Sanción 69442 de 2021 — SIC

(26 OCTUBRE 2021) VERSIÓN PÚBLICA “Por la cual se impone una sanción y se imparten unas órdenes” Radicación 19-250479 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que la Ley Estatutaria 1581 de 2012 es aplicable al Tratamiento de datos personales realizado por entidades de naturaleza pública o privada y que el artículo 25 creó el Registro Nacional de Bases de Datos (RNBD), administrado por la Superintendencia de Industria y Comercio.

SEGUNDO: Que la sociedad ICL INGENIERIA DE CORROSION LTDA, identificada con NIT. 890.211.924-5, en su condición de Responsable del Tratamiento llevó a cabo el Registro Nacional de Bases de Datos según lo establecido en el artículo 25 de la Ley 1581 de 2012 y el Decreto 1074 de 2015.

TERCERO: Que dicha sociedad reconoció durante ese proceso que no había adoptado ninguna medida de seguridad para proteger los datos personales, ya que frente al cuestionario de preguntas sobre “SEGURIDAD DE LA INFORMACIÓN” no acreditó que ha implementado las medidas requeridas en el formulario del Registro Nacional de Bases de Datos. Durante el proceso del RNBD esta sociedad también manifestó ante esta entidad que sus bases o archivos contienen datos sensibles.

CUARTO: Que con sujeción a lo establecido en el artículo 21 de la Ley 1581 de 2012, le corresponde a la Superintendencia de Industria y Comercio impartir las medidas que sean necesarias para que los Responsables y Encargados del Tratamiento cumplan con los principios rectores establecidos en la Ley 1581 de 2012, así como con los deberes que de ellos se derivan (artículos 17 y 18 de la Ley 1581 de 2012).

QUINTO: Que mediante Resolución No. 61022 del 6 de noviembre de 2019, la Dirección de Investigación de Protección de Datos Personales consideró necesario impartir, con CARÁCTER PREVENTIVO una orden administrativa a la sociedad ICL INGENIERIA DE CORROSION LTDA, identificada con NIT. 890.211.924-5, la cual establece: “ARTÍCULO PRIMERO: ORDENAR a la sociedad ICL INGENIERIA DE CORROSION LTDA que documente, implemente y monitoree una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles.

SEXTO: Que el 8 de noviembre del 2019, por conducto de su representante legal, la investigada fue notificada personalmente de la Resolución No. 61022 del 6 de noviembre de 2019, de acuerdo con la certificación con radicado 19-250479-00005 de fecha 27 de noviembre de 2019 expedida por la Secretaria General Ad-Hoc de esta Superintendencia.

SÉPTIMO: Que, considerando el término establecido para dar cumplimiento a las órdenes impartidas por esta Dirección mediante la Resolución No. 61022 del 6 de noviembre de 2019, la investigada guardó silencio frente al cumplimiento de las órdenes.

OCTAVO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en el literal o) del art 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 de la norma en mención, se inició la presente investigación administrativa mediante la expedición de la Resolución No. 78686 del 7 de diciembre de 2020, por medio de la cual se formuló UN (1) cargo a la sociedad ICL INGENIERIA DE CORROSION LTDA, identificada con NIT. 890.211.924-5.

La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

NOVENO: Que el representante legal de la sociedad ICL INGENIERIA DE CORROSION LTDA dio respuesta a la formulación de cargos de la Resolución No. 78686 del 7 de diciembre de 2020, a través de la comunicación con radicado 19-250479-00011 del 19 de diciembre de 2020 en la que señala: 9.1 Señala que el ente investigador debe realizar un análisis de las medidas de seguridad idóneas, adecuadas y proporcionales al funcionamiento de la empresa, en razón a que: “No es lo mismo solicitar un Programa Integral de Gestión de Datos Personales a una empresa con más de 100 trabajadores y una gran cantidad de proveedores, que a una empresa como la que nos atañe, donde a la fecha existen 9 trabajadores de nómina y un número limitado de subcontratistas y proveedores.

Lo anterior sumado a que en ICL, las medidas de seguridad se implementaron, conforme al volumen de datos personales a tratar, categoría y clasificación de la información, tamaño de la empresa, y desde su implementación, NO HA EXISTIDO quejas, reclamos, daños o perjuicios de los derechos de los titulares de la información sobre la cual se realiza tratamiento.

(…) En primera instancia, y antes de proceder a desarrollar los descargos, indicó que nuestra empresa está catalogada como ‘PEQUEÑA EMPRESA’, y la actividad sobre la cual recae la política de tratamientos de datos personales es sobre la contratación de personal, proveedores, y terceros que intervienen para desarrollar nuestro objeto social.

Actualmente, la compañía cuenta con 9 trabajadores en nómina, lo cual permite evidenciar que la información de datos personales que tratamos no es de tal magnitud que no pueda ser soportada en las medidas de seguridad ya implementadas”. 9.2 Expresa que este caso se ampara bajo el principio de buena fe previsto en el artículo 83 de la Constitución Política de Colombia, en consideración a que “(…) el motivo por el cual no se adjuntó la certificación solicitada en la resolución del 06 de noviembre de 2019, fue por directriz emanada de un funcionario público de la SIC mediante llamada del 24 de febrero de 2020”.

Añade que esta directriz fue dada a una de sus trabajadoras, quien se comunicó a la línea telefónica de la Superintendencia de Industria y Comercio y funcionarios “(…) le indicaron que NO DEBÍA ALLEGAR la certificación solicitada en la resolución (…)”. 9.3 Arguye que en virtud del artículo 228 de la Constitucional, lo sustancial prevalece sobre lo formal.

Por ello, agrega que en el cuestionario del RNBD efectivamente no se le dio respuesta a las preguntas sobre “SEGURIDAD DE LA INFORMACIÓN”, lo cual es un aspecto formal y no haberse realizado no implica que de manera “(…) SUSTANCIAL Y FÁCTICAMENTE (…)” no se haya dado cumplimiento con “(…) la obligación que nos imparte la Ley 1581 de 2012 correspondiente a la implementación de medidas de seguridad técnicas, humanas, y administrativas que debemos garantizar para el tratamiento de datos personales (…)”.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” 9.4 Manifiesta que la empresa ha implementado una serie de medidas de seguridad proporcionales al tamaño de la empresa y que demuestran el cumplimiento del principio de responsabilidad demostrada. La investigada relaciona las siguientes medidas de seguridad: “1. Al interior de la compañía implementamos la Política de Protección de datos personales desde el año 2016, actualizada en el año 2020 y se encuentra publicada y divulgada a través de nuestra página web; eso como reflejo de la consciencia que tienen los directivos y administradores de la empresa en procurar la protección de los datos personales tratados.

(Pruebas Nro. 1 y 2) 1. Nuestros contratos cuentan con la ‘CLAUSULA DE CONFIDENCIALIDAD’ NÚMERO 12, mediante la cual nos encargamos de garantizar que la información que nos suministra el TRABAJADOR por el desempeño de sus labores tenga como única y exclusiva finalidad el permitir el cabal y completo desempeño de sus labores; así mismo, informamos al trabajador que NOS OBLIGAMOS a NO DIFUNDIR, COMENTAR, COPIAS, ENTREGAR O COMUNICAR A TERCERO O HACER UN USO DIFERENTE DE ESTA, por lo que la información deberá ser manejada con sigilo.

Esto se evidencia en los contratos laborales adjuntos (Prueba Nro. 3). 2. Igualmente, como medida de seguridad todos nuestros trabajadores, proveedores e intervinientes deben diligenciar las autorizaciones en el tratamiento de la información personal, tal como se evidencia en las autorizaciones adjuntas. (Prueba Nro. 4) 3. Para garantizar el correcto tratamiento de datos personales, designamos al área HSEQ cómo Oficial de Protección de datos, responsable de velar y garantizar por el correcto tratamiento de datos; esto con el fin de evitar la divulgación, adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de la información. 4.

La información que almacenamos se encuentra en medio FÍSICO, por lo cual implementamos cámaras de seguridad donde custodiamos la información susceptible de protección, con el fin de monitorear, y hacer seguimiento a las personas que tienen contacto con esta información. (Prueba Nro. 5). 5. Contamos con un programa de control y seguimiento a la protección de datos personales, en cabeza del departamento HSEQ, quienes velan por la implementación adecuada y correcta de las medidas de seguridad establecidas. 6.

Mantenemos la seguridad de las instalaciones físicas de archivo a través de las guardas de seguridad pertinentes, la restricción de ingreso al personal de acuerdo a sus funciones en la empresa. 7. Los sistemas de información cuentan con la asignación de usuarios y contraseñas que permiten garantizar el principio de circulación restringida de la información. De igual forma, se ha realizado el perfilamiento de los trabajadores para asignar responsabilidades específicas respecto al tratamiento de datos personales”. 9.5 Indica que carece de realidad sustancial lo señalado por la Superintendencia de Industria y Comercio en el sentido de que la empresa incumplió con las órdenes impartidas en la Resolución No. 61022 del 6 de noviembre de 2019, por cuanto como consecuencia de la resolución en cita la sociedad ICL INGENIERIA DE CORROSION LTDA “(…) procedió a ejecutar las actualizaciones correspondientes en el programa de protección de datos personales, lo cual se evidencia en las pruebas adjuntas.

El contenido de las medidas ha sido ampliamente relacionado en el punto anterior (…)”. Agrega que no es dable invocar el incumplimiento de la orden por no haber aportado la certificación emitida por el representante legal en la que se certificara su acatamiento, ya que “(…) las mejoras y adecuaciones de las medidas de seguridad se realizaron conforme la normatividad vigente y en proporcionalidad al funcionamiento de la compañía”. 9.6 Expresa que en calidad de empleador trata datos sensibles de sus trabajadores en razón a las obligaciones legales en materia de salud en el trabajo y de riesgos profesionales, lo cual ha realizado de acuerdo con lo normatividad y adoptando las medidas de seguridad técnicas, administrativas y humanas idóneas, útiles, necesarias y proporcionales, precisando lo siguiente: “Dadas las circunstancias legales de obligatorio cumplimiento que son vigiladas por el Ministerio de trabajo a través del Fondo de Riesgos Laborales, y las oficinas regionales, nos HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” resulta inevitable tratar los datos relacionados con el estado de salud ocupacional, y por ende se han establecido las cláusulas de confidencialidad en los contratos laborales, las autorizaciones para el tratamiento de datos personales, y la Certificación de Custodia de las Historias Clínicas a cargo de la IPS PLATINUM SALUD LABORAL S.A.S. Se prueba con suficiencia que se han tomado las medidas de seguridad Técnicas, humanas y administrativas, que resultan útiles, idóneas, necesarias y proporcionales para garantizar los derechos de los titulares de datos sensibles tratados en virtud de una obligación legal y reglamentaria”.

DÉCIMO: Que, a través de la Resolución No. 36842 del 16 de junio de 2021, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente 19-250479, con el valor probatorio que les corresponda y las demás pruebas que debida y oportunamente sean allegadas a esta actuación administrativa, decretó de oficio la siguiente prueba: “Ordenar a un miembro del Grupo de Trabajo de Investigaciones Administrativas hacer la verificación en el RNBD de todos los documentos cargados por la sociedad ICL INGENIERIA DE CORROSION LTDA, en ese sistema y dejar constancia de dicha diligencia”.

Y decretó, a petición de la sociedad ICL INGENIERIA DE CORROSION LTDA en el escrito de descargos1, la siguiente prueba: “Requerir a la Oficina de Tecnología e Informática – OTI de la Superintendencia de Industria y Comercio para que aporte copia completa de la grabación de la llamada recibida de los números telefónicos (7) 6780067 o (7) 6380609, realizada por la señora xxxxxxxxxxxxxxxxx xxxxxxxxxx el 24 de febrero de 2020 a las líneas de atención telefónica de esta entidad, en caso de que esta se hubiese recibido”.

La Resolución No. 36842 del 16 de junio de 2021 fue comunicada el 17 de junio de 2021 a la sociedad ICL INGENIERIA DE CORROSION LTDA, a través de su representante legal, como consta en la certificación con radicado 19-250479-00019 del 21 de junio de 2021 de la Secretaria Ad-Hoc de esta Superintendencia.

DÉCIMO PRIMERO: Que en cumplimiento de la prueba decretada de oficio con la Resolución No. 36842 del 16 de junio de 2021, un miembro del Grupo de Trabajo de Investigaciones Administrativas de Protección de Datos Personales mediante comunicación con radicado 19-250479-00021 del 21 de junio de 2021 radicó constancia de verificación de los documentos cargados por la sociedad ICL INGENIERIA DE CORROSION LTDA en el Registro Nacional de Bases de Datos – RNBD.

DÉCIMO SEGUNDO: Que, en cumplimiento de la prueba decretada, a petición de parte, mediante la Resolución No. 36842 del 16 de junio de 2021, la Coordinadora del Grupo de Trabajo de Investigaciones Administrativas de Protección de Datos Personales requirió a través de memorando interno con radicado 19-250479-00025 del 30 de junio de 2021 a la Coordinadora de del Grupo de Sistemas de Información2, con el fin de “(…) aporte copia completa de la grabación de la llamada recibida de los números telefónicos (7) 6780067 o (7) 6380609, realizada por la señora xxxxxxxxxxxxxxxxxxxxxxx xxxxx el 24 de febrero de 2020 a las líneas de atención telefónica de esta entidad, en caso de que esta se hubiese recibido”.

DÉCIMO TERCERO: Que la Coordinadora del Grupo de Trabajo de Atención al Ciudadano mediante memorando interno con radicado 19-250479-00030 del 8 de julio de 2021 informó lo siguiente: “Conforme a la información solicitada a esta dependencia, nos permitimos señalar que una vez escalado el requerimiento con el centro de contacto, se nos informa que se realizó la búsqueda de las llamadas solicitadas, esto a través de la plataforma que maneja la grabadora, utilizando como filtros los teléfonos suministrados en el memorando adjunto, teniendo en cuenta los meses de enero, febrero y marzo del 2020, arrojando un resultado negativo en la búsqueda”. 1 Obrante en la página 11 del radicado 19-250479-00011 del expediente digital. 2 La Coordinadora de del Grupo de Sistemas de Información trasladó la solicitud a la Coordinadora del Grupo de Trabajo de Atención al Ciudadano mediante memorando interno 19-250479-00028 del 7 de julio de 2021.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes”

DÉCIMO CUARTO: Que con la comunicación con radicado 19-250479-00031 del 28 de julio de 2021 se corrió traslado para alegatos de conclusión a la sociedad ICL INGENIERIA DE CORROSION LTDA, la cual a través de la comunicación con radicado 19-250479-00032 del 10 de agosto de 2021 presentó alegatos de conclusión dentro del término legal, reiterando lo expuesto en escrito de descargos 3, describiendo las medidas técnicas, administrativas y humanas implementadas para garantizar la seguridad de la información y señalando que han solicitado a MOVISTAR el historial de llamadas de febrero a mayo de 2020 con el objeto de demostrar que sí se comunicaron con la respuesta.

En el escrito de alegatos de conclusión 4 en varios apartes la sociedad ICL INGENIERIA DE CORROSION LTDA señala que adjunta pruebas, siendo cada una de ellas diferente; sin embargo, en el acápite de anexos solo relaciona “Radicados SOLICITUD HISTORIAL LLAMADAS FEBRERO DE 2.020 REALIZADAS A MOVISTAR” y únicamente adjuntan lo indicado en dicho acápite.

DÉCIMO QUINTO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO SEXTO: Análisis del caso 16.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20115, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del Tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración del literal o) del art 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 de la norma en mención. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y alegatos de conclusión, así como en el conjunto de pruebas allegadas al expediente. 16.2 Valoración probatoria y conclusiones A continuación, se realizará un análisis del cargo imputado a la investigada en la presente actuación, así como del acervo probatorio recaudado, para establecer si se presentó una infracción al Régimen de Protección de Datos Personales. 3 Obrante en la página 11 del radicado 19-250479-00011 del expediente digital. 4 Obrante en la página 3 del radicado 19-250479-00032 del expediente digital. 5 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” 16.2.1 Respecto del deber de cumplir con los requerimientos de la Superintendencia de Industria y Comercio Sobre este deber el literal o) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente: “[c]umplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio”.

A su turno, el artículo 19 y el literal f) del artículo 21 de la Ley 1581 de 2012 señalan: “ARTÍCULO

19. AUTORIDAD DE PROTECCIÓN DE DATOS. La Superintendencia de Industria y Comercio, a través de una Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley.

PARÁGRAFO 1 o. El Gobierno Nacional en el plazo de seis (6) meses contados a partir de la fecha de entrada en vigencia de la presente ley incorporará dentro de la estructura de la ejercer las funciones de Autoridad de Protección de Datos.

PARÁGRAFO 2 o. La vigilancia del tratamiento de los datos personales regulados en la Ley 1266 de 2008 se sujetará a lo previsto en dicha norma. (…)

ARTÍCULO 21. FUNCIONES. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: (…) f) Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones”. Preliminarmente, este Despacho evidenció que la sociedad ICL INGENIERIA DE CORROSION LTDA no cumplió con la orden impartida por esta Superintendencia mediante la Resolución No. 61022 del 6 de noviembre de 2019, toda vez que no allegó dentro del término establecido en el artículo segundo de la parte resolutiva de la resolución en mención, la certificación suscrita por el representante legal en la que se demostrara su acatamiento, así como tampoco prueba alguna que demostrara este hecho.

Por su parte, en escrito de descargos 6 la investigada señala que la dio cumplimiento a la orden impartida en la Resolución No. 61022 del 6 de noviembre de 2019, ya que si bien no aportó la certificación emitida por el representante legal sí dio un cumplimiento real y sustancial a la orden impartida, al implementar medidas de seguridad idóneas, útiles, necesarias y proporcionales con el tamaño de la empresa para la protección de los datos personales de los Titulares.

Añade que, en todo caso, la certificación no se aportó en razón a que una de sus empleadas se comunicó el 24 de febrero de 2020 con la línea de atención de la Superintendencia de Industria y Comercio y fue asesorada en el sentido de que no era necesario aportar la certificación a esta entidad, sino que bastaba con la implementación de la política de protección de datos personales.

En primer lugar, es preciso señalar que mediante la Resolución No. 61022 de 2019 se impartió la siguiente orden: “ARTÍCULO PRIMERO: ORDENAR a la sociedad ICL INGENIERIA DE CORROSION LTDA que documente, implemente y monitoree una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles.

ARTÍCULO SEGUNDO: La sociedad ICL INGENIERIA DE CORROSION LTDA deberá cumplir lo ordenado en esta resolución dentro de los seis (6) meses siguientes a la ejecutoria del presente acto administrativo. 6 Obrante en la página 11 del radicado 19-250479-00011 del expediente digital. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes”

PARÁGRAFO PRIMERO: Para demostrar el cumplimiento deberá remitir una certificación suscrita por el Representante Legal de la sociedad ICL INGENIERIA DE CORROSION LTDA que acredite que se han implementado las medidas ordenadas”. Teniendo en cuenta que la Resolución No. 61022 de 2019 fue notificada personalmente a la sociedad ICL INGENIERIA DE CORROSION LTDA el 8 de noviembre de 20197, se tiene que: (i) El término para interponer recurso de reposición y en subsidio de apelación era hasta el 25 de noviembre de 2019, quedando en firme la Resolución No. 61022 de 2019 el 26 de noviembre de 2019.

(ii) En razón a que dentro de los 6 meses siguientes a la ejecutoria de la resolución en mención la investigada debía dar cumplimiento a lo ordenado, hasta el 30 de mayo de 20208 debió demostrar su acatamiento en los términos indicados en el parágrafo primero anteriormente transcrito de la Resolución No. 61022 de 2019. (iii) La investigada, dentro del término de 6 meses concedido en la citada resolución, no demostró el cumplimiento de la orden, ya que dentro del expediente 19-250479 no obra evidencia alguna de que la sociedad ICL INGENIERIA DE CORROSION LTDA haya aportado la certificación del representante legal que acredite el cumplimiento de la orden impartida y adicionalmente, tanto en descargos como en alegatos de conclusión manifiesta que no allegó a esta Superintendencia dicha certificación. Por su parte, respecto a lo expresado 9 por la investigada en el sentido de que no aportó la certificación del representante legal por asesoría obtenida por esta Superintendencia en llamada 7 De acuerdo con la certificación con radicado 19-250479-00005 de fecha 27 de noviembre de 2019 expedida por la Secretaria General Ad-Hoc de esta Superintendencia. 8 En virtud de la pandemia por COVID-19, para el caso concreto, se suspendieron los términos del 17 de marzo al 31 de marzo de 2020 de acuerdo con la Resolución No. 11792 de 2020 que señala: “ARTÍCULO 1°.

SUSPENDER los términos procesales de la actuaciones administrativas que se surten ante las dependencias de esta Superintendencia, desde el 17 al 31 de marzo de 2020 (inclusive), fechas en las que no correrán términos para todos los efectos de ley, ni los siguientes servicios de la plataforma tecnológica en relación con dichos asuntos: Portal web, correo electrónico, sistemas de información, Internet, el sistema de trámites, sistema de recaudos para la legalización de pagos y servicio al ciudadano. (…) ARTÍCULO 3°.

ORDENA R a la Oficina de Tecnología e Informática de la Superintendencia de Industria y Comercio desplegar las actuaciones que resulten necesarias para que los distintos canales virtuales de comunicación (página web, correo electrónico, entre otros), se suspendan el día 17 al 31 de marzo de 2020”. Por su parte, los términos se reanudaron desde el primero de abril de 2020 como se dispuso en la Resolución No. 12169 de 2020, de conformidad con el parágrafo primero del artículo primero que señala: “ARTÍCULO 1°.

SUSPENDER los términos de las actuaciones administrativas sancionatorias y disciplinarias en curso, que se surten ante las dependencias de esta Superintendencia, desde el 1º de abril del 2020 y hasta la vigencia del Estado de Emergencia Económica, Social y Ecológica decretada por el Presidente de la República, fechas en que no correrán los términos legales, incluidos los de caducidad de la facultad sancionatoria de la administración prevista de manera general en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo y en las normas especiales aplicables a las actuaciones de la Superintendencia de Industria y Comercio.

Así mismo, quedará suspendido el trámite de control previo de integraciones previsto en el artículo 9 y siguientes de la Ley 1340 de 2009. Así mismo, quedará suspendido el trámite de control previo de integraciones previsto en el artículo 9 y siguientes de la Ley 1340 de 2009.

PARÁGRAFO PRIMERO: Se exceptúan del presente artículo aquellas actuaciones administrativas que en el marco de la Emergencia Económica, Social y Ecológica, se relacionen con la efectividad de derechos fundamentales, especialmente aquellos referidos a la garantía del hábeas data contenido en el artículo 15 de la Constitución Política, la adopción de medidas cautelares y el inicio de actuaciones en materia de Protección al Consumidor, Reglamentos Técnicos y Metrología Legal, así como la adopción de medidas cautelares y el inicio de actuaciones en materia de prácticas restrictivas de la competencia relacionadas con la afectación de bienes y servicios en el marco de la Emergencia Económica, Social y Ecológica, y en general todas aquellas que resulten necesarias y que deban adelantar las diferentes Dependencias de esta Entidad para conjurar la crisis causada por el coronavirus COVID19”.

(Se subraya y se resalta fuera de texto) 9 En escrito de descargos obrante en la página 11 del radicado 19-250479-00011 del expediente digital. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” telefónica del 24 de febrero de 2020 por parte de una de sus trabajadoras, a continuación se relacionan las diferentes pruebas que se relacionan con este argumento, a saber: (i) Declaración extraproceso No. 3009 en la Notaría Segunda del Círculo de Floridablanca, de la señora xxxxxxxxxxxxxxxxxxxxxxxx (trabajadora de la investigada), en la cual se consigna lo siguiente: Imagen 1.

Tomada de la página 21 del radicado 19-250479-00011 del expediente digital. Imagen 2. Tomada de la página 21 del radicado 19-250479-00011 del expediente digital. (ii) Memorando interno con radicado 19-250479-00025 del 30 de junio de 202110, en el cual la Coordinadora del Grupo de Sistemas de Información de esta Superintendencia, informa lo siguiente: “Conforme a la información solicitada a esta dependencia, nos permitimos señalar que una vez escalado el requerimiento con el centro de contacto, se nos informa que se realizó la búsqueda de las llamadas solicitadas, esto a través de la plataforma que maneja la grabadora, utilizando como filtros los teléfonos suministrados en el memorando adjunto, teniendo en cuenta los meses de enero, febrero y marzo del 2020, arrojando un resultado negativo en la búsqueda”.

(iii) Solicitudes del 14 de julio de 2021, 27 de julio de 2021 y 2 de agosto de 2021 presentadas por la sociedad ICL INGENIERIA DE CORROSION LTDA a la empresa MOVISTAR, en las cuales autoriza a un tercero para que gestione ante la empresa de telecomunicaciones el registro de llamadas del año 2020, indicándose en la primera de estas solicitudes lo siguiente: “(…) autoriza a (…), para que gestione ante la Oficina de MOVISTAR, la solicitud del registro de la llamada realizada en el mes de febrero de 2.020 de una de las siguientes líneas 10 Con el cual se da respuesta al requerimiento interno con radicado 19-250479-00025 del 30 de junio de 2021, con el cual se solicitó: “(…) aporte copia completa de la grabación de la llamada recibida de los números telefónicos (7) 6780067 o (7) 6380609, realizada por la señora xxxxxxxxxxxxxxxxxxxxxxxxxxx el 24 de febrero de 2020 a las líneas de atención telefónica de esta entidad, en caso de que esta se hubiese recibido”.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” telefónicas 6780067 o 6380609 a la Ciudad de Bogotá a los números 5920400 y al número 3870000 a la Superintendencia de Industria y Comercio”. Respecto de estas solicitudes la investigada no ha obtenido respuesta de MOVISTAR, como lo señala en alegatos de conclusión11.

Frente a las 3 pruebas anteriores y la orden impartida en la Resolución No. 61022 de 2019, es preciso indicar: (i) Si bien en el memorando interno con radicado 19-250479-00025 de la Coordinadora del Grupo de Sistemas de Información de esta Superintendencia se señala que no se encontró que la investigada hubiese realizado una llamada a las líneas de atención de esta entidad, este Despacho tomará en cuenta lo consignado en la declaración extraproceso por tratarse de un medio de prueba mediante el cual la señora xxxxxx xxxxxxxxxxxxxxxxx da fe de unos hechos concretos bajo la gravedad del juramento.

(ii) Dentro del contenido de la declaración extraproceso se encuentra que “(…) LA FUNCIONARIA PROCEDIÓ A SOLICITARME EL NÚMERO DE RADICADO DE LA RESOLUCIÓN, Y DE ACUERDO A ELLO ME INDICÓ QUE DEBÍAMOS REALIZAR LA POLÍTICA Y PUBLICARLA, (…)”. (Se subraya fuera de texto) Al respecto, es de señalar que si se llevó a cabo la llamada entre la trabajadora de la investigada y esta Superintendencia, hubiese sido necesario aportar la grabación de la misma a esta actuación administrativa, ya que ello hubiese permitido a este Despacho valorar probatoriamente lo expresado por cada uno de los interlocutores, sin lugar a dudas sobre a qué se refería y qué entendía cada uno de ellos.

En todo caso, del fragmento anteriormente transcrito de la declaración extraproceso, este Despacho evidencia que se está haciendo referencia a la Política de Tratamiento de la Información y no a una Política de Seguridad de la Información, en consideración a que la primera de ellas debe ser puesta a disposición de los Titulares mientras que la segunda no. El fundamento de poner en conocimiento la Política de Tratamiento de la Información a los Titulares está en el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015 que dispone: “(…) Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares.

Dichas políticas deberán incluir, por lo menos, la siguiente información: (…) Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente Decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas”.

Además, el Régimen General del Protección de Datos Personales no establece que la Política de Seguridad de la Información deba darse a conocer a los Titulares, siendo únicamente necesario que se demuestre a esta Superintendencia que cuentan con ella en caso de ser requerida. Al respecto, el el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 preceptúa: “Artículo 2.2.2.25.6.1.

Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 11 Obrante en la página 3 del radicado 19-250479-00032 del expediente digital.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” 3. El tipo de Tratamiento. 4. Los riesgos potenciales que referido tratamiento podrían causar sobre los derechos de los titulares. En respuesta a un requerimiento de la Superintendencia Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”. (Se subraya fuera de texto). Este Despacho encuentra que la investigada confundió la Política de Tratamiento de Datos Personales con la Política de Seguridad de la Información, no solo en la declaración extrajuicio sino también en argumentos expuestos por la sociedad ICL INGENIERIA DE CORROSION LTDA tanto en descargos como en alegatos de conclusión. En consideración a esta confusión y con el objeto de prevenir que se vulnere el Régimen General del Protección de Datos Personales, así como de evitar que se desconozca el derecho e hábeas data de los Titulares, aun cuando se trata de un asunto no relacionado con el objeto del cargo formulado, este Despacho aclara que en virtud del literal k) del artículo 17 de la Ley 1581 de 201212, todo Responsable de la información debe adoptar e implementar: (i) Política de Tratamiento de la Información, (ii) Manual Interno de Seguridad de la Información, (iii) Manual Interno con el Procedimiento para la Recolección, Almacenamiento, Uso, Circulación y Supresión y;

(iv) Manual Interno para la Atención de Consultas y Reclamos. Adviértase que la primera de ellas es puesta en conocimiento de los Titulares mientras que los tres siguientes no. En este orden de ideas, de haberse llevado a cabo la llamada telefónica del 24 de febrero de 2020 que indica la investigada, con la declaración extraproceso no se demuestra que los interlocutores se hubiesen referido a la Política de Seguridad que se ordenó en la Resolución No. 61022 de 2019, documentar, implementar y monitorear.

(iii) Si bien en esta investigación no se logró demostrar que la llamada telefónica del 24 de febrero de 2020 se llevó a cabo y en consecuencia, tampoco se consiguió aportar grabación de ella, esta Dirección procede a aclarar el alcance jurídico de la Resolución No. 61022 de 2019 y de la asesoría que se hubiese podido brindar en la llamada telefónica a la que hace referencia la investigada.

Al respecto, de acuerdo con lo expuesto 13 por la sociedad ICL INGENIERIA DE CORROSION LTDA en la llamada que alude, una de sus trabajadoras preguntó a un funcionario de esta entidad cuál era el trámite subsiguiente luego de haberse adoptado las medidas de seguridad ordenadas en la Resolución No. 61022 de 2019, respecto a lo cual afirma que a su trabajadora se le indicó que no se requería aportar la certificación del representante legal que acreditara el cumplimiento de lo ordenado por este Despacho.

Bajo este escenario, de haberse llevado a cabo la llamada, se hubiese estado ante una petición verbal de consulta, en la medida en que el objeto de esta solicitud por parte de la trabajadora de la sociedad ICL INGENIERIA DE CORROSION LTDA habría sido que se les explicara u orientara respecto de lo ordenado mediante la Resolución No. 61022 de 2019. 12 “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;

(…)”. 13 Tanto en descargos, obrante en la página 11 del radicado 19-250479-00011 del expediente digital, como en alegatos de conclusión, obrante en la página 3 del radicado 19-250479-00032 del expediente digital. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” Sobre el alcance vinculante de los conceptos emitidos en virtud de una petición de consulta, la jurisprudencia de la Corte Constitucional en sentencia C-542/05 del 24 de mayo de 2005, M.P: Dr. Humberto Antonio Sierra Porto, preceptuó: “2.2.2.- El derecho de petición de consultas está consagrado en los artículos 25 a 26 del Código Contencioso Administrativo y con fundamento en él es factible acudir ante la autoridad pública para que por medio de un concepto oriente a los administrados sobre algún asunto que pueda afectarlos.

Los conceptos desempeñan una función orientadora y didáctica que debe realizar la autoridad pública bajo el cumplimiento de los supuestos exigidos por la Constitución y las leyes. El contenido mismo del concepto, sin embargo, no comprometerá la responsabilidad de las entidades que lo emiten ni será tampoco de obligatorio cumplimiento. Se entiende, más bien, como una manera de mantener fluida la comunicación entre el pueblo y los administración para absolver de manera eficiente y de acuerdo con los principios de economía, celeridad, eficacia e imparcialidad, las dudas que puedan tener las ciudadanas y los ciudadanos y el pueblo en general sobre asuntos relacionados con la administración que puedan afectarlos.

Tal como quedó plasmado en el Código Contencioso Administrativo, el derecho de petición de consulta tiene, entonces, una connotación de simple consejo, opinión o dictamen no formal de la administración cuyo propósito no es ser fuente de obligaciones ni resolver un punto objeto de litigio. (…) 2.3.1.- El demandante considera que los conceptos emitidos por las autoridades públicas en virtud del desarrollo de un derecho de petición de consultas deben ser obligatorios, es decir, deben vincular a los administrados.

Esto, como se vio, no puede convertirse en la regla general. Primero, significaría conferir a todas las autoridades públicas la posibilidad de legislar y atentaría contra el principio de legalidad establecido en el artículo 121 de la Constitución. Los conceptos emitidos por las entidades en respuesta a un derecho de petición de consulta no constituyen interpretaciones autorizadas de la ley o de un acto administrativo.

No pueden reemplazar una (sic) acto administrativo. Dada la naturaleza misma de los conceptos, ellos se equiparan a opiniones, a consejos, a pautas de acción, a puntos de vista, a recomendaciones que emite la administración pero que dejan al administrado en libertad para seguirlos o no”. (Se subraya fuera de texto) Así, para el caso particular, si se hubiese dado el concepto en virtud de la petición verbal de la investigada, ese concepto no hubiese reunido los requisitos para ser un acto administrativo, toda vez que para el caso concreto hubiese sido una explicación u orientación y no una decisión unilateral de la Administración encaminada a crear, modificar o extinguir obligaciones con el objetivo de producir efectos jurídicos.

Por su parte, la Resolución No. 61022 de 2019 sí es un acto administrativo de contenido particular, con el cual se le impartió una orden específica a la sociedad ICL INGENIERIA DE CORROSION LTDA que es de obligatorio cumplimiento. De manera que, dentro de esta investigación solo la Resolución No. 61022 de 2019 es vinculante para la investigada y, de ninguna manera, lo hubiese sido una orientación o explicación sobre el contenido de la misma.

Es más, del mismo texto de la parte resolutiva de la Resolución No. 61022 de 2019 es clara y explícita la orden impartida, el plazo para su cumplimiento y la forma cómo se debía demostrar a esta Superintendencia su acatamiento, por lo cual tampoco es de recibo lo expuesto por la investigada respecto a que no aportó la certificación del representante legal amparada por el principio de buena fe y confianza legítima, en virtud de las indicaciones que dice le fueron dadas por parte de un funcionario de esta Superintendencia. Así las cosas, respecto de la llamada telefónica que invoca la investigada se tiene que: i) no se demostró que se hubiese llevado a cabo y menos aún se conoció su contenido, lo que hubiese sido importante para valorar lo expresado por cada uno de los interlocutores y; ii) de haberse llevado a cabo la llamada, no tiene efectos vinculantes las explicaciones u orientaciones dadas por un funcionario, resultando solo de obligatorio cumplimiento lo previsto en la Resolución No. 61022 de 2019.

De otra parte, respecto a lo manifestado por la sociedad ICL INGENIERIA DE CORROSION LTDA sobre que dentro del término otorgado por la Resolución No. 61022 de 2019 dio cumplimiento a la orden impartida e incluso en la declaración extraproceso No. 3009 en la Notaría Segunda del Círculo de Floridablanca, de la señora xxxxxxxxxxxxxxxxxxxxxxxxx (trabajadora de la investigada), se HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” encuentra que “(…) UNA VEZ IMPLEMENTADAS TODAS LAS MEDIDAS DE SEGURIDAD, EL DÍA 24 DE FEBRERO DE 2020 (…)”, este Despacho aclara respecto de la resolución en mención que: i) el artículo primero de la parte resolutiva expresa claramente la orden de “(…) documente, implemente y monitoree una política de seguridad de la información (…)” y; ii) el artículo segundo de la parte resolutiva dispone el plazo para demostrar el cumplimiento de la orden y el mecanismo para acreditar el cumplimiento.

Conforme a la anterior aclaración y en vista que la investigada señala que dio cumplimiento material a la orden impartida dentro del término otorgado por esta Dirección en la Resolución No. 61022 de 2019, se procederá a analizar las diferentes pruebas que obran en el expediente para determinar si se dio cumplimiento a la orden impartida, a saber: (i) Política de Protección de Datos Personales del 21 de enero de 2020.

(ii) Certificación del 15 de diciembre de 2020 emitida por contratista de la investigada, en la cual se evidencia lo siguiente: Imagen 3. Tomada de la página 20 del radicado 19-250479-00011 del expediente digital. (iii) 6 contratos individuales de trabajos14 suscritos con sus trabajadores, fechados del 15 de noviembre de 2019, 28 de enero de 2020, 10 de febrero de 2020, 9 de marzo de 2020, 8 de junio de 2020 y 23 de julio de 2020, en los cuales se encuentra la siguiente cláusula de confidencialidad: Imagen 4.

Tomada de la página 5 del radicado 19-250479-00011 del expediente digital. (iv) 10 formatos de “Autorización de Tratamiento de Datos”15 diligenciados, 1 de ellos por un practicante y los 9 restantes por 9 empleados de la sociedad ICL INGENIERIA DE CORROSION LTDA. De estos formatos, 1 fue suscrito el 8 de septiembre de 2020 y los 9 restantes, el 10 de marzo de 2020.

(v) Imagen del aviso de videovigilancia “(…) para la seguridad física de las personas e instalaciones (…)”, informándose a los Titulares que se encuentran en zona de videovigilancia y que obtienen la autorización para el Tratamiento de la información a través de la conducta inequívoca de los Titulares de permanecer en las oficinas de la empresa, como se evidencia con la siguiente imagen: 14 Obrantes en las páginas 5 a 10 del radicado 19-250479-00011 del expediente digital. 15 Obrantes en la página 22 del radicado 19-250479-00011 del expediente digital.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” Imagen 5. Tomada de la página 12 del radicado 19-250479-00011 del expediente digital. (vi) Declaración extraproceso No. 3009 rendida en por la señora xxxxxxxxxxxxxxxxxxxxxxxx, rendida en la Notaría Segunda del Círculo de Floridablanca16, en la cual expresa que la investigada previo al 24 de febrero de 2020 adoptó unas serie de medidas en cumplimiento de la orden impartida con la Resolución No. 61022 de 2019, como se evidencia en las imágenes 1 y 2 de este acto administrativo.

(vii) Imagen de la publicación de la Política de Tratamiento de Datos Personales en medio físico en las instalaciones de la empresa como se evidencia en la siguiente imagen: Imagen 6. Tomada de la página 13 del radicado 19-250479-00011 del expediente digital. Respecto de la valoración probatoria que este Despacho realiza en conjunto de todas las pruebas obrantes en el expediente, y en cuanto a las arriba relacionadas que es con las que la investigada pretende demostrar que dio cumplimiento a la orden impartida con la Resolución No. 61022 de 2019, se encuentra que: (i) La sociedad ICL INGENIERIA DE CORROSION LTDA tanto en descargos17 como en alegatos de conclusión18, así como en la declaración extraproceso No. 300919, indica que implementó una serie de medidas de seguridad buscando demostrar que cumplió con la orden impartida por esta Superintendencia; no obstante, a esta actuación administrativa 16 Obrante en página 21 del radicado 19-250479-00011 del expediente digital. 17 Obrante en la página 11 del radicado 19-250479-00011 del expediente digital. 18 Obrante en la página 3 del radicado 19-250479-00032 del expediente digital. 19 Obrante en página 21 del radicado 19-250479-00011 del expediente digital.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” no aportó evidencia de todas estas medidas que menciona, por ejemplo, dentro del expediente no obra prueba de la creación del cargo de Oficial de Protección de Datos Personales, sobre la seguridad de los archivos físicos, la restricción de acceso del personal según las funciones, el perfilamiento de los trabajadores para asignar responsabilidades en materia de datos personales, la seguridad en los sistemas de información, etc.

De manera que, no demostró la implementación de varias de las medidas de seguridad que señala fueron realizadas y tampoco desde cuándo. Cabe aclarar que el artículo 2.2.2.25.4.4. del Decreto 1074 de 2015 dispone que “[t]odo Responsable y Encargado deberá designar a una persona o área que asuma la función de protección de datos personales, (…)”, de lo cual se deriva que independientemente de si se designa a una persona o un área, lo importante es que la función de protección de datos personales se garantice por una u otra.

Así, se tiene que la creación del cargo de Oficial de Protección de Datos Personales no es obligatorio siempre que se cumpla con el artículo 2.2.2.25.4.4. del Decreto 1074 de 2015. Para el caso, la investigada mencionó que creó el cargo de Oficial de Protección de Datos Personales, pero no lo demostró. (ii) La investigada hace énfasis en el cumplimiento de las medidas de seguridad, al aportar el documento de Política de Tratamiento de Datos Personales y al allegar certificación de que la última versión fue cargada al sistema el 27 de febrero de 2020.

Además, aporta una imagen de su contenido exhibido de forma física en las instalaciones de la empresa. Al respecto, téngase presente que la Política de Tratamiento de la Información es obligatoria para todos los Responsables, al igual que las políticas y procedimientos de seguridad de la información; no obstante, esta última tiene por objeto que cada Responsable, en desarrollo del principio de seguridad del literal g) del artículo 4 de la Ley 1581 de 2012, diseñe, adopte e implemente todas las medidas técnicas, humanas y administrativas para evitar la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de la información que somete a Tratamiento.

Por su parte, la Política de Tratamiento de la Información tiene unos requisitos mínimos y regulación distintiva que está prevista en la sección 3 del capítulo 25 del Decreto Único Reglamentario 1074 de 2015. Así, con las pruebas sobre la Política de Protección de Datos Personales aportadas por la sociedad ICL INGENIERIA DE CORROSION LTDA, no se demuestra que dio cumplimiento materialmente a la orden impartida por este Despacho a través de la Resolución No. 61022 de 2019.

(iii) A través de las copias de los 6 contratos individuales de trabajo se evidencia que se incorpora una cláusula de confidencialidad a los empleados, con la cual la investigada busca evitar el acceso, divulgación y consulta no autorizada por parte de sus trabajadores, lo cual es una medida de seguridad en el Tratamiento de la información. Sin embargo, llama la atención para este Despacho que la sociedad ICL INGENIERIA DE CORROSION LTDA aportó copias de dichos contratos sin anonimizar la información personal de sus empleados, correspondiendo estos datos a nombres, fechas y lugares de nacimiento, direcciones, salarios y cargos que desempeñan en la empresa.

Sus empleados no están siendo investigados ni están relacionados con esta actuación administrativa, por lo cual su información personal no debió divulgarse por la sociedad ICL INGENIERIA DE CORROSION LTDA, era suficiente que aportaran la copia de los 6 contratos anonimizando todos los datos personales de sus empleados. Ante este hecho, este Despacho evidencia que la investigada no ha adoptado e implementado las medidas de seguridad técnicas, humanas y administrativas necesarias para prevenir el uso no autorizado de la información que somete a Tratamiento de sus empleados.

(iv) Los 10 formatos de “Autorización de Tratamiento de Datos” y la imagen del aviso de videovigilancia evidencian que la investigada está cumpliendo con el deber solicitar y conservar la autorización previa, expresa e informada acorde con el literal b) del artículo 17 de la Ley 1581 de 201220, pero estos formatos y el aviso de videovigilancia por sí solos no evitan la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de la información que somete a Tratamiento. 20 El cumplimiento o no de este deber no es objeto de investigación en esta actuación administrativa.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” Igualmente, se observa que aportaron los formatos de “Autorización de Tratamiento de Datos” sin anonimizar la información personal (nombre, dirección y teléfono) del practicante y los empleados, por lo cual, nuevamente es claro que, la sociedad ICL INGENIERIA DE CORROSION LTDA no ha adoptado e implementado las medidas técnicas, humanas y administrativas necesarias para prevenir el uso o acceso no autorizado de la información que somete a Tratamiento de sus empleados.

Así mismo, tampoco anonimizaron la información personal de sus empleados en las planillas de seguridad social21 que aportaron a esta investigación. De acuerdo con el análisis del acervo probatorio de esta actuación administrativa, este Despacho encuentra que la sociedad ICL INGENIERIA DE CORROSION LTDA no ha documentado, implementado y monitoreado una política de seguridad de la información que prevea medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, como se ordenó en el artículo primero de la parte resolutiva de la Resolución No. 61022 de 2019, ya que solo aportó evidencia de unas medidas que ha implementado que son insuficientes para prevenir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de la información, encontrándose además que divulgó a este Despacho información personal de sus empleados y un practicante que debió anonimizar en las pruebas aportadas.

Adicionalmente, la orden impartida en la Resolución No. 61022 de 2019 se refiere a que se documente, implemente y monitoree una política de seguridad, la cual debe contener medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, es decir que unas medidas implementadas por sí solas no dan cumplimiento a la orden.

Esto en razón a que la orden se refiere a una política que debe comprender una serie completa de medidas necesarias en los términos señalados y además que esta política sea: (i) documentada, (ii) implementada y; (iii) monitoreada para evaluar de forma constante su utilidad, aspectos a mejorar, eficacia, etc. Dentro de esta investigación no se demostró que la sociedad ICL INGENIERIA DE CORROSION LTDA diera cumplimiento material a la orden de documentar, implementar y monitorear una política de seguridad dentro del plazo señalado en la citada resolución, es decir hasta el 30 de mayo de 2020.

De manera que, no es de recibo el argumento expuesto por la investigada en el sentido de que debe primar lo sustancial sobre lo formal porque aduce que sí cumplió con la orden a pesar de que no allegó la certificación de cumplimiento suscrita por el representante legal, por cuanto se encontró demostrado en esta actuación administrativa que la sociedad ICL INGENIERIA DE CORROSION LTDA no cumplió materialmente con la orden impartida en la Resolución No. 61022 de 2019.

De acuerdo con lo anterior, se encuentra demostrado que la investigada no dio cumplimiento a la orden impartida en la Resolución No. 61022 de 2019 de esta Dirección, por cuanto dentro de los seis meses siguientes a la ejecutoria de dicho acto administrativo no acató lo ordenado al no cumplirse materialmente ni acreditarse su cumplimiento ante esta Superintendencia, por lo cual se encuentra demostrado el actuar negligente de la sociedad ICL INGENIERIA DE CORROSION LTDA en el cumplimiento del deber del literal o) del art 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 de la norma en mención, lo cual dará lugar a la imposición de una sanción pecuniaria acorde con el literal a) del artículo 23 de la Ley 1581 de 2012 y la impartición de una orden administrativa de acuerdo con lo dispuesto en el literal e) del artículo 21 de la Ley 1581 de 2012. 16.2.2 Respecto del principio de responsabilidad demostrada – Accountability La sociedad ICL INGENIERIA DE CORROSION LTDA expresa en su escrito de descargos22 que dio cumplimiento fáctico a la orden impuesta con la Resolución No. 61022 de 2019, en cuanto ha implementado medidas de seguridad de la información en la compañía. Al respecto, este Despacho precisa que el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, estableció la obligación de las empresas de demostrar, a petición de la 21 Obrantes en las páginas 14, 16 y 17 de la comunicación con radicado 19-250479-00011 del expediente digital. 22 Obrante en la página 11 del radicado 19-250479-00011 del expediente digital.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” para cumplir con las obligaciones establecidas en la Ley 1581 de 2012, señalando que dichas medidas deben ser proporcionales a: (i) la naturaleza jurídica del responsable, su tamaño empresarial; (ii) la naturaleza de los datos personales objeto del Tratamiento; (iii) el tipo de Tratamiento y;

(iv) los riesgos potenciales que el Tratamiento podría causar sobre el derecho de los titulares. Así mismo, el artículo 2.2.2.25.6.2 del Decreto mencionado, frente a las políticas internas efectivas que deben implementar el Responsable, dispuso: “Artículo 2.2.2.25.6.2. Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2.25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio.

Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo. 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.

La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo”.

Realizada las anteriores precisiones y del análisis las diferentes pruebas aportadas por la sociedad ICL INGENIERIA DE CORROSION LTDA valoradas en el acápite 16.2.2. de este acto administrativo, se evidencia que la investigada no ha adoptado medidas pertinentes, útiles, efectivas y verificables para garantizar el debido ejercicio del derecho de hábeas data de los titulares y para salvaguardar el principio de seguridad23 en el Tratamiento de la información. Así, es claro que la sociedad ICL INGENIERIA DE CORROSION LTDA no acredita el cumplimiento efectivo del principio de responsabilidad demostrada a través de los documentos que aporta para demostrar que ha implementado medidas de seguridad necesarias para evitar la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de la información. Al respecto, es menester traer a colación lo expresado por la Delegatura de Protección de Datos Personales de esta Superintendencia en la Resolución No.12192 del 1 de abril de 2012, en la cual se indica: “El término ‘accountability’, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

El reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Se trata de una actividad constante, que exige demostrar un cumplimiento real y efectivo en la práctica de sus labores. El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales.

El mismo, exige que los Responsables y Encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales. 23 Ley 1581 de 2012.

“Artículo 4: (…) g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)”. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” Medidas ‘apropiadas’ son aquellas ajustadas a las necesidades del Tratamiento de Datos. Y ‘efectivas’, son las que permiten lograr el resultado o efecto que se desea o espera. En otras palabras, no se deben adoptar medidas inoperantes; inservibles; inanes o infructuosas.

Solo se deben instaurar aquellas adecuadas; correctas; útiles; oportunas y eficientes con el propósito de cumplir los requerimientos legales para realizar Tratamiento de Datos personales. El Principio de Responsabilidad Demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales.

Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos personales. Adicionalmente, el reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones”.

Así las cosas, revisado el material probatorio obrante en el expediente y los argumentos de hecho y de derecho de la investigada, respecto del principio de responsabilidad demostrada, encontramos que para que el mismo sea tomado como atenuante de la sanción es necesario que la investigada (i) haya adoptado medidas pertinentes, útiles, efectivas y verificables, que respeten y garanticen el derecho de hábeas data de los Titulares, respecto del principio de seguridad;

(ii) haya tomado, previo a la fecha de la notificación de la Resolución No. 61022 de 2019, medidas que eviten los hechos objeto de esta investigación y haya aplicado el principio de responsabilidad demostrada de acuerdo con la “Guía de Implementación del Principio de Responsabilidad Demostrada (Accountability)” de esta Superintendencia, así como lo previsto en lo correspondiente en el Decreto Único Reglamentario 1074 de 2015.

DÉCIMO SÉPTIMO: En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones:  La sociedad ICL INGENIERIA DE CORROSION LTDA deberá dar cumplimiento a la orden impartida en la Resolución No. 61022 de 2019, la cual establece: “ORDENAR a la sociedad ICL INGENIERIA DE CORROSION LTDA que documente, implemente y monitoree una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles”.  La sociedad ICL INGENIERIA DE CORROSION LTDA, en los casos en que una autoridad le solicite información y/o documentos, en los cuales obren datos personales, en virtud de lo establecido en el literal a) del artículo 10 de la Ley 1581 de 2012, deberá anonimizar todos los datos personales contenidos en documentos que hayan sido requeridos por entidad pública o administrativa, siempre que los datos personales no sean necesarios para el caso o para la solicitud de la entidad pública o administrativa, a fin de garantizar el derecho de hábeas data de los Titulares.

De lo anteriormente ordenado la sociedad ICL INGENIERIA DE CORROSION LTDA deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes”

DÉCIMO OCTAVO: Imposición y graduación de la sanción 18.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, la Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)”.

(Se subraya fuera de texto) El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional24. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la Ley 152 de 1994. En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV”. 24 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT. Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibídem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional25 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”26. Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros27. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es 25 “Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…)”. (Negrita añadida) 26 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 27 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad.

Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí solo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”28.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia29. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2330 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 18.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley 28 Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos 29 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 30Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012. Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”31. De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados32.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que:  La sociedad ICL INGENIERIA DE CORROSION LTDA no acreditó el cumplimiento de la orden impartida mediante la Resolución No. 61022 de 2019 proferida por esta Dirección, por lo cual se impondrá una sanción pecuniaria equivalente a CIENTO CUATRO (104) UNIDADES DE VALOR TRIBUTARIO - UVT33 por la vulneración del deber previsto en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 de la norma en mención. 18.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y: (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho. 31 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 32 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada.

En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. 33 Mediante Resolución 111 del 11 de diciembre de 2020 se fijó en $36.308 pesos el valor de la Unidad de Valor Tributario - UVT, que regirá durante el año 2021.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” El criterio de atenuación señalado en el literal f) del artículo citado no se aplica toda vez que la investigada no reconoció o aceptó la comisión de las infracciones.

DÉCIMO NOVENO: CONCLUSIÓN Se procederá a imponer una sanción y unas órdenes administrativas con fundamento en: (i) Se comprobó que la investigada infringió abiertamente el deber contemplado en el literal o) del art 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 de la norma en mención. (ii) La investigada no demostró que se llevó a cabo la llamada telefónica el 24 de mayo de 2020 entre una de sus trabajadoras y un funcionario de esta entidad, en la cual dice se le indicó que no requería aportar la certificación del representante legal para demostrar el cumplimiento de la orden prevista en la Resolución No. 61022 de 2019.

(iii) Si bien no se acreditó que se llevó a cabo la llamada con funcionario de esta Superintendencia, de acuerdo con lo expuesto por la investigada sobre la supuesta conversación sostenida, se habría estado ante una presentación de una petición verbal por parte de la investigada, por lo cual hubiese obtenido explicaciones u orientaciones por parte del funcionario respecto de la Resolución No. 61022 de 2019.

Para el caso, estas explicaciones u orientaciones no son vinculantes, por cuanto no crean, modifican o extinguen obligaciones con el objetivo de producir efectos jurídicos. (iv) La Resolución No. 61022 de 2019 es un acto administrativo de contenido particular, con el cual se le impartió una orden específica a la sociedad ICL INGENIERIA DE CORROSION LTDA que es de obligatorio cumplimiento.

De manera que, dentro de esta investigación solo la Resolución No. 61022 de 2019 es vinculante para la investigada y, de ninguna manera, lo hubiese sido una orientación o explicación sobre el contenido de la misma. (v) La investigada enuncia que ha implementado medidas de seguridad de la información; no obstante, no demuestra a través de ningún medio de prueba que efectivamente las ha implementado.

(vi) La sociedad ICL INGENIERIA DE CORROSION LTDA no demostró que materialmente haya documentado, implementado y monitoreado una política de seguridad de la información que prevea medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, dentro del término señalado en la Resolución No. 61022 de 2019 e incluso, a la fecha no se encuentra que la haya implementado la política de seguridad por lo que se hace necesario reiterar la orden de la mentada resolución. Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer la sanción correspondiente a TRES MILLONES SETECIENTOS SETENTA Y SEIS MIL TREINTA Y DOS PESOS M/CTE ($ 3.776.032), equivalente a CIENTO CUATRO (104) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación del literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 de la norma en mención, a la sociedad ICL INGENIERIA DE CORROSION LTDA, identificada con NIT. 890.211.924-5.

VIGÉSIMO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad ICL INGENIERÍA DE CORROSIÓN LTDA, identificada con NIT. 890.211.924-5, esta Dirección ha concedido el acceso al presente expediente digital a esta34, por intermedio de su representante legal principal vinculado al correo electrónico de notificación judicial de la sociedad, ingenieria@iclcorrosion.com, quien debe registrarse en calidad de persona natural, exclusivamente 34 El acceso al expediente digital se informó mediante la comunicación con radicado 19-250479-00029 del 7 de julio de 2021.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” con los datos en mención, https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php. en el enlace En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Finalmente, indicando que la totalidad del expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad ICL INGENIERÍA DE CORROSIÓN LTDA considera estrictamente necesario el acceso del expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.

Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (571) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad ICL INGENIERÍA DE CORROSIÓN LTDA, identificada con NIT. 890.211.924-5, de TRES MILLONES SETECIENTOS SETENTA Y SEIS MIL TREINTA Y DOS PESOS M/CTE ($ 3.776.032), equivalente a CIENTO CUATRO (104) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación de lo dispuesto en el literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 de la norma en mención.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR a la sociedad ICL INGENIERÍA DE CORROSIÓN LTDA, identificada con NIT. 890.211.924-5, que dentro del término de CUATRO (4) MESES siguientes a la ejecutoria de la presente decisión, dé cumplimiento a las siguientes instrucciones:  La sociedad ICL INGENIERÍA DE CORROSIÓN LTDA deberá documentar implementar y monitorear una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles.  La sociedad ICL INGENIERIA DE CORROSION LTDA, en los casos en que una autoridad le solicite información y/o documentos, en los cuales obren datos personales, en virtud de lo establecido en el literal a) del artículo 10 de la Ley 1581 de 2012, deberá anonimizar todos los datos personales contenidos en documentos que hayan sido requeridos por entidad pública o administrativa, siempre que los datos personales no sean necesarios para el caso o para la solicitud de la entidad pública o administrativa, a fin de garantizar el derecho de hábeas data de los Titulares.

PARÁGRAFO PRIMERO: La sociedad ICL INGENIERÍA DE CORROSIÓN LTDA, identificada con NIT. 890.211.924-5, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los CINCO (5) DÍAS hábiles siguientes a la expiración del plazo HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes” previsto para su acatamiento.

Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo. Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la entidad sin ánimo de lucro.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad ICL INGENIERÍA DE CORROSIÓN LTDA, identificada con NIT. 890.211.924-5, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad ICL INGENIERÍA DE CORROSIÓN LTDA, identificada con NIT. 890.211.924-5, a través de su representante legal, entregándole copia de esta e informándole que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO CUARTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá, de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 26 OCTUBRE 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.10.26 12:54:25 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LACA Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Sociedad: ICL INGENIERIA DE CORROSION LTDA Identificación: NIT 890.211.924-5 Representante Legal: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Identificación: xxxxxxxxxxxxxxxxxxx Dirección: Parque Centro Empresarial Natura, torre 3, oficina 449.

Ciudad: Floridablanca – Santander Correo electrónico: ingenieria@iclcorrosion.com

Resolución sancionatoria N° 69442 de 2021

CONSIDERANDO

RESUELVE