Sanción 1264 de 2023 — SIC

(19 de julio de 2023) VERSIÓN PÚBLICA “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” Radicación: 22-446505 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y el artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022; y

CONSIDERANDO

PRIMERO: Que mediante Resolución No. 59153 del 15 de septiembre de 2021, expedida por esta Dirección a través del entonces Grupo de Trabajo de Hábeas Data, se ordenó lo siguiente: “ARTÍCULO SEGUNDO: Remitir copia de la presente resolución al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección con el fin de que determine si existe o no mérito para adelantar una actuación administrativa de carácter sancionatorio”.

SEGUNDO: Que en la parte motiva de la Resolución No. 59153 del 15 de septiembre de 2021, expedida por esta Dirección a través del Grupo de Trabajo de Hábeas Data, y de cara a la denuncia presentada ante esta Superintendencia por la Titular xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, identificada con la cédula de ciudadanía No. xx.xxx.xxx; en contra de la sociedad ARDISA S.A., identificada con NIT. 890.200.050-6, se consideró lo siguiente: “(…) Así las cosas, la sociedad investigada en su escrito de explicaciones, manifestó que ‘(…) La señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx no figura como cliente nuestro, motivo por el cual no contamos con registro de sus datos personales en nuestra compañía a título de cliente, sin embargo, dicha señora prestó sus servicios personales para nuestra compañía a través de un contrato laboral como trabajador en misión durante un periodo de tiempo, motivo por el cual, sus datos como tal eran conocidos y reposan en nuestros archivos (…)’[8].

Frente a lo anterior, este Despacho no encuentra dentro del acervo probatorio disponible, soporte de la copia de la autorización previa y expresa otorgada por la Titular para el tratamiento de sus datos personales. Al respecto, la sociedad ARDISA S.A., allega copia de los formatos de inscripción cliente ARDISA dentro del cual se incluye la autorización para efectos de tratamiento de sus datos personales, mas sin embargo no allega copia de la autorización previa y expresa suscrita por la Titular xxxxxxxxxxxxxxxxxxxxxxxxx.

Ahora bien, la reclamante dentro de su reclamación indicó: ‘(…) Solicito me retire de la base de datos de Ardisa hasta aclarar estos hechos si en el futuro se requiere un vínculo comercial personalmente lo haré (…)’[9]. Dado dicha solicitud, esta Superintendencia ofició a la sociedad denunciada para que se pronunciara sobre los hechos materia de la denuncia y que ‘en caso de ser procedente, acreditara prueba mediante la cual se demuestre que se eliminó, actualizó, o corrigió la información del Titular de la información’[10].

Frente a dicho requerimiento, la sociedad investigada en su escrito de explicaciones manifestó que ‘(…) Desde cuando conocimos que se había afectado a la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, es decir, a finales del año 2020 procedimos a reversar todos los documentos que se habían expedido, retiramos, de manera ilícita a su nombre, tarea que precisamente se logró con la ayuda de la misma señora xxxxxxxxxxxxxx quien mantuvo contacto directo con nuestro personal de contabilidad (…)’[11].

Adicionalmente señala ‘(…) Una vez nos enteramos del reclamo por la “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” titular, su información en el sistema de ARDISA fue marcada como bloqueado y se le informó a la señora xxxxxxx según su solicitud (…)’. Sin embargo, a pesar de mencionar que se bloqueó la información de la reclamante, este Despacho no encuentra dentro del acervo probatorio, prueba técnica que soporte lo mencionado por la sociedad investigada.

(…)

8.2. RESPECTO DEL TRÁMITE A SEGUIR CUANDO EL TITULAR DE LA INFORMACIÓN O SUS CAUSAHABIENTES PRESENTE UNA PETICIÓN FRENTE AL RESPONSABLE DEL MANEJO DE SU INFORMACIÓN. (…) En el caso en particular, encuentra este Despacho que la Titular de Información afirma que envió derecho de petición solicitando explicación respecto de la situación de suplantación personal presentada dentro de la compañía. Adicionalmente allega soporte de dicha petición enviada el día 11 de septiembre de 2020, a las direcciones electrónicas: xxxxxxxxx@ardisa.com.co y xxxxxxxxxxxxx@ardisa.com.co14, adjuntando copia del correo enviado.

Por su parte, la sociedad investigada informa que ‘(…) Pese a lo anterior, a la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, formalmente no se le comunicó sobre el resultado final y la eliminación de los documentos y facturas que ilícitamente habían sido expedida a su nombre, sin embargo, insistimos, dicha señora conocía que nuestra compañía venía realizando la revisión y eliminación por lo ocurrido (…)’[15].

Adicionalmente, señala que ‘(…)El día 22 de abril de 2021 procedimos a comunicarle a la señora xxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxx sobre las actuaciones que realizamos desde el año 2020 con relación a los documentos emitidos por nuestra compañía, indicándole los motivos por los cuales se dio el trámite y los resultados finales, garantizándole que dicha documentación y cualquier reporte al interior de nuestra compañía había sido eliminado, finalmente le ofrecimos disculpas por tan desafortunado episodio(…)’[16].

Ahora bien, este Despacho procedió a revisar las pruebas obrantes en el plenario y evidencia que la titular allegó los pantallazos de los correos electrónicos, a través de los cuales remitió las peticiones realizadas al Responsable de información los días 11 y 29 de septiembre de 2020. De igual manera, se evidencia que la sociedad investigada brindó respuesta el día 06 de octubre de 2020, informando que se encontraban realizando las diligencias correspondientes, solicitando espera a la Titular, para allegar la respuesta.

Igualmente, señala que ‘(…) El día 22 de abril de 2021 procedimos a comunicarle a la señora xxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxx sobre las actuaciones que realizamos desde el año 2020 con relación a los documentos emitidos por nuestra compañía, indicándole los motivos por los cuales se dio el trámite y los resultados finales, garantizándole que dicha documentación y cualquier reporte al interior de nuestra compañía había sido eliminado, finalmente le ofrecimos disculpas por tan desafortunado episodio(…)’[17].

(…) Con base en ello, se entiende que frente a la primera petición presentada por la titular el día 11 de septiembre de 2020, el término para dar respuesta se cumplía el día 29 de octubre de 2020, razón por la que este Despacho concluye que la respuesta no fue otorgada dentro del término establecido en dicho cuerpo normativo, puesto que la respuesta fue dada el día 21 de abril de 2021, es decir 6 meses después. Así mismo, teniendo en cuenta el contenido de la petición realizada por la Titular, se encuentra que se solicitan dos cosas i. el reenvio de todas las facturas de compras que relacionó en el correo, y ii. el envio de la copia de la autorización previa y expresa.

Ahoroa (sic) bien, teniendo claro las pretensiones de la Titular, y la repuesta recibida por parte de la sociedad investigada del 22 de abril de 2021, este Despacho evidencia que no se brindó una explicación de fondo a la Titular, más allá de indicarle que se habían reversado las notas de crédito, anulando las facturas que generaron el cobro, sin embargo no se pronuncian respecto a la entrega de la documentacion solicitada, entendiendose entonces que la respuesta brindada a la Titular no fue completa.

(…) “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas”

8.3. SEGURIDAD DE PERSONALES LA INFORMACIÓN EN EL TRATAMIENTO DE DATOS (…) En el presente caso, se encuentra que la reclamante afirma que la confidencialidad y seguridad de la información de sus datos personales, en concreto la referida a sus datos de contacto e identificación, fue violada, situación que la sociedad ARDISA S.A., reconoce cuando señala: ‘(…) fuimos víctimas de los empleados que abusaron de la confianza y utilizaron la información de la titular xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx para hacer ventas a su nombre.

En el denuncio penal se comprueba lo expuesto y se menciona textualmente el caso de esta señora. La señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx no figura como cliente nuestro, motivo por el cual no contamos con registro de sus datos personales en nuestra compañía a título de cliente, sin embargo, dicha señora prestó sus servicios personales para nuestra compañía a través de un contrato laboral como trabajador en misión durante un periodo de tiempo, motivo por el cual, sus datos como tal eran conocidos y reposan en nuestros archivos (…)’[19].

Sobre el particular, en comunicación enviada el día 26 de julio de 2021, se requirió a la sociedad Informar las políticas internas de seguridad de la información bajo las cuales conservan la información del titular para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento20; frente a lo cual indicó: Para proteger la información de los usuarios y clientes tenemos las siguientes medidas: • Los clientes de contado se crean en el sistema de ventas club de clientes donde se registran sus datos según su autorización escrita e informada del cliente y se les asigna un código de cliente frecuente al que solo puede acceder el vendedor asignado a ese cliente para realizar las ventas según solicitud del mismo cliente • Los clientes de crédito se crean en el departamento de cartera donde se registran sus datos con la autorización firmada del cliente al que solo tienen acceso los funcionarios del departamento de cartera con códigos de usuarios restringidos y a cada cliente se le asigna un código al que tiene acceso el vendedor asignado al cliente para atender sus ventas según su solicitud. • La información de los empleados reposa en las bases de datos del departamento de nómina y solo tiene acceso el personal autorizado del departamento con claves de acceso. • La información de contratistas y proveedores reposan en las bases de datos del departamento de compras y contabilidad y solo tiene acceso a esta información el personal autorizado que interviene en los procesos relacionados con esta información con sus claves de acceso como compras, pagos, ect.

Igualmente, respecto de la situación origen de la presente actuación administrativa, la sociedad investigada manifiesta que ‘(…) fuimos víctimas de los empleados que abusaron de la confianza y utilizaron la información de la titular xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx para hacer ventas a su nombre. En el denuncio penal se comprueba lo expuesto y se menciona textualmente el caso de esta señora.

La señora xxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxx no figura como cliente nuestro, motivo por el cual no contamos con registro de sus datos personales en nuestra compañía a título de cliente, sin embargo, dicha señora prestó sus servicios personales para nuestra compañía a través de un contrato laboral como trabajador en misión durante un periodo de tiempo, motivo por el cual, sus datos como tal eran conocidos y reposan en nuestros archivos (…)”.

Adicionalmente, agrega que ‘(…) Una vez nos enteramos del reclamo por la titular, su información en el sistema de ARDISA fue marcada como bloqueado y se le informó a la señora xxxxxxx según su solicitud (…)’[21]. Pues bien, este Despacho encuentra que la entidad investigada reconoce que la información de la titular fue accedida por empleados propios, presentándose una violación a la seguridad y confidencialidad de los datos de la titular, ya que se expuso a terceros información semiprivada, sin la autorización de la reclamante.

Dado lo anterior, este Despacho procedió a revisar la evidencia aportada al expediente respecto a la seguridad de la información, encontrando que tienen un proceso para la inscripción de clientes, así mismo respecto al personal laboral, se evidencia que los contratos laborales cuentan con una cláusula de confidencialidad y un anexo que profundiza en los deberes y cargas respecto al principio de confidencialidad.

Adicionalmente, se allega “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” soporte probatorio respecto a las inducciones en materia de habeas data, realizadas al personal de trabajo. A pesar de las medidas de seguridad implementadas estas, no fueron implementadas conforme al tipo de bases de datos que se manejan, y a la operación de la compañía. De acuerdo con el acervo probatorio, encuentra este Despacho que la sociedad investigada no logra demostrar que la información la titular está sometida a condiciones de seguridad y confidencialidad.

En tal sentido, esta Dirección encuentra que el ARDISA S.A., posiblemente infringió el deber contenido en el literal d) del artículo 17 de la Ley 1581 de 2012”.

TERCERO: Que, dentro de la actuación administrativa adelantada por el Grupo de Trabajo de Hábeas Data, se recolectaron, entre otros, los elementos materiales probatorios que se enlistan a continuación: 3.1 Comunicación presentada ante esta Superintendencia, radicada con el número 20-43214500000 del 17 de noviembre de 2020, mediante la cual la Titular xxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxx, puso en conocimiento de este Despacho que la sociedad ARDISA S.A., identificada con NIT. 890.200.050-6, se comunicó con ella para confirmar el recibió de un televisor, a lo que la Titular respondió que no había adquirido el mencionado producto.

La Titular presentó una petición el día 31 de octubre de 2020, en la que solicitó el reporte de las compras realizadas a su nombre en los años 2019 y 2020. La Titular indicó que la sociedad referida no dio respuesta a su petición. 3.2 Oficio número 20-432145-00003 del 13 de abril de 2021, mediante el cual esta Dirección a través del Grupo de Trabajo de Hábeas Data, le solicitó a la sociedad ARDISA S.A. que atendiera los siguientes requerimientos: i) “Acreditar prueba de la autorización (previa e informada) otorgada por el Titular de la información para el tratamiento de sus datos personales”, ii) “En caso de contar con la respectiva autorización, aportar prueba mediante la cual se informe al Titular de información la finalidad de la recolección y los derechos que le asisten en virtud de la autorización otorgada” y; iii) “Informar si el Titular ha presentado una reclamación o petición ante ustedes”. 3.3 Comunicación presentada con radicado número 20-432145-00004 del 26 de abril de 2021, mediante el cual la sociedad ARDISA S.A. respondió el requerimiento mencionado en el numeral anterior, indicando lo siguiente: “(…) 1.

Nuestra compañía es propietaria de un establecimiento de comercio conocido como CARPICENTRO ARDISA BARRANQUILLA en la ciudad de Barranquilla, donde comercializamos nuestros productos de tiempo atrás. 2. En el mes de agosto de 2020 y a causa de recibir una llamada de un cliente, quienes solicitaron explicación a la expedición de una factura por parte de nuestra compañía, pudimos determinar que al interior de nuestro establecimiento de comercio se estaban cometiendo actos ilícitos consistentes en falsificación de facturas, hurto continuado de mercancía y dinero por parte, presuntamente, de varios empleados nuestros. 3.

Con base en lo anterior, procedimos a realizar la investigación interna para determinar: el modus operandi, el valor de la mercancía hurtada, el valor de los dineros, los documentos falsificados y los clientes afectados, pudiendo determinar que la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx fue una de las personas afectadas. 4. La señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx no figura como cliente nuestro, motivo por el cual no contamos con registro de sus datos personales en nuestra compañía a título de cliente, sin embargo, dicha señora prestó sus servicios personales para nuestra compañía a través de un contrato laboral como trabajador en misión durante un periodo de tiempo, motivo por el cual, sus datos como tal eran conocidos y reposan en nuestros archivos. 5.

Desde cuando conocimos que se había afectado a la señora xxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxx, es decir, a finales del año 2020 procedimos a reversar todos los documentos que se habían expedido, reiteramos, de manera ilícita a su nombre, tarea que precisamente se logró con la ayuda de la misma señora xxxxxxxxxxxxxx quien mantuvo contacto directo con nuestro personal de contabilidad. 6.

Pese a lo anterior, a la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, formalmente no se le comunicó sobre el resultado final y la eliminación de los documentos y facturas que ilícitamente habían sido expedida a su nombre, sin embargo, insistimos, dicha señora conocía que nuestra compañía venía realizando la revisión y eliminación por lo ocurrido. 7.

El día 22 de abril de 2021 procedimos a comunicarle a la señora xxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxx sobre las actuaciones que realizamos desde el año 2020 con relación “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” a los documentos emitidos por nuestra compañía, indicándole los motivos por los cuales se dio el trámite y los resultados finales, garantizándole que dicha documentación y cualquier reporte al interior de nuestra compañía había sido eliminado, finalmente le ofrecimos disculpas por tan desafortunado episodio. 8.

Todo lo anterior obedeció, como se evidencia en los documentos aportados a esta investigación, a hechos ilícitos cometidos por personas que si bien, prestaban sus servicios a nuestra compañía, no nos representan, sino precisamente en la búsqueda de lograr sus intereses particulares de apropiarse de mercancías y dineros cometieron actos ilícitos que permearon y dañaron no solo nuestra empresa económica y reputacionalmente sino a terceros. 9.

Finalmente, a hoy se encuentra subsanada cualquier situación que tenga relación con la información que reposaba en nuestra compañía de la señora xxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxx y así se le ha comunicado a la señora. (…)”. 3.4 Oficio número 20-432145-00006 del 26 de julio de 2021, mediante el cual esta Dirección, a través del Grupo de Trabajo de Hábeas Data, requirió nuevamente a la sociedad ARDISA S.A. para que aportara la siguiente información: i) “Informar las políticas internas de seguridad de la información bajo las cuales conservan la información del titular para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”, ii) “Se sirva manifestar a este Despacho, ¿Qué medidas de seguridad se tomaron de manera internar para contener el incidente de seguridad relacionado con los datos personales de la Titular?”, iii) “Informar que tipo de vinculación laboral tenían si las personas involucradas en el incidente de seguridad, y las funciones que desempeñaban”, iv) “Adicionalmente, allegar copia de las cláusulas de confidencialidad suscritas por las personas involucradas”, v) “Finalmente, sírvase a informar y allegar informe de las capacitaciones e instrucciones dadas al personal involucrado, en materia de datos personales”. 3.5 Comunicación presentada ante esta Superintendencia, radicada con el número 20- 43214500007 del 03 de agosto de 2021, mediante la cual, la sociedad ARDISA S.A. respondió al requerimiento referenciado en el numeral 3.4 e informó lo siguiente: “(…) Como se informó en anterior requerimiento, fuimos víctimas de los empleados que abusaron de la confianza y utilizaron la información de la titular xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx para hacer ventas a su nombre.

En el denuncio penal se comprueba lo expuesto y se menciona textualmente el caso de esta señora. La señora xxxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxx no figura como cliente nuestro, motivo por el cual no contamos con registro de sus datos personales en nuestra compañía a título de cliente, sin embargo, dicha señora prestó sus servicios personales para nuestra compañía a través de un contrato laboral como trabajador en misión durante un periodo de tiempo, motivo por el cual, sus datos como tal eran conocidos y reposan en nuestros archivos.,.

Una vez nos enteramos del reclamo por la titular, su información en el sistema de ARDISA fue marcada como bloqueado y se le informó a la señora xxxxxxx según su solicitud. Para proteger la información de los usuarios y clientes tenemos las siguientes medidas: - Los clientes de contado se crean en el sistema de ventas club de clientes donde se registran sus datos según su autorización escrita e informada del cliente y se les asigna un código de cliente frecuente al que solo puede acceder el vendedor asignado a ese cliente para realizar las ventas según solicitud del mismo cliente -Los clientes de crédito se crean en el departamento de cartera donde se registran sus datos con la autorización firmada del cliente al que solo tienen acceso los funcionarios del departamento de cartera con códigos de usuarios restringidos y a cada cliente se le asigna un código al que tiene acceso el vendedor asignado al cliente para atender sus ventas según su solicitud. -La información de los empleados reposa en las bases de datos del departamento de nómina y solo tiene acceso el personal autorizado del departamento con claves de acceso la información de contratistas y proveedores reposan en las bases de datos del departamento de compras y contabilidad y solo tiene acceso a esta información el personal autorizado que interviene en los procesos relacionados con esta información con sus claves de acceso como compras,, pagos, ect.

(sic) (…) Se bloquearon los datos del titular en nuestro sistema de manera que no se podrá usar su información para ninguna transacción no autorizada por ella, se le anularon contablemente “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” en la vigencia 2020 todas las operaciones a su cédula que realizaron fraudulentamente por los involucrados en el robo y se le enviaron las notas crédito para no afectar su cédula fiscalmente, se le informó y ofreció disculpas por el incidente en el que fue víctima al igual que nosotros.

A nivel interno se le hizo reinducción al personal sobre el manejo de datos personales y se expuso textualmente este caso para que nunca más pudiera ocurrir con otro usuario, asi (sic) como se restringió el acceso únicamente a los administradores de puntos de venta para que sean estos quienes asignan los códigos de clientes y controlen que estos tengan autorización para el tratamiento de sus datos personales 3.

Informar que tipo de vinculación laboral tenían si las personas involucradas en el incidente de seguridad, y las funciones que desempeñaban. Los involucrados eran empleados de ARDISA con contrato laboral vigente a la fecha del incidente. xxxxxxxxxxxxxxxxxxxxxxx y xxxxxxxxxxxxxxxx Ambos vendedores de mostrador y las funciones se relacionan en el manual de funciones adjunto a este documento.

Se adjuntan también los contratos laborales 4. Adicionalmente, allegar copia de las cláusulas de confidencialidad suscritas por las personas involucradas. R/ En los contratos laborales se socializan, explican y firman los permisos para tratamiento de datos personales y se socializa y divulga al personal por áreas las cláusulas del manejo de la información confidencial que pueden llegar a tener de clientes, contratistas y otros agentes involucrados con la operación. Adjunto los modelos que se manejan en estos casos. 5.

Finalmente, sírvase a informar y allegar informe de las capacitaciones e instrucciones dadas al personal involucrado, en materia de datos personales. R/ Adjunto soporte de capacitaciones generales del cargo donde en la inducción corporativa se les capacita en ● Licencias y permisos. ● Ley 1581 de 2012 sobre el tratamiento de datos personales ● Politicas (sic) Internas de seguridad de la información en ARDISA ● Tratamiento de datos personales ● Aviso de privacidad y Medidas de seguridad para manejo de información de datos personales de clientes Adicional en la inducción del módulo de cartera se les instruye en el manejo de la información en la solicitud de crédito y en el módulo de ventas se instruye en la fidelización de clientes en el programa club de clientes que incluye manejo de información de clientes y autorización de datos personales.

Se adjunta folleto de capacitación y formato club de clientes donde se visualizan los campos de autorización de manejo de información de los clientes”.

CUARTO: Que, con base en la denuncia y en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en i) el literal b) del artículo 17 de la Ley 1581 de 2012, el literal c) del artículo 4 y el artículo 9 de la precitada ley; en concordancia con los artículos 2.2.2.25.2.2. y 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015, ii) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma y; iii) el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la precitada norma, se inició la presente investigación administrativa mediante la expedición de la Resolución No. 81954 del 21 de noviembre de 2022, por medio de la cual se formularon TRES (3) cargos a la sociedad ARDISA S.A., identificada con NIT. 890.200.050-6.

Acorde con la certificación con radicado 22-446505-00008 del 6 de diciembre de 2022 emitida por la Secretaria Ad-Hoc de esta Superintendencia, la mencionada resolución fue notificada electrónicamente el 23 de noviembre de 2022 a la investigada, por conducto de su representante legal, para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada el 22 de noviembre de 2022 a la denunciante.

QUINTO: Que, mediante las comunicaciones con radicados 22-446505-00009 y 22-446505-00010 del 14 de diciembre de 2022, la sociedad ARDISA S.A., a través de su apoderado, presentó descargos y las pruebas a hacer valer dentro de esta actuación administrativa. Los argumentos que expuso la investigada en descargos son los siguientes: 5.1 Como hechos relevantes expuso que en el año 2018 la sociedad ARDISA S.A. adquirió un punto de venta denominado CARPICENTRO ARDISA BARRANQUILLA para el cual contrató los señores xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, xxxxxxxxxxxxxxxxxxxxxxxxxxxxx y “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, posteriormente a la señora xxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxx.

La Titular xxxxxxxxxxxxxxxxxxxxxxxxxxxxx prestó sus servicios en misión mediante contrató laboral que suscribió el 5 de octubre de 2018 y estuvo vigente hasta noviembre de 2018 por retiró voluntario de la Titular. Y agregó lo siguiente: “SEXTO: En el año 2018, con la creación del nuevo punto de venta CARPICENTRO ARDISA BARRANQUILLA se implementó el programa ‘Club de clientes’ en esta sede.

El programa está dirigido a los compradores habituales y consiste en que las personas que tuviesen mayor número de compras, dentro del semestre del año podrían concursar para ganar premios. Para esta misma fecha se encontraba como administrador del punto CARPICENTRO ARDISA BARRANQUILLA el asesor comercial xxxxxxxxxxxxxxxxxxxxxx xxxxxxx, como cajera, la asesora comercial xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx y como vendedora, la asesora comercial xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx.

SÉPTIMO: Una de las acciones que se realizaba dentro del programa de ‘Club clientes’ consistía en la realización de una llamada para conocer la satisfacción del ganador, con posterioridad a la entrega del premio, motivo por el cual, el día 31 de agosto de 2020, la practicante de mercadeo xxxxxxxxxxxxxxxxxxxxx, realizó llamada a la línea de teléfono XX XXXXXXX que se había registrado en la lista de ganadores por compra.

OCTAVO: En el transcurrir de la llamada de seguimiento que realizó XXXXXXXXXX XXXXXXX, practicante de mercadeo, se estableció por la manifestación del interlocutor, que el supuesto ganador era la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, que nunca había recibido premios por compras en ARDISA S.A, que, por el contrario, nunca ha sido cliente de ARDISA S.A. y que en el 2018 prestó servicios en misión a la compañía de acuerdo a lo relatado en el hecho primero y segundo.

NOVENO: Posteriormente, entre los meses de septiembre y octubre de 2020 la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx envió varios correos electrónicos al departamento de facturación e inventarios y a cartera de ARDISA S.A, solicitando actualización de los datos, copia de las facturas que se generaron a su nombre durante el 2019 y 2020, corrección y reasignación del código de facturación, eliminación de su información de la base de datos, prueba de la autorización otorgada y un certificado de exoneración tributaria y fiscal por las facturas.

(…)

DÉCIMO PRIMERO: De manera concomitante al envío de las primeras respuestas de las solicitudes de la señora xxxxxxxxxxxxxxx, y al tener conocimiento por parte de ARDISA S.A de las inconsistencias en el sistema de ventas en el punto CARPICENTRO ARDISA BARRANQUILLA, no sólo por el caso de la denunciante sino debido a la existencia de facturas duplicadas, se inició investigación interna, con la notificación emitida por la Coordinación de Recursos Humanos de ARDISA S.A llamando a rendir descargos a xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx y xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx.

Adicionalmente se reportó el hecho a la temporal GENTE UTIL S.A, por lo que también se citó a descargos a xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, por parte de la temporal.

DÉCIMO SEGUNDO: Como resultado de la investigación interna se constató, que los tres ex empleados usaban los vouchers de pago realizados con tarjeta de crédito y débito de una sola y única compra de un cliente (real) para posteriormente crear facturas que no correspondían a compras realizadas por las personas a quienes se registraban estas facturas y que nunca fueron registrados como clientes en el sistema de ARDISA S.A, pues, la mercancía de estas ventas eran entregadas a otras personas que no solicitaban facturas y realizaban pagos en efectivo, pero el dinero de estos pagos nunca llegaron a depositarse o entregarse a las cuentas bancarias o de dinero de ARDISA S.A, por lo que se afirma que los mencionados ex trabajadores no solo presuntamente defraudaron el sistema de facturación, manipulando la información, sino que, presuntamente hurtaron artículos y dineros de la compañía que represento.

Sobre esto, se resalta que ha ocasionado perjuicios económicos y del funcionamiento de ARDISA S.A.

DÉCIMO TERCERO: Una vez esclarecidos los hechos que dieron origen a la reclamación presentada por la señora xxxxxxxxxxxxxxx mediante investigación referida en el anterior relato fáctico, se procedió el pasado 02 de diciembre de 2020 a presentar denuncia formal y escrita ante la Fiscalía seccional Bucaramanga, solicitando investigación penal en contra de xxxxxxxxxxxxxxxxxxxxxxxxxxxxx, xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx y xxxxxxxxxxxxxxxx “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” xxxxxxxxxxxxxxxxxxxx por los delitos de concierto para delinquir, hurto agravado por la confianza y falsificación de documento privado, como se evidencia en la denuncia con radicado No. xxxxxxxxxxxxxx.

(…)”. 5.2 La sociedad ARDISA S.A. ha implementado un Programa Integral de Gestión de Datos Personales, atendiendo a la guía sobre responsabilidad demostrada de la Superintendencia de Industria y Comercio, encontrándose, entre otras, dentro de este programa: i) el nombramiento desde el año 2018 de un oficial de protección de datos personales y de un comité consultivo, ii) la creación e implementación de un manual de políticas y procedimiento para el cumplimiento de la ley 1581 de 2012, iii) la política de tratamiento de la información, iv) el procedimiento para la gestión de incidentes de seguridad, iv) el procedimiento para la gestión de consultas y reclamos, v) el aviso de privacidad y de videovigilancia, vi) el protocolo de protección de datos personales, vii) acuerdos de confidencialidad y; viii) capacitaciones y formación en materia de protección de datos personales. 5.3 El único Tratamiento de datos personales de la Titular que se efectuó fue de forma ilícita, al suplantar la Titular, realizar ventas fraudulentas y al falsificar facturas, por parte de los señores xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx y xxxxxxxxxx xxxxxxx, quienes fueron investigados internamente por la sociedad ARDISA S.A. y por los resultados obtenidos en la investigación, fueron despedidos y contra ellos la compañía interpuso una denuncia penal. 5.4 La dirección electrónica xxxxxxxxxxxxxxxxxxxxxxxx registrada “fue creado en medio de la conducta presuntamente ilícita, de suplantación, falsificación de facturas, alteración del sistema contable de las que fue víctima la señora xxxxxxxxxxxxxxxxxxx y la compañía que represento”, de manera que es falsa y la dirección electrónica real de la Titular es xxxxxxxxxxxxxxxxxxxxxxxxxx. 5.5 Al revisarse “los logs desde el control maestro y los registros del sistema” se halló que el señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxx, presunto autor de las conductas ilícitas, ingresó los datos de la Titular “al sistema de facturación y registro de venta fue el código de usuario caja No. 1401, el cual había sido asignado al mencionado ex trabajador”. 5.6 Los señores xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx y xxxxxxxxxxxxxx fueron contratados tercerizadamente, desde octubre de 2018, por lo cual se conocían de tiempo atrás y “se deduce que los ex trabajadores no accedieron a la información que reposaba en las bases de datos de ARDISA S.A, sino de manera deliberada, personal, particular y libre, con intenciones de defraudar el sistema de la compañía que represento”. 5.7 El único Tratamiento que realizó la sociedad ARDISA S.A. de manera “consciente, real y bajo la calidad de responsable (…) a los datos personales de la denunciante, se dio en el escenario de la relación de tipo laboral bajo la categoría de servicio en misión, para lo cual se contaba con autorización”. 5.8 Respecto al segundo cargo, manifestó: “(…) ARDISA S.A. conserva la información bajo condiciones de seguridad, que han sido diseñadas e implementadas de manera transversal y horizontal al ciclo de vida del dato, en cada una de las bases de datos administradas por la compañía que represento, es decir aplicables al proceso de Recolección, de Almacenamiento, de Uso y de supresión, especialmente en los datos clientes, también llamada Club de Clientes.

Esta base de datos se trata conforme a lo establecido en el Manual de Políticas y procedimientos Habeas Data ARDISA; resaltando las siguientes medidas disponibles: (…)”. 5.9 En el manual de políticas y procedimientos de hábeas data se establecen medidas de seguridad y de circulación restringida, de manera que “gestiona la información personal bajo un sistema controlado, cerrado e interno, relacionada solo con los procesos de la empresa”. 5.10 La compañía ha llevado a cabo “de manera permanente procesos de sensibilización con los trabajadores y demás colaboradores frente al tratamiento de la información personal.

Del “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” mismo modo, en el proceso de contratación laboral se integran cláusulas de confidencialidad y tratamiento de datos personales”. 5.11 La sociedad ARDISA S.A. ha implementado medidas de seguridad robustas; sin embargo, en caso de conductas fraudulentas por parte de personas malintencionadas “es apenas natural que puedan lastimar los procesos y que resulten afectados los datos que se involucran en los mismo, lo cual ante la luz de las actividades de tratamiento de dato personales, resultan inevitable y para dimensionar tal situación”. 5.12 Como consecuencia de la situación presentada, se documentó la gestión y mitigación de lo sucedido a través de: “(…) ● Bloqueo de la información personal de la xxxxxxxxxxx como se revisa en el Anexo.03.

Registro de ventas - xxxxxxxxxxxxx ● Indagación interna que trajo como consecuencia la citación a descargos y terminación del contrato a través del despido con justa causa de los ex trabajadores mencionados. Anexo 14. Descargos ● Denuncia Penal Anexo 01. Denuncia penal 02-12-2022 ● Se informó a xxxxxxxxxxxxxxxx sobre la realización de la investigación interna de los ex empleados implicados.

Anexo 04. Comunicaciones de correo con xxxxxxx ● Se procedió a la eliminación de las facturas a través de notas de crédito Anexo 06 y Anexo 07. ● También se emitió por un certificado por parte del revisor fiscal, según Anexo 25. Certificación del revisor fiscal. (…) ● Se aporta como prueba el Anexo 28. Reportes incidentes de seguridad. (…)”. 5.13 Cuando la Titular presentó la solicitud a la sociedad ARDISA S.A., la dirección electrónica dispuesta para que los Titulares ejercieran sus derechos “era mercadeo@ardisa.com.co y en la actualidad corresponde al correo electrónico: habeasdata@ardisa.com.co”; sin embargo, la Titular efectuó su solicitud a las direcciones electrónicas XXXXXXXXXXXXXXXXXXXXX y XXXXXXxXXXXXXXXXXXXX y agregó que “estos canales no están establecidos para hacer solicitudes relacionadas con datos personales, según se establece en la política de datos personales y los avisos de privacidad antes mencionados”. 5.14 La sociedad ARDISA S.A. siempre estuvo dispuesta a dar respuesta de fondo a la Titular con todos los elementos suficientes, de cara a la verdad y la transparencia, por lo que la empresa realizó una serie de averiguaciones previas y finalmente, así fuera extemporáneamente, dio respuesta a las comunicaciones de la Titular y el 21 de septiembre de 2021 se le dio respuesta de fondo a cada solicitud de la Titular.

Agregó, que se atendió todo lo requerido por la Titular de la información, a pesar que sus solicitudes no solo estaban relacionadas con su hábeas data sino también con aspectos contables y tributarios.

SEXTO: Que, mediante la Resolución No. 14717 del 28 de marzo de 2023, se incorporaron las obrantes a la fecha en el expediente 22-446505 del consecutivo 22-446505-00000 al 22-44650500010 y las demás pruebas que oportuna y en debida forma fueran allegadas a esta actuación administrativa, con el valor probatorio que les corresponde, y se corrió traslado para alegatos de conclusión a la sociedad ARDISA S.A. La antedicha resolución fue comunicada el 29 de marzo de 2023 a la sociedad ARDISA S.A., por conducto de su apoderado, como consta en la certificación con radicado 22-446505-00014 del 10 de abril de 2023 expedida por la Secretaría General Ad-Hoc de esta Superintendencia.

SÉPTIMO: Que, mediante las comunicaciones con radicados 22-446505-00015, 22-446505-00016 y 22-446505-00017 del 13 de abril de 2023, la sociedad ARDISA S.A. sintetizó los argumentos expuestos en descargos1. Obrantes en los radicados 22-446505-00009 y 22-446505-00010 del 14 de diciembre de 2022. “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas”

OCTAVO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

NOVENO: Análisis del caso 9.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20112, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del Tratamiento respecto del manejo de los datos personales de los Titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por los investigados se concreta en la posible vulneración de los deberes previstos en: i) el literal b) del artículo 17 de la Ley 1581 de 2012, el literal c) del artículo 4 y el artículo 9 de la precitada ley, en concordancia con los artículos 2.2.2.25.2.2. y 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015, ii) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma y; iii) el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la precitada norma.

En ese orden de ideas, corresponde a este Despacho establecer si las conductas desplegadas por la investigada darán lugar o no a la imposición de sanciones para lo cual se deberán tener en cuenta los argumentos que expuso en descargos y alegatos de conclusión la investigada, así como en el conjunto de pruebas allegadas al expediente. 9.2 Valoración probatoria y conclusiones A continuación, se realizará un análisis del cargo imputado a la investigada en la presente actuación, así como el acervo probatorio recaudado, para establecer si se presentó una infracción al Régimen de Protección de Datos Personales. 9.2.1 Respecto del deber de solicitar y conservar la autorización previa, expresa e informada del Titular El artículo 15 de la Constitución Política establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos.

El artículo 4 de la Ley 1581 de 2012, contempla los principios para el Tratamiento de datos personales, entre los cuales se encuentra el principio de libertad, al disponer: “Artículo 4°. Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

“Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” (…) c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento;

(…)”. Sobre este principio, la Corte Constitucional en sentencia C-748 del 6 de octubre de 2011, por medio de la cual realizó el estudio de constitucionalidad del proyecto de ley estatutaria que posteriormente se convirtió en la Ley 1581 de 2012, señaló lo siguiente: “Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su ‘imagen informática’”.

El principio de libertad es desarrollado, entre otros, por el artículo 9 y el literal b) del artículo 17 de la Ley 1581 de 2012. El primero de ellos señala que “[s]in perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior”.

En el segundo se expresa que es deber de los Responsables del Tratamiento “[s]olicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”. Así, en virtud del principio de libertad, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la Ley 1581 de 2012 y, además, el deber de solicitar y conservar copia de la autorización de Tratamiento otorgado por el mismo, dispuesto en el literal b) del artículo 17 del mismo compendio normativo.

Al respecto, la Corte Constitucional mediante la sentencia C-748 de 2011 expresó: “En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación: (i) Solicitar y conservar la autorización para el tratamiento del dato –en los términos descritos previamente, lo que se ajusta plenamente al principio de libertad y consentimiento expreso del titular del dato ( )”. También, en sentencia T-987 de 2012, la Sala Novena de Revisión de la Corte Constitucional señaló: “La autorización será compatible con el derecho de hábeas data cuando la misma es idóneas para garantizar las facultades de conocimiento, actualización y rectificación, al igual que la cláusula general de libertad.

Esto significa que sujeto concernido manifiesta su consentimiento de tratamiento del dato (i) para que sea consignado en una base o registro de datos particular e identificable; y (ii) para unas finalidades y usos que son expresos y puestos a consideración del Titular del dato, como condición previa para el otorgamiento de la autorización. Este requisito, por ende, implica que son violatorias del derecho de hábeas data de aquellas formas de recopilación de información personal que sean secretas o que se “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” fundamentan en desnaturalizar o falsear la voluntad del sujeto concernido para la incorporación del dato personal”.

(Se subraya fuera de texto) Además de lo anterior, en el Decreto Único Reglamentario 1074 de 2015 se dispone lo siguiente: “Artículo 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales serán recolectados así como todas las finalidades específicas del Tratamiento para cuales se obtiene consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento. (…)

ARTÍCULO 2. 2.2.25.2.4. Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quién se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgo la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca”.

En este mismo sentido, la Corte Constitucional señaló lo siguiente: “La libertad en la administración de datos personales significa que el sujeto concernido mantenga, en todo momento, las facultades de conocimiento, actualización y rectificación de la información personal contenida en las bases de datos. Si ello es así, es evidente que la libertad del individuo ante el poder informático se concreta, entre otros aspectos, en la posibilidad de controlar la información personal que sobre sí reposa en las bases de datos, competencia que está supeditada a que exprese su consentimiento para la incorporación de la información en el banco de datos o archivo correspondiente.

Este ejercicio de la libertad en los procesos informáticos, a juicio de la Corte, se concreta en la exigencia de autorización previa, expresa y suficiente por parte del titular de la información, requisito predicable de los actos de administración de datos personales de contenido comercial y crediticio. La eliminación del consentimiento del titular, adicionalmente, genera una desnaturalización del dato financiero, comercial y crediticio, que viola el derecho fundamental al hábeas data, en tanto restringe injustificadamente la autodeterminación del sujeto respecto de su información personal.

Para la Constitución, la libertad del sujeto concernido significa que la administración de datos personales no pueda realizarse a sus espaldas, sino que debe tratarse de un proceso transparente, en que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación. La eliminación de la autorización previa, expresa y suficiente para la incorporación del dato en los archivos y bancos de datos administrados por los operadores permite, en últimas, la ejecución de actos ocultos de acopio, tratamiento y divulgación de información, operaciones del todo incompatibles con los derechos y garantías propios del hábeas data”3.

Ver en: Corte Constitucional Sentencia C-748 del 6 de octubre de 2011, MP: Jorge Ignacio Pretelt Chaljub. “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” En virtud de lo expuesto, es importante aclarar que el consentimiento es un elemento esencial en el manejo de la administración de los datos, y que el mismo debe ser calificado, por cuanto debe ser previo, expreso e informado, así pues, el Titular antes de expresar su consentimiento debe conocer las finalidades para las cuales serán tratados sus datos, con el fin de autorizar su conservación, uso y circulación según lo informado por el Responsable del Tratamiento, y así poder hacer uso de la libertad frente al poder informático y la autodeterminación informática.

Preliminarmente este Despacho evidenció que la sociedad ARDISA S.A. no solicitó la autorización previa, expresa e informada de la Titular para el Tratamiento de sus datos personales, realizando un Tratamiento no autorizado de estos al generar facturas a nombre de la Titular. Frente a la formulación de cargos, la investigada en descargos 4 señaló que presuntamente los señores xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx y xxxxxxxxxxx xxxxxxx, cometieron conductas delictivas de suplantación, falsificación y otras, a través de las cuales de forma fraudulenta sometieron a Tratamiento los datos personales de la Titular de la información y, en todo caso, la dirección electrónica que presuntamente de forma fraudulenta registraron en el sistema de la compañía no es el real de la Titular.

Agregó que, en virtud de las presuntas conductas delictivas llevadas a cabos por tres ex empleados de la compañía, la sociedad ARDISA S.A. los despidió y contra ellos interpuso una denuncia penal. Adicionalmente, indicó que el único Tratamiento que realizó la empresa de manera “consciente, real y bajo la calidad de responsable (…) a los datos personales de la denunciante, se dio en el escenario de la relación de tipo laboral bajo la categoría de servicio en misión, para lo cual se contaba con autorización”.

En primer lugar, respecto de la relación laboral que la sociedad ARDISA S.A. sostuvo con la Titular xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, dentro de la valoración integral del acervo probatorio se encuentran las siguientes pruebas: (i) Contrato de trabajo del 5 de octubre de 2018 suscrito entre la Titular xxxxxxxxxxxxxxx xxxxxxxxxxxxxx y la sociedad ORGANIZACIÓN SERVICIOS Y ASESORÍAS S.A.S., a saber: Imagen No. 1.

Tomada del radicado 22-446505-00009, página 157, documento “Contrato xxxxxxxxxxxxx”, folio 1. Imagen No. 2. Tomada del radicado 22-446505-00009, página 157, documento “Contrato xxxxxxxxxxxx”, folio 4. Obrantes en el radicado 22-446505-00009, página 110. “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” (ii) Carta de renuncia fechada del 20 de noviembre de 2018 de la Titular, dirigida a la sociedad ORGANIZACIÓN SERVICIOS Y ASESORÍAS S.A.S. y con copia a la sociedad ARDISA S.A., y con fecha de recibido del 1 de diciembre de 2018, a saber: Imagen No. 3.

Tomada del radicado 22-446505-00009, página 157, documento “05. Carta renuncia – xxxxxxxxxxxx”. De acuerdo con las anteriores evidencias relacionadas, este Despacho encuentra que la Titular xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx suscribió el contrato de trabajo con la sociedad ORGANIZACIÓN SERVICIOS Y ASESORÍAS S.A.S., siendo trabajadora en misión para la sociedad ARDISA S.A. y esta, la empresa usuaria.

A partir de ello y conforme con lo estipulado en el contrato de trabajo, la Titular otorgó la autorización para el Tratamiento de sus datos personales a su empleador (ver No. imagen 2), es decir a la sociedad ORGANIZACIÓN SERVICIOS Y ASESORÍAS S.A.S. y no a la sociedad ARDISA S.A. De manera que, el argumento expuesto por la investigada en el sentido de que la Titular dio su autorización previa, expresa e informada para el Tratamiento de sus datos para los aspectos referentes a la relación laboral y lo indicado en el sentido de que “dicha señora prestó sus servicios personales para nuestra compañía a través de un contrato laboral como trabajador en misión durante un periodo de tiempo, motivo por el cual, sus datos como tal eran conocidos y reposan en nuestros archivos”5, no es de recibo respecto de la sociedad ARDISA S.A., ya que dicha autorización solo faculta el Tratamiento de los datos personales de la Titular al empleador, es decir a la sociedad ORGANIZACIÓN SERVICIOS Y ASESORÍAS S.A.S. En esta actuación administrativa, la sociedad ARDISA S.A. no demostró que, para el desarrollo de las funciones por parte de la Titular, en calidad de trabajadora en misión, obtuvo su autorización previa, expresa e informada para el Tratamiento de sus datos personales o que los datos le fueron transmitidos, en calidad de Encargado del Tratamiento por parte del empleador (Responsable) en estricto cumplimiento de la Ley 1581 de 2012 tanto por parte del Encargado como del Responsable del Tratamiento.

Si bien el objeto de esta actuación administrativa está circunscrito al Tratamiento de los datos de la Titular xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx en calidad de cliente y no de trabajadora, este Despacho realiza estas aclaraciones al considerarlo relevante frente a los argumentos expuestos por la investigada en descargos y con el objeto de garantizar la salvaguarda del derecho de hábeas data de los Titulares de la información y el cumplimiento del Régimen General en materia de protección de datos personales.

Ahora bien, la Titular en su denuncia6 puso en conocimiento, entre otros aspectos, que posiblemente se emitieron un gran número de facturas a su nombre sin que ella hubiese realizado las compras e En respuesta a requerimiento de información, obrante en el radicado 22-446505-00000, página 2, folios 58 y 59. Obrante en el radicado 22-446505-00000, página 2, folios 15 a 17.

“Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” incluso que en las facturas obra una dirección electrónica que no le pertenece. Un extracto de la denuncia es el siguiente: “HECHOS: El día 1 de septiembre de 2020 fui notificada telefónicamente por un funcionario de la empresa Ardisa S.A con nit 890.200.050-6 para confirmar el recibido de hacía 2 días de un televisor en la sucursal de Barranquilla por las compras realizadas.

Respondí que no había retirado dicho televisor y me confirmaron que existe un documento supuestamente firmado por mí y que registraba un volumen alto de facturas a mi nombre. De inmediato escribí un correo a el área de cartera y tesorería (adjunto evidencias) para que me enviaran el reporte de compras o facturas durante el 2019 y 2020 y me respondieron con un listado de muchas facturas a mi nombre con un correo electrónico que no es mi correo electrónico.

Posterior a mi revisión envié un correo a Ardisa nuevamente para solicitar se me justificara dicha situación y a la fecha no he recibido dicha respuesta. RAZONES QUE FUNDAMENTAN LA PETICIÓN El correo electrónico xxxxxxxxxxxxxxxxxxxxxx no es mío y tampoco di ese cuenta (sic) de correo electrónico a Ardisa. La relación de facturas no corresponde a compras realizadas por mí; es decir que Ardisa no tienen ningún control o filtro y facturaran sin que el cliente este presente y lo demuestre.

Nunca recibí ningún beneficio de premios o puntos acumulados para reclamar algún premio o canje por lo que todo documento que este firmado por mí ante Ardisa como Cliente no es válido. No recibí llamada o ningún seguimiento por compras o canjes o actualización de datos para Ardisa o sus filiales”. Por su parte, dentro de las pruebas obrantes en el expediente, se encuentran las siguientes: (i) La Titular de la información presentó petición del 1 de septiembre de 2020 7 a la sociedad ARDISA S.A. en la que requirió: “(…) a través (sic) del presente correo solicito me actualice en su base de datos y me haga llegar todas las facturas que se han efectuado en la ciudad de Barranquilla a mi nombre durante el 2019 y 2020 y con la cedula en asunto”.

(ii) En mensaje de correo electrónico del 2 de septiembre de 2020 8, la investigada informó a la Titular lo siguiente: “EL correo que tenemos registrado y al cual se han enviado las facturas generadas a su nombre es el correo xxxxxxxxxxxxxxxxxxxxxxxx A su nombre durante el año 2019 no hay movimiento; solo se ha facturado a su nombre a partir de este año 2020, por lo que favor revisar en ese correo.

(…)”. (iii) En petición del 11 de septiembre de 20209, la Titular informó y solicitó a la sociedad ARDISA S.A. “El correo electrónico xxxxxxxxxxxxxxxxxxxxxxx no es mío y tampoco di ese cuenta (sic) de correo electrónico a Ardisa. La relación de facturas no corresponde a compras realizadas por mí; es decir que Uds. no tienen ningún control o filtro y facturaron sin que el cliente este presente y lo demuestre. 7 Obrante en el radicado 22-446505-00000, página 2, folio 25.

Obrante en el radicado 22-446505-00000, página 2, folios 22 a 24. Obrante en el radicado 22-446505-00000, página 2, folio 19. “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” Aclaro que nunca recibí ningún beneficio de premios o puntos acumulados para reclamar algún premio o canje por lo que todo documento que este firmado por mí ante Ardisa como Cliente no es válido.

Tampoco recibí llamada a ningún seguimiento por compras o canjes o actualización de datos para Ardisa o sus filiales. Solicito que al correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxxxx me reenvié las todas las facturas de las supuestas compras de acuerdo a la relación adjunta y si existen otras de periodos anteriores o posteriores a esta fecha (…) Solicito me envíen como evidencia la autorización y formato de habeas data en donde autorice con mi puño y letra que trataran mis datos personales como cliente de Ardisa”.

(iv) La sociedad ARDISA S.A. en respuesta10 a requerimiento de información de esta entidad, el 26 de abril de 2021 informó lo siguiente: “(…) 1. Nuestra compañía es propietaria de un establecimiento de comercio conocido como CARPICENTRO ARDISA BARRANQUILLA en la ciudad de Barranquilla, donde comercializamos nuestros productos de tiempo atrás. 2.

En el mes de agosto de 2020 y a causa de recibir una llamada de un cliente, quienes solicitaron explicación a la expedición de una factura por parte de nuestra compañía, pudimos determinar que al interior de nuestro establecimiento de comercio se estaban cometiendo actos ilícitos consistentes en falsificación de facturas, hurto continuado de mercancía y dinero por parte, presuntamente, de varios empleados nuestros. 3.

Desde cuando conocimos que se había afectado a la señora xxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxx, es decir, a finales del año 2020 procedimos a reversar todos los documentos que se habían expedido, reiteramos, de manera ilícita a su nombre, tarea que precisamente se logró con la ayuda de la misma señora xxxxxxxxxxxxx quien mantuvo contacto directo con nuestro personal de contabilidad. 6.

(…)”. (v) La sociedad ARDISA S.A. en respuesta del 21 de septiembre de 2021 en respuesta a peticiones de la Titular informó: “4. Solicita le envíen como evidencia la autorización y formato de habeas data en donde autoriza con su puño y letra que trataran sus datos personales como cliente de ARDISA Como le manifestamos en comunicación enviada el 22 de Abril (sic) de 2021, (sic) El año pasado ARDISA fue víctima de un robo continuado por los empleados de la sede de CARPINCENTRO BARRANQUILLA en el que estuvieron implicados presuntamente varios de los trabajadores del punto.

Presentamos denuncio penal en contra de los presuntos responsables donde se evidencian los actos ilícitos que realizaron en el que se menciona textualmente la elaboración de facturas a su nombre. 10 Obrante en el radicado 22-446505-00000, página 2, folios 58 y 59. “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” Uno de los actos ilícitos que realizaron fue utilizar su cédula que ya figuraba en nuestro sistema creando un correo falso de notificación. Es por eso que no tenemos la autorización firmada por Ud. para el tratamiento de sus datos personales como cliente de ARDISA.

Las facturas las realizaron los implicados en el robo sin cumplir con los protocolos establecidos por la empresa en cuanto a la protección de datos de los clientes. Nuevamente ofrecemos disculpas por la situación presentada pero puede estar ud (sic) tranquila que aunque no se le dio información oportuna una vez Ud. Hizo la petición, si se hicieron los ajustes necesarios para eliminar los movimientos a su Nit en la vigencia 2020”.

(vi) Denuncia penal presentada el 2 de diciembre de 2020 por la sociedad ARDISA S.A. ante el Fiscal Delegado ante los Jueces Penales Municipales de Barranquilla, con SAN-MCGIT – No. xxxxxxxxxxxxxxx, por las presuntas conductas punibles de hurto, falsedad y documento privado y concierto para delinquir de tres de sus ex empleados, como se visualiza a continuación: Imagen No. 4.

Tomada del radicado 22-446505-00009, página 157, documento “Denuncia penal 02-12-2020”, folio 1. Imagen No. 5. Tomada del radicado 22-446505-00009, página 157, documento “Denuncia penal 02-12-2020”, folio 3. (vii) Documentos relacionados con los contratos de trabajo de los ex trabajadores presuntamente implicados en las conductas delictivas, denunciadas por la sociedad ARDISA S.A., bajo el radicado SAN-MCGIT – No. xxxxxxxxxxxxxxxx, a saber:  Del señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx - Contrato de trabajo suscrito el 4 de octubre de 2018 entre el señor xxxxxxxxxxxxxx xxxxxxxxxxxxxxxx, en calidad de trabajador en misión, y la sociedad ORGANIZACIÓN “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” SERVICIOS Y ASESORÍAS S.A.S., obrando la sociedad ARDISA S.A. en calidad de empresa usuaria.

Imagen No. 6. Tomada del radicado 22-446505-00009, página 157, documento “10. xxxxxxxxxxxxxxxx”, folio 1. - Contrato de trabajo suscrito el 5 de octubre de 2019 entre el señor xxxxxxxxxxxxxxx xxxxxxxxxxxxxxx y la sociedad ARDISA S.A. Imagen No. 7. Tomada del radicado 22-446505-00009, página 157, documento “10. Contrato xxxxxxxxxx”, folio 3. - Oficio fechado del 1 de septiembre de 2020 a citación a diligencia de descargos para el 2 de septiembre de 2020 dirigida al señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxx y suscrita por la Coordinadora de Recursos Humanos de la sociedad ARDISA S.A. por el motivo de “[i]ncumplimiento del procedimiento de revisión de caja” e “[i]nconsistencia en la entrega de premios a los clientes de Ardisa”, con firma de recibido por parte del señor xxxxxxxxxxxxxxx.

Imagen No. 8. Tomada del radicado 22-446505-00009, página 157, documento “10. Contrato xxxxxxxxxxx”, folio 11. - Carta fechada del 2 de septiembre de 2020 en la que el director de ventas de la sociedad ARDISA S.A. notifica al señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx que es despedido por justa causa, la cual tiene firma de recibido del señor xxxxxxxxxxxxxxx.

“Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” Imagen No. 9. Tomada del radicado 22-446505-00009, página 157, documento “10. Contrato xxxxxxxxxx”, folio 16.  De la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx - Contrato de trabajo suscrito el 5 de octubre de 2018 entre la señora xxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxx, en calidad de trabajadora en misión, y la sociedad ORGANIZACIÓN SERVICIOS Y ASESORÍAS S.A.S., obrando la sociedad ARDISA S.A. como empresa usuaria.

Imagen No. 10. Tomada del radicado 22-446505-00009, página 157, documento “09. Contrato de xxxxxxxxxxxxxxxx”, folio 1. - Contrato de trabajo suscrito el 5 de octubre de 2019 entre la señora xxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxx y la sociedad ARDISA S.A. Imagen No. 11. Tomada del radicado 22-446505-00009, página 157, documento “09. Contrato de xxxxxxxxxxxxxxx”, folio 4. - Oficio fechado del 26 de agosto de 2020 a citación a diligencia de descargos para el 27 de agosto de 2020 dirigida a la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx y suscrita por la Coordinadora de Recursos Humanos de la sociedad ARDISA S.A. por el motivo de “[i]ncumplimiento del procedimiento de revisión de caja” e “[i]nconsistencia en la entrega de premios a los clientes de Ardisa”, con firma de recibido por parte del señor xxxxxxxxxxxxxxx.

“Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” Imagen No. 12. Tomada del radicado 22-446505-00009, página 157, documento “09. Contrato de xxxxxxxxxxxxxx”, folio 17. - Acta de la diligencia de descargos llevada a cabo el 27 de agosto de 2020 a la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx. Imagen No. 13.

Tomada del radicado 22-446505-00009, página 157, documento “09. Contrato de xxxxxxxxxxxxxx”, folio 17. - Carta de renuncia de la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx a la sociedad ARDISA S.A. con constancia de recibido del 4 de septiembre de 2020. Imagen No. 14. Tomada del radicado 22-446505-00009, página 157, documento “09. Contrato de xxxxxxxxxxxxxxx”, folio 17.  De la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx - Contrato de trabajo suscrito el 5 de octubre de 2018 entre la señora xxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxx, en calidad de trabajadora en misión, y la sociedad GENTE ÚTIL S.A., obrando la sociedad ARDISA S.A. como empresa usuaria.

“Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” Imagen No. 15. Tomada del radicado 22-446505-00009, página 157, documento “11. Contrato xxxxxxxxxx”, folio 17. - Oficio fechado del 25 de agosto de 2020 a citación a diligencia de descargos para el 27 de agosto de 2020 dirigida a la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx y suscrita por la Líder de Gestión Humana de la sociedad GENTE ÚTIL S.A., informando sobre diligencia de descargos en la empresa usuaria, sociedad ARDISA S.A., por el motivo de “[i]ncumplimiento del procedimiento de revisión de caja” e “[i]nconsistencia en la entrega de premios a los clientes de Ardisa”, con firma de recibido por parte del señor xxxxxxxxxxxxxxx.

Imagen No. 16. Tomada del radicado 22-446505-00009, página 157, documento “11. Contrato xxxxxxxxxxxx”, folio 19. - Actas de diligencia de descargos del 27 de agosto de 2020 llevada a cabo a la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx. Imagen No. 17. Tomada del radicado 22-446505-00009, página 157, documento “11. Contrato xxxxxxxxxxxx”, folio 20.

Imagen No. 18. Tomada del radicado 22-446505-00009, página 157, documento “11. Contrato xxxxxxxxxxx”, folio 25. - Carta fechada del 2 de septiembre de 2020 en la que la Líder de Gestión Humana de la sociedad GENTE ÚTIL S.A. notificó a la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx que es despedida por justa causa, la cual tiene firma de recibido de la señora xxxxxxxx xxxxxxx.

“Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” Imagen No. 19. Tomada del radicado 22-446505-00009, página 157, documento “11. Contrato xxxxxxxxxxxx”, folio 29. (viii) Captura de pantalla del 19 de abril de 2021 del software SAP Business One, en la que se visualiza el registro como cliente de la Titular xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx con indicación de “inactivo” con los siguientes datos personales: número de cédula, números de celular y dirección electrónica, a saber: Imagen No. 20.

Tomada del radicado 22-446505-00009, página 157, documento “03. Registro de ventas - xxxxxxxxxxxxx”. (ix) Capturas de pantalla del software de la investigada en las que se visualizan registrados sus datos personales de número de cédula, número de celular y dirección electrónica, así como que el 13 de enero de 2020 se diligenciaron los datos “país región”, “correo electrónico” e “indicador de impuesto”.

“Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” Imagen No. 21. Tomada del radicado 22-446505-00009, página 157, documento “Logs del software”, folio 1. Imagen No. 22. Tomada del radicado 22-446505-00009, página 157, documento “Logs del software”, folio 1. (x) Facturas emitidas a nombre de la Titular xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx con la dirección xxxxxxxxxxxxxxxxxxxx, Barranquilla, Colombia, como se visualiza en la factura electrónica de venta No. xxxxxxxx con su correspondiente nota crédito de anulación: Imagen No. 23.

Tomada del radicado 22-446505-00009, página 157, carpeta “07. Facturas – xxxxxxxxxx”, documento “xxxxxxx”. Imagen No. 24. Tomada del radicado 22-446505-00009, página 157, carpeta “06. Notas a crédito – xxxxxxxxxxxxxx”, documento “XXXXXXXX”. Conforme con la valoración integral del acervo probatorio y, en particular, las anteriores pruebas que se relacionaron, este Despacho encuentra que: La dirección electrónica registrada en el software para clientes de la Titular xxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxx fue xxxxxxxxxxxxxxxxxxxxx, como puede visualizarse en la respuesta del 2 de septiembre de 2020 de la investigada y en las imágenes Nos. 20, 21 y 22; sin embargo, esta dirección electrónica no corresponde a la de la Titular de la información, ya que su dirección electrónica es xxxxxxxxxxxxxxxxxxxxxxxxxx como lo informó la Titular en petición del 11 de septiembre de 2020 y en su denuncia11. 11 Obrante en el radicado 22-446505-00000, página 2, folio 16.

“Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” La dirección de domicilio con las que se emitieron las facturas y las notas crédito es la Calle 87 No. 77 – 95, Barranquilla, Colombia, como se encuentra en las imágenes 23 y 24; no obstante, de acuerdo con la dirección señalada en el contrato de trabajo suscrito el 5 de octubre de 2018 entre la Titular y la sociedad ORGANIZACIÓN SERVICIOS Y ASESORÍAS S.A.S. (ver imagen No. 1) y de acuerdo con lo informado por la Titular en la denuncia 12, su dirección es xxxxxxxxxxxxxxxxxxxxx, xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, Barranquilla, Colombia.

Al respecto, frente a la similitud entre una y otra dirección, podría tratarse de un error de digitación, en todo caso, la dirección del domicilio es errado en las facturas y notas crédito. Los números de celular registrados en el software para clientes son xxxxxxxxxxx (ver imágenes Nos. 20 y 21) y xxxxxxxxxxxx (ver imagen No. 20), respecto de los cuales solo hay evidencia que el primero corresponde a la Titular de la información de acuerdo con el contrato de trabajo suscrito el 5 de octubre de 2018 entre la Titular y la sociedad ORGANIZACIÓN SERVICIOS Y ASESORÍAS S.A.S. (ver imagen No. 1) y lo informado por la Titular en la denuncia 13.

En este orden de ideas, los datos semiprivados de la Titular que se almacenaron y usaron en los registros y documentos emitidos por la sociedad ARDISA S.A. fueron su dirección electrónica, dirección de domicilio y números de celular, pero este Despacho encuentra que, de los datos semiprivados sometidos a Tratamiento, el único que se demostró que corresponde a la Titular es el número de celular xxxxxxxxxxx.

Al respecto, y en consideración a que este Despacho se está refiriendo a los datos de naturaleza semiprivada, es menester señalar lo dispuesto por el artículo 3 de la Ley 1266 de 2008, así: “(…) e) Dato personal. Es cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica.

Los datos impersonales no se sujetan al régimen de protección de datos de la presente ley. Cuando en la presente ley se haga referencia a un dato, se presume que se trata de uso personal. Los datos personales pueden ser públicos, semiprivados o privados; f) Dato público. Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la presente ley.

Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidos a reserva y los relativos al estado civil de las personas; g) Dato semiprivado. Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios a que se refiere el Título IV de la presente ley. h) Dato privado.

Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular; (…)”. Por su parte, en la Sentencia C-1011 de 2008, la Corte Constitucional declaró la norma exequible en el siguiente entendido: “El dato público, en los términos de la norma estatutaria, corresponde a aquellos que sean calificados de esa manera por la Constitución y la ley, al igual que todos los que no estén incluidos en las categorías de datos semiprivados y privados.

El legislador prevé dentro de la categoría en comento a los documentos públicos, las sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva y los relativos al estado civil de las personas. Los datos semiprivados corresponde a aquellos que no tienen naturaleza íntima, reservada, ni pública y que, por ende, su conocimiento puede interesar no solo a su titular sino a cierto sector o grupo de personas o a la sociedad en general.

Ejemplo de esta categoría es el dato financiero y crediticio de actividad comercial o de servicios, el que, como se ha indicado insistentemente en esta decisión, es el objeto de regulación del Proyecto de Ley. Por último, Ibídem. Ibídem. “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” el dato privado es aquel que por su naturaleza íntima o reservada sólo es relevante para el titular”.

La anterior clasificación fue retomada de manera íntegra por el Alto Tribunal en la sentencia C-748 de 2011, al efectuar el estudio de constitucionalidad de la actual Ley 1581 de 2012. En la referida sentencia dijo esa Corporación lo siguiente: “(…) la clasificación de los datos personales no es un elemento indispensable de la regulación y, dicho vacío en todo caso puede ser remediado acudiendo a la jurisprudencia constitucional y a otras definiciones legales, especialmente al artículo 3 de la Ley 1266, en virtud del principio de conservación del derecho, el literal c) será declarado exequible en este respecto”.

(Negrita fuera del texto original) En consideración con la anterior normatividad y jurisprudencia, el número de teléfono celular es un dato semiprivado de los Titulares de la información, por lo cual se requiere solicitar y conservar la autorización previa, expresa e informada del Titular para su Tratamiento. Así, es mandatorio solicitar a los Titulares de la información su autorización expresa e informada, por cualquiera de los modos previstos en la ley, previo al Tratamiento de sus datos personales.

Para el caso concreto, esta Dirección evidencia que la sociedad ARDISA S.A. sometió a Tratamiento los datos personales de la Titular de la información, en calidad de cliente, sin contar con su consentimiento previo, expreso e informado, empero, la investigada informó y aportó las pruebas con las que pretende demostrar que los datos de la Titular fueron posiblemente sometidos a Tratamiento presuntamente de forma fraudulenta por ex empleados de la compañía y que, de modo alguno, hubo aquiescencia de la sociedad ARDISA S.A. para el Tratamiento de los datos personales de la Titular.

Al respecto, es de señalar que este Despacho no se pronunciará, de forma alguna, sobre las presuntas conductas ilícitas que son materia de investigación por parte de la Fiscalía Delegada ante los Jueces Penales Municipales de Barranquilla, por cuanto no es un asunto de competencia de esta entidad y esta Dirección se limitará a valorar las pruebas que acreditan las gestiones adelantadas por la investigada frente a las presuntas conductas delictivas.

Así, este Despacho halla que el 26 de abril de 2021 en respuesta14 a requerimiento de información de esta entidad, la investigada informó que en el mes de agosto de 2020 tuvo conocimiento de que se expidieron unas facturas a nombre de unos clientes y que también se emitieron facturas a nombre de la Titular xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, quien no era cliente, y en respuesta del 21 de septiembre de 2021 de la sociedad ARDISA S.A. a la Titular informó que su cédula y dirección electrónica falsa fueron utilizada de forma ilícita.

Frente a estos presuntos hechos informados por la investigada, este Despacho encuentra que aportó las evidencias tendientes a demostrar que el Tratamiento de los datos personales de la Titular se realizaron por presuntos hechos ilícitos de los que también se vio afectada la empresa, a través de las siguientes pruebas: (i) Oficios de citación a diligencias para rendir descargos dirigidas a los entonces empleados que presuntamente cometieron las conductas delictivas ante la oficina de recursos humanos (ver imágenes Nos. 8, 12 y 16).

(ii) Actas de las audiencias de descargos de dos de los entonces empleados (ver imágenes Nos. 13, 17 y 18) (iii) Cartas de despido por justa causa de dos de los entonces empleados (ver imágenes Nos. 9 y 19). (iv) Denuncia penal presentada el 2 de diciembre de 2020 por la sociedad ARDISA S.A. ante el Fiscal Delegado ante los Jueces Penales Municipales de Barranquilla, con SAN-MCGIT – No. xxxxxxxxxxxxxxx, contra 3 ex empleados (ver imágenes Nos. 4 y 5).

Adicionalmente, este Despacho evidencia que de acuerdo con las pruebas aportadas dentro de esta investigación no se encontró cómo o de dónde se recolectaron los datos personales de la Titular registrados en el software de la compañía (ver imágenes Nos. 20, 21 y 22) y obrantes en la facturas y notas de crédito de las facturas (ver imágenes Nos. 23 y 24), demostrándose que solo correspondía a la Titular el número de celular xxxxxxxxxxx, por lo cual en virtud del principio in dubio 14 Obrante en el radicado 22-446505-00000, página 2, folios 58 y 59.

“Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” pro administrado y en consideración a las gestiones adelantadas por la sociedad ARDISA S.A. por los presuntas conductas delictivas de ex empleados, se resolverá que frente a este cargo formulado no actuó negligentemente la investigada. Por último, es de señalar por este Despacho que llama la atención las capturas de pantalla del software (ver imágenes Nos. 20 y 21) no son exactamente iguales, a pesar de corresponder al mismo registro, ya que en una de ellas obran dos números de celular y en la otra un número de celular.

Adicionalmente, si bien se evidenció que algunos datos de la Titular que obran en los registros y documentos no son de ella, se halla con las capturas de pantalla del software que aún reposan datos vinculados a la Titular en sus archivos en calidad de cliente. En este orden de ideas, este Despacho encuentra que la sociedad ARDISA S.A. no desconoció el deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012, el literal c) del artículo 4 y el artículo 9 de la precitada ley, en concordancia con los artículos 2.2.2.25.2.2. y 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015, por cuanto no se halló que, con aquiescencia de la investigada, en calidad de Responsable del Tratamiento, se hayan recolectado los datos personales de la Titular de la información en calidad de cliente.

En todo caso, con el objeto de salvaguardar el derecho de hábeas data de los Titulares de la información y garantizar el pleno cumplimiento del Régimen General de Protección de Datos Personales se procederá a impartir unas órdenes administrativas con el fin de que solo someta a Tratamiento los datos personales de los trabajos en misión conforme con la Ley 1581 de 2012 y las normas que la adicionan, así como eliminé los datos personales de la Titular que obran en sus registros en calidad de cliente. 9.2.2 Respecto del deber de conservar la información bajo condiciones de seguridad necesarias para evitar su adulteración, pérdida, consulta, uso acceso no autorizado o fraudulento En primer lugar, el artículo 17 de la Ley 1581 de 2012 dispone los deberes de los Responsables del Tratamiento, especificando en el literal d) lo siguiente: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)”. Frente a este deber la Corte Constitucional en sentencia C-748 de 2011 señaló: “En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación: (…) (iii) Adoptar las medidas para garantizar la seguridad del dato, a efectos de que no se pierda, no se adultere, no se utilice o acceda por fuera de la autorización, lo cual es desarrollado en el literal d) en concordancia con el principio de seguridad en la transferencia del dato.

Por tanto, el responsable está obligado a exigir y controlar las condiciones de seguridad que está empleando el encargado del tratamiento -literal a), como informar oportunamente a la autoridad encargada de la protección del dato sobre violaciones a los códigos de seguridad y la existencia de riesgos en la administración de la información de los titulares- literal n); siendo estos deberes, sin lugar a dudas, también desarrollo del principio de seguridad jurídica”.

El deber previsto en el citado literal d), es desarrollo, junto con el principio de acceso y circulación restringida del literal f) del artículo 4 de la Ley 1581 de 2012, del principio de seguridad previsto en el literal g) del artículo 4 de la misma ley, sobre el que se señala: “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” “ARTÍCULO

4. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) f) Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley;

Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley; g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma”.

A su vez, respecto del principio de seguridad es preciso traer a colación lo determinado por la Corte Constitucional en sentencia C-748 de 2011 en los siguientes términos: “2.6.5.2.6. Principio de acceso y circulación restringida: En razón de esta directriz, el Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, éste sólo podrá hacerse por personas autorizadas por el titular y/o por las personas previstas en la presente ley.

Además, se prohíbe que los datos personales, salvo información pública, se encuentren disponibles en Internet, a menos que se ofrezca un control técnico para asegurar el conocimiento restringido. En relación con el primer inciso, deben hacerse las siguientes precisiones. Como se explicó anteriormente, esta Ley Estatutaria, al establecer las condiciones mínimas en el manejo de la información, no agota la regulación en materia de habeas data, y por tanto, el Tratamiento estará también sujeto a la normatividad que se expida posteriormente.

En cuanto al segundo inciso, la norma debe entenderse que también se encuentra prohibida toda conducta tendiente al cruce de datos entre las diferentes bases de información, excepto cuando exista una autorización legal expresa, es decir, lo que la jurisprudencia ha denominado el principio de individualidad del dato. Como consecuencia de lo anterior, queda prohibido generar efectos jurídicos adversos frente a los Titulares, con base, únicamente en la información contenida en una base de datos.

De otra parte, y en relación con ese segundo inciso, uno de los interviniente solicita a esta Corporación, declarar su constitucionalidad bajo los siguientes condicionamientos: (i) se debe evitar que los datos privados, semiprivados, reservados o secretos puedan estar junto con los datos públicos, y por tanto, los primeros no pueden ser objeto de publicación en línea, a menos que se ofrezcan todos los requerimientos técnicos y (ii) se debe eliminar cualquier posibilidad de acceso indiscriminado, mediante la digitación del número de identificación a los datos personales del ciudadano. Considera la Sala que tales condicionamientos no son necesarios, por cuanto la misma norma elimina estas posibilidades.

En efecto: (i) prohíbe que los datos no públicos sean publicados en Internet y (ii) sólo podrían ser publicados si se ofrecen todas las garantías. De lo anterior se infiere que si el sistema permite el acceso con la simple digitación de la cédula, no es un sistema que cumpla con los requerimientos del inciso segundo del literal f) del artículo 4.

Sin embargo, debe reiterarse que el manejo de información no pública debe hacerse bajo todas las medidas de seguridad necesarias para garantizar que terceros no autorizados “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” puedan acceder a ella. De lo contrario, tanto el Responsable como el Encargado del Tratamiento serán los responsables de los perjuicios causados al Titular.

De otra parte, cabe señalar que aún cuando se trate de información pública, su divulgación y circulación está sometida a los límites específicos determinados por el objeto y finalidad de la base de datos. 2.6.5.2.7. Principio de seguridad: Al amparo de este principio, la información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

De este principio se deriva entonces la responsabilidad que recae en el administrador del dato. El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto ‘diluvio de datos’ [240], a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior transferencias, no cesa de aumentar.

Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Ello también aumenta los riegos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.

(…) Existe entonces un deber tanto de los Responsables como los Encargados de establecer controles de seguridad, de acuerdo con el tipo de base de datos que se trate, que permita garantizar los estándares de protección consagrados en esta Ley Estatutaria”. Preliminarmente esta Dirección evidenció que la sociedad ARDISA S.A. reconoció que los datos de la Titular fueron accedidos y utilizados fraudulentamente por empleados de la compañía, violándose los códigos de seguridad y de confidencialidad de la empresa y, además, se halló que, si bien la investigada contaba con medidas de seguridad para el Tratamiento de datos personales, estas fueron insuficientes para evitar que los datos de la Titular fueran accedidos y utilizados fraudulentamente.

Por su parte, la investigada en descargos15 señaló que ha adoptado e implementado medidas de seguridad para las diferentes etapas del ciclo del dato en sus bases de datos, en el manual de políticas y procedimientos de hábeas data se establecen medidas de seguridad y de circulación restringida, de manera que “gestiona la información personal bajo un sistema controlado, cerrado e interno, relacionada solo con los procesos de la empresa”, la compañía ha llevado a cabo “de manera permanente procesos de sensibilización con los trabajadores y demás colaboradores frente al tratamiento de la información personal.

Del mismo modo, en el proceso de contratación laboral se integran cláusulas de confidencialidad y tratamiento de datos personales” y frente a la conducta que dio lugar a la investigación, se documentó la gestión y mitigación de lo sucedido a través de diferentes mecanismos. Ahora bien, y como se expuso en el análisis del cargo anterior, no se evidenció cómo o de dónde provino la recolección de los datos de la Titular registrados en el software de la compañía (ver imágenes Nos. 20, 21 y 22) y obrantes en las facturas y notas de crédito de las facturas (ver imágenes Nos. 23 y 24), encontrándose además probado que de estos datos personales solo el número celular xxxxxxxxxxxx está realmente vinculado a la Titular.

Precisamente, no se esclareció, por ejemplo, que los datos de la Titular se hayan tomado de otra base de datos de la compañía o se hayan recolectado por personal de la investigada por fuera de los parámetros previstos por la compañía en materia de protección de datos personales. Por ello, este Despacho halla que no se demostró en esta investigación que se haya accedido, adulterado, perdido, consultado o usado datos personales de la Titular que efectivamente se encontraban almacenados en bases de datos de la sociedad ARDISA S.A. Obrantes en el radicado 22-446505-00009, página 110.

“Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” En consideración a ello, este Despacho encuentra que en virtud del principio in dubio pro administrado, al no demostrarse que se accedió de forma no autorizada o fraudulenta a datos de la Titular que se encontraban en bases de datos de la sociedad ARDISA S.A., se resolverá en favor de la investigada.

En todo caso, este Despacho, hace hincapié en que todo Responsable del Tratamiento debe contar, en todo momento, con las medidas técnicas, administrativas y humanas para otorgar seguridad en los registros para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Estas medidas deben revisarse de forma periódica para garantizar que se ajusten a las condiciones actuales del negocio, el tamaño de la empresa y el tipo de datos que trata el Responsable, a fin de garantizar no solo el principio de seguridad sino también de acceso y circulación restringida, así como de confidencialidad en el Tratamiento de los datos personales.

En este orden de ideas, este Despacho encuentra demostrado que la sociedad ARDISA S.A. no desconoció el deber previsto en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con los literales f), g) y h) del artículo 4 de la precitada norma, por cuanto no se evidenció que los datos personales de la Titular de la información hayan sido accedidos, adulterados, perdidos, consultados o usados de bases de datos de la investigada.

En todo caso, en virtud de la facultad concedida a este Despacho en el literal e) del artículo 21 de la Ley 1581 de 2012, se procederá a impartir una orden administrativa tendiente a garantizar que la compañía cuente con las medidas técnicas, administrativas y humanas suficientes y necesarias para otorgar seguridad en los registros para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. 9.2.3 Respecto del deber de atender consultas y reclamos El literal j) del artículo 17 de la Ley 1581 de 2012 establece el deber de los Responsables y Encargados de atender los reclamos ante ellos presentados, así: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley; (…)”. Este deber se sustenta en el derecho fundamental de petición previsto en el artículo 23 de la Constitución Política que establece: “Toda persona tiene derecho a presentar peticiones respetuosas a las autoridades por motivos de interés general o particular y a obtener pronta resolución. El legislador podrá reglamentar su ejercicio ante organizaciones privadas para garantizar los derechos fundamentales”.

Adicionalmente, la Corte Constitucional en la sentencia C-748 de 2011, al realizar el estudio de constitucionalidad de la Ley 1581 de 2012, respecto de las consultas y reclamos que los Titulares de la información pueden realizar a los Responsables y Encargados del Tratamiento, expresó: “Este artículo regula un procedimiento similar al que contempla el artículo 16, II, numerales 1,2 y 3 de la Ley 1266 de 2008, hallado exequible por la Corte en la sentencia C-1011 de 2008.

Sobre este mecanismo de reclamos que se consagra ante los responsables y encargados del dato, se puede advertir que los términos que se dieron para que el obligado conteste los requerimientos hechos son los mismos que se consagran para el derecho de petición en el Código Contencioso Administrativo, razón por la que se pueden transpolar los comentarios que se dejaron consignados sobre el carácter instrumental del derecho de petición, en aras de permitir al titular del dato ejercer las facultades que se derivan del habeas data”.

De esta manera, los mecanismos de consultas y reclamos frente a los Responsables y Encargados del Tratamiento, constituye un desarrollo del artículo 23 de la Constitución Política, es decir, la reglamentación del derecho de petición frente a particulares que va específicamente orientado a la salvaguarda del derecho de hábeas data. “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” Al respecto, se debe traer a colación el siguiente aparte de la Sentencia C-748 de 2011, que reza: “En consecuencia, el precepto revisado resulta ajustado a la Constitución. No obstante, la Sala debe advertir que la jurisprudencia constitucional ha perfilado unas características que debe tener la respuesta para que se entienda satisfecho el derecho de petición. En ese orden, tanto los responsables como los encargados del tratamiento están obligados a observar esos parámetros que en términos generales se pueden resumir de la siguiente manera: (i) la respuesta debe ser de fondo, es decir, no puede evadirse el objeto de la petición, (ii) que de forma completa y clara se respondan a los interrogantes planteados por el solicitante, (iii) oportuna, asunto que obliga a respetar los términos fijados en la norma acusada”.

(Se subraya fuera de texto) Así mismo, la Corte Constitucional, además de establecer que las respuestas a las peticiones deben ser oportunas, de fondo y congruentes, también ha señalado que deben ser claras y precisas, respecto de lo cual ha indicado: “La trascendencia constitucional del derecho fundamental de petición implica que ésta garantía sólo se garantiza cuando la solicitud del ciudadano es contestada bajo criterios materiales y sustantivos que posibilitan una respuesta real y efectiva a su petición. De este modo, el pronunciamiento de las autoridades debe ser: (i) claro, como quiera que debe contener argumentos comprensibles y razonables;

(ii) de fondo, lo cual significa que debe resolver de manera completa y detallada todos los asuntos indicados en la petición; (iii) preciso, que haya sido realizado con exactitud y rigurosidad; y, (iv) congruente, es decir, que exista relación entre lo respondido y lo pedido, excluyendo referencias evasivas o que resulten ajenas al asunto planteado.

(…) La Corte Constitucional ha establecido que el derecho de petición comprende dos facetas, una relacionada con la posibilidad de elevar peticiones respetuosas a la administración pública, y otra con el deber de las autoridades de responder de fondo y oportunamente a las mismas. Así, constituye vulneración al derecho de petición: (i) la ausencia de respuesta por parte de la administración dentro de los términos legales establecidos para tal fin y (ii) la respuesta vaga, imprecisa o que no atiende de fondo lo pedido, sin que ello implique resolver favorablemente las pretensiones del administrado”16.

Por tanto, es deber de los Responsables y Encargados del Tratamiento garantizar el ejercicio del derecho de hábeas data, así como garantizar el pleno y efectivo derecho de petición, consulta o reclamación, es decir, atender cada una de las solicitudes de los titulares, sin dilaciones ni retrasos, de manera completa, de fondo, clara, precisa y congruente.

Por su parte, el artículo 15 de la Ley 1581 de 2012, dentro del marco del derecho fundamental de hábeas data, desarrolla el mecanismo de presentación y respuesta de reclamos, al indicar: “ARTÍCULO 15. RECLAMOS. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1.

El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.

Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.

Ver en: Corte Constitucional, Sentencia T-621/17 del 6 de octubre de 2017, M.P.: Alberto Rojas Ríos. “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” 2. Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga ‘reclamo en trámite’ y el motivo del mismo, en un término no mayor a dos (2) días hábiles.

Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término”.

(Se subraya fuera de texto) Preliminarmente este Despacho evidenció que la sociedad ARDISA S.A. dio respuesta el 21 de abril de 2021, de forma extemporánea e incompleta, al reclamo presentado por la Titular el 11 de septiembre de 2020. Al respecto, la investigada en descargos17 expresó que la dirección electrónica dispuesta para que los Titulares ejercieran sus derechos “era mercadeo@ardisa.com.co y en la actualidad corresponde al correo electrónico: habeasdata@ardisa.com.co”; sin embargo, la Titular efectuó su solicitud a las direcciones electrónicas xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx x xxxxxxxxxxxxxxxxxxxxxxxxxx agregó que “estos canales no están establecidos para hacer solicitudes relacionadas con datos personales, según se establece en la política de datos personales y los avisos de privacidad antes mencionados”.

A su turno, la investigada señaló18 que se está ante un hecho superado y siempre estuvo dispuesta a dar respuesta de fondo a la Titular con todos los elementos suficientes, de cara a la verdad y la transparencia, por lo que la empresa realizó una serie de averiguaciones previas y finalmente, así fuera extemporáneamente, dio respuesta a las comunicaciones de la Titular.

Por su parte, del del análisis integral del acervo probatorio este Despacho relaciona las siguientes pruebas: (i) Reclamo presentado el 11 de septiembre de 2021 por la Titular a la sociedad ARDISA S.A. a las direcciones electrónicas xxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxx, reiterada el 29 de septiembre de 2021, como se visualiza a continuación: Imagen No. 25.

Tomada del radicado 22-446505-00000, página 2, folio 19. Las solicitudes realizadas en el reclamo del 11 de septiembre de 2020 son las siguientes: “(…) Solicito que al correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxx me reenvié las todas las facturas de las supuestas compras de acuerdo a la relación adjunta y si existen otras de periodos anteriores o posteriores a esta fecha (…) 17 Obrantes en el radicado 22-446505-00009, página 110.

En descargos obrantes en el radicado 22-446505-00009, página 110. “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” (…) solicito que su área de Contabilidad y Jurídica corrija y reasigne un código en su software para que exonere de dichas compras y no me reporte en sus medios Magnéticos. Solicito me envíen como evidencia la autorización y formato de habeas data en donde autorice con mi puño y letra que trataran mis datos personales como cliente de Ardisa.

Solicito me emita los certificados que me exoneren de cualquier tema tributario y fiscal a fin de poder sustentar ante la Dian cualquier requerimiento en el futuro por las supuestas compras a Ardisa en el 2019 y 2020. Solicito me retire de la base de datos de Ardisa hasta aclarar estos hechos si en el futuro se requiere un vínculo comercial personalmente lo hare (sic)”.

(ii) Respuesta de la sociedad ARDISA S.A. del 21 de abril de 2021 dirigida a la Titular de la información, a saber: Imagen No. 26. Tomada del radicado 22-446505-00000, página 2, folio 55. (iii) Resolución No. 59153 del 15 de septiembre de 2021 mediante la cual este Despacho impartió la siguiente orden administrativa: “ARTÍCULO PRIMERO: Ordenar a la sociedad ARDISA S.A., con el Nit. 890.200.050-6, que dentro del término de cinco (5) días hábiles siguientes a la ejecutoria de la presente decisión dé respuesta completa y de fondo a la petición presentada por la Titular xxxxxxxxxxxxxxx xxxxxxxxxxx, los días 11 de septiembre y 29 de septiembre de 2020.

PARÁGRAFO PRIMERO: La sociedad ARDISA S.A., deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad ARDISA S.A., acreedora de las sanciones previstas en la Ley”. Acorde con la certificación con radicado 20-432145-00016 del 29 de septiembre de 2021 de la Secretaria General Ad-Hoc de esta Superintendencia, el 16 de septiembre de 2021 se notificó electrónicamente a la sociedad investigada, por conducto de su representante legal.

(iv) La sociedad ARDISA S.A. mediante la comunicación con radicado 20-432145-0001519 del 24 de septiembre de 2021, respecto a la orden administrativa impartida por este Despacho, informó: “El día 22 de Septiembre de 2021 se envió comunicación al correo electrónico suministrado por la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx dando respuesta completa y de fondo a las peticiones presentadas los días Septiembre 11 y 29 de 19 Obrante en el expediente digital 20-432145.

“Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” 2020 según copia del correo electrónico enviado en el que se adjuntaron los siguientes soportes: 1. Documento en pdf con Relación de facturas y notas crédito vigencia 2020 2. Archivo con facturas en formato pdf emitidas a su cédula vigencia 2020 3. Archivo con notas crédito en formato pdf por anulación facturas emitidas a su cédula vigencia 2020 4.

Certificación revisor (sic) fiscal de ARDISA sobre el no reporte en medios magnéticos 2020”20. (v) Respuesta del 22 de septiembre de 2021 de la sociedad ARDISA S.A. dirigida a la Titular a la dirección electrónica xxxxxxxxxxxxxxxxxxxxxxxxxx, a saber: Imagen No. 27. Tomada del expediente 20-432145, consecutivo 15, página 6, folio 1. Imagen No. 28.

Tomada del expediente 20-432145, consecutivo 15, página 6, folio 2. En respuesta obrante en el expediente digital 20-432145, consecutivo 15, página 3. “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” Imagen No. 29. Tomada del expediente 20-432145, consecutivo 15, página 6, folio 3. Ahora bien, de acuerdo con lo anterior, este Despacho procede a efectuar un análisis respecto a si el 21 de abril de 2021 la investigada dio respuesta completa y de fondo a la petición de la Titular del 11 de septiembre de 2020, así como también se evaluará la respuesta del 22 de septiembre de 2021, así: Reclamo del 11 de septiembre de 2021 “Solicito que al correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxx me reenvié las todas las facturas de las supuestas compras de acuerdo a la relación adjunta y si existen otras de periodos anteriores o posteriores a esta fecha”.

Respuesta del 21 de abril de 2021 Dentro de la respuesta no se indica si se le reenvían o no las facturas de las “supuestas compras”. En la respuesta se relaciona que se adjuntaron 56 archivos; sin embargo, en esta investigación no se acreditó a qué corresponden. “(…) solicito que su área de Contabilidad y Jurídica corrija y reasigne un código en su software para que exonere de dichas compras y no me reporte en sus medios Magnéticos”.

No se pronunció al respecto. “Solicito me envíen como evidencia la autorización y formato de habeas data en donde autorice con mi puño y letra que trataran mis datos personales como cliente de Ardisa”. No se brinda respuesta sobre lo solicitado. “Solicito me emita los certificados que me exoneren de cualquier tema tributario y fiscal a fin de poder sustentar ante la Dian cualquier requerimiento en el futuro por las supuestas compras a Ardisa en el 2019 y 2020”.

No se brinda respuesta sobre lo solicitado. “Solicito me retire de la base de datos de Ardisa hasta aclarar estos hechos si en el futuro se requiere un vínculo comercial personalmente lo hare (sic)”. Se informó a la Titular que se procedió a la inactivación de sus datos; sin embargo, lo que solicitó fue la eliminación de sus datos. Respuesta del 22 de septiembre de 2021 Se brindó respuesta al indicar: “En comunicación enviada por correo electrónico de fecha Abril 21 de 2021 desde la dirección xxxxxxxxxxxxxxxxx se le informa que las facturas emitidas a su nombre fueron anuladas en fecha Diciembre 30 de 2020 y se anexaron todas las notas crédito que anularon las facturas, en el 2019 no hay facturas emitidas a su cédula.

En esta comunicación estamos adjuntando una relación de las facturas y notas de anulación junto con el pdf de cada una de las facturas y notas de anulación ambas en la vigencia 2020”. Se dio respuesta al indicar: “Al respecto le confirmamos que su cédula no fue reportada en medios magnéticos por compras en 2020 ya que las facturas fueron anuladas en la misma vigencia como se le informó en el correo del 21 de Abril/21, Adjuntamos a esta carta una comunicación del revisor fiscal de ARDISA donde certifica que las facturas a su cedula fueron anuladas en vigencia 2020 por lo tanto su cédula no fue reportada en los medos magnéticos del año gravable 2020.

Con respecto al año 2019 no hay facturas emitidas a su cédula como se le informó el 2 de septiembre de 2020 por correo electrónico enviado desde la dirección xxxxxxxxxxxxxxxxxxxxxxxxx”. En esta respuesta se indica de forma clara que no cuentan con la autorización al informar: “Como le manifestamos en comunicación enviada el 22 de Abril (sic) de 2021, El año pasado ARDISA fue víctima de un robo continuado por los empleados de la sede de CARPINCENTRO BARRANQUILLA en el que estuvieron implicados presuntamente varios de los trabajadores del punto.

(…). Es por eso que no tenemos la autorización firmada por Ud. para el tratamiento de sus datos personales como cliente de ARDISA. Las facturas las realizaron los implicados en el robo sin cumplir con los protocolos establecidos por la empresa en cuanto a la protección de datos de los clientes”. (Se subraya fuera de texto) Se dio respuesta en el siguiente sentido: “Adjuntamos a esta carta una comunicación del revisor fiscal de ARDISA donde certifica que las facturas a su cedula fueron anuladas en vigencia 2020 por lo tanto su cédula no fue reportada en los medos magnéticos del año gravable 2020”.

Respuesta en el sentido de: “En comunicación enviada el 21 Y 22 de Abril de 2021 se le informa que su Nit tributario fue bloqueado en nuestro sistema y sus datos se inactivaron una vez Ud. nos informó sobre la irregularidad”. Al respecto, este Despacho evidencia que se limitó la respuesta a indicar que hubo una inactivación y lo que realmente requiere la Titular es que se eliminen (“retiren”) los datos personales de la Titular.

De acuerdo con el anterior análisis, este Despacho evidencia que, de las 5 peticiones de la Titular obrantes en el reclamo del 11 de septiembre de 2021, mediante la respuesta del 21 de abril de 2021 la sociedad ARDISA S.A. no dio respuesta precisa, completa y de fondo a cada una de ellas. Tras la orden administrativa impartida a través de la Resolución No. 59153 del 15 de septiembre de 2021 se evidencia que la investigada dio respuesta el 22 de septiembre de 2021 completa y de fondo a 4 de “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” las peticiones; sin embargo, respecto de la última, señala que inactivaron sus datos, pero ello no es por sí mismo, supresión de los datos que fue lo requerido por la Titular.

Por último, no es de recibo lo señalado por la investigada en el sentido de que el reclamo se remitió a los correos electrónicos xxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxx encontrándose dispuesto para ese entonces el correo electrónico mercadeo@ardisa.com.co para que los Titulares ejercieran sus derechos, ya que la sociedad ARDISA S.A. debe contar con los procedimientos y/o mecanismos internos que le permitan direccionar al área competente dentro de la compañía las consultas y reclamos de los Titulares de la información para que sean atendidos de forma oportuna.

Preliminarmente este Despacho evidenció que la sociedad ARDISA S.A. dio respuesta el 21 de abril de 2021, de forma extemporánea e incompleta, al reclamo presentado por la Titular el 11 de septiembre de 2020. Al respecto, la investigada en descargos21 expresó que la dirección electrónica dispuesta para que los Titulares ejercieran sus derechos “era mercadeo@ardisa.com.co y en la actualidad corresponde al correo electrónico: habeasdata@ardisa.com.co”; sin embargo, la Titular efectuó su solicitud a las direcciones electrónicas xxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxx y agregó que “estos canales no están establecidos para hacer solicitudes relacionadas con datos personales, según se establece en la política de datos personales y los avisos de privacidad antes mencionados”.

En síntesis, este Despacho encuentra demostrado el actuar negligente de la sociedad ARDISA S.A. en el cumplimiento del deber previsto en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la precitada norma, al no dar con la comunicación del 21 de abril de 2021 respuesta precisa, completa y de fondo a la petición del 11 de septiembre de 2020 de la Titular, evidenciándose que, solo hasta el 22 de septiembre de 2021 la investigada dio respuesta de fondo y completa a 4 de las 5 solicitudes de la Titular de la información y extemporáneamente, al haberse dado esta respuesta un año después a la presentación del reclamo.

En consideración a ello, este Despacho procederá imponer una sanción pecuniaria de acuerdo con lo dispuesto en el artículo 23 de la Ley 1581 de 2012.

DÉCIMO: En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones:  La sociedad ARDISA S.A. deberá eliminar de todas sus bases de datos, incluyendo la base de datos del software SAP Business One, todo dato de la Titular xxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxx, identificada con la cédula de ciudadanía No. xx.xxx.xxxx, que haya registrado en calidad de cliente, salvo aquellos que por ley deba conservar.  La sociedad ARDISA S.A. deberá adoptar una política y/o procedimiento para garantizar que i) en calidad de Responsable del Tratamiento solicita y conserva la autorización previa, expresa e informada de los trabajadores en misión para el Tratamiento de sus datos personales y/o ii) en calidad de Encargada del Tratamiento le han sido transmitidos por la empresa empleadora los datos de los trabajadores en misión en estricto cumplimiento de la Ley 1581 de 2012 y las normas que la adicionan, complementan y/o modifican.  La sociedad ARDISA S.A. deberá revisar que las medidas de seguridad técnicas, humanas y administrativas con las que cuenta son suficientes y efectivas para otorgar seguridad a los registros para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento atendiendo la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015.

En caso que encuentre que no son suficientes y efectivas, deberá documentar e implementar aquellas que consideré necesarias para robustecer la seguridad de la información y así evitar la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los registros. 21 Obrantes en el radicado 22-446505-00009, página 110. “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” De lo anteriormente ordenado la sociedad ARDISA S.A. deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO PRIMERO: Imposición y graduación de la sanción 11.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, la Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)”.

(Se subraya fuera de texto) El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 22. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la Ley 152 de 1994. En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV”. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibídem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional23 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”24. Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de “Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…)”. (Negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.

“Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros25. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí solo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”26.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia27. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2328 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción;

Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas.

Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”.

“Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar”.

Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 11.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”29. De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados30.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que: Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada.

En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas”  La sociedad ARDISA S.A. actuó negligentemente al no atender el reclamo de la Titular del 11 de septiembre de 2020 de forma oportuna, ya que tras un año resolvió 4 de las 5 solicitudes de la Titular de forma completa y precisa con la respuesta del 22 de septiembre de 2021.

En consideración a ello, se impondrá una sanción pecuniaria equivalente a DOSCIENTOS CINCUENTA (250) UNIDADES DE VALOR TRIBUTARIO - UVT 31 por la vulneración del deber previsto en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la precitada norma. 11.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), f) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, (iv) no hubo reconocimiento de los hechos materia de investigación y;

(v) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

DÉCIMO SEGUNDO: CONCLUSIONES Este Despacho decide imponer una sanción e impartir unas órdenes administrativas con fundamento en: (i) Se encontró demostrado que la sociedad ARDISA S.A. desconoció el deber previsto en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la precitada norma. (ii) Se evidenció que de los datos semiprivados de la Titular que se almacenaron y usaron en los registros y documentos emitidos por la sociedad ARDISA S.A. solo el número de celular xxxxxxxxxxx está vinculado a la Titular.

(iii) Se halló que la investigada no solicitó la autorización previa, expresa e informada de la Titular para el Tratamiento de sus datos; sin embargo, no se encontró cómo o de dónde se recolectaron los datos personales de la Titular registrados en el software de la compañía y obrantes en la facturas y notas de crédito de las facturas, por lo cual en virtud del principio in dubio pro administrado y en consideración a las gestiones adelantadas por la sociedad ARDISA S.A. por las presuntas conductas delictivas de ex empleados que presuntamente dieron lugar al Tratamiento de los datos de la Titular sin consentimiento, previo, expreso e informado, frente al primer cargo formulado se resolverá que no actuó negligentemente la investigada.

(iv) No se evidenció que los datos personales de la Titular de la información hayan sido accedidos, adulterados, perdidos, consultados o usados de bases de datos de la investigada, por lo cual, dentro de esta investigación, no se puede concluir que la investigada no contaba con medidas técnicas, administrativas y humanas necesarias de seguridad.

(v) Se probó que la investigada dio respuesta precisa, completa y de fondo a 4 de las 5 peticiones de la Titular del reclamo del 11 de septiembre de 2020, de forma extemporánea al atenderlo tras un año del reclamo, el 22 de septiembre de 2021. A su turno, se halló que la respuesta del 21 de abril de 2021 no absolvió de forma precisa, completa y de fondo ninguna de las solicitudes de la Titular del 11 de septiembre de 2020.

Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer la sanción correspondiente a DIEZ MILLONES SEISCIENTOS TRES MIL PESOS M/CTE ($ 10.603.000), equivalente a DOSCIENTOS CINCUENTA (250) UNIDADES DE VALOR TRIBUTARIO - UVT, por la violación del literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la precitada norma.

Mediante Resolución 1264 de 2022 se fijó en $42.412 pesos el valor de la Unidad de Valor Tributario - UVT, que regirá durante el año 2023. “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas”

DÉCIMO TERCERO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad ARDISA S.A., identificada con NIT. 890.200.050-6, con el correo electrónico de notificación judicial maria.colmenares@ardisa.com.co, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

Una vez registradas, en el mismo enlace podrán iniciar sesión a servicios en línea, donde deberán ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el No. 21-446505. La sociedad y las personas naturales son responsables de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberán adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad ARDISA S.A., identificada con NIT. 890.200.050-6, de DIEZ MILLONES SEISCIENTOS TRES MIL PESOS M/CTE ($ 10.603.000), equivalente a DOSCIENTOS CINCUENTA (250) UNIDADES DE VALOR TRIBUTARIO - UVT, por la violación del literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la precitada norma.

Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2: ORDENAR a la sociedad ARDISA S.A., identificada con NIT. 890.200.050-6, que dentro de los CINCO (5) DÍAS hábiles siguientes a la ejecutoria de la presente decisión, dé cumplimiento a la siguiente instrucción:  La sociedad ARDISA S.A. deberá eliminar de todas sus bases de datos, incluyendo la base de datos del software SAP Business One, todo dato de la Titular xxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxx, identificada con la cédula de ciudadanía No. xx.xxx.xxxx, que haya registrado en calidad de cliente, salvo aquellos que por ley deba conservar.

Parágrafo primero: La sociedad ARDISA S.A., identificada con NIT. 890.200.050-6, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los CINCO (5) DÍAS hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.

Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad. Parágrafo segundo: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad ARDISA S.A., identificada con NIT. 890.200.050-6, acreedora de las sanciones previstas en la ley.

ARTÍCULO 3: ORDENAR a la sociedad ARDISA S.A., identificada con NIT. 890.200.050-6, que dentro del término de TRES (3) MESES siguientes a la ejecutoria de la presente decisión, dé cumplimiento a las siguientes instrucciones:  La sociedad ARDISA S.A. deberá adoptar una política y/o procedimiento para garantizar que i) en calidad de Responsable del Tratamiento solicita y conserva la autorización previa, “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” expresa e informada de los trabajadores en misión para el Tratamiento de sus datos personales y/o ii) en calidad de Encargada del Tratamiento le han sido transmitidos por la empresa empleadora los datos de los trabajadores en misión en estricto cumplimiento de la Ley 1581 de 2012 y las normas que la adicionan, complementan y/o modifican.  La sociedad ARDISA S.A. deberá revisar que las medidas de seguridad técnicas, humanas y administrativas con las que cuenta son suficientes y efectivas para otorgar seguridad a los registros para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento atendiendo la Ley 1581 de 2012 y el Decreto Único Reglamentario 1074 de 2015.

En caso que encuentre que no son suficientes y efectivas, deberá documentar e implementar aquellas que consideré necesarias para robustecer la seguridad de la información y así evitar la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los registros. Parágrafo primero: La sociedad ARDISA S.A., identificada con NIT. 890.200.050-6, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los CINCO (5) DÍAS hábiles siguientes a la expiración del plazo previsto para su acatamiento.

Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo. Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad.

Parágrafo segundo: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad ARDISA S.A., identificada con NIT. 890.200.050-6, acreedora de las sanciones previstas en la ley.

ARTÍCULO 4: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad ARDISA S.A., identificada con NIT. 890.200.050-6, a través de su apoderado, entregándole copia de esta e informándole que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO 5: COMUNICAR a la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, identificada con la cédula de ciudadanía No. xx.xxx.xxxx, el contenido de la presente decisión.

ARTÍCULO 6: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Carrera 7 No. 31A - 36, Pisos 3 y 3A, en la Ciudad de Bogotá, de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 19 de julio de 2023 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por ENRIQUE SALAZAR CARLOS ENRIQUE CARLOS MUNOZ SALAZAR MUNOZ Fecha: 2023.07.19 12:09:47 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LACA Revisó: AMVJ Aprobó: CESM “Por medio de la cual se impone una sanción y se imparten unas órdenes administrativas” NOTIFICACIÓN: Investigada: ARDISA S.A. Identificación: NIT. 890.200.050-6 Representante Legal: Gonzalo Eduardo Ardila Ardila Identificación: C.C. No. 91.204.527 Dirección: Carrera 17 C No. 60 – 30, barrio Ricaurte32.

Ciudad: Bucaramanga, Santander. Correo electrónico: maria.colmenares@ardisa.com.co 33 Apoderado: JUAN PABLO MONCADA FLOREZ Identificación: C.C. No. 13.541.848 Dirección: Carrera 29 No. 45 – 45, oficina 509, Edificio Metropolitan Business Park Ciudad: Bucaramanga, Santander. Correo electrónico: juan.moncada@legalshield.com.co 34 COMUNICACIÓN: Señora: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Identificación: C.C. No. xxxxxxxxxx Correo electrónico: xxxxxxxxxxxxxxxxxxxxxxxxx Dirección consignada en el radicado 22-446505-00017.

Dirección electrónica consignada en el radicado 22-446505-00017. Datos del apoderado informados en el radicado 22-446505-00017.

Resolución sancionatoria N° 1264 de 2023

CONSIDERANDO

RESUELVE