Decisión 82786 de 2020 — SIC

REPÚBLICA DE COLOMBIA (31 de diciembre) Radicación 19 - 47344 El Superintendente Delegado para la Protección de Datos Personales En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 7 del artículo 16 del Decreto 4886 de 2011, y

CONSIDERANDO

PRIMERO. Que mediante Resolución No. 68461 del 29 de noviembre 20191, la Dirección de Investigación de Protección de Datos Personales, resolvió iniciar una investigación administrativa con el fin de determinar si la sociedad Sodimac Colombia S.A. (Sodimac), identificada con Nit. No. 800.242.106-2 infringió las normas sobre protección de datos personales, en particular las disposiciones consagradas en el literal b) del artículo 17, literal c) del artículo 4 y artículo 9 de la Ley 1581 de 2012, en concordancia con los artículos 2.2.2.25.2.2 y 2.2.2.2.5 del Decreto Único Reglamentario 1074 de 2015.

Dicha actuación administrativa se inició por solicitud de un ciudadano2 que denunció lo que se relata en la página 1 de la Resolución 68461 del 29 de noviembre de 2019, de la siguiente forma: “(…) (…)”

SEGUNDO. Que mediante la Resolución No. 8660 del 28 de febrero de 20203, la Dirección de Investigación de Protección de Datos Personales incorporó las pruebas obrantes en el expediente radicado bajo el No. 19-47344-14, y rechazó la prueba solicitada por la sociedad 1 Resolución 68461 del 29 de noviembre de 2019, consecutivo 19-47344-6, folios 26-30. 2 Comunicación 19-47344-0, del 25 de febrero de 2019, folios 1 y 2. 3 Resolución No. 8660 del 28 de febrero de 2020, consecutivo 19-47344-14, páginas 1 a 93 RESOLUCIÓN NÚMERO 82786 DE 2020 Sodimac Colombia S.A. Además, se declaró agotada la etapa probatoria y se corrió traslado a la sociedad Sodimac Colombia S.A. para presentar sus alegatos de conclusión.

TERCERO. Que, una vez agotada la etapa probatoria, y efectuado el análisis de la evidencia que reposa en el expediente, así como del escrito de descargos4 allegado por la sociedad Sodimac Colombia S.A., la Dirección de Investigación de Protección de Datos Personales mediante la Resolución No. 59001 de 24 de septiembre de 20205, resolvió: “(…)

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad SODIMAC COLOMBIA S.A identificada con el Nit. 800.242.106-2 de expediente, encuentra este Despacho procedente imponer a la sanción correspondiente DOSCIENTOS MILLONES CUATRO MIL QUINIENTOS DIECINUEVE PESOS M/CTE ($200.004.519), equivalente a Cinco Mil Seiscientos Diecisiete (5.617) en UVT Unidades de Valor Tributario, por violación a lo dispuesto en literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como con los artículos 2.2.2.25.2.2 y 2.2.2.25.2.5 del Decreto único Reglamentario 1074 de 2015.

( )

ARTÍCULO SEGUNDO: IMPARTIR las siguientes órdenes administrativas a la sociedad SODIMAC COLOMBIA S.A así: •Deberá cesar la utilización de “avisos de privacidad” como mecanismo para obtener la autorización para el tratamiento de datos personales de los titulares. •Deberá proceder con la supresión de todos los datos personales, de los titulares cuyo consentimiento haya obtenido mediante avisos de privacidad, conforme a lo expuesto en la presente decisión.

PARÁGRAFO PRIMERO: La sociedad SODIMAC S.A, identificada con el Nit. 800.242.106-2 deberá dar cumplimiento de lo ordenado dentro de los dos (2) meses siguientes a la ejecutoria del presente acto administrativo. Para ello deberá aportar una certificación de cumplimiento expedida por un auditor externo cualificado.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad SODIMAC S.A, identificada con el Nit. 800.242.106-2, acreedora de las sanciones previstas en la ley.” (…)”

CUARTO. Que en el término legal establecido6, mediante escrito 19-47344-307 de 23 de octubre de 2020, el apoderado de la sociedad Sodimac Colombia S.A. (en adelante la 4 Comunicación No. 19-47344-13 de 23 de diciembre de 2019. 5 Resolución No. 59001 del 24 de septiembre de 2020, consecutivo 19-47344-20. 6 De conformidad con la certificación de 15 de octubre de 2020, expedida por la Secretaria General Ad-Hoc (Coordinadora del Grupo de Notificaciones y Certificaciones) de la Superintendencia de Industria y Comercio, que consta en la comunicación 19-47344-29, el término para presentar el recurso de reposición vencía el 26 de octubre de 2020.

Así las cosas, los recursos se presentaron en la oportunidad procesal correspondiente. 7Recurso de reposición y en subsidio de apelación, consecutivo 19-47344-30, páginas 1 a

14. RESOLUCIÓN NÚMERO 82786 DE 2020 recurrente), interpuso recurso de reposición y en subsidio de apelación, contra la Resolución No. 59001 de 24 de septiembre de 20208, con fundamento en los siguientes argumentos:

1. DE LA AUTORIZACIÓN PREVIA, EXPRESA E INFORMADA OTORGADA POR EL TITULAR A TRAVÉS DE CONDUCTAS INEQUÍVOCAS. Manifiesta la sociedad recurrente que, contrario a lo que se determinó por parte de esta Superintendencia en la Resolución No. 59001 del 24 de septiembre de 2020, sí contaba con Autorización previa, expresa e informada del Titular de la información, conforme a lo estipula el Régimen Colombiano en materia de Tratamiento de Datos Personales9.

En particular, asegura que el señor José Alberto Henao Plazas otorgó autorización para el Tratamiento de sus Datos Personales, a través de conductas inequívocas. Como soporte de lo anterior, relata que el día 02 de noviembre de 2013, el Titular de los datos acudió personalmente a la tienda Homecenter y Constructor, y contactó el servicio de instalaciones -toma de medidas- a su domicilio, para lo cual fue necesario que suministrara sus datos personales.

De esta manera, comenta que, en ese momento, el señor José Alberto Henao Plazas “autorizó de manera expresa (no tacita (sic) como menciona la SIC) el tratamiento de sus datos, conforme a las finalidades dispuestas en los diversos Avisos ubicados al interior de la precitada tienda (…)”10 En adición, aclara que no es cierto que Sodimac Colombia S.A. haya utilizado los “Avisos de privacidad como forma de obtención de la autorización”.

Por el contrario, afirma que “Sodimac siempre ha dispuesto los Avisos de privacidad con el fin de informar sobre el tratamiento, indicar donde se encuentran dispuestas las Políticas de tratamiento de información y señalar sus canales para ejercicio de los derechos de lo titulares (…)”11. De esta manera menciona que, en su criterio, queda demostrado en el “Plenario de la investigación administrativa que (…) haciendo uso de una forma VALIDA (sic) (…)” esto es, “mediante la expresión del consentimiento del titular a través de una CONDUCTA INEQUÍVOCA”, obtuvo el consentimiento de éste para el Tratamiento de sus Datos Personales. 12 Al respecto, se pregunta el apoderado de la recurrente “¿Existe algo más Inequívoco que el hecho que sea el mismo titular de los datos personales el que de forma libre, voluntaria y expresa suministre sus datos personales cuando está adquiriendo un servicio que consiste en la toma de medidas, lo cual solo se puede realizar al interior de su vivienda?”13 Al anterior interrogante responde en el sentido de manifestar lo siguiente: (i) la conducta del Titular “no es silencio o inacción, sino una verdadera acción del titular al suministrar su propia información” por medio de la cual está “consintiendo el tratamiento de sus datos” (ii) En caso de que el Titular no hubiera suministrado dichos datos, el servicio no hubiera podido ser prestado por Homecenter.

(iii) En un servicio de toma de medidas a domicilio solo se puede prestar si, de un lado, el cliente suministra la dirección y de más datos de contacto y, del otro, el día que el trabajador de Homecenter debe prestar el servicio, el Titular le da acceso a su casa para que tome las medidas.14 8 Resolución No. 59001 del 24 de septiembre de 2020, consecutivo 19-47344-20. 9 Recurso de reposición y en subsidio de apelación, consecutivo 19-47344-30.

Página 3. 10 Ibem. 11 Ibem. 12 Ibem. 13 Ibem. 14 Ibem. Página

4. RESOLUCIÓN NÚMERO 82786 DE 2020 Por tanto, concluye que “los datos personales los suministró el señor JOSE ALBERTO HENAO PLAZAS (sic) en el marco de una transacción comercial, al interior de un establecimiento de comercio, plenamente identificado, a un funcionario de dicho establecimiento debidamente uniformado e identificado, con una clara e inequívoca finalidad comercial”15 • DE LA LEGITIMIDAD DEL CONSENTIMIENTO OTORGADO MEDIANTE CONDUCTAS INEQUÍVOCAS.

Reiterando lo ya dicho en el recurso, la sociedad recurrente señala que “según su expresión literal, el Diccionario señala que Tácito es: Adjetivo, Que no se expresa o no se dice (sic) pero se supone o se sobreentiende; es decir lo que es implícito, sobrentendido o supuesto. Por contrario inequívoco refiere a: Adjetivo, Que solamente puede ser interpretado, entendido o explicado de una manera, en un único sentido y sin posibilidad de duda o equivocación (…)”16.

Añade que el artículo 7 del decreto 1377 de 2013 (incorporado en el Decreto Único Reglamentario 1074 de 2015), que reglamentó el artículo 9 de la Ley 1581 de 2012, indicó que, una de las formas de obtener el consentimiento para el Tratamiento de los Datos Personales del Titular, es “(…) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización.” Cita, como soporte de lo anterior, el concepto con radicado No. 13-151968 de esta Superintendencia, así como los artículos 6 y 7 del Reglamento General de Protección de Datos de la Unión Europea.

Concluye que, en el caso concreto, el Titular, “el 02 de Noviembre (sic) de 2013 autorizó el tratamiento de sus datos al ejecutar al menos estos tres (3) pasos: 1. Acercarse a la tienda con la intención de adquirir un servicio de instalación consistente en la toma de medidas, 2. Proceder a cancelar el valor del mismo y como es apenas obvio suministrar los datos de su domicilio a donde Homecenter le debía prestar el servicio y (sic) 3.

Informarse, a través del ambiente al interior de la tienda, de los distintos avisos dispuestos que informaban las condiciones especiales para el tratamiento de sus datos personales”. En adición, comenta que: “En este caso particular, no hay lugar a equívocos ni interpretaciones subjetivas, el cliente solicitó de manera directa un servicio y para ello entregó sus datos a sabiendas de lo dispuesto en el correspondiente Aviso de Privacidad expuesto en todo momento al efectuar la compra y entregar los datos”17, conforme, a su juicio, lo establece la Circular 008 de 18 de agosto de 2020, Expedida por esta Superintendencia, con asunto: “RECOLECCIÓN Y TRATAMIENTO DE DATOS PARA DAR CUMPLIMIENTO A PROTOCOLOS DE BIOSEGURIDAD PARA MITIGAR, CONTROLAR Y REALIZAR EL ADECUADO MANEJO DEL RIESGO DE LA PANDEMIA POR EL COVID19” En todo caso, la sociedad recurrente hace énfasis en que: “(…) nunca se ha considerado el silencio o la inacción la forma en que tomamos el consentimiento; luego para el caso del Sr. Henao Plazas, fue su acción positiva de acudir a nuestras Tiendas y entregar sus datos para el tratamiento lo que nos habilitó para operar con dichos datos.”18 Por todo lo anterior, considera dicha sociedad que el señor José Alberto Henao Plazas sí autorizó en forma expresa e inequívoca el tratamiento de sí datos. • SOLICITUDES. 15 Ibem. 16 Ibem. 17 Ibem.

Página 7. 18 Ibem. Página 8 RESOLUCIÓN NÚMERO 82786 DE 2020 Solicita que se revoque el acto administrativo recurrido ya que, en su criterio “ el sustento fáctico ha sido producto de un malentendido frente al uso de los avisos de privacidad como forma de obtención del consentimiento (…)” y, de la misma manera, que se revoquen las órdenes impartidas en dicho acto administrativo, esto es: “i) Cesar la utilización de “avisos de privacidad como mecanismo para obtener la autorización para el tratamiento de datos personales de los titulares, ii) Proceder con la supresión de todos los datos personales, de los titulares cuyo consentimiento haya obtenido mediante avisos de privacidad (…)” 19

2. DE LA APLICACIÓN DE PRINCIPIO DE RAZONABILIDAD Y PROPORCIONALIDAD EN LA IMPOSICIÓN DE SANCIONES. Manifiesta la sociedad recurrente que en la Resolución No. 59001 de 24 de septiembre de 2020, es casi nula una cuantificación del monto de la infracción por la cual se sancionó a la sociedad Sodimac Colombia S.A. lo que, en su criterio, dificulta el análisis de la tipificación de la conducta infractora y la defensa de esta y, además, es violatorio de los principios de razonabilidad y proporcionalidad.20 Frente a este último punto, señala lo siguiente: “(…) reprochamos de la entidad la falta de precisión en los elementos que constituyen (la sanción).

Partiendo del supuesto en que si (sic) se contaba con el consentimiento expreso del titular, no es entendible la conclusión que lleva a la entidad a imponer una sanción pecuniaria de DOSCIENTOS MILLONES DE PESOS. ¿De dónde salió dicha suma? ¿Qué elementos fueron considerados para esta cuantificación? (…) No es claro para la Empresa cuales fueron los supuestos considerados por la Superintendencia para cualificar la sanción que debía imponer.

Si bien la normativa de protección de datos contempla sanciones que pueden ser del orden de 2000 smlmv como tope, no se establece en la Resolución los montos individuales frente al único cargo formulado y los hechos efectivamente probados en el proceso.”21 Además, aduce que “(…) la Resolución es escueta en mencionar que Sodimac Colombia S.A. no había implementado las medidas suficientes, útiles y efectivas relacionadas con el deber de obtener la autorización de los datos de los titulares cuya información administra.

Expresión que proviniendo de la Autoridad de Protección de Datos personales debe ser sustentada y demostrada fehacientemente dentro del curso de una investigación.”22 Añade que el “derecho sancionador como expresión de las facultades extraordinarias del estado permiten la imposición de sanciones pecuniarias, pero estas deberán estar basadas en criterios de razonabilidad y proporcionalidad”; criterios que, afirma, no fueron tenidos en cuenta en la Resolución No. 59001 de 24 de septiembre de 2020, pues considera que la sanción es desproporcionada “frente a los supuestos hechos cometido por cuanto no se trata de cualquier tipo de errores los que pueden ser sancionados por la administración, sino que en cada caso se debe analizar si los errores en que supuestamente se incurrieron realmente causan un perjuicio a la actividad administradora o al marco normativo (…)”23 Indica que “(…) debe quedar manifiesto que la severidad de la sanción es función de la gravedad de la conducta reprochada, de suerte que a mayor gravedad esta última mayor severidad de la primera.” (Énfasis presente en el texto) • SOLICITUDES. 19 Ibem. 20 Ibem.

Página 9 21 Ibem. Página 10 22 Ibem. Página 9 23 Ibem. RESOLUCIÓN NÚMERO 82786 DE 2020 Solicita que se revoque la Resolución recurrida, además de las razones ya señaladas, porque, en su criterio, dicha Resolución no se ajusta al derecho punitivo, esto es, una valoración de Tipicidad, antijuridicidad y culpabilidad. Además, considera que tampoco se configuró un daño por la comisión del hecho.24 A su vez, de manera subsidiaria, solicita que, “en caso de no considerar la revocación absoluta de la sanción pecuniaria, se establezca una REDUCCION SUSTANCIAL de la sanción (…)”25

3. DE LA APLICACIÓN DEL PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA: PROGRAMA DE GESTIÓN DE DATOS PERSONALES DE SODIMAC COLOMBIA S.A. Y SUS MEDIOS PARA DEMOSTRAR EL CUMPLIMIENTO DE SUS DEBERES La sociedad Sodimac Colombia S.A. pone de presente que, al interior de la empresa, se ha liderado la implementación de la Ley 1581 de 2012 “bajo los postulados de cumplimiento y la generación de una cultura de privacidad al interior de la institución”.

Por lo anterior, asegura que: “ha venido implementándose de forma gradual y permanente en la organización, al punto de que se contrató una Consultoría especializada en el año 2016 con el fin de fortalecer e implementar el Programa Integral de Protección de Datos de Sodimac”26 (Énfasis presente en el texto). Además, dicha sociedad hace una enunciación de las medidas que implementó, a saber: “(…) Medidas implementadas: 1.

Adopción e implementación de una Política de protección de datos personales y un Procedimiento de Protección de datos, la cual se encuentra publicada en el sitio www.homecenter.co 2. Disposición, nombramiento formal e implementación del cargo de Oficial de Privacidad en la organización, dependencia ubicada en la Gerencia de Activos Informáticos.

Entre sus funciones se encuentran las de apoyar y resolver los trámites y establecer la política de atención de los ejercicios de Derechos de los titulares de datos personales. 3. Ahora bien Empresa cuenta con políticas internas de seguridad y ha sido diligente al adoptar e implementar su Política general de Seguridad de la Información, donde se incorporan estándares y procedimientos para la seguridad y confidencialidad de la información. (…)”27 Así como del marco normativo que indica está organizado de la siguiente manera: “(…) La Política General de Seguridad de la Información está concebida tomando como práctica líder a la norma ISO 27001 y cada una de las políticas de segundo nivel tomando como práctica líder la norma ISO 27002, en las que se cuentan: • - Seguridad Información • - Gestión Comunicaciones y Operaciones 24 Ibem.

Página 10 25 Ibem. Página 11. 26 Ibem. Página 12. 27 Ibem. RESOLUCIÓN NÚMERO 82786 DE 2020 • • • - Control de Acceso Lógico - Adquisición, desarrollo y mantenimiento Sistemas de Información - Administración de Incidentes (…)” Por último, enuncia los procedimientos de revisión y validación del Programa de gestión en Protección de Datos, así: “(…) • • • • • Auditoría Interna año 2018 Comités Mensuales en Protección de Datos Personales Gerencias Jurídicas, TI y BI.

Auditoría externa 2019 Comité de Riesgos Capacitaciones anuales años 2016, 2017, 2018, 2019 y 2020. (…)”28 4. PETICIONES Finalmente, la sociedad recurrente reitera las siguientes solicitudes: “(…) (i) Se revoque en su totalidad resolución 59001 del 24 de Septiembre (sic) de 2020, por las razones y motivos anteriormente señalados. (ii) En forma subsidiaria en caso de que la primera pretensión no sea acogida solicitamos se modifique el artículo primero de la Resolución N° 59001, específicamente en el sentido de disponer LA DISMINUCIÓN DE LA MULTA impuesta a Sodimac Colombia S.A., de conformidad con los criterios de razonabilidad y proporcionalidad relativos a la dosimetría de la sanción. (…)”29 QUINTO. Que mediante la Resolución No. 74268 de 20 de noviembre de 202030, la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición interpuesto por la recurrente, ordenando lo siguiente: “ (…)

ARTÍCULO PRIMERO: CORREGIR parcialmente el numeral 10.1.2 de la parte considerativa de la Resolución 59001 del 24 de septiembre de 2020., por las razones expuestas en la parte motiva de este acto administrativo, el cual quedará así: 10.1.2 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley ( ) Para la tasación de la multa no serán aplicados los criterios de graduación agravantes de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012.” 28 Ibem.

Página 13. 29 Ibem. 30 Resolución No. 74268 del 20 de noviembre de 2020, consecutivo 19-47344-31. RESOLUCIÓN NÚMERO 82786 DE 2020 ARTÍCULO SEGUNDO: CONFIRMAR en todas sus partes la Resolución 59001 del 24 de septiembre de 2020, de conformidad con la parte motiva del presente acto administrativo.

ARTÍCULO TERCERO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales. (…)”

SEXTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y con base en lo expuesto por la recurrente en el escrito de reposición y en subsidio apelación contra la Resolución No. 59001 de 24 de septiembre de 202031, se procede a resolver el recurso interpuesto, previas las siguientes: CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. El artículo 16 del Decreto 4886 de 26 de diciembre de 201132 establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: “(…) 7. Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo (…)”.

2. DE LA RECOLECCIÓN, PERSONALES USO Y CIRCULACIÓN DE DATOS La recolección, uso, circulación y el tratamiento de los datos personales privados, semiprivados y sensibles solo puede realizarse cuando exista la autorización previa, expresa e informada del Titular tal y como lo establece el principio de libertad definido en el literal c) del artículo 4 de la Ley 1581 de 201233.

La regulación colombiana prohíbe “utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales”. (Destacamos) Es imperativo tener presente que la información no se puede recolectar para hacer cualquier cosa con ella, sino sólo para finalidades específicas que se deben informar a las personas. Tampoco se puede recolectar cualquier dato personal, sino solo aquellos que sean imprescindibles para cumplir la finalidad para la cual son colectados.

En este sentido, la regulación ordena que “la recolección de datos deberá limitarse a aquellos datos personales 31 Resolución No. 59001 del 24 de septiembre de 2020, consecutivo 19-47344-20. 32 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. 33 "c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento". RESOLUCIÓN NÚMERO 82786 DE 2020 que son pertinentes y adecuados para la finalidad para la cual son recolectados o requeridos”34. A su vez, el artículo 9 de la Ley 1581 de 2012, dispone que “sin perjuicio de las excepciones previstas en la ley35, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior” y, en este mismo sentido, el artículo 17 de dicha norma consagró como deber de los Responsables del Tratamiento el de “b) solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”.

El artículo 4 del decreto 1377 de 201336 reitera, entre otras, lo siguiente: “Salvo en los casos expresamente previstos en la ley, no se podrán recolectar datos personales sin autorización del Titular” y el artículo 5 del mismo decreto establece que “El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”.

El artículo 12 de la Ley 1581 de 2012, por su parte, instituyó que el Responsable del Tratamiento al momento de solicitar la autorización del Titular “(…) deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento (…)”.

Adicionalmente, el artículo 2.2.2.25.2.4 del Decreto 1074 de 201537 (Decreto 1377 de 2013, art. 7), estableció los diversos modos de obtener la autorización para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, a saber: “Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca” De lo anterior, se entiende que el Titular ha dado su autorización para el tratamiento de sus datos personales cuando: (i) sea por escrito;

(ii) sea verbal o (iii) mediante conductas 34 Cfr. Artículo 4 del Decreto 1377 de 2013 35 El artículo 10 de la ley 1581 de 2012 ordena lo siguiente: “ARTÍCULO

10. CASOS EN QUE NO ES NECESARIA LA AUTORIZACIÓN. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas.” 36 Incorporado en el Decreto 1074 de 2015 37 “Por medio del cual se expide el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo”.

RESOLUCIÓN NÚMERO 82786 DE 2020 inequívocas, es decir, aquellas que no admiten duda o equivocación que permitan concluir de forma razonable que el Titular del dato otorgó la autorización. En otras palabras, el consentimiento se puede derivar de conductas evidentes, claras e incontrovertibles del Titular sobre su voluntad de permitir que sus datos sean tratados.

En todo caso y al margen del modo como se obtenga la autorización, esta no sólo debe ser previa e informada, sino que el Responsable del Tratamiento tiene la carga probatoria de acreditar evidencia de la autorización y de que informó lo que ordena el artículo 12 de la ley 1581 de 2012. Así las cosas, la autorización mediante conductas inequívocas debe ser previa e informada.

3. LA RECURRENTE NO PROBÓ QUE OBTUVO AUTORIZACIÓN QUE CUMPLA LOS REQUISITOS DE LEY. Como es sabido, para que sea jurídicamente válida es necesario que la autorización cumpla los requisitos generales mínimos (expresa, previa e informada) y, según el caso, los requerimientos especiales para tratar datos sensibles o información sobre menores de edad.

Si el consentimiento no cumple todas las menciones y requisitos exigidos por la ley, el mismo no produce efectos de legitimación para tratar datos personales. En el presente caso, se concluyó lo siguiente en la Resolución 59001 del 24 de septiembre de 2020: Por ende, en dicho acto administrativo se resolvió, entre otras, lo que sigue a continuación: Sodimac Colombia S.A es Responsable del Tratamiento de los datos del ciudadano que presentó la queja.

Dado lo anterior, resulta pertinente traer a colación lo que ordenan las normas que se consideraron infringidas en la Resolución No. 59001 de 24 de septiembre de 202038: Ley Estatutaria 1581 de 2012: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) 38 Resolución No. 59001 del 24 de septiembre de 2020, consecutivo 19-47344-20. RESOLUCIÓN NÚMERO 82786 DE 2020 b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

ARTÍCULO 4 o. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento;

ARTÍCULO 9 o. AUTORIZACIÓN DEL TITULAR. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. Decreto 1074 de 2015: “(…) Artículo 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento (…)

ARTÍCULO 2. 2.2.25.2.5. Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos. (…)” Como se observa, la regulación sobre Datos Personales impone cargas probatorias en cabeza de los Responsables del Tratamiento como las siguientes: a) Conservar prueba de haber informado al Titular del dato, al momento de solicitarle la autorización, todo lo que ordena el artículo 12 de la Ley 1581 de 2012 y, cuando el Titular lo solicite, entregarle copia de ello39 b) Informar al Titular de los datos las finalidades específicas del Tratamiento. c) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”40. 39 Cfr. Parágrafo del artículo 12 de la Ley 1581 de 2012. 40 Cfr. Literal (b) del artículo 17 de la Ley 1581 de 2012 y artículo 8 del Decreto 1377 de 2013 “Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos”.

RESOLUCIÓN NÚMERO 82786 DE 2020 En el presente caso, la sociedad investigada, Sodimac Colombia S.A., por medio del escrito de descargos No. 19-47344-13, del día 23 de diciembre de 201941, manifestó lo siguiente: “(…) (…) (Subrayado fuera del texto) (…)” Al respecto, la Dirección de Investigación de Protección de Datos en la No. 59001 de 24 de septiembre de 202042, determinó que: “(…) (Subrayado fuera del texto) (…)” Manifestando no estar de acuerdo con lo dicho por esta Superintendencia en la Resolución No. 59001 de 24 de septiembre de 2020, la sociedad recurrente, mediante escrito 19-4734430 del 23 de octubre de 2020, interpuso recurso de reposición y en subsidio de apelación, señalando lo siguiente43: “(…) 41 Comunicación No. 19-47344-13 de 23 de diciembre de 2019.Página 3. 42 Resolución No. 59001 del 24 de septiembre de 2020, consecutivo 19-47344-20. 43Recurso de reposición y en subsidio de apelación, consecutivo 19-47344-30.

Página

3. RESOLUCIÓN NÚMERO 82786 DE 2020 (Subrayado fuera del texto) (…)” Visto lo anterior, es necesario tener presente lo siguiente:

PRIMERO: Sodimac no acreditó prueba del contrato de servicio de instalaciones pactado el 2 de noviembre de 2013. Tampoco presentó evidencia respecto del ingreso del quejoso a una de sus tiendas el día 2 de noviembre de 2013. Lo anterior es jurídicamente relevante porque el artículo 9 de la Ley 1581 de 2012 dice que la autorización puede ser obtenida por cualquier medio “que pueda ser objeto de consulta posterior” (Destacamos).

Llama la atención que la recurrente no acredite los mecanismos probatorios pertinentes para demostrar todos los elemento de la supuesta autorización mediante conductas inequívocas. No basta realizar afirmaciones sino que es necesario acreditar evidencia que las corrobore. Esto, reiteramos, no lo ha hecho Sodimac pues solo enuncia hipótesis sin ningún sustento probatorio (salvo lo relacionado con la existencia de un aviso de privacidad al que nos referiremos posteriormente).

SEGUNDO: Sodimac admite que recolectó datos personales del quejoso pero no señaló qué datos personales recogió con ocasión del supuesto contrato de servicio de instalaciones.

TERCERO: El sólo hecho de que una persona ingrese a un establecimiento de comercio y suministre algunos datos, no significa que voluntaria y automáticamente está autorizando el tratamiento de su información. Tampoco quiere decir que la autorización obtenida de esa manera, cumple con todos los requerimientos de ley –generales o especiales- para que la misma sea jurídicamente válida.

Insistimos que en materia de tratamiento de datos no basta acreditar el consentimiento de la persona, sino que se debe demostrar que el mismo fue previo, expreso e informado. Por ende, jurídicamente sólo es válida la autorización que cumpla las menciones y requisitos exigidas por las normas pertinentes.

CUARTO: El aviso de privacidad no suple la autorización previa, expresa e informada. Según su definición legal, tiene como propósito informar al Titular del dato sobre “la existencia de las políticas de Tratamiento de información que le serán aplicables, la forma RESOLUCIÓN NÚMERO 82786 DE 2020 de acceder a las mismas y las finalidades del Tratamiento que se pretende dar a los datos personales”44.

(Destacamos) Como se observa, el aviso de privacidad es un mecanismo válido para informar las finalidades del tratamiento de los datos personales. En línea con lo anterior, el numeral 2 del artículo 13 del decreto 1377 de 201345 ordena que “las políticas de Tratamiento de la información deberán (…)incluir, por lo menos, la siguiente información: (…) 2.

Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad.” (Destacamos y subrayamos)

QUINTO: La autorización mediante conductas inequívocas es jurídicamente válida siempre y cuando sea previa e informada. El consentimiento se puede manifestar mediante conductas claras e incontrovertibles del Titular que no admitan duda sobre su voluntad de aprobar el Tratamiento de sus datos. Precisa el decreto reglamentario de la Ley 1581 de 2012 que “en ningún caso el silencio podrá asimilarse a una conducta inequívoca”46.

Es relevante precisar que, independiente del modo escogido para obtener el consentimiento del Titular de la información, el Responsable tiene las siguientes cargas probatorias: a) Demostrar que informó lo que dispone el artículo 12 de la Ley 1581 de 2012. b) Conservar y acreditar la prueba de la autorización del titular tal y como lo dispone el literal b) del artículo 17 en concordancia con literal b) del artículo 8 de la Ley 1581 de 2012.

SEXTO: Sodimac Colombia S.A. no cumplió con el deber de informar al Titular todo lo que ordena la ley, razón por la cual la autorización que manifiesta haber obtenido no cumple los requisitos legales. En efecto, en el escrito de descargos radicado por Sodimac el día 23 de diciembre de 201947, dicha sociedad allega las siguientes imágenes, por medio de las cuales pretende probar que para el día 02 de noviembre de 2013 se encontraban disponibles en establecimiento de comercio “HC Avenida 68” los siguientes “Avisos de Privacidad”: “(…) 44 Dice lo siguiente el decreto 1377 de 2013 (Incorporado en el decreto 1074 de 2015): “Artículo 3°.

Definiciones. Además de las definiciones establecidas en el artículo 3° de la Ley 1581 de 2012, para los efectos del presente decreto se entenderá por: 1. Aviso de privacidad: Comunicación verbal o escrita generada por el Responsable, dirigida al Titular para el Tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de Tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del Tratamiento que se pretende dar a los datos personales.” 45 Incorporado en el decreto 1074 de 2015 46 Cfr. Artículo 7 del decreto 1377 de 2013 (Incorporado en el decreto 1074 de 2015) 47 Comunicación No. 19-47344-13 de 23 de diciembre de 2019.

Páginas 4,5 y

6. RESOLUCIÓN NÚMERO 82786 DE 2020 (…)” A su vez, la recurrente allega copia de lo dispuesto en dichos “Avisos de Privacidad”, como se muestra a continuación48: “(…) 48 Comunicación No. 19-47344-13 de 23 de diciembre de 2019. Páginas 4,5 y

6. RESOLUCIÓN NÚMERO 82786 DE 2020 (Subrayado fuera del texto) (…)” A continuación se transcribe el texto de dicho aviso: “AVISO DE PRIVACIDAD “Estimado cliente: Almacenes Homecenter y Constructor informa que por razones de seguridad, control y mejoramiento de nuestro servicio una vez ingrese a nuestras instalaciones su imagen podrá ser grabada por nuestro circuito cerrado de televisión (CCTV), información que será archivada, transmitida o transferida a terceros en Colombia o en el exterior y monitoreada.

Con ello estaremos recolectando sus datos personales y (PARTE ILEGIBLE) datos sensibles para ser tratados por nosotros, nuestras compañías afiliadas, nuestros proveeedores de servicios de seguridad y terceros, con los cuales tengamos vínculos comerciales con los fines antes dichos. Entonces, con su ingreso a Homecenter y Constructor, usted autorizó a Sodimoc Colombia S.A. de manera inequívoca a realizar el mencionado Tratamiento de sus datos personales (sic).

De conformidad con la Ley 1581 de 2012 (Art 8), usted tiene derecho a conocer, actualizar, rectificar, ser informado sobre el uso y solicitar la supresión de sus datos personales. Puede solicitar prueba de esta autorización y/o revocarla. Adicionalmente, tiene la posibilidad de presentar ante la autoridad competente quejas por violaciones al régimen de protección de datos personales.

El responsable del tratamiento de sus datos personales será Sodimac Colombia S.A., entonces si usted tiene alguna queja o reclamo frente a sus derechos, puede presentarlas a los Centros de servicio de nuestros almacenes, en servicioalcliente@homecener.com o a través de la línea gratuita nacional 01600115150 o en Bogotá al 3077115. Conoce las políticas de tratamiento de datos en www.homecenter.com.co” RESOLUCIÓN NÚMERO 82786 DE 2020 Como se observa, dicho aviso se utiliza para recolectar la imagen de las personas que ingresan a las instalaciones de Almacenes Homecenter y Constructor.

La imagen de la cara de las personas u otras partes de su cuerpo son datos personales siempre y cuando permiten identificarlas. Esas imágenes hacen parte de la información biométrica, la cual a su vez, es un ejemplo de dato sensible49 tal y como se puede constatar en la definición legal del artículo 5 de la Ley Estatutaria 1581 de 2012. Los «datos biométricos»: incluyen información sobre las características físicas (rostro; huella dactilar; palma de la mano; retina;

ADN) y “comportamentales” (forma de firmar, tono de voz) sobre las personas50. En la regulación europea son definidos como: “datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”51 (Destacamos).

Como es sabido, la autorización del Titular debe ser previa, expresa e informada. Respecto de éste último requisito, el artículo 12 de la Ley 1581 de 2012 establece que el “Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa” lo que se ordena en dicha norma. Adicionalmente, el parágrafo de ese artículo dispone que el “Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” Teniendo en cuenta lo anterior, se establecerá si la recurrente informó todo lo que manda la regulación colombiana en los artículos 12 de la Ley 1581 de 2012 y el decreto reglamentario 1377 de 2013 (incorporado en el decreto 1074 de 2015) para recolectar datos personales sensibles.

Para el efecto, se contrastará lo dispuesto en el aviso de privacidad de la recurrente y las normas mencionadas: 49 Los Datos ensibles fueron definidos en la Ley 1581 de 2012 y en el Decreto 1377 de 2013 como “aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual, y los datos biométricos” (Artículo 5 de la ley 1581 de 2012, repetido en el numeral 3 del artículo 3 del Decreto 1377 de 2013, incorporado en el Decreto 1074 de 2015). 50 Saini, Nirmala y Sinha, Aloka.

Soft biometrics in conjunction with optics based biohashing. Optics Communications, Volume 284, Issue 3, pag. 756. February 2011. 51 Cfr. Numeral 14 del artículo 4 del Reglamento Europeo de Protección de Datos (2016): PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA (2016) REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO (27 de abril de 2016) relativo a la protección de las personas físicas en lo que respecta al Tratamiento de Datos Personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos).

RESOLUCIÓN NÚMERO 82786 DE 2020 Qué se debe informar al titular antes de obtener su consentimiento? Cumple? El Tratamiento al cual serán sometidos los datos personales (Literal -a- del art 12 de la Ley 1581 de 2012) La finalidad específica del Tratamiento (Literal -a- del art 12 de la Ley 1581 de 2012) SI El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles.

(Literal -b- del art 12 de la Ley 1581 de 2012) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos de las niñas, niños y adolescentes; (Literal -b- del art 12 de la Ley 1581 de 2012) Informar al titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento.

(Numeral 1 del artículo 6 del decreto 1377 de 2013) Se informa al titular de forma explícita y previa, cuáles de los datos que serán objeto de Tratamiento son sensibles? (Numeral 2 del artículo 6 del decreto 1377 de 2013) Los derechos que le asisten como Titular; NO Observaciones Sólo menciona los motivos de la recolección (“por razones de seguridad, control y mejoramiento de nuestro servicio”) pero no informa explícitamente los fines del tratamiento.

Utiliza la frase “con los fines antes dichos”, pero omite mencionar esas finalidades. NO NO NO NO SI* *Omite el derecho del literal f) del artículo 8 (f) “Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento”. La identificación, dirección física o SI electrónica y teléfono del Responsable del Tratamiento.

Tabla No. 1. Verificación de cumplimiento de requisitos legales Así las cosas, la recurrente no informó todo lo que ordena la Ley, razón por la cual la presunta autorización es ilegal porque, entre otras, no cumple el requisito de ser informada. Por ende, la recurrente no obtuvo la autorización que exige la regulación colombiana para legitimar el tratamiento de datos personales.

RESOLUCIÓN NÚMERO 82786 DE 2020 • EL AVISO DE PRIVACIDAD DE SODIMAC ES UN MEDIO ENGAÑOSO PARA RECOLECTAR MASIVAMENTE DATOS PERSONALES. En el “Aviso de Privacidad”, se afirma lo siguiente: “(…) con su ingreso a Homecenter y Constructor, usted autorizó a Sodimac Colombia S.A. de manera inequívoca a realizar el mencionado Tratamiento de sus datos personales”.

(Destacamos) Preocupa el uso masivo de este aviso de privacidad porque (1) no cumple los requisitos mínimos de ley tal y como se demostró en la tabla anterior, y (2) engaña a la gente dándole a entender que las personas autorizaron de manera inequívoca el tratamiento de sus datos. Se recalca que el artículo 4 del decreto 1377 de 2013 establece que “no se podrán utilizar medios engañosos o fraudulentos para recolectar y realizar Tratamiento de datos personales.” (Destacamos) Nos parece relevante traer a colación el significado de los siguientes términos según el Diccionario de la lengua española de la RAE (Real Academia Española): “ENGAÑOSO, SA52 1. adj.

Falaz, que engaña o da ocasión a engañarse. “ENGAÑAR53 Del lat. vulg. *ingannāre 'burlar'. 1. tr. Hacer creer a alguien que algo falso es verdadero. “FALAZ54 Del lat. fallax, -ācis. 1. adj. Embustero, falso. 2. adj. Que halaga y atrae con falsas apariencias “FRAUDULENTO, TA55 Del lat. fraudulentus. 1. adj. Engañoso, falaz.” Para este Despacho, el aviso de privacidad analizado es un medio fraudulento y engañoso que hace parte de un procedimiento para obtener masivamente la autorización de todos los visitantes de los almacenes Homecenter y Constructor porque se le está haciendo creer a los mismos que algo falso es verdadero.

Específicamente porque es falso afirmar a las personas que “con su ingreso a Homecenter y Constructor, usted autorizó a Sodimac Colombia S.A. de manera inequívoca a realizar el mencionado Tratamiento de sus datos personales”. Eso no es así porque ese procedimiento de supuestas conductas inequívocas no cumple todos los requisitos que exige la ley tal y como se pudo establecer en la tabla No. 1.

Al no cumplir los requerimientos legales, no se está obteniendo la autorización necesaria para tratar la información de las personas que ingresan a esos establecimientos de comercio. 52 Cfr. https://dle.rae.es/enga%C3%B1oso?m=form 53 Cfr. https://dle.rae.es/enga%C3%B1ar?m=form 54 Cfr. https://dle.rae.es/falaz?m=form 55 Cfr. https://dle.rae.es/fraudulento?m=form RESOLUCIÓN NÚMERO 82786 DE 2020 • DE LA APLICACIÓN DE LA CIRCULAR EXTERNA 008 DEL 18 DE AGOSTO DE 2020 Y EL USO DE “AVISOS DE PRIVACIDAD”.

Señala la recurrente lo siguiente56: “(…) (…) (Subrayado fuera del texto) (…)” Con la Circular 8 de 2000 no se está generando ninguna “posición jurídica REFORZADA” ni cambiando las reglas existentes ya que, simplemente, solo se evoca la función legal de los Avisos de privacidad. En esa medida, reiteramos lo siguiente: • • • El aviso de privacidad no suple la autorización previa, expresa e informada.

Según su definición legal, el aviso de privacidad tiene como propósito informar al Titular del dato sobre “la existencia de las políticas de Tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del Tratamiento que se pretende dar a los datos personales”57. (Destacamos) El aviso de privacidad es un mecanismo válido para informar las finalidades del tratamiento de los datos personales. 56 Recurso de reposición y en subsidio de apelación, consecutivo 19-47344-30.

Página 8. 57 Dice lo siguiente el decreto 1377 de 2013 (Incorporado en el decreto 1074 de 2015): “Artículo 3°. Definiciones. Además de las definiciones establecidas en el artículo 3° de la Ley 1581 de 2012, para los efectos del presente decreto se entenderá por: 1. Aviso de privacidad: Comunicación verbal o escrita generada por el Responsable, dirigida al Titular para el Tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de Tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del Tratamiento que se pretende dar a los datos personales.” RESOLUCIÓN NÚMERO 82786 DE 2020 • DE LOS MODELOS DE AUTORIZACIÓN USADOS POR SODIMAC COLOMBIA S.A. En la queja presentada por el señor José Alberto Henao Plazas, éste manifiesta que, el día 23 de febrero de 2019, la sociedad Sodimac Colomia S.A., a través de la cuenta de correo (info@homecenter.co) le envió un correo electrónico a su cuenta personal (alhe@hotmail.com), con asunto: “Autorización de Tratamiento de Datos Personales”, por medio del cual dicha sociedad envió un modelo de “AUTORIZACIÓN DE DATOS PERSONALES”, el cual se muestra a continuación: “(…) RESOLUCIÓN NÚMERO 82786 DE 2020 (Subrayado fuera del texto) (…)” Frente al particular, la sociedad recurrente, en el escrito de descargos58, manifestó lo siguiente: “(…) (Subrayado fuera del texto) (…)” Así, la sociedad Sodimac Colombia S.A. indica que, en el mes de febrero de 2019, el Titular “tuvo un nuevo contacto” con dicha sociedad en uno de sus establecimientos de comercio, visita en la cual, asegura, el Titular suministró su correo electrónico personal con el objeto de que se le enviara “un nuevo formato de autorización más expresa y específico”.

Además, asegura que dicho formato “tenía por objeto corroborar las condiciones, finalidades y transparencia en el uso de sus datos”59 Dicho lo anterior, evaluados los elementos materiales probatorios antes expuestos, del modelo de Autorización antes citado, se destaca lo siguiente: En primer lugar, dicho formato se autodenomina “Autorización de Tratamiento de Datos Personales”, por tanto, es un modelo para obtener la Autorización de los Titulares de la información, mas no un formato por medio del cual se pretendiera “corroborar las condiciones, finalidades y transparencia en el uso de sus datos”. 58 Comunicación No. 19-47344-13 de 23 de diciembre de 2019.

Página 9. 59 Ibem. RESOLUCIÓN NÚMERO 82786 DE 2020 En segundo lugar, llama la atención los siguientes párrafos de dichos modelos de autorización: “(…) cuando hago clic en la opción “ACEPTO”, autorizo de manera previa, expresa e informada que mis datos personales sean tratados (recolectados, almacenados, usados, compartidos, procesados, transmitidos, transferidos, suprimidos o actualizados) (…)” “Cuando no hago clic en la opción “ACEPTO”, autorizo a Sodimac Colombia S.A. como consta en el AVISO DE PRIVACIDAD expuso en cada una de las tiendas HOMECENTER y CONSTRUCTOR, de manera previa, expresa e inequívoca (…)” (Subrayado fuera del texto) No es sensato que de lo mismo aceptar o no aceptar.

Eso es irrespetuoso con los seres humanos porque no importa la autonomía de las personas, ni su voluntad. Para Sodimac, autorizar o no autorizar es lo mismo. Esto no es una buena práctica en materia de tratamiento de datos personales debido a que le resta importancia a la voluntad humana y, en la práctica, la anula o elimina. No importa lo que quieran o deseen las personas porque para la recurrente el Titular del dato siempre autoriza el tratamiento de su información. Dicho esto, la sociedad Sodimac Colombia S.A. debe corregir esta clase prácticas y de formatos para la obtención de la Autorización, en particular, permitiendo que el Titular NIEGUE o NO ACEPTE el Tratamiento de sus Datos Personales.

4. DE LOS PRINCIPIO DE PROPORCIONALIDAD Y RAZONABILIDAD DE LA SANCIÓN. Manifiesta la sociedad recurrente que en la Resolución No. 59001 de 24 de septiembre de 2020, es casi nula una cuantificación del monto de la infracción por la cual se sancionó a la sociedad Sodimac Colombia S.A. lo que, en su criterio, es violatorio de los principios de razonabilidad y proporcionalidad.60 Añade que el “derecho sancionador como expresión de las facultades extraordinarias del estado permiten la imposición de sanciones pecuniarias, pero estas deberán estar basadas en criterios de razonabilidad y proporcionalidad”; criterios que, afirma, no fueron tenidos en cuenta en la Resolución No. 59001 de 24 de septiembre de 2020, pues considera que la sanción es desproporcionada “frente a los supuestos hechos cometidos por cuanto no se trata de cualquier tipo de errores los que pueden ser sancionados por la administración, sino que en cada caso se debe analizar si los errores en que supuestamente se incurrieron realmente causan un perjuicio a la actividad administradora o al marco normativo (…)”61 Además, indica que “(…) reprochamos de la entidad la falta de precisión en los elementos que la constituye (la sanción).

Partiendo del supuesto en que, si se contaba con el consentimiento expreso del titular, no es entendible la conclusión que lleva a la entidad a imponer una sanción pecuniaria de DOSCIENTOS MILLONES DE PESOS. ¿De dónde salió dicha suma? ¿Qué elementos fueron considerados para esta cuantificación? (…) No es claro para la Empresa cuales fueron los supuestos considerados por la Superintendencia para cualificar la sanción que debía imponer.

Si bien la normativa de protección de datos contempla sanciones que pueden ser del orden de 2000 smlmv como tope, no se establece en la Resolución los montos individuales frente al único cargo formulado y los hechos efectivamente probados en el proceso.”62 60 Recurso de reposición y en subsidio de apelación, consecutivo 19-47344-30. Página 9 61 Ibem. 62 Ibem.

Página 10 RESOLUCIÓN NÚMERO 82786 DE 2020 Con base en lo anterior, solicita lo siguiente:63 “(…) (…)” Frente al particular, como bien lo menciona la Dirección de Investigación de Protección de Datos en la Resolución No. 74268 del 20 de noviembre de 202064, el principio de proporcionalidad en materia sancionatoria exige “que la sanción correspondiente tenga fundamento legal, que la misma sea aplicada sin afectar irrazonablemente los intereses del investigado o que esa afectación se presente en grado mínimo, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.” Por lo anterior, en la Resolución No. 59001 del 24 de septiembre de 202065, se tomó en consideración los criterios señalados por el artículo 24 de la ley 1581 de 2012 para tasar el monto de la sanción, como se muestra a continuación: “(…) (…) (Subrayado fuera del texto) (…)” Es MUY GRAVE que la recurrente recolecte masivamente datos utilizado el cuestionado aviso de privacidad que analizamos en la tabla No. 1.

Contrario a lo que afirma la recurrente, la Resolución No. 59001 del 24 de septiembre de 2020 enfatiza en la necesaria aplicación de los principios de razonabilidad y proporcionalidad, así como la relevancia de tener en cuenta para la dosificación de la sanción, el tamaño de la 63 Ibem. Pág. 11. 64 Resolución No. 74268 del 20 de noviembre de 2020, consecutivo 19-47344-31. 65 Resolución No. 59001del 24 de septiembre de 2020, consecutivo 19-47344-20.

RESOLUCIÓN NÚMERO 82786 DE 2020 empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera. Lo anterior teniendo como eje que la sanción resulte disuasoria más no confiscatoria. Así, en dicha Resolución se hace un análisis riguroso de cada uno de los criterios dispuestos en el citado artículo 24 de la Ley 1581 de 2012, como se muestra a continuación: “(…) (…) (…) (Subrayado fuera del texto) (…)” En relación con lo anterior, una vez valorados los documentos y demás elementos probatorios que conforman el expediente, es evidente que se ajusta a derecho la decisión tomada por la Dirección de Investigación de Protección de Datos Personales en la Resolución No. No. 59001 del 24 de septiembre de 202066, en el sentido de determinar la trasgresión de los deberes que le competen a la recurrente en calidad de Responsable del Tratamiento de los datos del Titular, en particular el deber de solicitar y conservar prueba de la Autorización previa, expresa e informada del Titular, conforme lo establecen las siguientes normas67: “(…) (…)” Por lo antes reseñado, no es aceptable la afirmación de la recurrente relacionada con que no fueron tenidos en cuenta los criterios de razonabilidad y proporcionalidad en la sanción impuesta, pues, de hecho, la comprobación de una conducta infractora del régimen de protección de datos en el caso analizado genera, de suyo, la puesta en peligro del derecho 66 Resolución No. 59001del 24 de septiembre de 2020, consecutivo 19-47344-20. 67 Ibem.

RESOLUCIÓN NÚMERO 82786 DE 2020 del debido Tratamiento de los Datos Personales de todos los ciudadanos que ingresan a los almacenes Homecenter y Constructor. Debe tenerse en cuenta que Sodimac Colombia S.A. realiza el Tratamiento de Datos de aproximadamente treinta y seis millones doscientas setenta mil doscientas cuarenta y tres (36.270.243) personas; razón por lo que se hace necesario que dicha sociedad sea extremadamente diligente, dé un cumplimiento debido de las normas de Protección de Datos y garantice la efectividad real (no formal) de los derechos de los Titulares.

Lo anterior, tal y como consta en la información reportada por Sodimac Colombia S.A. en el Registro Nacional de Bases de Datos: “(…) RESOLUCIÓN NÚMERO 82786 DE 2020 (…)” Considerar de bajo peligro la conducta desarrollada por la recurrente, sería restarle importancia no solo a los Derechos Humanos, sino también a las situaciones particulares de personas que se sienten agobiadas y transgredidas por las conductas inconsistentes de los Responsables del Tratamiento de sus Datos, como en el presente caso lo manifestó el ciudadano que presentó la queja.

Además de lo ya mencionado, es necesario resaltar lo siguiente respecto de la afirmación de la recurrente según la cual esta Entidad no fue precisa respecto a cuáles fueron los supuestos considerados por la Superintendencia para cualificar la sanción que debía imponer68: En primer lugar, el monto de la multa impuesta a la sociedad Sodimac Colombia S.A., es el resultado del análisis de la puesta en peligro de los intereses jurídicos tutelados en el trámite 68 Ibem.

Página 10 RESOLUCIÓN NÚMERO 82786 DE 2020 de la primera instancia de esta actuación administrativa. De esta manera, resulta útil mencionar, en todo caso y para efectos de poner en perspectiva el monto a pagar por parte de la recurrente, que la multa equivalente a doscientos veintiocho (228) salarios mínimos legales mensuales vigentes, representa el 11.4 % del límite legal de dos mil (2.000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012.

En segundo lugar, y sin perjuicio de lo anterior, es claro que la Resolución No. No. 59001 del 24 de septiembre de 202069 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas. Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”.

De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209). Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data o del debido tratamiento de los datos personales.

En tercer lugar, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos no derivan de los daños o perjuicios causados a los titulares por el uso ilegal de su información. Es decir, las normas que protegen el derecho al debido tratamiento de datos personales no se refieren a la responsabilidad civil de los Encargados o Responsables del Tratamiento de datos.

Resulta entonces que se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el derecho fundamental70 a la Protección de Datos71. Finalmente, la vulneración del derecho de habeas data o del debido tratamiento de los datos personales no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad.

Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios. Esto, en razón a que existe de por medio una trasgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.

Con apoyo en estos argumentos, no se acogerán las consideraciones de la recurrente en la medida en que la sanción y la orden fue dictada en apego a las particularidades propias de esta actuación administrativa. En todo caso, aunque las razones anteriores son suficientes para confirmar la Resolución No. 59001 del 24 de septiembre de 202072, debido a lo manifestado por la recurrente en recurso de reposición y en subsidio apelación73, así como de su importancia, esta Delegatura considera pertinente reiterar y destacar lo siguiente respecto de: 69 Resolución No. 59001del 24 de septiembre de 2020, consecutivo 19-47344-20. 70 El derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 71 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 72 Resolución No. 59001del 24 de septiembre de 2020, consecutivo 19-47344-20. 73 Recurso de reposición y en subsidio de apelación, consecutivo 19-47344-30. RESOLUCIÓN NÚMERO 82786 DE 2020 i. Responsabilidad Demostrada (Accountability) y “Compliance” en el Tratamiento de Datos Personales, y ii.

Responsabilidad Personal de los Administradores.

5. RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) TRATAMIENTO DE DATOS PERSONALES. Y “COMPLIANCE” EN EL Relata la sociedad recurrente que: “(…) (Subrayado fuera del texto) (…)” Al respecto, no está de acuerdo el Despacho con la afirmación de la recurrente de que, en este proceso administrativo, demostró a esta Entidad que las medidas adoptadas por dicha sociedad son “apropiadas y efectivas” para el Tratamiento de Datos Personales llevado a cabo al interior de una empresa con las características de Sodimac Colombia S.A. Lo anterior considerando que el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas.

Es decir, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones, lo que en el caso en concreto no fue probado por la sociedad recurrente, en particular, por quedar demostrado a lo largo de esta actuación administrativa que dicha sociedad transgredió los deberes que le competen en calidad de Responsable del Tratamiento de los datos del Titular, específicamente el deber de solicitar y conservar prueba de la Autorización previa, expresa e informada del Titular.

Además, también quedó demostrado en la presente actuación que la recurrente hace un uso inadecuado de los “Avisos de Privacidad” (ver tabla No. 1), así como de los formatos o modelos para la solicitud de Autorización para el Tratamiento de los Datos Personales de los Titulares de la información que son enviados por correo electrónico, tal y como se explicó en esta Resolución. Por lo anterior, las medidas adoptadas por la sociedad recurrente no son “apropiadas y efectivas” para que el Tratamiento de los Datos Personales realizado por Sodimac Colombia SA. sea respetuoso de los derechos de los ciudadanos, así como de la normativa de Protección de Datos Personales dispuesta en la Ley 1581 de 2012 y sus Decretos Reglamentarios.

Tan es así que, debido a las inconsistencias en las prácticas de recolección y Tratamiento de Datos Personales encontradas dentro de los procesos de Tratamiento de RESOLUCIÓN NÚMERO 82786 DE 2020 Datos de la sociedad Sodimac Colombia S.A., así como los mecanismos para obtener la autorización para el Tratamiento de Datos Personales de los Titulares, la Dirección de Investigación de Protección de Datos Personales, por medio de la Resolución No. 59001 del 24 de septiembre de 2020, ratificada por la Resolución 74268 del 20 de noviembre de 2020 y confirmada en la presente Resolución, ordenó: “(i) (…) Cesar la utilización de “avisos de privacidad” como mecanismo para obtener la autorización para el tratamiento de datos personales de los titulares.

(ii) (…) Proceder con la supresión de todos los datos personales, de los titulares cuyo consentimiento haya obtenido mediante avisos de privacidad, conforme a lo expuesto en la presente decisión.” En relación con lo anterior, recuerda el Despacho que la regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad.

Por el contrario, debe ser real y demostrable. Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante”74. Adicionalmente, es importante resaltar que los Responsables o Encargados del tratamiento de los datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos.

En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada. Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los titulares de los datos.

En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto Único Reglamentario 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada, así: El artículo 2675 -Demostración- establece que, “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales. 74 Cfr. Corte Constitucional, sentencia T-227 de 2003. 75 El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas” RESOLUCIÓN NÚMERO 82786 DE 2020 El artículo 27 -Políticas Internas Efectivas-, exige que los responsables del tratamiento de datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3.

La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, con respecto a cualquier aspecto del tratamiento.”76 Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada77(accountability)78”.

El término “accountability”79, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente. Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1.

Diseñar y activar un programa integral de gestión de datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; 2. Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales.

El principio de responsabilidad demostrada –accountability- demanda implementar acciones de diversa naturaleza80 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. El mismo, exige que los responsables y encargados del tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia.

Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales. El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere 76 El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.

En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.

La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”.

El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf 78 “El término inglés accountability puede ser traducido por rendición de cuentas. Esta voz inglesa, que, en su uso cotidiano, significa ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el término accountability puede ser traducido por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” Recuperado de https://www.fundeu.es/recomendacion/rendicionde-cuentas-ynorendimientomejor-que-accountability-1470/ el 22 de abril de 2019. 79 Cfr. Grupo de trabajo de protección de datos del artículo 29.

Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. 80 Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo involucran procesos y procedimientos con características propias en atención al objetivo que persiguen. RESOLUCIÓN NÚMERO 82786 DE 2020 apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales.

El éxito del mismo dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales” 81.

(Énfasis añadido) Por tanto, el principio de responsabilidad demostrada busca que los mandatos constitucionales y legales sobre tratamiento de datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los titulares de los datos personales y ii) una gestión respetuosa de los derechos humanos. 6.

RESPONSABILIDAD PERSONALES. DE LOS ADMINISTRADORES EN EL TRATAMIENTO DE DATOS Según el artículo 22 de la Ley 222 de 199582 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la Ley 1581 de 2012 y cualquier otra norma concordante. Por esto, el numeral segundo del artículo 23 de la Ley 222 de 1995 determina que los administradores deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, y además, en el ejercicio de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias” (énfasis añadido).

En vista de lo anterior, la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado. Es decir, ajustado o con exactitud a lo establecido en la norma. Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real y no formal, con la efectividad y rigurosidad requeridas.

Por eso, los administradores deben cuidar al detalle y con perfecta seguridad este aspecto. No basta solo con ser guardianes, deben ser promotores de la correcta y precisa aplicación de la ley. Esto, desde luego, los obliga a verificar permanentemente si la ley se está o no cumpliendo en todas las actividades que realiza su empresa u organización. 81 Cfr. Red Iberoamericana de Protección de Datos.

Grupo de trabajo temporal sobre autorregulación y protección de datos personales. Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas. 82 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” RESOLUCIÓN NÚMERO 82786 DE 2020 El artículo 2483 de la Ley 222 de 1995, presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Esta presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto. Es decir, como un “buen hombre de negocios”, tal y como lo señala su artículo 23. Adicionalmente, no debe perderse de vista que los administradores responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”84.

Las disposiciones referidas, prevén unos elementos de juicio ciertos, i) el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, y ii) el enorme profesionalismo y diligencia que debe rodear su gestión en el tratamiento de datos personales. 7. CONCLUSIONES Sin perjuicio de lo establecido, no se accederá a las solicitudes de la recurrente por, entre otras, las siguientes razones: i. El consentimiento y/o Autorización que exige la Ley 1581 de 2012 para el Tratamiento de los datos de los ciudadanos es calificado, esto es, debe ser previo, expreso e informado; características anteriores que deben acreditarse y demostrarse por el Responsable del Tratamiento aún en el supuesto de que sea otorgado por el Titular a través de conductas inequívocas. ii.

Sodimac Colombia S.A. no probó que obtuvo autorización que cumpla con los requisitos legales para poder recolectar, usar o tratar datos personales. iii. Sodimac no acreditó prueba del contrato de servicio de instalaciones pactado el 2 de noviembre de 2013. Tampoco presentó evidencia respecto del ingreso del quejoso a una de sus tiendas el día 2 de noviembre de 2013. iv.

El sólo hecho de que una persona ingrese a un establecimiento de comercio y suministre algunos datos, no significa que voluntaria y automáticamente está autorizando el tratamiento de su información. Tampoco quiere decir que la autorización obtenida de esa manera, cumple con todos los requerimientos de ley –generales o especiales- para que la misma sea jurídicamente válida. v. Es lícito utilizar avisos de privacidad pero éstos no suplen la autorización previa, expresa e informada.

Según su definición legal, tiene como propósito informar al Titular del dato sobre “la existencia de las políticas de Tratamiento de información que le serán aplicables, la forma de acceder a las mismas y “Responsabilidad de los administradores. El artículo 200 del Código de Comercio quedará así: Artículo 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros.

No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten. En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador. De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia.

En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar. Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades antedichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos”. 84 Cfr. Parte inicial del artículo 24 de la Ley 222 de 1995. 83 Artículo 24, Ley 222 de 1995 RESOLUCIÓN NÚMERO 82786 DE 2020 las finalidades del Tratamiento que se pretende dar a los datos personales”85.

(Destacamos) vi. La autorización mediante conductas inequívocas es jurídicamente válida siempre y cuando sea previa e informada. Sodimac Colombia S.A. no cumplió con el deber de informar al Titular todo lo que ordena la ley, razón por la cual la autorización que manifiesta haber obtenido no cumple los requisitos legales. vii. Mediante el aviso de privacidad que se allegó al expediente no se informó lo siguiente a los visitantes de los almacenes Homecenter y Constructor: a) La finalidad específica del Tratamiento; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o de menores de edad; c) Que por tratarse de datos sensibles no están obligado a autorizar su Tratamiento; d) Cuáles de los datos que serán objeto de Tratamiento son sensibles. viii.

El aviso de privacidad analizado es un medio fraudulento y engañoso que hace parte de un procedimiento para obtener masivamente la autorización de todos los visitantes de los almacenes Homecenter y Constructor porque se le está haciendo creer a los mismos que algo falso es verdadero. ix. La sanción impuesta a la sociedad Sodimac Colombia S.A., obedece a la desatención de los deberes legalmente establecidos para la protección del derecho fundamental de habeas data o la protección de los datos personales. x. La multa impuesta a la recurrente es equivalente al 11,4 % del límite legal establecido en el artículo 23 de la Ley 1581 de 2012. xi.

El principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Exige que se demuestre el cumplimiento real y efectivo de lo que ordena la Ley, lo que en el caso en concreto no fue probado por Sodimac Colombia S.A. xii. Sodimac Colombia S.A. realiza el Tratamiento de Datos de aproximadamente treinta y seis millones doscientas setenta mil doscientas cuarenta y tres (36.270.243) personas; razón por lo que se hace muy necesario que sea extremadamente diligente, dé un cumplimiento debido de las normas de Protección de Datos y garantice la efectividad real (no formal) de los derechos de los Titulares. xiii.

No es una buena práctica en materia de tratamiento de datos personales utilizar mecanismos para que tenga el mismo efecto que la persona ACEPTE o NO ACEPTE. No es sensato que de lo mismo aceptar o no aceptar. Eso es irrespetuoso con los seres humanos porque no importa la autonomía de las personas, ni su voluntad. Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, concluye el Despacho que la resolución objeto de impugnación fue expedida observando la ley.

De esta forma y conforme con lo dispuesto por 85 Dice lo siguiente el decreto 1377 de 2013 (Incorporado en el decreto 1074 de 2015): “Artículo 3°. Definiciones. Además de las definiciones establecidas en el artículo 3° de la Ley 1581 de 2012, para los efectos del presente decreto se entenderá por: 1. Aviso de privacidad: Comunicación verbal o escrita generada por el Responsable, dirigida al Titular para el Tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de Tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del Tratamiento que se pretende dar a los datos personales.” RESOLUCIÓN NÚMERO 82786 DE 2020 el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se confirmará en su totalidad la Resolución No. No. 59001 del 24 de septiembre de 202086.

Esta Delegatura precisa que este acto administrativo se fundamenta únicamente en los hechos, las pruebas y las particularidades del presente caso. Por eso, la decisión que se adopta no aplica en abstracto, ni de manera generalizada a otras situaciones que eventualmente sean de conocimiento de esta entidad. En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO. Confirmar en todas sus partes la Resolución No. 59001 del 24 de septiembre de 2020, incluyendo la corrección realizada mediante la Resolución No. 74268 del 20 de noviembre de 2020.

ARTÍCULO SEGUNDO. Notificar personalmente el contenido de la presente Resolución a la sociedad Sodimac Colombia S.A., identificada con el Nit. 800.242.106-2, a través de su representante legal o su apoderado o quien haga sus veces, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO TERCERO. Comunicar el contenido de la presente decisión al señor José Alberto Henao Plazas, identificado con la Cédula de Ciudadanía No. 91.268.886, entregándole copia de la misma e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO CUARTO. Informar el contenido de la presente resolución al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 31 de diciembre de 2020 El Superintendente Delegado para la Protección de Datos Personales Firmado NELSON digitalmente por REMOLINA REMOLINA NELSON ANGARITA 2020.12.31 ANGARITA Fecha: 12:43:00 -05'00' NELSON REMOLINA ANGARITA MGD 86 Resolución No. 59001 del 24 de septiembre de 2020, consecutivo 19-47344-20.

RESOLUCIÓN NÚMERO 82786 DE 2020 Notificación Sociedad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: Sodimac Colombia S.A. Nit. 800.242.106-2 Miguel Pardo Brigard C.C. No. 79.520.939 Carrera 68 D No. 80-70 Bogotá D.C. notificacionesjudiciales@homecenter.co Apoderado: Identificación: Dirección: Ciudad: Correo electrónico: Iván Darío Marrugo Jiménez C.C. No. 9.104.735 Carrera 10 No. 97 A-13, Trade Center- Torre B, Oficina 202 Bogotá D.C. imarrugo@marrugorivera.com Comunicación Reclamante Señor: Identificación: Ciudad: Correo electrónico: José Alberto Henao Plazas C.C. No. 91.268.886 Bogotá D.C. alhe@hotmail.com

Resolución sancionatoria N° 82786 de 2020

CONSIDERANDO

RESUELVE