Resolución sancionatoria N° 81697 de 2020

(21 DICIEMBRE 2020) “Por la cual se impone una sanción administrativa y se imparte una orden” Radicación 18-193960 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que mediante Resolución 28906 del 18 de julio de 20191 la Dirección de Investigación de Protección de Datos personales resolvió abrir investigación y formular pliego de cargos contra la CÁMARA DE COMERCIO DE BOGOTÁ identificada con el Nit 860.007.322-9 por la presunta contravención de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con lo establecido en el literal g) del artículo 4 de la misma ley y el artículo 2.2.2.25.6.1 del Decreto único Reglamentario 1074 de 2015.

La denuncia presentada por el señor XXXXXX XXXXXXXXX XXXXXXXX XXXXXXX, se contrajo a los siguientes hechos: 1.1 Señaló el denunciante que “el día 17 de julio recibí un correo de la CCB con la base de datos completa de todos los instructores que dictamos clase, el cual tiene dos adjuntos, uno de ellos la base de datos de los conferencistas que contiene 413 registros con nombres completos, celulares, teléfonos, correos y cursos con fechas.”2 En el mismo acto administrativo, se concedió el término de quince (15) días hábiles a la sociedad investigada para que rindiera descargos y aportara pruebas que pretendiera hacer valer en la presente actuación.

SEGUNDO: Que la Resolución 28906 del 18 de julio de 2019 se notificó electrónicamente a la señora MONICA DE GREIFF LINDO, en representación de la CÁMARA DE COMERCIO DE BOGOTÁ, el 18 de julio de 2019, según consta en la certificación expedida por la Secretaría general Ad-Hoc de esta Superintendencia, visible en el expediente bajo el consecutivo número 18-19396014.

TERCERO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el consecutivo número 18-193960-00013-0001, la investigada presentó sus descargos3, en los cuales manifestó, entre otras cosas, lo siguiente: 3.1 En primer lugar, se refiere a los antecedentes de la presente actuación administrativa, señalando que “(…) sea lo primero indicar que, en efecto, como bien lo anuncia el denunciante, en la fecha por él indicada le fue remitido un correo electrónico con la información que manifiesta haber sido incorporada, error operativo que de ninguna manera podría obviar o dejar de aceptar.

Tal comunicación fue enviada por una de las auxiliares administrativas que lleva prestando sus servicios a nuestra Cámara de Comercio por más de 10 años, omitiendo, por supuesto, por una falta que no dudamos en calificar de error humano operacional los protocolos de envío de correos electrónicos que han sido dispuestos por la entidad y que en innumerables ocasiones han sido recalcados a los funcionarios”.

Resolución No. 28906 del 18 de julio de 2019 por la cual el Director de Investigación de Protección de Datos Personales inicia una investigación administrativa y formula cargos, visible en el expediente bajo el consecutivo número 18-193960-8-1. Denuncia presentada por el Titular de la información ante esta Superintendencia bajo el consecutivo número 18-193960-00000-000, el día 26 de julio de 2018.

Descargos presentados por la representante legal de la investigada el día 09 de agosto de 2019, bajo el consecutivo número 18-193960-000130001. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, 3.2 Igualmente, precisó que, “Ahora bien, con el fin de dar adecuada contextualización a los infortunados hechos ocurridos considero necesario describir los antecedentes que quien elevó la queja ante esa Autoridad omitió enunciar en su solicitud y que, a la postre, generaron el envío del correo en mención.” “Nuestra Cámara de Comercio, siendo la entidad que por excelencia busca cumplir una finalidad de aglutinar, incentivar y profesionalizar al empresariado colombiano ofrece una serie de actividades de capacitación de las que, sin lugar a dudas, miles de emprendedores, pequeños empresarios y personas del común que han depositado su confianza en el profesionalismo de la entidad representado en quienes en su nombre ejercen las actividades de formación, han sido beneficiarios.

Tales actividades de formación han llevado a que nuestra Cámara de Comercio de Bogotá llegue a ser considerada como el pilar de la profesionalización de todos aquellos que como sueño de vida buscan formar empresa contribuyendo al crecimiento de nuestro país. Así, en búsqueda de mantener altos estándares en los programas de formación ofrecidos, nuestra Cámara de Comercio, realizando procesos de contratación absolutamente transparentes y basados en las competencias profesionales y conocimientos de quienes buscan contratar, ha venido realizando procesos de convocatoria abierta, que propenden por encontrar excelentes profesionales que quieran compartir, a través de los programas de formación que constantemente estamos creando y recreando, sus conocimientos y experiencias.

Es a través de esos procesos como el hoy denunciante, a través de la empresa que fue su postulante para las actividades de formación, llegó a nuestra entidad a formar parte de una comunidad que, de forma, ya sea permanente o esporádica, acompaña nuestras labores, dadas sus altas calidades humanas y profesionales. Ahora bien, siempre en procura de brindar un mejor servicio a la comunidad, nuestra Cámara de Comercio realizó -y continuará realizando- encuestas de satisfacción para ser diligenciadas por quienes acceden a sus cursos y diplomados de formación académica especializada.

A partir de esa necesaria y bien recibida retroalimentación, se estableció como aspecto fundamental a mejorar, que los capacitadores debían fortalecer sus técnicas de enseñanza. Tales encuestas, como debe ser, no resultaron indiferentes para nuestra entidad y sus directivas, de tal manera que, tomando en cuenta que los capacitadores hacen parte de nuestra comunidad, tomamos la decisión de desarrollar unos cursos enteramente financiados por la Cámara de Comercio de Bogotá para brindarlos a quienes hicieran parte de nuestra comunidad de capacitadores con el fin de permitirles que, de forma voluntaria, accedieran a unos cursos gratuitos en los que les perfeccionarían sus habilidades de comunicación y la forma de proporcionar sus conocimientos.

Para tal efecto, con el fin de conocer el interés de nuestra comunidad de capacitadores en la realización de tales cursos y con el ánimo de contar con su concurrencia, se instruyó a nuestros/as auxiliares para que realizaran los contactos de verificación que permitieran medir la intención de asistir, para posteriormente, de acuerdo con los datos obtenidos, realizar la correspondiente convocatoria.

Así fue, una vez verificado el interés, se procedió a realizar la ratificación de la convocatoria vía correo electrónico a las capacitaciones de formadores” “Tal convocatoria, absolutamente cerrada a quienes durante años han acompañado a nuestra entidad en el desarrollo de sus labores de formación, fue realizada, como comedidamente agradezco que sea apreciado por su dirección, a un grupo de personas que cuentan con estrechos vínculos con nuestra Cámara de Comercio, careciendo de cualquier fin comercial y conllevando grandes beneficios, no solo a nuestros usuarios, sino a los mismos receptores de la invitación. Me pregunto.

¿Quiénes otros más interesados en recibir un correo electrónico en el que se les informa que van a recibir capacitaciones gratuitas que contribuyen a su desempeño profesional que los mismos receptores de la comunicación? Sin embargo. Sí, en efecto, Como ya tuve ocasión de mencionar y aceptar desde un principio, el error endilgado por el denunciante fue cometido por parte de una de las auxiliares de nuestro equipo, quien en el afán de seguir las instrucciones de convocar a los miembros de la comunidad a las capacitaciones que teníamos preparadas para ellos, tomó un archivo de Excel de circulación absolutamente restringida como lo pudo apreciar en el cuadro de privilegios en el manejo de la información que allegamos en la respuesta enviada el día 19 de marzo 2019, al que más adelante haré nuevamente referencia, y lo remitió a los convocados, omitiendo eliminar dentro del mismo los datos correspondientes a su información de contacto.

A lo anterior se sumó que, tal y como nos lo manifestó nuestra auxiliar en sus explicaciones dadas a su superior jerárquico dentro de la entidad, las direcciones de correo electrónico de los receptores se enviaron HOJA N, “Por la cual se impone una sanción administrativa y se imparte una orden” en el cuerpo del mensaje por una omisión involuntaria, en la medida en que, como ella lo argumentó, estaba preparando el borrador del envío de la convocatoria sin conexión a internet y, sin ninguna intención que pudiéramos calificar de dolosa o maliciosa, una vez realizó la reconexión a la red el correo electrónico fue enviado sin tener todavía la intención de hacerlo.

Ver anexo N° 7. Así lo dicho por nuestra funcionaria, muestra en la ocurrencia de los hechos la existencia exclusiva de un error humano, absolutamente imprevisible para la entidad, no obstante las medidas que se hayan podido tomar, de manera general, para que este tipo de insucesos no se presenten.” 3.3 Así mismo, señaló que “En tal medida, y como directriz por parte de sus directivas, nuestra entidad no podía haber hecho otra cosa que pedir disculpas a los posibles afectados por ese error humano, como en efecto se hizo a través del envío de un correo electrónico de fecha 19 de julio de 2018 en el que se comunicó lo sucedido.” 3.4 Respecto al cargo único formulado, señaló que: “Se endilga a nuestra entidad un único cargo referente a la violación del principio de seguridad con que deben ser tratados los datos personales, en cuanto a las condiciones por la cuales de debe propender en su conservación, advirtiéndose por parte de esa autoridad de la existencia del deber de cada persona responsable de las bases de datos de demostrar que se han implementado medidas apropiadas y efectivas para cumplir con las obligaciones existentes en materia de protección de datos personales.

(…) A partir de ello, no obstante la equivocación puntual y aislada cometida por una de nuestras auxiliares en el envío de un correo electrónico, nuestra Cámara de Comercio, en acatamiento de los preceptos legales, ha implementado medidas de protección de la información que, sin lugar a dudas, esa Superintendencia podrá encontrar muy por encima del estándar del mercado, al haberse establecido altos parámetros para salvaguarda de la confidencialidad de la información. Así, formando parte de las medidas atinentes a la protección de los datos de nuestros usuarios, funcionarios, capacitadores y proveedores se encuentra una completa documentación que incluye aspectos como los siguientes: • • • • • • Definición de las pautas que debe seguir todo el proceso de tratamiento y protección de los datos personales en sus diferentes etapas.

Mapa de riesgos que pueden presentarse en el tratamiento de datos personales, estableciendo controles y acciones de mitigación y corrección oportunas. La necesidad de requerir autorización para el tratamiento de los datos personales, los medios para obtenerla y las excepciones a la obligación de cumplir con esta obligación, específicamente en el caso de referirse a las artes en un contrato o precontrato, o en general para una relación de negocios.

Proceso de atención de peticiones quejas y reclamos en materia de habeas data. Creación de cargos garantes de la efectividad práctica de las políticas de protección de datos personales establecidas en la entidad, indicando funciones y responsabilidades. Políticas para el cumplimiento de la responsabilidad demostrada de la entidad. Para su conocimiento se incluye una copia de nuestra caracterización del Proceso, el Manual para el Tratamiento de Datos Personales en la CCB y; la Política de Protección de Datos Personales como anexo N° 1.

En adición a esto, contamos con un documento de seguridad que con el paso de los años ha sido objeto de continuas actualizaciones, que contiene las exigencias de cumplimiento de altísimos estándares en el tratamiento de la información en los cuales se incluye, en materia de uso de medios electrónicos aspectos como los siguientes: • Prácticas que soportan el lineamiento de seguridad de nuestra entidad, mediante: i) La generación e inventario de activos de la información ii) La clasificación de los activos de la información iii) Análisis de riesgos en seguridad de la información iv) Uso aceptable de los activos de la información En particular de envío de correos electrónicos se encuentran las siguientes instrucciones: • La cuenta de correo electrónico corporativo debe ser usada para el desempeño de las funciones asignadas, de manera ética razonable, responsable y no abusiva.

El envío de información corporativa debe ser realizado exclusivamente desde la cuenta de correo corporativo. “Por la cual se impone una sanción administrativa y se imparte una orden” • • • • • HOJA N, Los mensajes y la información contenida en los buzones de correo corporativos son propiedad de la entidad, Cada usuario como responsable de su buzón, debe mantener solamente los mensajes relacionados con el desarrollo de sus funciones.

El tamaño de los buzones de correo es determinado e implementado por la Vicepresidencia de Tecnología de acuerdo con las necesidades de cada usuario y previa autorización del jefe inmediato. No se permite el uso de correo electrónico corporativo para enviar mensajes que atenten contra la dignidad y la productividad de las personas, el normal desempeño del servicio de correo electrónico y que vayan en contra del Código de ética y Buen Gobierno Corporativo.

Las líneas que manejan correo masivo hacia clientes internos y externos, deben gestionar los permisos con relacionamiento con el cliente a través de los procedimientos de esta línea. Toda información generada con los diferentes programas computacionales (ejemplo, Office, Project, Access, WordPad, entre otros,), que requiera ser enviada fuera de la entidad, y que por sus características de integridad deba ser protegida, debe estar en formatos no editables o debidamente protegida para modificaciones (contraseñas o cifrado).

Todos los mensajes enviados deben respetar el estándar de formato e imagen corporativa y deben conservar en todos los casos el mensaje legal corporativo de confidencialidad y protección de dato personales Para su conocimiento se incluye copia de nuestro manual de Lineamientos y Prácticas de Gestión de seguridad de la información como anexo N° 2.

Pero estos documentos no serían de ninguna manera eficientes si carecieran de su validación en la práctica, es por eso que nuestra entidad ha implementado diferentes esquemas de capacitación a través de los cuales nuestros funcionarios han recibido información en materia de protección de datos personales y de seguridad de la información como se muestra con los documentos que evidencian las acciones adelantas en la materia que se anexan para su conocimiento anexo N° 2.

Aún más, nuestros funcionarios, como parte de su vinculación a nuestra entidad, son provistos con el documento de seguridad cuya lectura y comprensión se hace obligatoria al momento de su contratación, de lo cual se deja constancia con la firma por su parte del documento de conocimiento y aceptación del mismo. Se anexa para su conocimiento copia de la comunicación firmada por nuestra auxiliar como anexo N° 4.

Cómo (sic) si esto fuera poco, la Cámara de Comercio de Bogotá cuenta con un esquema de auditorías y cumplimiento basadas en los riesgos de seguridad de la información que son realizadas periódicamente por parte de nuestra Contraloría Interna. A partir de estas auditorías se toman decisiones sobre acciones de mejora, con las cuales se encuentran comprometidos todos los funcionarios de la entidad, incluyendo las altas directivas.

Ahora bien, en referencia al caso particular que nos ocupa he de mencionar que, buscando siempre mantener un tratamiento de la información que cumpla con el principio de pertinencia, en la base de datos contentiva de nuestros 413 cercanos colaboradores – conferencistas expertos se prohíbe que se incluya información diferente a aquella que resulte necesaria para su contacto, buscando con esto salvaguardar la confidencialidad de cualquier dato que, por no resultar apropiado para el tipo de relación de varios años que sostenemos con ellos, pueda resultarles perjudicial o violatoria de sus derechos.

De esta manera, como lo anota en su requerimiento, la base de datos de nuestros 413 colaboradoresconferencistas expertos contiene información de contacto básica, omitiendo incluir cualquier tipo de aspectos adicionales que pudieran ser de interés para terceras personas. Con esta certeza es que internamente, tal y como lo manifestamos en la comunicación de fecha 19 de marzo de 2019, es que para esta base de datos se han fijado unos estándares de manejo que hacen que la misma sólo (sic) sea tratada por parte de los funcionarios establecidos de acuerdo con sus precisas atribuciones, lo que hace que tengamos certeza sobre el tratamiento que se da a los datos en ella contenidos, cumpliendo pautas que muy difícilmente podrán ser encontrados en otra entidad de carácter público o privado.

“(…) en nuestro sentir, se presentó un incumplimiento del requisito de procedibilidad que debe observarse en este tipo de procesos. Lo anterior, en la medida en que, sin ignorar la facultad de obrar de oficio en las investigaciones que se adelantan por parte de esa Superintendencia, es claro que el presente caso se inició exclusivamente a partir de la información que entregó a esa autoridad una persona que sintió vulnerados sus derechos.

Impulso sin el cual esa Superintendencia no habría adelantado las actuaciones que hasta el momento ha desarrollado frente a nuestra Cámara de Comercio. Tan es cierto y claro lo que aquí manifiesto que esa misma Superintendencia en la resolución por la cual presenta el pliego de cargos correspondientes inicia sus consideraciones indicando que la actuación se da “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, con fundamento en la comunicación radicada con el número 18-193960-0 del 26 de julio de 2018, en la que el señor xxxxxx xxxxxxxxx xxxxxxxx xxxxxxxx presenta una denuncia en contra de nuestra entidad.

Es decir, el denunciante pretermitió cumplir el requisito de procedibilidad establecido en el artículo 16 de la Ley 1581 de 2012 a cuyo tenor “El titular o causahabiente sólo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante el responsable del Tratamiento (…)”, lo que hizo que se activaran todas las atribuciones de esa autoridad para dar atención y desarrollo a un caso que, muy seguramente, hubiera podido ser muy fácil y amistosamente solucionado entre las partes involucradas.” 3.5 A continuación manifestó que, “En adición a todos los documentos elaborados y acciones realizadas, nuestra entidad para dar cumplimiento a la normatividad relativa a la protección de datos personales cuenta con un muy eficiente modelo de gobierno que busca preservar la seguridad de la información estableciendo roles y responsabilidades en cabeza de cada uno de los miembros de la entidad.

(…) Para el caso en particular, esto es, la base de datos que contiene la información de nuestros colaboradores conferencistas, la tabla de asignación de permisos, como ya tuvimos oportunidad de manifestarlo en la comunicación de fecha de marzo 19 de 2019 radicada en esa entidad con el No. 18-183960-00007-001, es la siguiente: Una vez se nos informó del error cometido por la funcionaria en nuestra entidad procedimos a realizar acciones de mitigación de los efectos a los posibles afectados.

Concretamente, procedimos a enviar un correo electrónico a cada uno de los 413 colaboradores – conferencistas expertos de nuestra entidad mencionados en el archivo adjunto informándoles de lo acontecidos solicitando sus disculpas por cualquier afectación que este error menor hubiera podido causar a sus derechos. Ante nuestra clara y oportuna comunicación, ninguno de los posibles afectados presentó algún tipo de queja o reclamo ante nuestra entidad, muy por el contrario, la gran mayoría de los destinatarios de los correos electrónicos asistieron a los cursos gratuitos que habíamos programado en su beneficio.

Adicionalmente, expone a esta Dirección que (…) “se han tomado medidas puntuales para que un error humano como el cometido, aunque sea menor, no pase desapercibido, de manera que todos nuestros funcionarios ajusten sus prácticas evitando que lo sucedido vuelva a tener ocurrencia. En esa medida se han realizado las siguientes acciones: “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, 1.

Capacitaciones: se dio inicio a un ciclo de charlas de capacitación para todos los funcionarios de nuestra entidad, dividido por áreas, siendo precisamente los funcionarios pertenecientes a aquella de la cual forma parte nuestra funcionaria que cometió el error involuntario del envío del correo electrónico los primeros en recibir este repaso en cuanto a la información y el cuidado que se debe tener en su tratamiento, cuyo listad de asistencia se adjunta para su conocimiento como anexo N° 5.

He de anotar que se trata precisamente de un repaso sobre los conocimientos en la medida en que, como ya tuve oportunidad de comunicárselo, en nuestra entidad se realizan constantes y diversas actividades de comunicación en la materia. 2. Planes de acciones correctivas: Desde nuestra Oficina de Gestión de Riesgos de la Gerencia de Planeación e Innovación se desarrolló un plan para ser cumplido a diciembre del presente año que incluye, capacitaciones adicionales, validaciones de controles de los procesos que involucran el envío de correos electrónicos desde nuestra entidad, cuyos principales aspectos se pueden observar en el anexo N° 6. 3.

Situación de nuestra funcionaria: Uno de los pilares de trabajo de la Cámara de Comercio de Bogotá es el de respetar y valorar el trabajo que nos brindan nuestros colaboradores. De esa manera un error menor que cometió la funcionaria no puede ser objeto de sanciones drásticas que puedan atentar contra su estabilidad laborar (sic) y el sustento de su familia, lo que tampoco puede ser óbice para que de nuestra parte no se tomen medidas. 4.

De esta manera y dada la gran consideración que tenemos por nuestra funcionaria hemos decidido imponerle a ella una sanción tipo pedagógico que sirva para su crecimiento personal, así como el de sus compañeros de labores. Es así como, entre los meses de agosto y diciembre de 2019 nuestra funcionaria deberá desarrollar un boletín mensual de carácter informativo sobre las obligaciones que en materia de protección de la información deben ser incorporadas en sus labores por todos los miembros de nuestra comunidad, incluyendo los capacitadores receptores del correo en cuestión en sus labores diarias, mejorando así la conciencia y percepción sobre el tema.” 3.6 A manera de conclusión, reitera que: “En el momento de estudiar el caso y tomar su final decisión encarecidamente solicito a usted que se tomen en cuenta las siguientes circunstancias: 1.

Se presentó un error humano por parte de una de nuestras funcionarias que, en su afán de informar a nuestros colaboradores de las capacitaciones desarrolladas con el único objetivo de contribuir en su propio beneficio, envió una base de datos sin contar con las adecuadas seguridades que son establecidas por nuestra entidad y resultan ser de su conocimiento, como el de todos los demás funcionarios. 2.

El correo que fue enviado tenía como único sustento el desarrollo de una actividad interna a ser llevada a cabo entre nuestra Cámara de Comercio y sus colaboradores. 3. La creación de la base de datos enviada y del correo electrónico al cual se adjuntó, carecía de cualquier tipo de finalidad comercial o que de alguna manera pudiera representar algún tipo de lucro para nuestra entidad.

Antes por el contrario, tenía el fin altruista de no permitir que alguno de nuestros colaboradores quedará sin recibir información respecto a una actividad organizada en su exclusivo beneficio y que sin ningún lugar a sudad conllevo costos en materia de capacitadores e instalaciones, enteramente asumidas por la Cámara de Comercio de Bogotá. 4.

El correo remitido fue entregado a personas que aún hoy mantienen una estrecha vinculación con nuestra entidad; de ninguna manera se buscaba contactar a externos o personas ajenas a la Cámara de Comercio de Bogotá. 5. Las personas receptoras del correo son todas profesionales altamente valoradas en el ejercicio de su carrera profesional o empresarial lo que las llevó a estar vinculadas con nuestra entidad.

En esa medida, a pesar del error cometido, tal como lo pudimos corroborar en las posteriores comunicaciones sostenidas con ellos, los presuntos afectados nos dieron a entender que en realidad no sintieron que hubiera existido una real transgresión a sus derechos. Pruebas de ello son: (i) su masiva asistencia a las capacitaciones programadas;

(ii) la inexistencia de queja alguna por su parte en torno al manejo que se había dado a su información, aún después de habérseles comunicado del infortunado suceso, claro excepción hecha de quien interpuso la solicitud ante esta Superintendencia; (iii) El hecho de contar hoy en día con la gran mayoría de los presuntamente afectados como nuestros colaboradores. 6.

Nuestra Cámara de Comercio de Bogotá, como bien lo puede corroborar a partir de toda la documentación que se adjunta para su conocimiento, puede constituirse en una de las entidades que mejor ha acatado los lineamientos impuestos por la normatividad legal y esa Autoridad en materia de protección de datos personales y los ha implementado en el desarrollo de sus labores diarias “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, convirtiéndolos en realidades palpables que son conocidas y practicadas por todos y cada uno de los funcionarios de nuestra entidad.”

CUARTO: Que mediante Resolución No. 49157 del 25 de septiembre de 2019 esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 18-193960, folios 1 a 360, con el valor legal que les corresponda, declarando agotada la etapa probatoria. En el mismo acto administrativo, se corrió traslado a la CÁMARA DE COMERCIO DE BOGOTÁ por el término de diez (10) días hábiles para que presentara sus alegatos de conclusión.

QUINTO: Que la Resolución 49157 del 25 de septiembre de 2019 fue comunicada el 26 de septiembre de 2019, según consta en la certificación expedida por la Secretaría General Ad-Hoc de este Superintendencia, visible en el expediente bajo el consecutivo número 18-193960-19.

SEXTO: Que, dentro del término concedido para el efecto la CÁMARA DE COMERCIO DE BOGOTÁ, a través de su representante legal, presentó alegatos de conclusión, bajo el consecutivo de radicación 18-193960-00018-00014, a través de los cuales, reiteró lo expresado en su escrito de descargos y manifestó adicionalmente, que: “Por otro lado, como inicio de presentación de los argumentos que componen el escrito de defensa procesal que nos brinda, quiero ratificarle (…) el gran compromiso que tiene y ha tenido nuestra Cámara de Comercio de Bogotá en materia de cumplimiento del principio de responsabilidad demostrada y las normas legales vigentes en materia de protección de datos personales.

Así lo demuestran hechos como que, está (sic) Cámara de Comercio, con miras al cumplimiento de sus compromisos en el tema, se ha dado en la tarea de contratar los servicios profesionales de las más altas calidades, que han implementado un programa de protección de datos realmente completo, el cual ha sido permanentemente difundido entre todos sus colaboradores.

Igualmente, así lo demuestra el hecho de que no obstante que no existe una norma que indique cuales son los parámetros de seguridad que deben tenerse en cuenta en materia de manejo de la información, esta Cámara de Comercio ha querido ponerse a la vanguardia del tema como lo indican todos los documentos que pusimos en su conocimiento como parte de nuestra presentación de descargos, los cuales traen instrucciones pormenorizadas de la forma como deben adelantarse todas las acciones que impliquen tratamientos de la información por parte de nuestros colaboradores, contando dentro de ellos con precisas menciones al adecuado manejo de los activos de la información, en particular herramientas tales como los correos electrónicos proporcionados por la entidad para el apropiado desarrollo de las funciones institucionales.

Por otra parte, queremos ratificar que los hechos que se tratan en si requerimiento, en efecto sucedieron, somos totalmente conscientes de ello y por esto se adoptaron las diferentes medidas que fueron puestas en su conocimiento en nuestro escrito inicial y que esperamos sean tenidas en cuenta al momento de analizar esta situación.” (…) Alegatos de conclusión presentados por la representante legal de la investigada el día 9 de octubre de 2019, bajo el consecutivo número 18-19396000018-0001.

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N, Por otra parte, agradecemos que se tome en cuenta que en la situación presentada, nuestra Cámara de Comercio: a) no se buscaba, ni se obtuvo algún tipo de beneficio económico, ni de ninguna otra índole; b) Se ha aceptado plenamente la existencia del hecho implementando las medidas que pueden estar en nuestras manos para evitar una nueva ocurrencia; c) Hemos estado dispuestos a responder por las acusaciones efectuadas en contra de nuestra entidad y se ha colaborado con esa autoridad en lo que más ha podido de acuerdo con nuestro conocimiento de los hechos.

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio De conformidad con lo establecido en los artículos 19 y 21 de la Ley 1581 de 2012 la Dirección de Investigación de Protección de Datos Personales es competente para investigar e imponer las sanciones pertinentes a los Responsables y Encargados del Tratamiento de datos una vez verifique el incumplimiento de las disposiciones en materia de protección de datos.

OCTAVO: Análisis del caso 8.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20115, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con lo establecido en el literal g) del artículo 4 de la misma ley y el artículo 2.2.2.25.6.1 del Decreto único Reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, así como las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 8.2 Valoración probatoria y conclusiones 8.2.1 Del deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento El deber consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012 hace referencia a las medidas de seguridad que deben adoptar los Responsables del Tratamiento a efectos de garantizar que la información administrada nos sea divulgada, adulterada, consultada o expuesta de manera inconsulta o no autorizada por su Titular, dicho precepto se armoniza con el principio de seguridad, contenido en el literal g) del artículo 4 de la misma disposición, normatividad que a su vez ha sido objeto de especial atención por parte de la Corte Constitucional, tal como quedó reflejado en la Sentencia C-748 de 2011, así: Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

HOJA N, “Por la cual se impone una sanción administrativa y se imparte una orden” “De este principio se deriva entonces la responsabilidad que recae en el administrador del dato. El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto “diluvio de datos” a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior transferencia, no cesa de aumentar.

Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Elo también aumenta los riesgos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.

En estos términos, el Responsable o Encargado del Tratamiento debe tomar las medidas acordes con el sistema de información correspondiente. (…)6”(Se destaca). En efecto, el Responsable tiene el deber de tratar la información que se encuentra almacenada en su base de datos bajo las medidas mínimas establecidas por el régimen de protección de datos personales, pues así lo dispuso la Ley 1581 de 2012 cuando señaló en su artículo 25 inciso tercero que, “(i) las políticas de tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley”.

Posteriormente, en el ejercicio de la potestad reglamentaria Constitucionalmente atribuida, el Gobierno Nacional, por medio del Decreto 1074 de 2015 señaló que los responsables del tratamiento de datos personales deben ser capaces de demostrar el cumplimiento de sus obligaciones, así: Decreto Único Reglamentario 1074 de 2015 “Artículo 2.2.2.25.6.1.

Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto de tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de os datos personales, como también da descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los dato personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”. 8.2.1.1 Del correo electrónico y el número telefónico como datos personales Para determinar el alcance del concepto de “dato personal”, es necesario traer a colación la definición dada por el literal c) del artículo 3 de la Ley 1581 de 2012, de acuerdo con el cual, el dato personal es “(c)ualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables”.

Para la Corte Constitucional, el dato personal goza de las siguientes características en contraposición al dato impersonal: “i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercer de manera lícita o ilícita, y iv) Sentencia C-748 del 06 de octubre de 2011.

Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 10, su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación.”7 Como se observa, el correo electrónico, como servicio de red que permite enviar y recibir mensajes a través de sistemas de comunicación electrónica, requiere para su funcionamiento, que el mismo se dirija a un destinatario para cumplir con su finalidad comunicativa, esto es, debe remitirse a una persona o institución específica.

Este destinatario es entonces el dueño o administrador de la cuenta de correo, pues es él quien tiene acceso a la misma y puede verificar el contenido del mensaje de datos. Ahora, la dirección de correo electrónico puede componerse de signos, números o palabras elegidas por el dueño de la cuenta, la cual, en muchas ocasiones puede referirse al nombre o apellidos del titular, por lo que es claro que con la sola dirección electrónico puede identificarse a una persona natural.

Piénsese por ejemplo en una cuenta de correo que se denomine pedroperez@gobierno.com.co”, es claro que si se fracciona dicha dirección entre el dominio de primer nivel y el de segundo podría llegar a concluirse que el dueño de la cuenta responde al nombre de “Pedro Pérez”, y que trabaja en el gobierno colombiano. Bajo esta hipótesis es evidente que el correo electrónico debe considerarse un dato personal.

Sin embargo, también puede darse el supuesto en que el nombre de usuario sea creado de tal forma que resulte siendo una frase sin significado fácilmente atribuible o que no identifique al titular de la cuenta, En todo caso, en esta hipótesis también estamos en presencia de un dato personal pues la dirección de correo electrónico debe aparecer asociada a un dominio específico, como por ejemplo el caso de los correos institucionales como “@sic.gov.co”, evento en el cual reiteramos solamente se requerirá acceder al servidor que gestione dicho dominio (en el ejemplo sería el de la En referencia a los datos de contacto como el número de la línea móvil celular o el de la línea fija, estos también pertenecen al ámbito privado de la persona.

Para el caso puntual de las líneas de telefonía móvil, las cuales funcionan a través de dispositivos electrónicos, se configura como un hecho notorio que estas se han convertido en una de las herramientas más íntimas de la mayoría de las personas. Hoy en día, el número de la línea móvil celular se encuentra vinculada, cada vez más, con aplicaciones y servicios en línea que están profundamente relacionados con la vida personal de un determinado individuo, ameritando un especial cuidado, manejo y respeto.

Por lo anterior, solo si el Titular, consiente que el número asignado a su línea móvil celular personal sea registrado en un archivo de libre circulación, este podrá ser incorporado en dicha pieza y ser divulgado masivamente, pues en este punto el Titular habrá ejercido su derecho a la autodeterminación informativa, de tal forma que el Responsable de la publicación de la información ya no será garante del uso que terceros puedan hacer del dato.

Sin embargo, es necesario precisar que a pesar de que se divulgue el número telefónico personal de un titular, no cambia la naturaleza del dato, esto es, no pierde su carácter de dato personal de naturaleza privada, por lo que su tratamiento estará limitado a la autorización que el titular otorgue para la finalidad que le haya sido informada y frente a la cual haya manifestado su consentimiento.

Por lo mencionado, es claro que los correos electrónicos y los números de líneas telefónicas, sean fijas o móviles, tienen la connotación de dato personal al poder asociarse a una persona natural, por lo que su tratamiento es regulado por la Ley 1581 de 2012 y la vigilancia y control del mismo es competencia de este Despacho. Precisando esto, en el caso denunciado por el señor XXXXXX XXXXXXXXX XXXXXXXX XXXXXXX ante esta Superintendencia, se observa que el día 17 de julio de 2018, una funcionaria de la CÁMARA DE COMERCIO DE BOGOTÁ, estando en el ejercicio de sus funciones, le remitió un correo electrónico, en cuyo cuerpo, por una parte se encuentran las direcciones de correo electrónico de múltiples “conferencistas que (…) habían confirmado su asistencia e (sic) la gestión telefónica relacionada el 18 y 19 de junio”8, y de la otra, se adjunta una base de datos en formato Sentencia C-748 de 2011 Documentación radicada por el titular de la información el día 16 de noviembre de 2018, visible en el expediente bajo el consecutivo número 18193960-3.

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 11, Excel “de los conferencistas que no han participado en taller de metodologías”9 la cual contiene información referente a nombres y apellidos, número celular, número de teléfono fijo y correo electrónico de 413 personas. En el caso bajo examen, encuentra esta Dirección que el archivo Excel “base de datos de conferencistas” divulgado por la colaboradora de la sociedad investigada, contiene los datos de 413 personas, de los cuales alrededor de: (i) (ii) (iii) (iv) (v) 18 cuentas están vinculadas a personas jurídicas; 125 cuentas están relacionadas a personas naturales con dominio de persona jurídica (direcciones de correo electrónico corporativas); y, 253 cuentas están relacionadas a personas naturales con dominios “Google”, “Yahoo”, “Hotmail”, “Etb”, “Une”, independiente si las mismas estaban relacionadas con la profesión u oficio de los individuos afectados o, por el contrario, pertenecen a su ámbito personal. 358 números de líneas de telefonía móvil o celular; y, 220 números de líneas de telefonía fija.

Así las cosas, el 63,88% de las direcciones electrónicas son datos personales privados, el 31,56% son datos personales de naturaleza pública porque son direcciones de correo electrónico corporativo, es decir relacionadas con la profesión u oficio de una persona y el 4.54% de las direcciones no son datos personales porque se refieren a personas jurídicas.

Sobre el particular, se resalta que el archivo Excel no estaba protegido con contraseña de acceso ni con formato no editable, pese a que la entidad investigada informó que cuenta con una política en tal sentido. Para efectos de la valoración del material probatorio obrante en el expediente y con el propósito de velar por la debida trazabilidad de la información, esta Dirección procede realizar la ubicación de las piezas probatorias aportadas por la entidad investigada en el tiempo, con el propósito de determinar si cada una de ellas es anterior, concomitante o posterior a los hechos materia de investigación, así: Anteriores a los hechos materia de investigación: 1.

Copia “no controlada del Manual para el tratamiento de datos personales en la CCB” del 02 de agosto de 2017. 2. Copia del documento denominado “nueva política de contraseñas” publicado el 23 de enero de 2018 y actualizado el 30 de julio de 2019. 3. Copia de la “Cláusula de autorización de tratamiento y cumplimiento de la seguridad de la información y la protección de datos personales” suscrita el 15 de enero de 2018, por la señora XXXXX XXXXXX XXXXXXX XXXXXX.

Concomitantes con los hechos materia de investigación: 4. Anexo denominado “Información cruzada entre la funcionaria la funcionaria (sic) y su jefe en donde se reconoce el error involuntario cometido en contra de las políticas de nuestra entidad”, el cual contiene capturas de pantalla de los correos remitidos y recibidos por la entidad investigada durante el periodo de tiempo comprendido entre el 16 el 19 de julio de 2018.

Posteriores a los hechos materia de investigación: 5. Copia “no controlada proceso protección de datos personales” emitido el día 26 de julio de 2019. 6. Copia de la actualización del “modelo de gestión” del 30 de julio de 2019. 7. Copia de la hoja de control de asistencia de la capacitación realizada el viernes 02 de agosto de 2019 en la franja horaria de 11:00 am a 12:30 p.m.; así como sus respectivas encuestas de evaluación del evento.

Ídem. “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 12, 8. Reporte específico del plan de acción adoptado por la entidad, de fecha 02 de agosto de 2019. Pruebas documentales que no contienen fecha de emisión: 9. Copia “no controlada Políticas organizacionales Cámara de Comercio de Bogotá”, la cual no refiere fecha de emisión. 10.

Copia “no controlada Lineamientos y prácticas Gestión de Seguridad de la Información”, el cual no refiere fecha de emisión. Una vez realizada la ubicación temporal de las pruebas aportadas por la entidad investigada, se procede con la valoración de las mismas, así como de los argumentos de hecho y de derecho por ella expuestos. En relación con el único cargo formulado, la representante legal de esa entidad aseguró, en primer lugar que, “Sí, en efecto, Como ya tuve ocasión de mencionar y aceptar desde un principio, el error endilgado por el denunciante fue cometido por parte de una de las auxiliares de nuestro equipo, quien en el afán de seguir las instrucciones de convocar a los miembros de la comunidad a las capacitaciones que teníamos preparadas para ellos, tomó un archivo de Excel de circulación absolutamente restringida como lo pudo apreciar en el cuadro de privilegios en el manejo de la información que allegamos en la respuesta enviada el día 19 de marzo 2019”.

En la citada respuesta, suscrita por la representante legal de la entidad investigada, se indica que, “Los cargos que tienen acceso a la base de datos de conferencistas con sus correspondientes privilegios son: La base de datos está ubicada en un archivo Excel en una carpeta de red compartida. El acceso a la carpeta y a la base de datos está determinado mediante la asignación de privilegios para cada usuario.

Los lineamientos y prácticas de seguridad de la información establecen los criterios sobre el uso adecuado de los activos de información que incluyen las reglas que deben cumplir los colaboradores en el manejo de la información.”10 Así mismo, en la página número 24 del “Anexo 2. Lineamientos y Prácticas de Gestión de seguridad de la información” que acompaña el escrito de descargos presentados por la investigada, se hace referencia al uso del correo electrónico, así: Respuesta suscrita por el vicepresidente jurídico de la entidad investigada, radicada el día 19 de marzo de 2019 y visible en el expediente bajo el consecutivo número 18-193960-00007-0001.

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 13, Estos argumentos y pruebas presentados por la representante legal y el vicepresidente jurídico de la entidad investigada, llaman la atención de esta Dirección, toda vez que, si bien por un lado dan cuenta de una serie de políticas y parámetros adoptados por la entidad para el manejo y seguridad de la información, no se compadecen con el ejercicio práctico, al menos en lo referente al caso objeto de estudio.

En otras palabras, los hechos materia de investigación develan fisuras en la seguridad de los datos personales contenidos en la “base de datos de conferencistas”, ya que pese a existir el riesgo de fuga de la información, bien sea por “el error cometido por la funcionaria de la entidad” o por cualquier otro tipo de acontecimiento, motivo o circunstancia, la entidad no adoptó anticipadamente las medidas necesarias para contener un incidente de seguridad de la información como el que supone compartir una base de datos en un archivo Excel con los registros de 413 personas a través del correo electrónico enviado el 17 de julio de 2018.

Igualmente, la entidad investigada dentro del “Anexo 3. Comunicados internos en materia de protección de datos personales y Seguridad de la información” tiene un acápite denominado “Buen uso del correo electrónico” publicado el 07 de mayo de 2018, el cual señala: “Te damos ocho recomendaciones para que tus comunicaciones sean efectivas y no congestionemos esta importante herramienta de trabajo de nuestra Casa. 1.

Escribe correos cortos: si una llamada de 5 minutos puede resolver un asunto n inviertas tiempo redactando un correo. 2. Evita usar confirmaciones de apertura: si el asunto es importante es mejor tratarlo personalmente. El correo es una herramienta y no sustituye a las personas. 3. Cuestiona siempre si el correo es la mejor vía: evalúa si no es mejor tratarlo por teléfono, por mensaje instantáneo o en una reunión. 4.

Mantén los archivos adjuntos bajo 2.3 MB: sólo adjunta archivos cuando es estrictamente necesario, especialmente cuando es un correo dirigido a varias personas. Existen métodos alternos para compartirlos. 5. Sólo copia a los involucrados: a veces es más sencillo resolver un asunto entre dos personas sin involucrar a terceros. Copia a otros cuando te lo hayan solicitado o cuando se trata de un acta después de reunión. En vez de usar copia oculta, renvía el correo a quien te interesa que esté enterado, haciendo referencia explícita a que sólo es para su información (PSI). 6.

Resiste la tentación de poner “responder a todos” cuando no es necesario. Si la respuesta atañe solamente al remitente respóndele sólo a él. No es necesario copiar a todos en lada “OK” o “Gracias”. 7. Evita caer en un ping-pong de correos: cuando van y regresan sobre el mismo asunto, hay que preguntarse si el correo es la mejor vía. Si la conversación excede tres correos, busca otro medio para resolverlo. 8.

No uses tu correo corporativo para asuntos personales. Así mismo, indica un as pautas para el envío de correos electrónicos, así: “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 14, De la lectura del acápite denominado “Buen uso del correo electrónico” y las pautas para el envío de correos electrónicos se desprende que ninguno refiere la protección para evitar el uso, acceso o consulta no autorizada.

En cuanto a la gestión de riesgos estratégicos, operacionales, de la seguridad de la información y datos personales, así como los asociados a proyectos, se señala el siguiente diagrama: Como se puede observar, este diagrama señala los riesgos operacionales, de seguridad de la información y datos personales, con base en los procesos, activos críticos y activos con datos personales, cuyos responsables son los dueños del proceso; sin embargo, no indica o describe procedimiento alguno para la efectiva mitigación de los mismos.

En consecuencia, esta Dirección encuentra que pese al contenido gráfico de los elementos en cita, la entidad investigada no tomó precaución alguna frente a los factores de riesgo asociados a la potencial fuga de la información, máxime cuando el archivo Excel “base de datos de conferencistas” no estaba protegido con una contraseña que impidiera el acceso a personal no autorizado.

En referencia al “Anexo 4. Formato de conocimiento y aceptación de las políticas de protección de datos personales y Seguridad de la información”, que fue diligenciado y firmado el día 15 de enero de 2018 por la señora XXXXX XXXXX XXXXXX XXXXXXX, quien fue la funcionaria de la entidad que envió el correo electrónico que dio origen a la presente investigación. Al respecto, es importante señalar que para esta Dirección este documento da cuenta simultáneamente del compromiso adquirido por la funcionaria y de la autorización otorgada a la entidad investigada para el tratamiento de sus datos personales, así como de la responsabilidad de la CÁMARA DE COMERCIO DE BOGOTÁ de proveer los mecanismos para salvaguardar la seguridad de la información. Esto, en la medida en que el riesgo asociado a una eventual fuga de información y las vías de mitigación de un incidente de seguridad en la materia, son del resorte de una(s) dependencia(s) específica(s) de la entidad, pero sobrepasan a todas luces las funciones de una auxiliar administrativa.

Continuando con los argumentos expuestos por la representante legal de la entidad investigada, quien señala que, “(…) Pero estos documentos no serían de ninguna manera eficientes si carecieran de su validación en la práctica, es por eso que nuestra entidad ha implementado diferentes esquemas de capacitación a través de los cuales nuestros funcionarios han recibido información en materia de protección de datos personales y seguridad de la información como se muestra con los documentos que evidencian las acciones adelantadas en la materia que se anexan para su conocimiento como anexo N° 3”11.

El argumento expuesto en líneas precedentes y las piezas probatorias aportadas por la entidad investigada en torno a las mentadas capacitaciones, son del total recibo de este Despacho; sin embargo, se observa que las mismas se llevaron a cabo con posterioridad al acontecimiento de los hechos materia de investigación. Los controles de asistencia evidencian que la primera capacitación 11 Descargos presentados por la representante legal de la investigada el día 09 de agosto de 2019, bajo el consecutivo número 18-193960-00013- 0001.

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 15, se realizó el día 02 de agosto de 201912, dentro del marco de un ciclo de capacitaciones programado por la CÁMARA DE COMERCIO DE BOGOTÁ para sus funcionarios y un plan de acción a desarrollar, el cual se expone a continuación13: 8.2.2 De la aplicación del principio de responsabilidad Demostrada Señala la representante legal de la sociedad investigada en el acápite de los descargos denominado “IV.

LA RESPONSABILIDAD DEMOSTRADA Y SU DILIGENTE APLICACIÓN EN NUESTRA ENTIDAD” que, “En adición a todos los documentos elaborados y acciones realizadas, nuestra entidad para dar cumplimiento a la normatividad relativa a la protección de datos personales cuenta con un muy eficiente modelo de gobierno que busca preservar la seguridad de la información estableciendo roles y responsabilidades en cabeza de cada uno de los miembros de la entidad.

(…) Parte fundamental del modelo de Gobierno lo constituye el área de gestión de riesgos desde donde se asesora a los dueños de procesos y funcionarios de la entidad en la identificación y valoración de los activos de información de cada proceso, teniendo en cuenta tres (3) principios fundamentales: confidencialidad integridad y disponibilidad.

Así mismo se realiza la identificación de los riesgos asociados a los activos de la información que sean determinados como críticos y se describen los controles requeridos para mitigarlos. Sin embargo, esta Superintendencia ha sido enfática en señalar que las disposiciones contenidas en los artículos 2.2.2.25.6.1 y siguientes del Decreto 1074 de 2015, en relación con la adopción de políticas y procedimientos efectivos para el adecuado cumplimiento de la Ley 1581 de 2012 implican que concurran una serie de presupuestos que permitan evidenciar que los procedimientos implementados, en la práctica son reales y efectivos.

Así, la regulación colombiana le impone al Responsable o al Encargado del tratamiento la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica ni formal, sino real y demostrable. Téngase presente que según nuestra jurisprudencia “existe un deber constitucional de administrar correctamente y de proteger los archivos y las bases de datos que contengan información personal o socialmente relevante”14.

Adicionalmente, los Responsables o Encargados del tratamiento no son dueños de los de los datos personales que reposan en sus bases de datos o archivos. En efecto, ellos son meros tenedores que están en el deber de administrar de manera correcta, apropiada y acetada la información de las personas porque su negligencia afecta los derechos humanos de los titulares de los datos.

Anexo no. 5 Evidencia de capacitaciones realizadas a los funcionarios y anexo no. 6 Documento de planeación de acciones correctivas presentados con el escrito de descargos de la investigada, radicado el día 09 de agosto de 2019, visible en el expediente bajo el consecutivo número 18-19396000013-0001. Ídem. Corte Constitucional, Sentencia T-227 de 2003.

HOJA N 16, “Por la cual se impone una sanción administrativa y se imparte una orden” En virtud de lo anterior, el capítulo III del Decreto 1377 del 27 de junio de 2013 -incorporado en el decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2615 -titulado DEMOSTRACIÓN- establece que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así resulta imposible ignorar la forma en que el responsable o encargado del tratamiento debe probar que pone en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

Con el propósito de dar orientaciones sobre la materia, esta Superintendencia expidió el 28 de mayo de 2015 la “Guía para la implementación del principio de responsabilidad demostrada (accountability)”16. El término “accountability” a pesar de los diferentes significados ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, consisten principalmente en diseñar y activar un programa integral de gestión de datos (en adelante PGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente, requiere la implementación de controles de diversa naturaleza, Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP, y demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales.

El principio de responsabilidad demostrada -accountability- demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. El mismo, exige que los Responsables y Encargados del tratamiento implementen medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia.

Dichas medidas deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales. El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones por parte de las organizaciones para garantizar el debido tratamiento de los datos personales.

El éxito del mismo dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido cualquier esfuerzo será insuficiente para diseñar, lleva a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos. El texto completo del artículo 26 del decreto 1377 de 2013 ordena lo siguiente: Artículo 26.

Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta sí se trata de una mirco, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza jurídica de los datos personales objeto del tratamiento. 3. El tipo de tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la implementación efectiva de las medidas de seguridad apropiadas”. El texto de la guía puede consultarse en https://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf “Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 17, Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas, Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones.

Precisado lo anterior, el sistema de administración de riesgos que adopte la empresa debe tener en cuenta las etapas de identificación, medición, control y monitoreo, así como el cumplimiento de unos requisitos de formación y educación de todos los empleados de la organización, y un protocolo de respuesta en el manejo de violaciones e incidentes.

Particularidades que se encuentran contenidas en el cúmulo de documentos aportados por la entidad investigada, pero que se desvirtúan por los argumentos hasta aquí expuestos por este Despacho y reforzados por el material probatorio contenido en el “Anexo 7 Información cruzada entre la funcionaria y su jefe en donde se reconoce el error involuntario cometido en contra de las políticas de nuestra entidad”, las cuales ponen de manifiesto que la auxiliar administrativa no solo no se percató del incidente, sino que no tenía claras las acciones a surtir con posterioridad a la ocurrencia del mismo y debió esperar las instrucciones suministradas por la señora xxxxxx xxxxxxx xxxxxxxx.

Coligiéndose de lo expuesto, la importancia que reviste que el robusto andamiaje documental con el que cuenta la entidad investigada en materia de protección de datos personales y seguridad de la información, esté acompañado de mecanismos de monitoreo y verificación que permitan anticipar situaciones como la que se presentó en el caso objeto de estudio y de que las medidas implementadas no solo sean pertinentes, adecuadas y útiles, sino que funcionen correctamente.

Razones por las cuales, no es dable, como lo refiere la representante legal de la investigada en múltiples apartes del escrito de descargos que se haya tratado de un error menor, sino que en efecto se filtraron los datos personales de 413 personas a través del correo electrónico enviado el 17 de julio de 2018. En este orden de ideas, no resulta suficiente demostrar que se cuenta con medidas “robustas” conforme al tamaño empresarial de la Cámara de Comercio de Bogotá, sino que adicionalmente se requiere que se materialice la adopción de esas medidas en la mitigación de los riesgos asociados a un indebido tratamiento de los datos y la consecuente afectación de los intereses jurídicamente tutelados por el legislador estatutario.

Por todo lo expuesto, es claro para la Dirección de Investigación de Protección de Datos Personales que la CÁMARA DE COMERCIO DE BOGOTÁ no acreditó el cumplimiento de las disposiciones contenidas en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con lo establecido en el literal g) del artículo 4 de la misma Ley y el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, al no haber adoptado las medidas efectivas tendientes a la conservación de la información bajo medidas de seguridad idóneas y con la confidencialidad que demandaban, omisión que llevó a que fueran expuestos datos personales a terceros no autorizados por sus Titulares.

Motivo por el cual, se procederá a imponer la respectiva sanción pecuniaria, y a impartir una orden administrativa tendiente a darle continuidad a los ciclos de capacitación periódica de sus funcionarios, para el efectivo cumplimiento de la Ley Estatutaria de Protección de Datos Personales, 1581 de 2012.

NOVENO: Que el parágrafo del artículo 2 de la Ley 1581 de 201217 señala que los principios sobre protección de datos serán aplicables a todas las bases de datos incluidas las exceptuadas en el mismo artículo. De ahí que es procedente solicitar a la investigada que garantice el cumplimiento del principio de responsabilidad demostrada desarrollado en el artículo 2.2.2.25.6.1 y subsiguiente del Decreto Único Reglamentario 1074 de 201518.

Ley 1581 de 2012, artículo 2: “Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada. (…)

PARÁGRAFO. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal. En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley.” Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.6.1: Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 18, Al respecto, es oportuno resaltar lo conceptuado en la Resolución No. 83882 del 15 de noviembre de 2018, emanada del Despacho del Superintendente Delegado Para la Protección de Datos Personales, respecto de la responsabilidad de los administradores, acto administrativo en el que se señaló lo siguiente: “(…) 6.1.

Responsabilidad de los administradores en materia de tratamiento de datos personales. El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.

La efectividad de los derechos humanos es un asunta de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.

En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.

En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas.

Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la ley 222 de 1995 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias” (subrayamos) (…) Nótese que el artículo 24 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas. HOJA N 19, “Por la cual se impone una sanción administrativa y se imparte una orden” En virtud de lo anterior, EXHORTAMOS a los Representantes Legales de la CÁMARA DE COMERCIO DE BOGOTÁ para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales, especialmente los de acceso y circulación restringida, confidencialidad y necesidad. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

DÉCIMO: En este orden de ideas, esta Dirección impartirá orden administrativa señalada en líneas precedentes, conforme lo preceptúa el literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones: La CÁMARA DE COMERCIO DE BOGOTÁ deberá aportar una certificación expedida por un auditor externo en la que consten: • • La realización de capacitaciones periódicas a sus trabajadores, en relación con el cumplimento de las normas de protección de datos personales, contenidas en la Ley 1581 de 2012.

En particular, las temáticas concernientes a la seguridad de la información, de acuerdo con la labor desempeñada y conforme al tipo de tratamiento que realicen a los datos administrados por la CÁMARA DE COMERCIO DE BOGOTÁ en calidad de Responsable; y, Los procedimientos implementados para impedir el acceso de personal externo no autorizado a los archivos que contengan registros de datos personales.

De lo anteriormente ordenado la CÁMARA DE COMERCIO DE BOGOTÁ deberá remitir a este Despacho dicha certificación, donde consten las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO PRIMERO: Imposición y graduación de la sanción 11.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

HOJA N 20, “Por la cual se impone una sanción administrativa y se imparte una orden” (…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 19.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: Multa en UVT De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional20 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) HOJA N 21, “Por la cual se impone una sanción administrativa y se imparte una orden” De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”21 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros22. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”23.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia24. Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm HOJA N 22, “Por la cual se impone una sanción administrativa y se imparte una orden” La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2325 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 11.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”26 Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva..” 26 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp. Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra.

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 23, De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados27.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. Como se ha expuesto, respecto del único cargo formulado es claro que, a pesar del cúmulo de documentación técnica con la que cuenta la CÁMARA DE COMERCIO DE BOGOTÁ en materia de datos personales y seguridad de la información, quedó debidamente acreditado en la presente investigación administrativa que no adoptó medidas en torno a cómo funcionan las mismas en el ejercicio práctico.

En consecuencia, permitió la filtración de la información administrada en su calidad de Responsable del tratamiento, en particular las direcciones de correo electrónico y números de líneas de 413 titulares, al no conservar estos datos bajo condiciones de seguridad necesarias para evitar el acceso y consulta de dichos datos personales por parte de terceros no autorizados.

Desconociendo con ello, el principio de confidencialidad que le obliga a mantener la reserva de datos que no son considerados públicos y poniendo de esa manera en riesgo los intereses jurídicos tutelados por el legislador en relación con el derecho de hábeas data. Por tal motivo, se encuentra que la entidad investigada vulneró el deber contenido en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con lo establecido en el literal g) del artículo 4 de la misma ley y el artículo 2.2.2.25.6.1 del Decreto único Reglamentario 1074 de 2015, por lo que se impondrá como sanción una multa de OCHENTA MILLONES OCHO MIL NOVECIENTOS VEINTINUEVE PESOS M/CTE ($80.008.929) equivalente a (2.247) unidades de valor tributario vigentes. 11.2 El reconocimiento o aceptación de la comisión de una aceptación El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581de 2012 no se aplicará toda vez que la investigada, en el escrito de descargos presentado el día 09 de agosto de 2019, limitó su ejercicio a la narración de unos hechos que se encuentran suficientemente acreditados en el expediente, pero no reconoció de manera expresa la comisión de la infracción al deber contemplado en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con lo establecido en el literal g) del artículo 4 de la misma ley y el artículo 2.2.2.25.6.1 del Decreto único Reglamentario 1074 de 2015, La entidad investigada indicó expresamente “que, en efecto como bien lo anuncia el denunciante, en la fecha por él indicada le fue remitido un correo electrónico con la información que manifiesta haber sido incorporada, error operativo que de ninguna manera podría enviar (sic) o dejar de aceptar”.28 11.3 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho. 27 Ley 1581 de 2012 “Artículo 23.

La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” Descargos presentados por la representante legal de la investigada el día 09 de agosto de 2019, bajo el consecutivo número 18-193960-000130001.

“Por la cual se impone una sanción administrativa y se imparte una orden” HOJA N 24, DÉCIMO SEGUNDO: CONCLUSIÓN Con fundamento en lo expuesto, a juicio de esta Dirección, la CÁMARA DE COMERCIO DE BOGOTÁ vulneró el precepto normativo contenido en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con lo establecido en el literal g) del artículo 4 de la misma Ley y el artículo 2.2.2.25.6.1 del Decreto único Reglamentario 1074 de 2015, al no haber adoptado las medidas efectivas tendientes a la conservación de la información bajo medidas de seguridad idóneas y con la confidencialidad que demandaban, omisión que llevó a que fueran expuestos datos personales a terceros no autorizados por sus Titulares.

Por esta razón, se impondrá como sanción una multa de OCHENTA MILLONES OCHO MIL NOVECIENTOS VEINTINUEVE PESOS M/CTE ($80.008.929) equivalente a (2.247) unidades de valor tributario vigentes a la CÁMARA DE COMERCIO DE BOGOTÁ. En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a la CÁMARA DE COMERCIO DE BGOTÁ identificada con el Nit 860.007.322-9 de OCHENTA MILLONES OCHO MIL NOVECIENTOS VEINTINUEVE PESOS M/CTE ($80.008.929) equivalente a (2.247) unidades de valor tributario vigentes, por la violación a lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012 en concordancia con lo establecido en el literal g) del artículo 4 de la misma Ley y el artículo 2.2.2.25.6.1 del Decreto único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: Ordenar a la CÁMARA DE COMERCIO DE BOGOTÁ identificada con el Nit. 860.007.322-9 cumplir las instrucciones impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva, la cual consiste en aportar una certificación expedida por un auditor externo en la que consten: • La realización de capacitaciones periódicas a sus trabajadores, en relación con el cumplimento de las normas de protección de datos personales, contenidas en la Ley 1581 de 2012.

En particular, las temáticas concernientes a la seguridad de la información, de acuerdo con la labor desempeñada y conforme al tipo de tratamiento que realicen a los datos administrados por la CÁMARA DE COMERCIO DE BOGOTÁ en calidad de Responsable; y, • Los procedimientos implementados para impedir el acceso de personal externo no autorizado a los archivos que contengan registros de datos personales.

Esta orden deberá ser cumplida por la CÁMARA DE COMERCIO DE BOGOTÁ dentro del término de ciento veinte (120) días hábiles, siguientes a la ejecutoria de la presente decisión. De lo anteriormente ordenado la CÁMARA DE COMERCIO DE BOGOTÁ deberá remitir a este Despacho dicha certificación, donde consten las acciones correctivas adoptadas PARÁGRAFO PRIMERO: La CÁMARA DE COMERCIO DE BOGOTÁ identificada con el Nit. 860.0 07.322-9, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.

HOJA N 25, “Por la cual se impone una sanción administrativa y se imparte una orden” Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo. Dicha certificación debe ser emitida por un auditor externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la CÁMARA DE COMERCIO DE BOGOTÁ identificada con el Nit 860.007.322-9, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: Notificar personalmente el contenido de la presente Resolución a la CÁMARA DE COMERCIO DE BOGOTÁ identificada con el Nit. 860.007.322-9 a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO CUARTO: COMUNICAR a al señor XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX, identificado con la cédula de ciudadanía número XXXXXXXXX, el contenido de la presente decisión.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 21 DICIEMBRE 2020 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR MUÑOZ Firmado digitalmente por CARLOS ENRIQUE SALAZAR MUÑOZ Fecha: 2020.12.21 12:35:43 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: MRFA Revisó: LMRZ Aprobó: CESM NOTIFICACIÓN: Investigada: Entidad: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: CÁMARA DE COMERCIO DE BOGOTÁ Nit.: 860.007.322-9 Nicolás Uribe Rueda C.C. No. 79.944.552 Avenida El Dorado No. 68 D - 35 Bogotá D.C. abogadorup04@ccb.org.co COMUNICACIÓN: Señor: Identificación: Dirección: Ciudad: Correo electrónico: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXX XXXXXXXXXX