del Titular, se evidencia que planteó a la investigada 4 preguntas: i) “[m]e confirmen cuando queda la devolución de mis recursos”, ii) “[m]e envíen a mi correo XXXXXXXXXXXXXXXXXX la POLÍTICA DE TRATAMIENTO DE DATOS (…)”, iii) “[q]ue me sea informado el correo del oficial de tratamiento de datos” y; iv) “[q]ue me informen porque (sic) me enviaron un correo desde la cuenta de Gmail y no una cuenta empresarial de Latam y porque (sic) mis datos son visibles a todos los usuarios informados”.

Es de advertir que la segunda y tercera solicitud habían sido requeridas por el Titular mediante el reclamo de febrero/ marzo de 2017 presentado ante la red social de Facebook. Cabe aclarar que respecto de la primera pregunta de que “(…) confirmen cuando queda la devolución de mis recursos (…)”, se trata de una solicitud que no es competencia de la Delegatura de Protección de Datos Personales, en virtud a la competencia y funciones que le fueron asignadas a esta mediante los artículos 19 y 21 de la Ley 1581 de 2012, al no estar relacionada con el Régimen General de Protección de Datos Personales.

Así, es de precisar que este Despacho no se pronunciará sobre dicha pregunta y ello quedó sentado por esta Superintendencia en la Resolución No. 10207 del 30 de abril de 2019 “[p]or la cual se imparte una orden administrativa” a la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A., en la cual se indicó: “En tal sentido, se aclara que frente a la controversia relacionada con la devolución de los dineros cancelados, este Despacho considera que, en el caso bajo estudio, la discusión versa sobre temas contractuales, cuestión que no se enmarca dentro de las funciones asignadas por el artículo 21 de la ley 1581 de 2012 a esta Superintendencia respecto de la actividad de administración de datos personales, en consecuencia este Despacho considera que el reclamante puede acudir a la jurisdicción ordinaria para proteger sus derechos”.

Respecto de la fecha de presentación de la petición, 26 de marzo de 2017, la investigada aporta mensaje de respuesta al Titular, a saber: Imagen 10. Tomada del radicado 20-135203-00001, página 1, folio 52. De la anterior imagen, se encuentra que la investigada indica que el mensaje de correo electrónico del Titular sería tramitado y de manera alguna da respuesta a sus solicitudes.

En todo caso, la anterior imagen no demuestra que la respuesta del 26 de marzo de 2017 se HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” haya enviado al Titular, por cuanto no obra al menos el correo electrónico del receptor del mensaje. Luego, dentro del acervo probatorio se evidencia que la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. brindó la siguiente respuesta al Titular el 12 de abril 2017 al correo electrónico xxxxxxxxxxxxxxxxxxxxxxx, así: Imagen 11.

Tomada del escrito de descargos obrante en el radicado 20-135203-00009, página 1, folio 5. Respecto de la anterior respuesta del 12 de abril de 2017, este Despacho encuentra que, si bien se remitió al correo electrónico del Titular, la investigada no dio respuesta a ninguna de las preguntas relacionadas con habeas data17. En consideración a que dentro de las pruebas allegadas en averiguaciones preliminares se encontró que no existía respuesta oportuna y de fondo por parte de la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. al Titular respecto de la petición del 26 de marzo de 2017, esta Dirección a través del Grupo de Trabajo de Habeas Data mediante la Resolución No. 10207 de 2019 ordenó a la investigada lo siguiente: “ARTÍCULO PRIMERO: Ordenar a la sociedad Aerovias de Integracional Regional S.A. y/o Latam Airlines Colombia S.A., identificada con Nit 890.704.196-6 (…) cinco (5) días hábiles siguientes a la ejecutoria de la presente decisión dé respuesta completa y de fondo a la petición presentada por el señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxx el día 26 de marzo de 2017”.

(Se subraya fuera de texto) Dando cumplimiento a la orden impartida mediante la Resolución No. 10207 de 2019, la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. a través de la comunicación con radicado 17-124153-00017 del 20 de mayo de 201918 aportó prueba de respuesta completa fechada del 17 de mayo de 2019 a todas las preguntas formuladas por el Titular en la petición del 26 de abril de 2017, encontrándose la siguiente constancia de envío al correo electrónico xxxxxxxxxxxxxxxxxxxxxxx del Titular: 17 Estas preguntas son: “(…) ii) “[m]e envíen a mi correo xxxxxxxxxxxxxxxxxxxxxxx la POLÍTICA DE TRATAMIENTO DE DATOS (…)”, iii) “[q]ue me sea informado el correo del oficial de tratamiento de datos” y: iv) “[q]ue me informen porque (sic) me enviaron un correo desde la cuenta de Gmail y no una cuenta empresarial de Latam y porque (sic) mis datos son visibles a todos los usuarios informados”. 18 Obrante en el radicado 20-135203-00001, página 1, folio 54.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Imagen 12. Tomada del radicado 20-135203-00001, página 1, folio 54. De acuerdo con lo hasta aquí expuesto, la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. en virtud del artículo 15 de la Ley 1581 de 2012 debía dar respuesta al Titular dentro de los 15 días hábiles siguientes a la fecha de presentación de los reclamos, demostrándose plenamente en esta actuación administrativa que la respuesta completa y de fondo a los reclamos de febrero/marzo de 2017 a través de la red social Facebook y del 26 de marzo de 2017, presentada por el Titular a través de formulario web de la investigada, se dio por la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. hasta el 17 de mayo de 2019.

Al respecto, al tomarse la fecha de presentación de la segunda petición y contabilizar los señalados 15 días, la investigada debió dar respuesta hasta el 18 de abril de 2017, lo cual evidencia la extemporaneidad en la respuesta en aproximadamente 2 años, 1 mes y 21 días. También es necesario señalarle a la investigada sobre lo manifestado19 en el sentido de que “(…) en la página principal de nuestra página web se encuentra disponible la Política de Tratamiento de Datos Personales en la que se puede encontrar el canal para interponer las quejas o reclamos por parte de los pasajeros en materia de protección de datos personales (…)”, ello no es argumento para no atender las peticiones de los titulares.

Precisamente, la respuesta a las peticiones debe ser precisa, completa y de fondo, lo cual implica que debe atenderse todo lo solicitado por el peticionario, salvo que la información y/o documentos solicitados tengan reserva legal. Por otra parte, en cuanto a la facultad sancionatoria, es menester traer a colación el artículo 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, el cual establece: “Artículo 52.

Caducidad de la facultad sancionatoria. Salvo lo dispuesto en leyes especiales, la facultad que tienen las autoridades para imponer sanciones caduca a los tres (3) años de ocurrido el hecho, la conducta u omisión que pudiere ocasionarlas, término dentro del cual el acto administrativo que impone la sanción debe haber sido expedido y notificado.

Dicho acto sancionatorio es diferente de los actos que resuelven los recursos, los cuales deberán ser decididos, so pena de pérdida de competencia, en un término de un (1) año contado a partir de su debida y oportuna interposición. Si los recursos no se deciden en el término fijado en esta disposición se entenderán fallados a favor del recurrente, sin perjuicio de la responsabilidad patrimonial y disciplinaria que tal abstención genere para el funcionario encargado de resolver.

Cuando se trate de un hecho o conducta continuada, este término se contará desde el día siguiente a aquel en que cesó la infracción y/o la ejecución. (…)”. (Se subraya fuera de texto) La anterior norma distingue el procedimiento administrativo sancionatorio en una primera fase que va desde el inicio de la actuación administrativa hasta la notificación del acto que impone la sanción, y 19 En escrito de alegatos de conclusión obrante en el radicado 20-135203-00016, página 2, folio 4.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” debe cumplirse en un periodo de tres (3) años contados a partir de la consumación de la infracción, salvo que se trate de una conducta continuada, caso en el cual el término se encuentra desde el día siguiente a su cesación; y la segunda, referida a los términos que tiene la Administración para resolver los recursos contra los actos que imponen sanciones.

En este caso, en consideración a que los reclamos del Titular, tanto el presentado en la red social Facebook como el radicado el 26 de marzo de 2017, debían responderse en abril de 2017 y específicamente al tomar el segundo de ellos, la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. debía atenderlo hasta el 18 de abril de 2017 y efectivamente lo resolvió de forma completa y de fondo el 17 de mayo de 2019, la vulneración del deber previsto en el literal j) del artículo 17 de la Ley 1581 de 2012 se generó de forma continuada del 18 de marzo de 2017 al 17 de mayo de 2019, fecha esta última que corresponde a la de cesación del desconocimiento del mentado deber.

Así, al contabilizarse desde el 18 de mayo de 2019 el término de 3 años que establece el artículo 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho tendría hasta el 17 de mayo de 202220 para sancionar a la investigada al encontrarse que desconoció el deber objeto de investigación. En conclusión, se demostró que la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. actuó negligentemente en el cumplimiento del deber previsto en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el numeral 3) del artículo 15 ejúsdem, al atender de manera completa y de fondo hasta el 17 de mayo de 2019 los reclamos del Titular presentados en febrero/marzo de 2017 a través de la red social Facebook y el 26 de marzo de 2017, es decir con una extemporaneidad de aproximadamente 2 años, 1 mes y 21 días.

Por ello, se impondrá una sanción pecuniaria en los términos del artículo 23 de la Ley 1581 de 2012. Adicionalmente, en virtud de la facultad de esta Superintendencia prevista en el literal e) del artículo 21 de la Ley 1581 de 2012 se impartirá una orden administrativa. 9.2.2 Respecto del deber de conservar la información bajo condiciones de seguridad necesarias para evitar su uso o acceso no autorizado.

En primer lugar, el artículo 17 de la Ley 1581 de 2012 dispone los deberes de los Responsables del Tratamiento, especificando en el literal d) lo siguiente: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)”. Frente a este deber la Corte Constitucional en sentencia C-748 de 2011 señaló: “En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación: (…) (iii) Adoptar las medidas para garantizar la seguridad del dato, a efectos de que no se pierda, no se adultere, no se utilice o acceda por fuera de la autorización, lo cual es desarrollado en el literal d) en concordancia con el principio de seguridad en la transferencia del dato.

Por tanto, el responsable está obligado a exigir y controlar las condiciones de seguridad que está empleando el encargado del tratamiento -literal a), como informar oportunamente a la autoridad encargada de la protección del dato sobre violaciones a los 20 La determinación de esta fecha no incluye los términos suspendidos del 18 de mayo de 2019 a la fecha, que de incluirse ampliarían la facultad sancionatoria de este Despacho más allá del 17 de mayo de 2022.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” códigos de seguridad y la existencia de riesgos en la administración de la información de los titulares- literal n); siendo estos deberes, sin lugar a dudas, también desarrollo del principio de seguridad jurídica”. El anterior deber de los Responsables del Tratamiento es desarrollo de los principios de acceso y circulación restringida y seguridad previstos en el artículo 4 de la Ley 1581 de 2012, así: “ARTÍCULO

4. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley; g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)”. A su vez, respecto de estos principios es preciso traer a colación lo determinado por la Corte Constitucional en sentencia C-748 de 2011 en los siguientes términos: “2.6.5.2.6. Principio de acceso y circulación restringida: En razón de esta directriz, el Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, éste sólo podrá hacerse por personas autorizadas por el titular y/o por las personas previstas en la presente ley.

Además, se prohíbe que los datos personales, salvo información pública, se encuentren disponibles en Internet, a menos que se ofrezca un control técnico para asegurar el conocimiento restringido. (…) Considera la Sala que tales condicionamientos no son necesarios, por cuanto la misma norma elimina estas posibilidades. En efecto: (i) prohíbe que los datos no públicos sean publicados en Internet y (ii) sólo podrían ser publicados si se ofrecen todas las garantías.

De lo anterior se infiere que si el sistema permite el acceso con la simple digitación de la cédula, no es un sistema que cumpla con los requerimientos del inciso segundo del literal f) del artículo 4. Sin embargo, debe reiterarse que el manejo de información no pública debe hacerse bajo todas las medidas de seguridad necesarias para garantizar que terceros no autorizados puedan acceder a ella.

De lo contrario, tanto el Responsable como el Encargado del Tratamiento serán los responsables de los perjuicios causados al Titular. De otra parte, cabe señalar que aún cuando se trate de información pública, su divulgación y circulación está sometida a los límites específicos determinados por el objeto y finalidad de la base de datos. 2.6.5.2.7.

Principio de seguridad: Al amparo de este principio, la información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. De este principio se deriva entonces la responsabilidad que recae en el administrador del dato.

El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” actuales de la comunidad internacional, en razón del efecto ‘diluvio de datos’[240], a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior transferencias, no cesa de aumentar.

Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Ello también aumenta los riegos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.

(…) Existe entonces un deber tanto de los Responsables como los Encargados de establecer controles de seguridad, de acuerdo con el tipo de base de datos que se trate, que permita garantizar los estándares de protección consagrados en esta Ley Estatutaria”. Preliminarmente esta Dirección evidenció que la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. compartió y puso en circulación las direcciones electrónicas de 77 personas, entre ellas la del denunciante, al exponerlos públicamente en comunicación remitida por correo electrónico el 24 de marzo de 2017.

Frente a la formulación de cargos, la investigada señaló21 que conserva los datos del Titular con las medidas de seguridad necesarias para evitar su uso, adulteración, pérdida, consulta o acceso no autorizado o fraudulento, así como ha venido adoptando medidas para mejorar las prácticas en materia de seguridad. Agregó que se dio de baja al correo electrónico genérico, pasantelan@gmail.com, desde julio de 2017 y se creó un correo electrónico con el dominio latam, control.devoluciones@latam.com, a fin de mejorar las prácticas para el tema de devoluciones con los pasajeros.

La investigada también alegó22 que “(…) la información posiblemente comprometida en el correo masivo enviado el área de Revenue Accounting, fue únicamente su correo electrónico, en ningún momento se vio implicada información personal adicional (…)” e indicó23 que operó el fenómeno de la facultad sancionatoria de la Superintendencia de Industria y Comercio.

Ahora bien, dentro del acervo probatorio se encuentra que la sociedad investigada remitió el 24 de marzo de 2017 el siguiente mensaje de correo electrónico: Imagen 13. Tomada del radicado 20-135203-00001, página 1, folio 15. De la anterior imagen se evidencia que el 24 de marzo de 2017 la investigada desde el correo electrónico pasantelan@gmail.com envió un mensaje a 77 titulares sin ocultar los destinatarios, lo 21 En escrito de descargos obrante en el radicado 20-135203-00009, página 1. 22 Ibídem. 23 En escrito de alegatos de conclusión obrante en el radicado 20-135203- -00016, página 2, folio 3.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” cual implicó que cada Titular que recibió el correo electrónico tuvo acceso a los correos electrónicos de otros 76 Titulares. Es de señalar que si bien el anterior correo electrónico tenía el dominio gmail, la investigada a lo largo de esta actuación administrativa se atribuyó el mismo y en certificación 24 emitida por el Jefe de Departamento Revenue Accounting de la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. se certifica que se dejó de utilizar por la compañía en el mes de julio de 2017.

En consideración a la comunicación del 24 de marzo de 2017, es evidente que la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. no garantizó los principios de seguridad y de acceso restringido de los datos de 77 Titulares, en razón a que a cada uno de ellos divulgó los datos de otros 76, exponiendo públicamente los datos de ellos y así permitiendo que terceros no autorizados accedieran a su dato personal de correo electrónico, lo cual demuestra que la investigada no adoptó las medidas de seguridad humanas, técnicas y administrativas necesarias para evitar el uso, consulta o acceso no autorizado para esos datos.

Por el contrario, la investigada con el envío del mensaje del 24 de marzo de 2017 facilitó el acceso y uso no autorizado de los datos personales de los 77 Titulares. Al respecto, es preciso indicar que la investigada hizo hincapié en que se garantizó la seguridad de los datos del denunciante; no obstante, ello no fue así con el mensaje enviado y las medidas de seguridad debieron predicarse del total de los 77 Titulares afectados.

De acuerdo con lo expuesto, este Despacho encuentra que la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. desconoció el cumplimiento del deber previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 ejúsdem, al realizar la divulgación no autorizada del correo electrónico de 77 Titulares.

No obstante, en la medida en que la vulneración de este deber cesó el 24 de marzo de 2017 (fecha de envío del mensaje con los datos de los Titulares) y en cuanto el Grupo de Trabajo de Investigaciones Administrativas de esta Dirección tuvo conocimiento de los hechos denunciados hasta mayo de 2019, así como en razón al tiempo necesario para adelantar una actuación administrativa de carácter sancionatorio, se dará aplicación al artículo 52 de la Ley 1437 de 2011, por lo cual no se impondrá una sanción de carácter pecuniario; sin embargo, se impartirán unas órdenes administrativas en virtud de la facultad prevista en el literal e) del artículo 21 de la Ley 1581 de 2012. 9.2.3 Respecto del principio de responsabilidad demostrada – Accountability La sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. expresó 25 en descargos que ha adoptado las medidas de seguridad para evitar “(…) (i) el acceso no autorizado o fraudulento, (ii) el uso no autorizado o fraudulento, (ii) la consulta no autorizada o fraudulenta y (iv) la pérdida de información personal (…)”.

Por ello, a través de la Academia Corporativa de la empresa imparte de manera obligatoria a sus empleados el curso de “Protección de Datos Personales y Prevención de Lavado de Activos” y ha implementado las siguientes políticas internas: “(…) (i) Política de Gestión de Vulnerabilidades, en la cual se establecen reglas sobre la gestión de vulnerabilidades en el entorno de sistemas, (ii) Política de Control de Acceso Lógico a la Información, en la cual se establecen las reglas de acceso a los sistemas de información, (iii) Política de Clasificación de la Información, en la cual se establecen los criterios de clasificación de la información y responsabilidades de la misma, (iv) Política de Seguridad de la Información del Grupo LATAM Airlines, en la cual se entregan directrices para la protección de información de la compañía, y (v) Política de Normas de Seguridad PCI-DSS, en la cual se establecen directrices sobre la operación en comercio con tarjetas de crédito y débito”.

Adicionalmente, la investigada en alegatos de conclusión 26 señaló que además de los canales previstos en la Política de Protección de Datos también cuenta con un programa robusto para que los clientes puedan contactar a la compañía y en la página web de la empresa se cuenta con un Centro de Ayuda. Al respecto, este Despacho precisa que el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, estableció la obligación de las empresas de demostrar, a petición de la 24 Certificación obrante en el radicado 20-135203-00016, hoja 3, folio 1. 25 Obrante en el radicado 20-135203-00009, página 1. 26 Obrante en el radicado 20-135203-00016, página 2.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” para cumplir con las obligaciones establecidas en la Ley 1581 de 2012, señalando que dichas medidas deben ser proporcionales a: (i) la naturaleza jurídica del responsable, su tamaño empresarial; (ii) la naturaleza de los datos personales objeto del Tratamiento; (iii) el tipo de Tratamiento y;

(iv) los riesgos potenciales que el Tratamiento podría causar sobre el derecho de los titulares. Así mismo, el artículo 2.2.2.25.6.2 del Decreto mencionado, frente a las políticas internas efectivas que deben implementar el Responsable, dispuso: “Artículo 2.2.2.25.6.2. Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2.25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio.

Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo. 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.

La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo”.

Realizada las anteriores precisiones, este Despacho encuentra que lo alegado por la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. en materia de responsabilidad demostrada es posterior a los hechos materia de investigación, por lo cual no demuestra que adoptó las medidas pertinentes, útiles, efectivas y verificables para garantizar la respuesta oportuna, completa y de fondo a las peticiones, consultas y reclamos de los Titulares, así como para conservar la información bajo las medidas de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, con antelación a la ocurrencia de los hechos que se investigaron en esta actuación administrativa.

Así, es claro que la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. no acredita el cumplimiento efectivo del principio de responsabilidad demostrada a través de lo que afirma en esta investigación. Al respecto, es menester traer a colación lo expresado por la Delegatura de Protección de Datos Personales de esta Superintendencia en la Resolución No.12192 del 1 de abril de 2012, en la cual se indica: “El término ‘accountability’, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

El reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Se trata de una actividad constante, que exige demostrar un cumplimiento real y efectivo en la práctica de sus labores. El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales.

El mismo, exige que los Responsables y Encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales.

Medidas ‘apropiadas’ son aquellas ajustadas a las necesidades del Tratamiento de Datos. Y ‘efectivas’, son las que permiten lograr el resultado o efecto que se desea o espera. En otras palabras, no se deben adoptar medidas inoperantes; inservibles; inanes o infructuosas. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Solo se deben instaurar aquellas adecuadas; correctas; útiles; oportunas y eficientes con el propósito de cumplir los requerimientos legales para realizar Tratamiento de Datos personales.

El Principio de Responsabilidad Demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos personales. Adicionalmente, el reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas.

Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones”. Así las cosas, revisado el material probatorio obrante en el expediente y los argumentos de hecho y de derecho de la investigada, respecto del principio de responsabilidad demostrada, se encuentra que para que el mismo sea tomado como atenuante de la sanción es necesario que la investigada (i) haya adoptado las medidas pertinentes, útiles, efectivas y verificables para garantizar la respuesta oportuna, completa y de fondo a las peticiones, consultas y reclamos de los Titulares, así como para conservar la información bajo las medidas de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento y;

(ii) que las medidas hayan sido adoptadas con anterioridad a la ocurrencia de los hechos investigados y haya aplicado el principio de responsabilidad demostrada de acuerdo con la “Guía de Implementación del Principio de Responsabilidad Demostrada (Accountability)” de esta Superintendencia, así como lo previsto en lo correspondiente en el Decreto Único Reglamentario 1074 de 2015.

DÉCIMO: En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta instancia procederá a impartir las siguientes instrucciones: (i) La sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. deberá aprobar e implementar un procedimiento interno que garantice la respuesta de fondo, completa, clara, oportuna y precisa a las consultas y reclamos que realicen los Titulares respecto de su información personal, a fin que propendan hacia el respeto al derecho fundamental de petición previsto en el artículo 23 de la Constitucional que en materia de protección de datos personales a través de la Ley 1581 de 2012 se contemplan mecanismos para garantizar su eficaz protección. (ii) La sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. deberá adoptar y documentar las medidas necesarias de seguridad para garantizar que en la conservación de la información se evite su su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, garantizando los principios previstos en los literales f) y g) del artículo 4 de la Ley 1581 de 2012.

(iii) La sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. deberá aprobar e implementar una política y/o procedimiento de capacitación para sus empleados, a fin de que ellos en el desempeño de sus funciones, obligaciones y responsabilidades diarias den cumplimiento a la Ley 1581 de 2012 y sus normas complementarias y, en particular, para que garanticen el principio de circulación restringida en medios de divulgación y comunicación físicos y electrónicos.

De lo anteriormente ordenado la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO PRIMERO: Imposición y graduación de la sanción 11.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” “ARTÍCULO 23.

SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 27.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV”. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en 27 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” su equivalencia en términos de la unidad de valor tributario UVT. Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibídem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional28 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”29 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros30. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano 28 “Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…)” (Negrita añadida) 29 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 30 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”31.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia32. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2333 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 31 Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos 32 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 33Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” 11.1.1 Literal a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “(…) En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad. (…)”34 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine quedó demostrado que:  La sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. actúo negligentemente al dar respuesta extemporánea en aproximadamente 2 años, 1 mes y 21 días a las peticiones de febrero/marzo de 2017 presentada por la red social Facebook y del 26 de marzo de 2017 a través del formulario web de la empresa, por lo cual se impondrá una sanción pecuniaria equivalente a DOS MIL (2.000) UNIDADES DE VALOR TRIBUTARIO – UVT 35 por la vulneración del deber establecido en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el numeral 3) del artículo 15 ejúsdem. 11.1.2 Otros criterios de graduación Por un lado, se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), e) y f) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;

(ii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; (iii) tampoco hubo renuencia a cumplir las órdenes impartidas por esta autoridad; (iv) no se encuentra que la entidad sancionada haya sido sancionada anteriormente por el incumplimiento del mismo deber estudiado en este acto administrativo y; (v) no hubo reconocimiento de la infracción.

DÉCIMO SEGUNDO: CONCLUSIÓN Se procederá a imponer una sanción y a impartir unas órdenes administrativas con fundamento en: 34Corte Constitucional. Sentencia C-125 de 2003. M.P: Marco Gerardo Monroy Cabra. FJ: 5. 35 Mediante Resolución No. 111 del 11 de diciembre de 2020 de la Unidad Administrativa Especial de la Dirección de Impuestos y Aduanas Nacionales se fijó en $36.308 pesos el valor de la Unidad de Valor Tributario - UVT, que regirá durante el año 2021.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” (i) Se encontró demostrado el actuar negligente de la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. en el cumplimiento de los deberes contemplados en: i) el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el numeral 3) del artículo 15 ejúsdem; y ii) en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4° ejúsdem.

(ii) Respecto a la petición de febrero/marzo de 2017 presentada a través de la red social Facebook, la investigada debió proceder a darle respuesta a través del mismo medio o gestionar internamente dentro de la compañía para que el área o persona encargada atendiera la solicitud del Titular, al ser esta red social un canal idóneo para la presentación de peticiones y para darles respuesta al tener la investigada habilitadas en Facebook las opciones para recibir y enviar comunicaciones.

(iii) En el reclamo radicado a través de la red social Facebook está presente el contenido mínimo de las peticiones previsto en el artículo 16 de la Ley 1755 de 2015, así como los elementos que prevé el numeral 1 del artículo 15 de la Ley 1581 de 2012; sin embargo, incluso si se hubiese omitido por el Titular aspectos que contemplan estas normas, la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. tenía el deber de completar la información faltante, ya sea acudiendo a la que ella misma tiene sobre el tema y/o el peticionario y/o solicitándosela al peticionario.

(iv) Se demostró que la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. atendió de forma completa y de fondo la petición del Titular del 26 de marzo de 2017 con respuesta enviada a su correo electrónico el 17 de mayo de 2019, por lo cual la respuesta fue extemporánea al efectuarse aproximadamente 2 años, 1 mes y 21 días después de la petición presentada por el Titular.

(v) Se encontró que las dos solicitudes de la petición de febrero/marzo de 2017 fueron reiteradas en la petición del 26 de marzo de 2017, por lo cual con la respuesta a esta última el 17 de mayo de 2019 se atendió de forma completa y de fondo, aunque extemporáneamente, también la petición presentada a través de la red social Facebook. (vi) Se evidenció que respecto del primer cargo, esta Superintendencia tiene la facultad para sancionar hasta el 17 de mayo de 2022, en consideración a que la vulneración del deber previsto en el literal j) del artículo 17 de la Ley 1581 se efectuó de manera continuada por la investigada del 18 de abril de 2017 al 17 de mayo de 2019.

(vii) La investigada divulgó los correos electrónicos de 77 Titulares en un mensaje de correo electrónico, lo cual implicó que cada Titular que recibió el mensaje tuviera acceso a los correos electrónicos de otros 76 Titulares, por lo cual se encontró que la investigada no adoptó las medidas de seguridad humanas, técnicas y administrativas necesarias para evitar el uso, consulta o acceso no autorizado para esos datos.

Por el contrario, la investigada con el envío del mensaje del 24 de marzo de 2017 facilitó el acceso y uso no autorizado de los datos personales de los 77 Titulares. (viii) En la medida en que el 24 de mayo de 2017 cesó la vulneración al deber previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f) y g) del artículo 4 ejúsdem, y el Grupo de Trabajo de Investigaciones Administrativas de esta Superintendencia tuvo conocimiento de los hechos hasta mayo de 2019, se impondrán unas órdenes administrativas de acuerdo con la facultad para esta Superintendencia prevista en el literal e) del artículo 21 de la Ley 1581 de 2012.

Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer la sanción correspondiente a SETENTA Y DOS MILLONES SEISCIENTOS DIECISÉIS MIL PESOS M/CTE ($ 72.616.000) equivalente a DOS MIL (2.000) UNIDADES DE VALOR TRIBUTARIO – UVT, por la vulneración del literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el numeral 3) del artículo 15 ejúsdem, a la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A.

DÉCIMO TERCERO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la AEROVÍAS DE INTEGRACIÓN REGIONAL S.A., identificada con NIT 890.704.196-6, esta Dirección ha concedido el acceso al presente expediente digital a esta, por intermedio de su representante legal principal vinculado al correo electrónico de notificación judicial de la sociedad, erika.zarante@latam.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Finalmente, indicando que la totalidad del expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. considera estrictamente necesario el acceso del expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.

Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (571) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto, este Despacho, En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A., identificada con NIT 890.704.196-6, de SETENTA Y DOS MILLONES SEISCIENTOS DIECISÉIS MIL PESOS M/CTE ($ 72.616.000) equivalente a DOS MIL (2.000) UNIDADES DE VALOR TRIBUTARIO – UVT, por la vulneración del literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el numeral 3) del artículo 15 ejúsdem.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, NIT 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR a la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A., identificada con NIT 890.704.196-6, cumplir dentro de los dos (2) meses siguientes a la ejecutoria de este acto administrativo las siguientes órdenes impartidas: (i) La sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. deberá aprobar e implementar un procedimiento interno que garantice la respuesta de fondo, completa, clara, oportuna y precisa a las consultas y reclamos que realicen los Titulares respecto de su información personal, a fin que propendan hacia el respeto al derecho fundamental de petición previsto en el artículo 23 de la Constitucional que en materia de protección de datos personales a través de la Ley 1581 de 2012 se contemplan mecanismos para garantizar su eficaz protección. (ii) La sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. deberá adoptar y documentar las medidas necesarias de seguridad para garantizar que en la conservación de la información se evite su su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, garantizando los principios previstos en los literales f) y g) del artículo 4 de la Ley 1581 de 2012.

(iii) La sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. deberá aprobar e implementar una política y/o procedimiento de capacitación para sus empleados, a fin de que ellos en el HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” desempeño de sus funciones, obligaciones y responsabilidades diarias den cumplimiento a la Ley 1581 de 2012 y sus normas complementarias y, en particular, para que garanticen el principio de circulación restringida en medios de divulgación y comunicación tanto físicos como electrónicos.

PARÁGRAFO PRIMERO: La sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A., identificada con NIT 890.704.196-6, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.

Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A., identificada con NIT 890.704.196-6, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad AEROVÍAS DE INTEGRACIÓN REGIONAL S.A., identificada con NIT 890.704.196-6, a través de su representante legal, entregándole copia de esta e informándole que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días siguientes hábiles a su notificación.

ARTÍCULO CUARTO: COMUNICAR al señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, identificado con cédula de ciudadanía No. x.xxx.xxx.xxx, el contenido de la presente decisión.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá, de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 26 OCTUBRE 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.10.26 16:15:02 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LACA Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN Investigada: Sociedad: AEROVÍAS DE INTEGRACIÓN REGIONAL S.A. Identificación: NIT 890.704.196-6 Representante Legal: xxxxxxxxxxxxxxxxxxxxxxxxxxx Identificación: xxxxxxxxxxxxxxxxxx Dirección: Avenida El Dorado No. 103 – 08, Entrada 1 – Hangar Ciudad: Bogotá D.C. – Colombia Correo electrónico: erika.zarante@latam.com COMUNICACIÓN: Denunciante: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Identificación: xxxxxxxxxxxxxxxxxxxx Dirección: xxxxxxxxxxxxxxxxxxxxxxxxx Ciudad: Bogotá D.C. – Colombia Correo electrónico: xxxxxxxxxxxxxxxxxxxxxxxx