REPtJBLICA CE COLOMBIA RESOLUCION NUMERO 5 5405 03 AGO 2018 - DE 2018 Par la cual se impone una sanciOn RadicaciOn 15-196584 EL DIRECTOR DE INVESTIGACION DE PROTECCION DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas par los articulos 19 y 21 de Ia Ley 1581 de 2012 y los numerales 4 y 5 del articulo 17 del Decreto 4886 de 2011,
CONSIDERANDO
PRIMERO: Que con ocasiOn a la diligencia de inspecciôn y vigilancia reØlizada los dias 27 y 28 de agosto de 2015 a la sociedad INVERSIONES EN RECREACION DEPhRTE V SALUD S.A. BODYTECH, (en adelante BODVTECH) identificada con el Nit. 830.033.206-3, con el fin de verificar el cumplimiento de los deberes y requisitos establecidos en la Ley 158 1 de 2012 y en el Decreto 1074 de 2015, esta Superintendencia tuvo conocimiento de la presunta vulneracion a las normas de proteccion de datos razón por la cual se inicia la presente investigaciOn atliministrativa.
SEGUNDO: Que en el curso de la visita y una vez analizada la docjmentaciOn recolectada y aportada par la sociedad inspeccionada, se evidenciaron los siguientes hlIazgos: 2.1 En desarrollo de Ia visita de inspecciOn se pudo evidenciar que paa finales del año 2010, la sociedad inspeccionada realizo un acuerdo comercial con Cafampara Ia prestaciOn de los servicios deportivos en la sede de Cafam Floresta- Bogota, y que dentro de la transacciOn comercial les fue entregada la base de datos de los clientes activos 0 inactivos del gimnasio de Cafam Floresta tal como se observa en Ia "carla de intenciOn compa Cafam".
De acuerdo con lo anterior, al realizar la bUsqueda de una Titular vinculada desde anb 2010 al Gimnasio Cafamfloresta, se evidenciO que ain existian sus datos personales 6n Ia base de datos del BODYTECH. 2,2 Por su parte, la sociedad inspeccionada indico que a traves del cJmunicado radido baja el N° 13-184434 del 2 de agosto de 2013, informO a este Despacho qu6 de acuerdo con el articulo 10 del Decreto 1377 de 2013 (hoy Decreto 1074 de 2015) y usardo medics como el correo electrOnico, comunicaciones impresas en sede, redes sociales y la página web BODYTECH solicitO las autorizaciones de los Titulares de los cuales se contabi con informacion personal antes de la entrada en vigencia de la Ley 1581 de 2012. 2.3 As! mismo, la investigada señalO que no ha implementado uta politica respecto de la eliminacion de datos personales inactivos, y par tal motivo dichos áatos aün son conservados par Ia inspeccionada. 2.4 Se evidencio, que la investigada pese a que recolecta informaciôn bor medio de un sistema de video vigilancia, no cuenta con aviso de privacidad, mediante el cuàl se informe el Tratamiento ni la finalidad al cual serán sometidos los datos all[ recolectados. 2.5 De igual manera, se observO que pese a que BODYTECH recolectó datos sensibles, dentro de sus politicas de Tratamiento de informacion y en sus formatos de autorizaci6n. no se informan cuales de los datos recolectados son datos sensibles, as[ coma latfacultad que tiene el Titular de decidir si proporciona a no el data. 2.6 En atencion a Ia anterior, dentro de la diligencia de inspección sd evidencio que la sociedad recolecta la huella digital, la cual es utilizada como Unico mecanimos para el ingreso de los Titulares y del personal a los establecimientos deportivos, sin bmbargo, la inspeccionada asegurO que si el cliente manifiesta alguna inconformidad para sumnistrar su huella digital, esta habilita otro mecariismo de entrada a las instalaciones.
RESOLUCION NUMER8 " DE HOJA 2 Porla cualse impone una sanciOn" 2.7 Adicionalmente, se encontrO que BODYTECH solo tiene como soporte de la autorizaciOn de los Titulares para el Tratamiento de datos personales, un contrato para Ia prestaciOn del servicio, en el cual, si bien dice que va a tratar datos personales, no indica a los Titulares cuáles son sensibles, ni permite que el cliente la autorizaciOn para el Tratamiento de estos datos de manera independiente.
TERCERO: Que con base en los hallazgos anotados, a partir de los cuales se advierte la presunta violaciOn de ]as normas sobre protecciôn de datos personales contenidas en la Ley 1581 de 2012, con la expediciOn de la Resolucion No.58327 del 31 de agosto de 20161, se dio inicio a la presente actuaciOn administrative en contra de BODYTECH en calidad de Responsable del Tratamiento, por la presunta violaciOn de las normas sobre protecciôn de dabs personales contenida en: 3.1 Por el presunto incumplimiento a Jo dispuesto en el literal a) del articulol7 de la Ley 1582 de 2012 junto con el articulo 9de la norma en menciOn, en concordancia con los artEculos 2.2.2.25.2.7 y 2.2.2.25,2.8 del Decreto 1074 de 2015. 3.2 For presunta vulneraciOn a los artIculos 5, 7 y 12, as[ como el literal b) del articulo 17 de la Ley 1581 de 2012, en concordancia con el articulo 2.2.2.25.2.9 del Decreto 1074 de 2015. 3.3 Por el presunto incumplimiento a Ia dispuesto en los articulos 2.2.2.25.3.2 y 2.2.2.25.3.3 del Decreto 1074 de 2015. 3.4 Par el presunto incumplimiento a las disposiciones contenidas en el literal d) del articulo 17 de la Ley 1581 de 2012.
CUARTO: Que por coriducto de su representante legal, mediante escrito radicado el 10 de octubre de (fis. 43 al 84), BANCO DE OCCIENTE rindiO sus descargos, de conformidad con lo siguiente: 4.1 Primer Cargo Manifesto que "(f)a DirecciOn de investigaciones de ProtecciOn do Datos Persona/es, perdiO competencia pare investigar y sancionar las falencias originadas por la autorizaciOn so/icitada por Bodytech a los titulares de datos reco/ectados antes de ía entrada en vigencia de ía Ley 1581 de 2012, con base en of mecanismo estabiecido en el decreto 1377 do 2013, por cuanto su facuitad sancionatoria se encuentra caducada" (fl. 164).
As[ mismo, senalO que "( ) el die 27 de ju/io de 2013 enviO a (ode ía base de datos que tenla en su poder en ese momento, pare un total de 98.505 titulares, incluyendo los clientes de ía base de datos de afiliados y ex afiliados a/ gimnasio CAFAM, Un correo electronico donde informO que tenla en su poder los datos persona/es de esos c/ientes y /os mecanismos con los quo contaba e/ titular para ejercer sus derechos de habeas data (sic) ( )"(fl.165).
Seguidamente, indicO que "( ) la Superintendencia sena/a quo BODYTECH infringiO e/ artIcu/o 11 del Decreto 1377113, argumentando que se vienen tratando datos persona/es por las de 15 anos sin que exista una polItica que limite e/ tiempo de permanencia en la bases de datos ( ) es necesario tener en cuenta que Bodytech adquiriO ía base de datos antes de ía entrada en vigencia de Ia by 1581 do 2012y por /0 tanto no podria endi/garse omisiOn a/guna pore! incump/imiento de una norma que para ese momento no habia entrado en vigencia" (11.166).
Adicionalmente, agregO que los datos personales cedidos por la la Caja de CompensaciOn Familiar - CAFAM, fueron recolectados por BODYTECH solo cinco (5) años antes a la fecha de la diligencia, igualmente, menciono que tanto en la visita de inspecciOn como en las pruebas allegadas dentro de la presente investigaciOn, se puede evidenciar las acciones realizadas para depurar la informaciOn de las bases de datos de la compañia, como el contrato celebrado con JGS Y ASOCIADOS SAS, para adelantar un proyecto de gestián documental "( ) que tiene como uno de sus entregab!es principaies ía e/aboraciOn de tab!as de retenciOn documental, las cua/es /0 han perruitido estab/ecer tiempos do conseniaciOn do la informaciOn y depurar ía informaciOn contenida en sus bases de datos" (fl. 167). 1 Folios 17 al 20 del expediente. b4U DDE RESOLUCION NCJMERcP J HOJA 3 En atenciOn a lo anterior, indicO quo la norma presunta infringida dispone qJe la informaciOn deberá guardarse respetando las obligaciones de orden legal o contractual, y para èl caso aqul cuestionado a informaciOn deberã mantenerse hasta por cinco (5) años, en cumplimiento de las normas de indole fiscal.
Finalmente, aseguro que dentro de su nueva politica de Tratamiento de datios personales se dispuso que la información personal será conservada hasta por cinco (5) años kiespues de finalizada la relación contractual. 4.2 Segundo Cargo Al respecto la sociedad investigada senalo que "(e)n efecto, a Ia fec/ia de Ia visita, BODYTECH contaba con un texto do autorizaciOn insuficiente, situaciOn sobre la cual s implementaron modidas do mejora a fin de dar cumplimiento con 10 ordenado por ía Ley, sin embargo, vale la pena senalar quo peso de las falencias en los textos refer/dos, al momento do aifliar a menores do edad BOO YTECH obtenia la firma do sus representantes legales, a travOs de suscripciOn del formato denominado 'consentimiento informado menor de edad' el cual comunicaba sobre la cal/dad de los servicios medicos deportivos prestados por BODYTECH (.4" (fl. 168).
Sumado a lo anterior, manifesto quo "(..) que con motivo a estas falenciath, BOO YTECH actualizO el texto de autorizaciOn en sus documentos, contratos y formatos, solicitndo autorizaciOn expresa sobre el tratamiento de hue/la dactilar, fotografla y e/ estado de sa/ud de SfJS afiliados (..j"(fL 168), el cual senala lo siguiente:,1ijonnacl6 n relativa a III salud de los clientes. ata informaclén es tratada con Ia finalidad de sugerir programas dfe entrenarniento, controlar avances y resultacfos, identifjcar rlesgo par actMdad fisick, asi como contar con informacian sufidente en caso de urgencia médlca y/o primeros auxilios. o La recoleccion y tratamlento requiere autorlzacion par escrito deltitular inftrmadófl blométrlca (huella digital, audio, video y/o fotografia).
Este lnforrnaclon es tratada con la finalidad exclusiva de contar4n un esquema tie seguridad que permita facilitar el acceso de los usuarios, identifiqar pienamente las personas que ingresan a cuaiquier sede, as( como monitorear a trAvés de un sistema tie video vigilancla, la seguridad de [as bienes de BODYTCH, SUS clientes proveedores y visitantes. a La recolecclón y tratamiento serâ optional y requlere 5n par escrito del titular, con excepcion de la informacion que se obtiene par el squema de video vigliancia, para el cual bastard un aviso de privacidad ubicado en is lnstalaciones tie las sedes BODYFECH que Informe a los asistentes la presenci V finalidad de las cámaras, conforme se desarrolla en el aparte S.a. Autorizacion d tratamiento." Con relaciOn, a la afirmacian hecha por este Despacho frente a la falta de procedimiento documentado que permita a los Titulares ingresar a las instalaciones deportivas sin la huella digital, la investigada indicO que "( ) S contaba con un procedimiento para estd, pero desafodunadamente el mismo no se encontraba documentado al momento do la visita ( ) ( a) boy, Bodytech ya tiene implementado 01 proceso do acceso a sus sedes sin la utilizaciOn do biotnétricos ( )"(fl. 168). 4.3 Tercer Cargo Respecto a los avisos de privacidad que anuncian el sistema de vldAo vigilancia, la investigada manifestO que a la fecha de la visita de inspecciOn contaba con un c rtel en la zona de los casilleros que disponia lo siguiente: "Por su seguridad y tranquil/dad la zo4a do lockers esta siendo monitoreada con cámaras do seguridad y vigilancia. Lo invitamos a acèr uso do los vestiers para el cambio do las prendas.
Muchas gracias(fl.170)". 540 -DE RESOLUCION NU HOJA 4 Por Ia cual se impone una sanciOn" Asi mismo, senalO que dentro del aviso se informa la recoleccion de dichos datosasi coma la finalidad de su Tratamiento, por tanto al ingresar a dichos recintos las personas están aceptado ci usa del data par medlo de conductas inequivocas. De igual manera, asegurO que realizo ajustes a sus avisos de privacidad de la siguiente manera: tot Ui seguridad y tronquilidad nueltras instolaciones estOn siendo monitoreodas con cOmoras de vigilancia, can tu ingreso y circulation nos autorizos a capturor y tmtar pot medic de audio, video y/ofotogrofla, dotos personales de cardctersenslb!e, sabre los cuotes tienes derecho de acceso, rectification y dancelodon, (Ley 1581112).
Consulta nuestro politico de Protecclán de Datos Persona/es en www.bodytech.com.co o escr(benos a servicioaIclIentebodvtechcom.com " C AsImismo, en ci Counter do cada una de las sedes, fijamos Un hablador con la siguienie información: "La information personal y sensible que nos entregas, es trotado conforme nuestra politico de ProtectiOn de Datos Personales, que puedes consultor en www.bodvtech.com.co, coma titular de la informatiOn tienes derecho de occeso, rectificocián y cancelaclOn sabre to mismo, si tienes inquietudes escrlbenos a servidoa!dllentecg'bodytechcorp.com/" 4.4 Cuarto Cargo Respecto al cargo de conservar la informaciOn baja las condiciones de seguridad necesarias, senalo que "(.4 a/ momenta de ía visita do ía Superintenencia de Industria y Comercio, nos encontrabarnos cambiando de proveedor de ant/virus de SYMANTEC a BIT DEFENDER, razOn par la cual, /os funcionario adscritos a su Despacho no pudieron evidenciar en ese mornento la actua/izaciOn yb escaneo perrnanente de/ antivirus en los equipos de cOmputo de Bodytech.
En /a actualidad, el antivirus BIT DEFENDER hace escaneo diario a todos las equipos de cOmputo ( "(fl. 171). De igual manera, senala que adjunta impresion de pantalla de la consola principal del area de sistemas en la cual se evidencia que el antivirus de los 842 equipos de la organizaciôn se encuentran actualizados, asi mismo, como la ratificaciondel Director de Sistemas quién certifica que todos los equipos cuenta con BIT DEFENDER.
IndicO, que la Politica de Seguridad de BODYTECH senala Ia siguiente: go se pernilte la descarga y acceso a páglnas do mensajerra iflstantánea correos electn5fliCUs persona?es y redes sociales por parte do los funclonarios de la organizaclon. j• g ijnlcos funcionados que podrán accede, a redes sodales son aquellos QUO par el objeto del negoclo requleran acceder a dichas páginas (area de mercadeo) NLoscolaboradores tienen prohibido divulgar datos do naturaleza confidencial tales coma arthiVOs. que contengan Informacion personal de clientes v colaboradores, resultados finandetO5, relacidn de pedidos, proyectos comerciales, programas do lnvestlgaciôn, ldstodaidfflicO de los afiliados entre alias.
El use de medics de almacenamlento removibles (ejemplo: CDs, DVDs, IJSBs, memorias flash, discos duros externos, Ipods, celulares, clntas) sabre la infraestruaun do Bodytech esM probibido, a exceptiOn do los cases quo se requlera para el procesamiento do la informatiOn do la compañla, estará autorlzado pan aquellos coIaboradores cuyo perfil del cargo y (unciones Iorequlera.
En atenciOn a Ia anterior, aseguro que el "( ) bloqueo de Print Screen do los equipos de cOmputo de la organizaciOn, informamos qua nos encontramos cotizando con diferentes proveedores la imp/ernentaciOn de dicha herrarnienta, toda vez que el s/sterna operat/vo Windows do Microsoft no perrnite realizar dicho bloqueo(fl. 171)". Finalmente, allegan el Manual de Tratamiento de datos personales de BODYTECH, con el cual quieren poner en conocimiento a todos sus empleados sobre el Tratamiento adecuado a los datos personales d los Titulares.
RESOLUCION NUMERO" ' ' U "DE i HOJA 5 QUINTO: Que mediante Resolución No. 35577 del 30 de junio de 2016, la Direcci6n de Investigaciôn de Protección de Datos Personales citO al señor OSCAR MALDONADO pARRANzA, Director de Tecnologia de BODYTECH, con el fin de que le informara a este Despapho los nuevos controles tanto fisicos como tecnologicos con los que cuenta la compania para prot$ger los datos personales de cada uno de los Titulares, declaradan que tue rendida en las instalaciones de esta superintendencia el dia 14 de julio de 2017.
De igual manera, mediante la ResoluciOn antes senalada incorporO las sig1iientes pruebas: 5.1 Informe de lnspecciôn, obrante a folios 16 al 24 del expediente. 5.2 Acta de visita de inspeccion realizada el 27 y 28 de agosto do 2015, con los respectivos documentos recaudados en la diligencia, obrante a folios 26 al 55 del expediente. 5.3 Comunicados allegado el 2 y 17 de septiembre de 2015 por BODY1ECH mediante los cuales se allego copia de los documentos solicitados por este Despacho mediante la diligencia de inspeccion, obrantes a folios 56 al 126 del expediente. 5.4 Evidencia digital recaudada en la diligencia de inspecciOn a la socie, ad investigada el 27 y 28 de agosto de 215, obrante a folios 127 al 146 de la carpeta reservacja del expediente. 5.5 Politica de Tratamiento de datos de BODYTECH obrante a folios 19b al 200 del expediente. 5.6 Certificaciôn de eliminaciOn de datos obrante a folios 201 y 202 del Ixpediente. 5.7 Formatos de autorizaciOn de Tratamiento de datos personales obrnte a folios 203 al 207 del expediente. 5.8 Formato de consentimiento informado de menor de edad, obrante Jfolio 208 del expediente. 5.9 Formato de autorizacion de Tratamiento de datos personales de me or de edad, obrante a folio 209 del expediente. 5.10 Fotografia del aviso de privacidad implementado por la investigada, brante a folios 210 al 2015 del expediente. 5.11 ImpresiOn de pantalla que da cuenta del antivirus instalado er todos los equipos de la organizacion, obrante a folio 216 del expediente. 5.12 Certificado de instalacion de antivirus, obrante a folio 216 del exp4liente. 5.13 Politica de seguridad de la lnformaciOn de BODYTECH, obrante a folios 218 al 266 del expediente. 5.14 Manual de Tratamiento de datos de BODYTECH, obrante a folios r67 al 297 del expediente.
SEXTO: Que mediante oficio radicado bajo el N o 15-196584-00023 del 10 de agosto de 2017, la Direccion de lnvestigaciOn de Datos Personales le corrió traslado al BObYTECH por un término de diez (10) dias, para que presentara los respectivos alegatos de conclusion.
SEPTIMO: Que por conducto de su representante legal, mediante escrdo radicado el 30 de agosto do 2017 (fls. 332 al 349), BANCO DE OCCIDENTE rindiO sus alegatoside conclusiOn, reiterando lo señalado en el escrito de descargos y adicionalmente agrega lo siguiente: 7.1 lndicO que de conformidad con el derecho al debido proceso conemplado en la ConstituciOn Politica, este Despacho no podrã sancionar a BODYTECH por 4lmacenar datos personales antes de la entrada en vigencia de la ley 1581 de 2012, toda que no existia norma para el momento do los hechos que la empresa hubiera vulnerado. 7.2 SeñalO que "( ) BODYTECI-! ha incump/ido /0 dispuesto en el arricu/o 12 cia ía Lay 1581112.
Que se refiere a su obligaciOn de tratar dates persona/es sin infore'par a /os titu/ares de/ tipo de RESOLUCION NOMERO HOJA 6 Par /a cual so impone una sanciôn" dato del que se trata yla finalidad de ía recolecciOn del dato" (fl.340), no obstante, la sociedad investigada modifico el texto de la autorizacion con el fin de dar cumplimiento a la ley 1581 de 2012 7.3 AsegurO que pese a que no se tuviera documentado el procedimiento de ingreso a las sedes deportivas mediante un mecanismo distinto a la huella dactilar, en la diligencia de inspecciOn este Despacho pudo comprobar que tanto los usuarios como los invitados pueden ingresar solo digitando su nümero de cedula. 7.4 ManifestO, que "(e)l monitoreo que realizan las camaras dispuestas por Bodytech al interior de sus establecimientos no tiene como final/dad de recolectar datos personales.
Estas camaras son instaladas simplemente por razones de seguridad, pero a partir de las imá genes de el/as se puede extraer no es posible vincular a asociar a ninguna persona. Es decm estas camara no f/en en la capacidad teono/Ogica para captar los rasgos biomOtricos del rostro de una persona y determinar su identidad, direcciOn, nurnero de cedula, en fin identificarla" (fl.343), motivo por el cual no se le puede sancionar por no cumplir con los requisitos exigidos por la ley respecto de la recoleccion de datos sensibles por medio de sus cãmaras de video vigilancia. 7.5 Adujo, que mediante la diligencia de inspecciOn este Despacho pudo observar lo siguiente: 1.
Se Sdenc4ô la existencla de re*$xâonas pm la Listabclon do sofiwares extetnos, EcUdos eldela SIC, 2. En S acta so puode loot txlste irna navegad&u HmUada quo noent aowder a pàgtias detdoUpodecontenldo ' 3. Cody. 4. MI rsnio, 0.. se evidenda quo mida oon coflaseila de Iongftud aoeplIe'. 7.6 Sumado a 10 anterior, senalO que (i) no ha tenido ningCin beneficio econômico por los hechos aqul cuestionados;
(ii) n' ha incumplido ninguna de las Ordenes impartidas por esta Superintendencia; (iii) nunc ha sido sancionada por el incumplimiento de las normas de protecciOn de datos personales; y (iv) no ha sido renuente a suministrar la informaciOn requerida por esta entidad. 7.7 Finalmente, allego el certificado emitido por Novotech Ingenierias S.A.S. empresa que provee el circuito cerrado de video vigilancia, mediante el cual se ratifica que el sistema instalado en BODYTECH, no cuenta con un sistema biométrico.
OCTAVO: Competencia de la Superintendencia de Industria y Comercio La Code Constitucional ha precisado que para que pueda predicarse el cumplimiento del principio de tipicidad en el derecho sancionador se debe acreditar los siguientes tres elementos: 8.1 Adecuación tipica La Code Constitucional mediante sentencia C-748 de 20112, estableciO lo siguiente en relaciOn con el principio de tipicidad en el derecho administrativo sancionatorio: "En re/ac/On con e/ principio de tipicidad, encuentra Ia Sale quo peso a /a general/dad do Ia fey, as determinable la infracciOn administrativa an ía rnedida an quo se senala quo Ia constituye el incumplimiento de las disposiciones de la ley, esto es, en terminos especificos, la regulaciOn que hacen los articulos 17 y 18 del proyecto de by, an /os qua so señalan los deberes de los responsables y encargados del tratamionto del dato".
Atendiendo los parámetros senalados por la citada jurisprudencia, para el caso especifico se tiene que: (i) El articulo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del Tratamiento respecto del manejo de los datos personales de los Titulares. El incumplimiento 2 Corte Constitucional, Magistrado Ponerite Jorge Ignacio Pretelt Chaijub, seis (6) de octubre de dos mil once (2011).
RESOLUCIÔN HOJA 7 de tales requisitos darã luger a la aplicaciOn de ]as sanciones definids especificamente en el articulo 23 de la Ley 1581 de 2012. (ii) De conformidad con los hallazgos évidenciado en Ia visita de inspecjon y el acervo probatorlo que obra en el expediente, se puede establecer clue la conducta deslegada por la investigada se concreta en la posible vulneracion clue a continuacion se relacion4: • Pore! presunto incumplimiento a lo dispuesto an el literal a) del ar 7 de ía Ley 1582 de 2012 junto con e! artIculo 9 de la norma en menciOn, en concor, con los artIculos 2.2.2.25.2.7 y 2.2.2.25.2.8 del Decreto 1074 de 2015. • Porpresunte vulneraciOn a los artIculos 5, 7y 12, asi como el litera del artIculo 17 de la Ley 1581 de 2012, en concordancia cone! articulo 2.2.2.25.2.9 del reto 1074 de 2015. • Por el presunto incumplimiento a Jo dispuesto en los articulos 2.2 25.3.2 y 2.2.2.25.3.3 del Decreto 1074 de 2015. • Pore/ presunto incumplimiento a las disposiciones contenidas an e d) del articulo 17 de la Ley 1581 de 2012.
En ese orden, corresponde a este Despacho establecer si la conducta deplegada por la investigada dará lugar o no a la imposicion de una sanciOn para lo cual se deberan toner en cuenta las razones de hecho y de derecho aducidas por la investigada en los escritos de dscargos, y el conjunto de pruebas obrantes al expediente.
NOVENO: Análisis del caso y valoración probatoria 9.1 Respecto de los datos recolectados antes de la entrada en viqencia de Ia Ley 1581 de 2012. Mediante la Resolucion N° 58327 del 31 de agosto de 2016, entre otro cargos, este Despacho decidiO iniciar investigacion administrativa en contra de BODYTECH, por almaceqar datos personales desde antes de la entrada en vigencia de la Ley 1581 de 2012 y mantenerloslalojados en sus bases de datos por un tiempo indeterminado y sin haber determinado el tiempo Utillde los datos recolectados.
Por su parte, la sociedad investigada señalO ?l)a DirecciOn de investi Dates Personales, perdiO competencia para investigar y sancionar las autorizaciOn solicitada per Bodytech a los titulares de datos recolectat vigencia de la Ley 1581 de 2012, con base en el mecanismo establecido por cuanto su facultad sancionatoria se encuentra caducada" (fl. 164). iones de Proteccion de ncias originadas por la antes de ía entrada en el decreto 1377 de 2013, Pare lo cual es pertinente, traer a colacian el artIculo 52 del COdigo de y de lo Contencioso Administrativo, clue indica lo siguiente: miento Administrativo "ARTICULO
52. CADUCIDAD DE LA FAcUL TAD SANCIONATORIA. Salvo lo dispuest4 en leyes especiales, la facultad que tienen las autoridades pare imponer sanciones caduca a los fres (3) años de ocurrido el hecho, Ia conducta u omisiOn que pudiere ocasionarlas, término qentro del cuel el acto administrativo qua impone la sanciOn debe haber sido expedido y notificthdo ( ) Cuando se trate (. •)" En atenciôn a Ia anterior, este Despacho debe aclarar a la sociedad i hipotetico en el clue hayan pasado mãs de tres (3) años desde que se r el Ileno de los requisitos impuestos por el conjunto de normas que regul personales, la fecha de caducidad de la facultad sancionatoria empezaré 'estigada, que en el caso )lectá el dato personal sin la proteccion de los datos correr, al tenor del articulo antes mencionando, desde 9/ dIa siguiente a aquel en quo cesO la infracc ri y10 la ejecuciOn,es decir que dichos tres (3) años seran contados a partir de que el Responsable la informacion proceda a la eliminacion del dato personal cuestionado o se ejerzan las acciones esarias pare subsanar el incumplimiento.
Dicho to anterior, en el caso particular esta Direccion no ha perdido la fabultad sancionatoria, puesto que si se Ilegara a comprobar algUn tipo de irregularidad respecto deli procedimiento utilizado por RESOLUCION NUMERO DE HOJA 8 Par /a cual Se impone una sariciOn" BODYTECH para obtener las autorizacion de los datos recolectados antes de la entrada en vigencia de la Ley 1581 de 2012, el termino de caducidad debera ser contado desde Ia supresiOn de la informaciOn o desde el momenta en el que el Tratamiento cumpla con las requisitas impuesto par el articulo 22.2.25.2.7.
(ma vez superada la discusion anterior, este Despacho encuentra probado dentro del expediente que la sociedad BODYTECH en cumplirnienta de Ia ordenado par el articula 10 del Decreto 1377 de 2013 (boy compilado par el Decreta Unico Reglamentario 1074 de 2015), le informO a esta Superintendencia, por media del camunicado radicada baja el N o 13-184434 del 2 de agosto de 2013, las mecanismas alternos utilizados con el fin de adquirir las autorizacianes de los datos recolectados antes de la entrada en vigencia de la Ley 1581 de 2012, los cuales fueron can avisos dispuestas en cada una de las sedes de la compania, en su pãgina web y por redes sociales.
Ahara bien, el hecho que da arigen al presente cargo se remonta a la existencia en la base de datas de la saciedad investigada informacion referente a clientes que fueron parte de las sedes deportivas de la Caja de Compensacion Familiar - CAFAM, toda vez que presuntamente BODYTECH, no cumplió con un mecanismo efectivo de comunicaciôn puesto que las Titulares le entregaran su informaciOn a otra arganizaciOn, y les resultaba materialmente imposible conocer las pubticacianes hechas por la investigada.
Al respecto, este Despacho considera que 51 bien se debe informar a los Titulares la facultad de compartir sus datos personales can una entidad completamente ajena a Ia compania receptora, dicha obligaciOn es impuesta par la Ley 1581 de 2012, mativo por el cual, y de acuerdo con la carla de intenciOn de compra dirigida a CAFAM 3, BODYTECH no se encantraba en la obligaciOn legal de probar que las datos obtenidos antes de la entrada en vigencia de dicha norma fueron adquiridos can consentimienta de cada uno de sus Titulares.
Es decir que, a la fecha de aplicacion de la Ley 1581 de 2012 las datos en cuestiOn ya hacIan parte de la base de datos de la investigada, por Ia cual esta no debia discriminar las mismos para realizar las comunicaciones mediante las cuales se pretend ía adquirir las respectivas autorizacianes. De otra parte, pese a que la investigada senalO que las datos personales cedidos par la la Caja de CompensaciOn Familiar - CAFAM, fueron recolectados por BODYTECH solo cinco (5) añas antes a la fecha de la diligencia y que independientemente que se alegue por cumplimiento de un deber legal, estos deberan ser conservados hasta por cinco (5) años, no es excusa suficiente para que la compañia at 27 y 28 de agosto de 2015, no hubiese implementado un procedimiento dacumentado para la disposiciOn final de los datos personales que no son tratadas por el Responsable de la InformaciOn.
No obstante lo anterior, la sociedad investigada mediante su escrito de descargos manifesto que modifico su politica de Tratamiento de datos personales, y por media de esta se informa a los titulares que sus datos personales serán canservados hasta por cinco (5) años después de finalizada Ia relacion contractual. As[ mismo, indicO que actualmente BODYTECH suprimio los datos inactivos De sus bases de datos, para to cual se dejO constancia mediante "Ada de EliminaciOn de Datos" del lode octubre de 20105.
Asi las cosas, esta Direcciôn encuentra que el BODYTECH no incumplio lo dispuesto en el literal a) del articulol 7 de la Ley 1582 de 2012 junta con el articulo 9 de la norma en mención, en concordancia con los articulos 2.2.2.25.2.7 del Decreto 1074 de 2015, y que documentO el procedimiento de supresiOn de datos personales de acuerdo con establecida en el articula 2.2.2.25.2.8 del Decreto en menciOn, razOn por la cual el cargo no prospera. 9.2 De deber de contar con la autorización previa, expresa e informada para el Tratamiento de los datos sensibles e inforniar su finalidad.
El articulo 15 de Ia CanstituciOn Politica establece que las personas, en desarrollo de sus derechos a la autodeterminaciOn informatica y el principio de libertad, son quienes de forma expresa deben Obrante a folio 135 del expediente de reserve Fecha en la que se realizó la visita de inspecciôn en las instalaciones de la sociedad INVERSIONES EN REcREACION V DEPORTE V SALUD S.A. —BODYTECH.
Obrante a folio 201 del expediente. HOJA 9 RESOLUCION N(JMERO Por Is cual so impone una sanciãn" autorizar que la informadOn que sabre ellos sea recaudada pueda ser incli jida en una base datos. Al respecto la Carte Constitucional ha senalado lo siguiente: "Principlo de libertad: El tratamiento solo puede ejercerse con el consentithiento, previo, expreso e informado del titular.
Los datos personales no podrén ser obtenidos o Jdivulgados sin previa autorizaciOn, o en ausencia de mandato legal o judicial qua releve el consebtimiento. Este principio, pilar fundamental de la administracion de datos, perm4'e al ciudadano elegir voluntariamente si su informaciOn personal puede ser utilizada o no en bases de datos. TambiEn impide qua la informaciOn ya registrada de un usuario, la cual ha 4ido obtenida con su consentimiento, pueda pasar a otro organismo qua (a utilice con fines disintos para los qua fue autorizado inicialmente.
El literal c) del Proye cto de Ley Estatutaria no sOlo desarrolla el objeto fundanental do Ia protecciOn del habeas data, sino qua so encuentra an it/ma relaciOn con otros derechos fundamentales como el de intim/dad y el libre desarrollo do la personalidad. En efecto, el ser hum,4 no goza de la garantia do determinar qué datos quiere sean conocidos y tiene el derecho a determiner lo qua podria denominarse su 'imagen informaticat Los principios rectores, ademés, deben confluir en cuanto a su aplicaciOn c$n los deberes y derechos contenidos en la Ley 1581 do 2012, especIficamente en el presente cas, es relevante mencionar los deberes Clue tienen los Responsables de garantizar al Titular, en toda iempa, el pleno y efectivo ejercicio del derecho de habeas data.
Igualmente, es importante indicar que en virtud del principio de libertthd, citado lineas atrás, el legislador impuso a las Responsables del Tratamiento de datos personai4s la exigencia de requerir Ia autorizacion previa, expresa e iriformada del Titular, consagrada en el! articulo 9 de Ia Ley 1581 de 2012 7 y, además, el deber de salicitar y conservar capia de la au$orizacion de Tratamiento otorgada por el misma, dispuesto en el literal b) del artIculo 17 del mismo compendia narmativo6.
Sumada a to anterior, el mismo Responsable debe conservar una copia de la autorizacion otorgada par el Titular de la informacion de forma tal Clue, en el momenta en que sea solicitada para cansulta, cuente con la misma. De otra parte es necesario mencionar que junto con el principia de libertad la Ley 1581 de 2012 contiene el principia de finalidad el cual expresamente señala: "ArtIculo 40, Principios Para el Tratamiento de Datos PersonGles.
En el desarrollo, interpretaciOn y aplicac/On de (a presente by, se aplicaran, do manera ermOnica e integral, los siguientes principios: b) Prmncipio do final/dad: El Tratamiento debe obedecer a una finalidad le itima de acuerdo con Ia ConstituciOn y Ia Ley, Ia cual debe ser informada al Titular" De esta manera la mencionada norma estatutaria indicO en su articulo 12 de la Ley 1581 de 2012 unos requisitos minimos que deben ser informados al Titular al momentd de solicitar la autorización para el Tratamiento de sus datos personales, el cual reza Ia siguiente: "ARflCLJLO
12. DEBER DE INFORMAR AL TITULAR. EL RESPONSABLE DEL AL MOMENTO DE SOLICITAR AL TITULAR LA AUTORIZACION, DEBERA INFORMARLE DE MANERA CLARA YEXPRESA L? SIGUIENTE: 6 Ver en: Corte Constitutional Sentencia c-748 del 6 de octubre de 2011 MP. Jorge lg1iacio Pretelt 7 Ley 1581 de 2012. "Articulo 9°. Autorización del Titular. Sin perjuicio de las chaljub. excerciones previstas an la ley, en el Trataniiento se requiere Is autorizaciOn previa e informada del Titular, Is cual deberé ser obtenida por cualquier media que pueda ser objeto de consults posterior". ° Ley 1581 de 2012.
"Articulo 17. Deberes de los Responsables del Tratarniento, L Responsables del Tratamiento deberan cumplir los siguientes deberes, sin perjuicio de las domes disposiciones pre y stas an la presente ley yen otras quo rijan su actividad: ( ) b) Solicitar y conservar, en as condiciones previstas en a p esente by, copia de la respectiva autorización otorgada por el Titular;
RESOLUCION NUMER? Por to b 4 "DE HOJA 10 cual se impone una sanciôn' a) El Tratamiento at cual serén sometidos sus dates persona/es y la finalidad del mismo; c) Los derechos quo /0 asisten coma Titular; d) La identificaciOn, direcciOn fisica o elect rOnica y telefono del Responsable del Tratamienta De otra parte, se debe traer a colacion que se entiende por dato sensible y cuando puede Ilegar a considerarse un date biometrico come ta?, al respecto es pertinente traer a colaciOn el articulo 5 de la Ley 1581 de 2012 que definiO los dates sensibles asI: 'se entiende pordatos sensibles aqua/los que afectan /8 intimidad del Titular o cuyo uso indebido puede generar su discriminaciOn, tales como aqua//os qua revelen el origen racial o étnico, la orientaciOn politica, las con vicciones religiosas a filosOficas, la pertenencia a sindicatos, organizaciones sociales, do derechos humanas a quo promueva intereses de cualquier partido politico o quo garanticen los derechos y garantias do partidos politicos de oposiciOn asi como los datos relativos a la salud, a la vida sexual y los dabs biometricos".
Asi mismo, la Code Constitucional mediante la sentencia C-1 011 de 2008 senalO respecto ales datos sensibles que "( ) /a natura/eza de esos datos pertenece a/ nuc/eo esencial de/ derecho a la intimidad, entendido como aquella esfera o espacio do vida privada no susceptible do Ia interferencia arbitraria do las demas personas, que al ser considerado un e/emento esencia/ del ser, se concreta en e/ derecho a poder actuar libremente an /a mencionada esfera o nOcleo, en ejercicio do la libertad personal y familiar, sin mas limitaciones qua los derechos do los demas yel ordenamientojuridico".
Por lo tanto la definiciOn de date sensible no está solamente relacionada con la garantia propia del ejercicio del derecho de habeas data, sine que también va ligado al derecho fundamental a la intimidad, el cual, igualmente, es sujeto de protecciOn constitucional. Obrando en consecuencia con Ia importancia constitucional y legal atribuida al date sensible, el legislador estatutario, en el articulo 6 de la Ley 1581 de 2012 prohibiO, por regla general, el Tratamiento de informaciOn sensible de los Titulares, de tal forma que solo consagrO unas excepciones taxativas a dicha exclusion, las cuales responden a la necesidad de garantizar otros derechos constitucionales tales come la vida, la educaciOn y el derecho de asociación. Teniendo presente tal situaciOn, el legislador estatutario dispuso que, para clue el Responsable del Tratamiento pueda tratar datos sensibles debe realizarlo conforme a lo establecido en el artIculo 6 de la Ley 1581 de 2012 y además requiere que se le comunique al Titular que los dates que está pretendiendo recoger son sensibles y que no está obligado a entregarlos.
Condiciones relevantes quo garantizarán que el Titular entregue o no su consentimiento de manera informada, circunstancia esencial para que proceda el Tratamiento de los dates sensibles por parte del Responsable de acuerdo a la by. En el presente caso, la DirecciOn de lnvestigaciOn de ProtecciOn do Datos Personales evidencio que "Articulo 6 0.
Tratamiento de datos sensibles. So prohibo ci Tratamionto do datos sensibles, excepto cuando: a) El Titular haya dado su autorizacion explicita a dicho Tratamiento, salvo en los cases quo par by no sea roquerido ci otorgamionto do dicha autorizaciOn; b) El Tratamiento sea necosario pare saivaguardar ol intorés vital del Titulary este so encuentre fisica a juridicamente incapacitado.
En estos eventos, los representantes Jo gales doberan otorgar su autorizaciOn; c) El Tratamiento sea efectuado an ci curse do las actividados legItimas y con las dobidas garantias per parte do una fundaciOn, ONG, asociaciOn o cualquier atm organismo sin animo do lucro, cuya finalidad sea politico, fliosOfica, religiose o sindical, siempre quo se re/loran oxclusivamente a sus miembros a a las personas quo mantongan contactos regu/ares to par razOn do su finalidad En ostos ovontos, los dates no so podrén suministrar a torcoros sin autorizaciOn del Titular; d) El Tratamionto so re/bra a dates quo seen necosarios pare ci reconocimionto, ejercicio a defense do un dorecho an un procoso judicial; e) El Tratamionto tonga una finalidad histOrica, ostadistica o ciontifica, En esto evonto deberan adoptarse las medidas to conducentos a suprosiOn de identidad do los Titularos." RESOLUCION NUMERO 04 U 3 DE HOJA 11 Porte coal se impone one sancián" en la visita de inspecciOn, la sociedad investigada presuntamente trataba dtos de menores de edad e informacion sensible sin cumplir con los requisitos impuestos por las rormas de Proteccion de Datos Personales, puesto que no se le informaba a los Titulares qué datos 0 caracter sensible eran tratados por la compania asi como tampoco se les senalo que no se encbntraban en Ia obligacion de suministrar este tipo do datos independientemente de la prestaciôn del Iservicio.
Por su parte la sociedad investigada, senalo que '1.) a la fec/ia de ía vi4ita, BODYTECI-! contaba con un texto do autorizaciOn insuficiente, situaciOn sobre la cual so imblementaron medidas do mejora a fin de dar cumplimiento con to ordenado por la Ley, sin embargo vale vale ía pena senalar que pese de las falencias en los textos refer/dos, at momenta de afiliar a mend res do Sad BODYTECH obtenia ía firma de sus representantes legates, a travOs de la suscripciOq del formato denominado 'consentimiento informado menor de edad' el cual comunicaba sobre là cal/dad de Jos servicios medicos deportivos prestados por BODYTECH (. 4" (fi. 168).
Al respecto, este Despacho considera que en efecto la sociedad in4estigada contaba con la autorizaciOn par parte de los representantes legales de los menores Si como el consentimiento informado para el suministro de los datos referentes a la salud, sin embargb, nose observa en dichas autorizaciones que se le informe al Titular cue datos son de caracter sensible, cual es la finalidad de su Tratamiento y la facultad que tiene le Titular do suministrar o no este tio de informacion.
Al respecto, es necesario citar el articulo 2,2.2.25.2.3 del Decreto 1074 de 201510, el cual reza lo siguiente: ARflcuLo 2.2.2.25.2.3. DE LA AUTORIZACION PAR EL TRATAMIENTO DE DATOS PbRSONALES SENSIBLES. El Tratamiento do los datos sensibles a quo se refiere el articulo 5 do la dey 1581 de 2012 esté prohibido, a excepc/On de los casos expresamente senalados an a' articuib 6 de /8 citada ley.
En 9/ Tratamiento de datos persona/es sensib/es, cuando dicho Tratamieno sea posible con forme a to estab/ecido en ci articulo 6 de la Ley 1581 de 2012, deberan cdtmp/irse las siguientes obligaciones: 1. Informar at titular que por tratarse de datos sons/b/es no está 4!igado a autorizar su Tratamiento. 2. Informar a/ Titular de forma explicita y pre y/a, ademas de los requisitos genera/es de ía autorizaciOn para la recolecciOn de cua/quier tipo de data personal, cua/e do /os datos qua serén objeto de Tratamionto son sons/b/es y Ia finalidad de/ Tratamiento, asi coma obtener su consentimiento expreso.
Ninguna actividad podra condicionarse a qua el Titular sum/n istre datos prsonales sensib/es. De esta manera, esta Direccion encuentra que al no indicarles de man&ra explicita a los usuarios cuales de los datos recolectados son sensibles yla finalidad por la cual se!rán tratados, se condiciona a aquel Titular que no tiene conocimiento, entre otros datos, que la !huella dactilar es un dato biometrico y por ende sensible, al suministro obligatorio de sus datos cdmo requisito para firmar el contrato con BODYTECH.
Asi las cosas, y pese a quo la sociedad investigada modifico el forrfiato de autorizacion, este Despacho debe precisar quo la obligacion de adecuar los procedimiebtos y los formatos de los Responsables del Tratamiento para la recoleccion de los datos personales, está impuesta desde la entrada en vigencia de la Ley 1581 do 2012, y tiene mayor relevanciaj cuando la misma dispone como regla general la prohibiciOn del Tratamiento de datos do caracter sensible, es decir, quo el no cumplir con los requisitos que taxativamente estãn impuestos por Ia noçma para el Tratamiento de este tipo de datos, es una vulneraciOn a los derechos juridicos tuteladbs por la norma, mas aün, cuando do la proteccion do oste tipo de informaciOn no solo dopende qilie se proteja el derecho de habeas data sino tambien derechos fundamentales como la dignidad intimidad y buon nombre, pues tal y como Jo indicO la code en la sentencia C- 748 de 2011, a sabr: More b/en, como se trata de casos exceptuados y quo, por tanto, pue4en generar altos riesgos en tOrmino.s de vu/neraciOn del habeas data, la intimidad e inc/uso Ia dinidad de los tituIares de los datos, los agentes p ue rea/izan an estos casos el tratamiento tieAen una resoonsabilidad For medlo del cual se expide el Decreto Unico Reglamentarlo del Sector Comercid, Industria y Turismo, norma que compiló, entre otros, el Decieto 1377 de 2013 que reglamentO parte del articulado de la Ley 1581 de 2012.
RESOLUCION NUMERc? U D DE HOJA 12 Per la cual se impone una sanciOn" De esta manera, es dare para este Despacho que el Tratamiento de dates sensibles al corresponder a una categoria especial de dates, debe estar sujete a los requisites impuestes par la norma, los cuales deberan ser cumplidos estrictamente por los Responsables y Encargados del Tratamiento.
Come consecuencia de to anterior, este Despacho encuentra que BODYTECH incumplio los deberes contemplados en los articulos 5, 7 y 12, as[ come el literal b) del articule 17 de Ia Ley 1581 de 2012, en concordancia con el artIculo 2.2.2.25.2.9 del Decreto 1074 de 2015, motivo par el cual se impondrã la correspondiente sanción, no sin advertir que se aplicara el criteria de atenuacion dispuesto en el literal f) del artEcule 24 de la Ley 1581 de 2012, toda vez que la investigada acepto de manera expresa el incumplimiento de las normas antes citadas. 9.3 Respecto al aviso de privacidad Mediante la ReseluciOn N o 58327 del 31 de agosto de 2016, entre otro cargos, este Despache decidio iniciar investigaciôn administrativa en contra de BODYTECH, per tratar dates personales de caracter sensible mediante el sistema de video vigilancia dispuesto en las instalacienes de la compania, pues se encontrO que la infermaciOn brindada per media del aviso de privacidad dispuesto Unicamente para el sector de los casilleres de los establecimientos depertivos no cumple con los requisites impueste per las nermas de Preteccion de dates Persenales.
Per su parte Ia seciedad investigada senalo que a la fecha de la visita de inspecciOn contaba con un cartel en la zena de los casilleres que disponia lo siguiente: "Por su seguridad y tranquilidad la zona de lockers esté siendo monitoreada con camaras de seguridad y vigilancia. Lo invitamos a hacer use de los vestiers para el cambio de las prendas.
Muchas gracias (fl.170) ". Asi misme, indicO que dentro del aviso se informa la recoleccion de diches dates asi come la finalidad de su Tratamiente, per tante at ingresar a dichos recintos las personas están aceptado el use del date per medio de conductas inequivecas. Come primera medida, este Despache censidera pertinente entrar a establecer silas imágenes a fetegrafias capturadas en un sistema de video vigilancia se censtituyen en dates biemetrices y par to tante en un date personal sensible, teda vez que se trata de un tipo de informacion capaz de ser asociada a un individue y permite su identificacion, si bien esta Superintendencia ratifica su posicion en censiderar, que las imâgenes se encuadran dentro del concepto de date personal y en censecuencia, les resulta aplicables el regimen de preteccian de dates personales prevista Ley 1581 de 2012, es necesarie indicar que las imagenes no son per si mismas un date biemetrice y por le tante sensible, mientras estas, no sean tratadas a través de un media tecnologice, que permita la identificacion plena del Titular.
La toma de fetegrafia es un "Procedimiento o tOcnica que permite obtener ima genes fuas de la realidad mediante ía acciOn de la luz sobre una superficie sensible a sobre un sensor"", per le cual mediante esta técnica se esta capturando la imagen del Titular. Dentre de los sistemas de identificacion biom6trica 12 se encuentra el reconocimiento facial, que en el libre de Dereche & TIC 10.013 se describe de la siguiente manera: "Utiliza una camara para tomar una foto del rostro de la persona.
De la imagen se extraen elementos particulares (caracteristicas relacionadas con las facciones) que luego se comparan con an banco de dates de imégenes en la qua previamente esta Ia foto de Ia persona que se busca identificar." Definición fetegrafia, Diccienarie Real Academia Española. Ver en http://dle.rae.es/?id=lKSnbBe Biometria: Estudio mensurative a estadistico de las fenónienos a procesos bioiOgices.
Deflnición Diccionario Real Academia Españela. Ver en http://die.rae.es/?id=5ZE82lz Dereche & Tic 10.0, GEdTI Grupo de Estudies en internet, comercie Eiectrónico, Teiecomunicaciones e lnformática. Bogota Editorial Temis, 2011. RESOLUClÔN NU: MERO Por la cual so impone una sanciOn" HOJA 13 De esta manera, las imagenes a fatagrafias capturadas en un sistema S video vigilancia pueden Ilegar a ser datas sensibles, en la medida en que de ellas se pueden 6xtraer medidas y rasgos particulares del rostra que al ser comparadas con un banco de datos p ermite la identificaciOn del Titular.
En el mismo sentida, desde el punta de vista doctrinal se trae a calaiOn el Reglamenta (UE) 2016/679 del Parlamento Europeo y del Conseja, que senala 10 siguiente: "El tratamiento de fotografias no debe considerarse sistematicarnente tratbmiento de categories espec/ales de datos persona/es, pues Unicamente se encuentran corn preipdidas an la definiciOn de datos biometricos cuando el hecho de ser tratadas con med/os técn/co& especificos permita Ia identificaciOn o ía autent/cac/On univocas de una persona ifs/ca." Par lo tanto, en el caso baja estudia esta Dirección encuentra que la sociedad investigada ünicamente recolecta la imagen de los Titulares par mativas de seguridd y no utiliza un sistema biometrico para la autenticaciOn de los mismas, tal coma fue certificada ar la sociedad Navatech Ingenierias S.A.S. 14 par lo que actualmente no realiza Tratamiento de dafos sensibles.
De atra parte, y tenienda en cuenta que la investigada argumenta que cumplimiento a las normas en materia de protectiOn de datos personalE exigidas para el caso de la recolecciOn mediante video vigilancia, se ha inequivocas" en virtud de Ia prevista en el numeral (iii) del articulo 2.2. de 2015, esta es, "mediante conductas inequivocas del titular que p razonable que otorgO la autorizac/On", este Despacha entrará a analiz information y pruebas abrantes en el expediente. n su operaciOn ha dado pues las autarizacianes abtenido par "canductas 25.2.4. del Decreta 1074 nitan concluir do forma tal argumenta desde la Al respecto, advierte este Despacha que [as conductas inequivacas no permiten eximir de la abligadOn de cantar can una autarización expresa, no solo deben traer cpnsigo Ia conducta positiva del Titular de entregar la informacion, pues se exige que tal conductalpermita concluir de forma razonable que este atargo en efecta autarizaciOn para su Tratami4nto, es decir, que dicha autarizacion debe cumplir con las requisitas impuesta par la Ley 1581 dp 2012, que al tenor de su artfcula 9 establece que "(i.) en 0/ Trataniiento se requiere la autorizacqiOn pro via e informada del Titular, la cue! deberá set obtenida par cua/quier medlo quo pueda ser objeto do consulta posterior', Par ende aunque la verificaciOri del cansentimienta puede ser abtenidcb a partir de una canducta inequivoca, debe infarmarse la finalidad del Tratamiento, los derechas qLe le asisten al Titular y los mecanismos dispuestas par el Respansable para canacer la paiitiba de Tratamienta de Ia infarmaciOn.
Asi las casas, en el casa que nos acupa, encuentra este Despachapue no puede deducirse a simplemente concluirse que los Titulares al ingresar a las establecimientth departivas, se encuentran plenamente infomiadas y canacen cual es la finalidad del TrataHenta dada de sus datos, independientemente que la investigada afirme tal circunstancia en sus escritas, en la visita de inspección solo se evidenciaran textas informativos en el area de casiUras de cada sede, y pese a que este mencione la finalidad del Tratamienta no cuenta con el respectb de requisitos exigidos par el articulo 2.2.2.23.3.3 del Decreto Unica Reglamentaria 1074 de 2015, ath coma tampaca se observO dicha publicaciOn visible en atra lugares dande se es manitoreada dentri de cada una de la sedes.
Finalmente, BODYTECH manifesto que madificO sus avisas de "Pot tu seguridad y tranquilidod nuestras instalaciones estOn s/en cdrnaras de vigilant/a, con tu ingreso y circulocldn nos autorizas a media de audio, video y/o fotografla, datos personifies de cardctersei tlenes derecho de acceso, rect,flcaclon y concelacian, (Ley 1581112). Consulta nuestro politico de Protecdon de Datos Personifies en wv escribenos a de la siguiente manera: monitoreados con iturar y trotar par le, sobre los wales por Niavatech Ingenierias S.A.S. es la empresa que provee el circuito cerrada dé video vigilancia de BODYTECH (ceruficado obrante a folio 349 del expediente) RESOLUCION NUMERO DE HOJA 14 Por la oval so impono una sancion" AsJrnIsno, en el Counter de cada una de lassede, fIjarnos un hablador con la siguiente información;
"La inforrnaclon personal ysenslble que flog entregos, es tratoda canforme nuestra politico de Protecddn de Datos Personales, que puedes consultor en www.bodvtech.com.co coma titular de Ia information tienes derecho de acceso, recflJlcocion y conceladán sabre to • misma, Si tienes inquietudesescrIbenos a seMdoaklfenre@botjytechcorp.com/' Asi mismo, adjunto copias de fotografias en las distintas sedes deportivas de la compania donde se observa la disponibilidad del aviso de privacidad.
(fis. 210 al 215). AsI las cosas, y teniendo en cuenta que la sociedad investigada ya procediO a ajustar el aviso de privacidad en cada una de sus sedes respecto de la recolecciOn de datos personales mediante sistemas de video vigilancia, y que los respectivos avisos cumplen con los minimos exigidos por el articulo articulo 2.22.23.3.3 del Decreto Unico Reglamentario 1074 de 2015, este Despacho no emitirá ninguna orden encaminada a al cumplimiento de dicho requisito. 9.4 Respecto a deber de conservar la informacion bajo las condiciones de seguridad necesarias para evitar el uso y acceso de personas no autorizadas Aun cuando, negar al Titular el acceso a ]as bases de datos donde reposa su information personal, implicarla en principio una violaciOn a su derecho de habeas data, el artIculo 15 de la Constitution Politica debe interpretarse de manera armOnica con los principios de circulation restringida y de seguridad.
As!, se debe tener presente que los Responsables del Tratamiento deben garantizar, entre otras cosas, que la information personal no sea publicada en internet, salvo quo exista previamente una autorizaciOn por parte del Titular. Ahora bien, aun existiendo el consentimiento de éste, la divulgaciOn, circulaciOn y acceso de los datos tiene que estar controlado y restringido frente a terceros no autorizados, razOn por la cual la ley ha impuesto a los Responsables del Tratamiento una s!rie de deberes encaminados a dicho fin, como lo es el de "conseivar la informaciOn bajo las condiciones de seguridad necesarias para impedfr su adulteraciOn pérdida consulta, uso o acceso no autorizado o fraudulento".
Precisamente el articulo 4 do la Ley 1581 de 2012 establece los principios para el Tratamiento de los datos personales, entre los cuales se encuentran el principio de seguridad que senala lo siguiente: g) Prnwcirno DE SE GuRIDAD: La informac/On sujeta a Tratamiento pore! Responsable del Tratamiento o Encargado del Tratamiento a quo so ref/ore la presente fey, se debera manejar con las rnedidas técnicas, hurnanas y administrativas que scan necesarias para otorgar seguridad a los registros evitando su adu!teraciOn, perdida, consulta, uso o acceso no autorizado o fraudulento;
Como se advierte, el principio de seguridad debe ser cumplido por los Responsables y Encargados del Tratamiento para garantizar el derecho de habeas data de los Titulares, pues de la adoption de medidas de conservaciOn de la informacion y de los controles de seguridad implementados depende que se minimicen los riesgos de filtration de los datos personales.
Ahora bien, respecto del cargo formulado BODYTECI-$ este Despacho evidencio que peso a contar con una infraestructura de sistemas de cOmputo importante, a la fecha de la visita no habia implementado los controles suficientes para salvaguardar la information de los Titulares, puesto que en la mayoria de los equipos revisados por los ingenieros de esta Superintendencia se permitia el acceso a Internet, la captura de impresiOn de pantalla y el acceso a los puertos USB, excepto en los dos equipos de los consultorios medicos.
Sin embargo, los computadores de los "atletas comerciales" no presentaban restricciones frente al acceso a la informaciOn, mãxime cuando se tiene acceso al sistema desde sus respectivos perfiles de sesiOn. Asi mismo, se evidenciO que los equipos de cOmputo revisados pese a contar con antivirus no habian sido analizados fretuentemente permitiendo con ello el acceso a cOdigos maliciosos que pueda acceder, modificar o suprimir la information alojada en las bases de datos. 1-IOJA 15 RESOLUCION NUMERO Por Is cual so impone una sanciOn" Par su parte BODYTECH, senalo que "( ) al momento de la visita ci Industria y Comercio, nos encontrabamos cambiando de proveedor de a BIT DEFENDER, razón POT la cual, los funcionario adscritos a su Despac en ese momento la actualizaciOn y/o escaneo permanerite del antivirus e de Bodytech.
En Ia actualidad, el antivirus BIT DEFENDER hace escaneo de cOmputo ( "(fl.171). ía Superintendencia de ivirus de SYMANTEC a no pudieron evidenciar los equipos de cOmputo fario a todos los equipos Al respecto, este Despacho debe precisar, que la adopciOn de medidas ne ?sarias para salvaguarda los datos personales de los Titulares, se debe observar terilendo en cuenk actores como-el volumen de la informacion alojada en la base de datos a la que see realiza el Tratai iento, coma la naturaleza de los datos que trata, por lo cual dichos controles deberãn ser directam' ite proporcionales al tipo de base de datos.
De esta manera es imperdonable Clue la sociedad ivestigada teniendo una infraestructura tecnologia controlada no prevea el riesgo al que expone us bases de datos y por ende la informaciOn personal en ellas contenida, al no tener debidamente ctualizados y ejecutados sus antivirus, pues independientemente de la migraciOn de producto, la in stigada no allego prueba suficiente Clue demuestre el tiempo Clue durO la migraciOn del antiviru y par el contrario en la diligencia de inspeccion se observo que algunos de los equipos de mpto tenian Un tiempo considerable sin un analisis por parte de dicho software.
De igual manera, BODYTECH aporta impresiOn de pantalla de la conola principal del area de sistemas obrante a folio 216 del expediente, en la cual se evidencia qpe el antivirus de los 842 equipos de la organizaciOn se encuentra actualizados, asi mismo coma Ia'ratificacion del Director de Sistemas quién certifica que todos los equipos cuentan con BIT DEFENEER.
Igualmente, aportó la actualizacion a sus politicas de seguridad, en las cuales se implementaqon las siguientes medidas respecto de la seguridad de la informacion. No se petnilte la descarga V acceso a p ginas de mensajerfa Instai Flea, correos nclonaijo5 de organhzaclon. c par el objeto fegOCiO requleran accedera dichas páglnas (area de mercadeo) Los cofahoradOres tieneli prohlbido divulgar datos de naturaleza confide 1,1 al tales coma arctifvos que contengan informacjon personal de clientes y coabora M resultado jjnanclems, relaclãn de pedldos 1 proyectos comerciales, programas Investigacion, histotlal cffnico de [as afitiados entre otras. c) S usc de medios de almacenamfento removibles (ejemplo: CDs, DVDs) BS, memorias flash, discos duros erternos, Ipods, celulares, cintas) sabre la infraestrucl de Bodytech estA pmhibido, a excepción de los casos que se requlera pan el prod miento de la in!ormagión de la companfa, estará autorizado pan aquellos colaborado cuyo perfil del cargo y funciones lo requiera. eIeCtrôflIS,,nales y redes sociales Par parte de los fu ws jnfcQS funclonarlos que podran acceder a redes sociales son aquellos Sumado a Ia anterior, la sociedad investigada informO que adoptO un Manual de Tratamiento de Datos Bodytech" ( fls. 267 al 277), mediante el cual pretenden crear condiencia entre los empleados de la compania sobre la importancia del uso y tratamiento adecuado de ilos datos personales de los Titulares.
Sin embargo, no allego a este despacho prueba de la puesta en conocimiento tanto de la actualizaciOn a la polItica d de seguridad como del manual de tratamierito a sus empleados o a [as personas que en virtud de su labor participen en los distintos procesos. I Asi las cosas, y pese a las modificaciones realizadas por Ia sociedad nvestigada este Despacho encuentra que para el momenta de la diligencia de inspecciOn BODYTECH no "conservar la informaciOn bajo las con diciones de seguridad necesarias para impeFiir su adulteraciOn pOrdida consulta, uso o acceso no autorizado o frauduiento", motivo por el cual jsera impuesta la respectiva sanciOn.
DECIMO: lmposición y graduacion de la sanción 10.1 Facultad sancionatoria La Ley 1581 de 2012 le confirio a la Superintendencia de lndustri y Comercio una potestad sancionatoria que se concreta en el articulo 23 de la Ley 1581 de 2012j Ia cual de conformidad con RESOLUC1614 NUMER DE HOJA 16 Por to cual so impono una sanciOn" el principia de proporcionalidad que orienta el derecho administrativo sancionador, debera ejercerse en forma razonable y proporcionada, de mado que logre el equilibria entre la sanciOn y la f'inalidad de la norma que establezca, asi como la proporcionalidad entre el hecho canstitutivo de la infraccion y la sanciOn aplicada15.
Por consiguiente, para la adecuacion razanable y proporcianal de los hechos y la sanciOn aplicable, este Despacho entrará a determinar Los criterios de graduación establecidos en el articulo 24 de la Ley 1581 de 201216, los cuales podrán consistir en atenuantes o agravantes de la misma, coma se expone a continuaciOn: (I) La dimensiOn del dano a p eligro a los intereses juridicos tutelados p ar ía Ley 1581 de 2012 Entra este Despacho a determinar si frente a la ausencia de informar a los Titulares qué datas de carécter sensible eran tratados par la compania, asi como tampoca se les señalo que no se encontraban en la abligacion de suministrar este tipo de datos independientemente de la prestacion del servicia, se puso en peligro las intereses juridicostutelados par la Ley 1581 de 2012, sabre todo Ia relativo a Las principios que rigen todo Tratamienta de datos personales.
En primer Iugar, en el caso sub-examine, quedO demostrado con la aceptaciOn expresa par parte de BODYTECH, que se trataran datas personales sin el Ileno de los requisitos legales exigidos par las normas de Proteccian de datas personales, y sumado a ella dichos datos tenian el carácter de sensibles, lo que hace màs gravosa la situacion si se tiene en cuenta que el Legislador al prahibir el Tratamiento de dichos datos y al disponer taxativamente unas excepciones para dicho usa, se espera que la exigencia de respansabilidad debe ser mayor, toda vez que no solo se ye afectado el bien juridico tutelado por la Ley 1581 de 2012, sina tamblen atras derechas fundamentales coma la intimidad, dignidad y el buen nombre.
En cansecuencia, no hay lugar a dudas para esta DirecciOn acerca de Ia dimension del dana que efectivamente se materializô en el caso en cuestiôn al no informar a los Titulares qué datos de caracter sensible eran tratadas por la compañia, asi coma tampoco, el carácter facultativa de suministrar dicha inflamaciOn al Responsable del Tratamiento, por cuanto es evidente que los intereses jurIdicos tutelados por la Ley Estatutaria de ProtecciOn de Datos Persanales fueron vu Ineradas Portal mativo, y por el incumplimienta a las disposicianes cantenidas en los articulas los articulas 5, 7 y 12, as[ como el literal b) del articulo 17 de la Ley 1581 de 2012, en concordancia con el articulo 2.2.2.25.2.9 del Decreto 1.074 de 2015, se impondra par esta conducta la suma de (100) salarios minimos legales mensuales vigentes.
En segunda termino, y respecta al deber de "conservar la informaciOn baja las condiciones de seguridad necesarias para impedir su aduiteraciOn pOrdida consulta, uso 0 acceso no autorizado 0 fraudulento" esta DirecciOn considera que el legislador estatutario incarparO a la norma dicha obligaciOn legal buscando minimizar el riesgo al que son expuestos los datos personales, par lo cual no existe justificacion válida para no haber conservado la informaciOn personal de las Titulares y pese a que el riesga no se materializo se puso en peligro dicha infarmacion.
De esta manera, se debe entender que de las medida de seguridad implementadas par los Responsables depende que la información no sea usada fraud ulentamente Ilegando a perjudicar gravemente los derechos fundamentales coma la intimidad y el buen nombre. De igual manera, es necesario precisarque si bien nose materializO ningUn acto lamentable respecto de la informacion personal alajada por la investigada, se puso en peligro el bien juridico tutelado por Corte constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.
Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy cabra. IS Ley 1581 de 2012 "Articulo 24. Criterios Para Graduar las Sanciones. Las sane/ones par infrace/ones a las quo so rofieren ci arliculo anterior, so graduarAn atendiondo los siguientos enter/os, on cuanto résulten api/cables: a) La dimensiOn dol daho o peligro a los interesos junidicos tutelados por la prosonto Icy; b) El bone f/cia econOmico obtenido par el infractor a tercoms, an viflud do la corn/s/On do la infracción; c) La re/nc/done/a en (a corn/s/On do ía infre cc/On; d) to La resistoncia, negativa u obstruccion a ace/On investigadora a do vigilancia do to Superintendoncia do industria y Comorcio; o) La ronuencia a dosacato a cumplir (as Ordonos impartidas par la Superintendoncia do Industnia y Cornercio;
El roconocirnionta o acoptaeiOn exprosos quo haga el investigado sabre Is corn/s/On do ía infracciOn antes do Ia imposic/On do Is sane/On a quo hub/ore lugar". RESOLUCION NCJMERO - DE I-1OJA 17 J Por la coal se impone una sanciOn" la Ley 1581 de 2012, motivo par el cual por el incumplimiento al literal d) en menciOri este Despacho impondra una multa de cincuenta (50) mensuates vigentes.
(ii) articulo 17 de la norma arias minimos legales (ii Al evaluar los escritos de descargos y alegatos de conclusiOn, advierté este Despacho que la sociedad investigada reconociô que "(..) BOO YTECH ha incumplido 10 d1spuesto en el ae'tIculo 12 de la Ley 1581112. Que se refiere a su obligaciOn de tratar datos persona/es sin informara los titulares del tipo de dato del que se trata y ía finalidad de la recolecciOn del dato" (fl340).
RazOn por la cual y en virtud de lo prescrito en el literal f) del articula 19 de la Ley 1266 de 2008, considera esta Superintendencia adecuado aplicar el mencionado criterio de atenuaciOn de la sanciOn, as[ respecto ala vulneraciOn los articulos 5,7 y 12, asi comoel literal b)del articulo 11 de la Ley 1581 de 2012, en concordancia con el articulo 2.2.2.25.2.9 del Decreto 1074 de 2015 Ise disminuirá la sanciOn impuesta para dicho cargo a cincuenta (50) salarios minimos legales vigerfites.
(iii)Otros criterios de graduatiOn Por Ultimo, este Despacho no tendrá en cuenta los criterios de graduaci 1 de la sanciOn senalados en los literales b), c), d) y e). En efecto, para el presente caso, se en',ntrO que: (I) dentro de la presente investigaciOn la sociedad investigada hubiera obtenido benefic econOmico alguno por la comisiOn de la infraction, (H) no hubo reincidencia en la comisiOn de a infraction;
(hi) no hubo resistencia u obstrucciOn a la acciOn investigativa de este Ente de contrc y vigilancia; y, finalmente, (iv) no hubo renuencia o desacato a cumplir las Ordenes e instrucciones ir )artidas par este Direction ni par la Delegatura. En merito de lo expuesto este Despacho,
RESUELVE
ARTICULO PRIMERO: Imponer una sanciOn pecuniaria a la socibdad INVERSIONES EN RECREACION DEPORTE V SALUD S.A. —BODYTECH, identificado cbn NIT. 830.033.206-3, de SETENTA V OCHO MILLONES CIENTO VEINTICUATRO MILI DOSCIENTOS PESOS ($78.124.200.00) M/cte., equivalentes a den (100) salarios minimas legalb mensuales vigentes, por los hechos descritos en la parte motiva de esta providencia.
PARAGRAFO: El valor de la sanciOn pecuniaria que por esta resouciOn se impone, debera consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de DirecciOn del Tesoro Nacional — Fondos Camunes, COdigoentistico No. 350300, Nit. 899999090-2. En el recibo deberá indicarse el nUmero del expediente y el nUmero de la presente resoluciOn.
El pago debera acreditarse ante la pagaduria de esta Superjintendencia, con el original de la consignación, dentro de los cinco (5) dias hábiles siguientes a la ejfrcutoria de esta resoluciOn.
ARTICULO SEGUNDO: Notificar personalmente el contenido de Ia presekte resoluciOn a la sociedad INVERSIONES EN RECREACION DEPORTE V SALUD S.A. —BODYrECH, identificado con NIT 830.033.206-3, a través de su representante legal, entregándole copia de la misma e informándole que contra ella procede recurso de reposiciOn ante el Director de lnvdstigaciOn de ProtecciOn de Datos Persanales y de apelaciOn ante el Superintendente Delegado pbra la ProtecciOn de Datos Personales dentro de los diez (10) dias siguientes a su notificacion.
NOTIFIQUESE V CUMPLASE Dada en Bogota D. C., El Director de lnvestigacion de Protection de Datos Personales, SALAZAR MUOZ RESOLUCION NUMERO DE ProyectO: AMCC Reviso: CESM Aprobo: CESM NOTIFICACION: Investigada: Sociedad: Identification: Representante Legal: IdentificatiOn: Direction: Ciudad: INVERSIONES EN RECREACIÔN DEPORTE V SALUD S.A NIT. 839.033.206-3 NICOLAS MAURICIO LOAIZA GALEANO C.C. No. 79.415.482 Carrera 19B No. 83-11 Bogota D.C. HOJA 18