- 369 67:-.:: - -·:eE 2019 l~ AGO 20~ RESOLUCION NUMERO Radicaci6n 17-58734 ( VERSION PUBLICA EL DIRECTOR DE INVESTIGACION DE PROTECCION DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los articulos 19 y 21 de la Ley 1581de2012, y los numerales 5 y 9 del articulo 17 del Decreto 4886 de 2011 y
CONSIDERANDO
PRIMERO: Que mediante queja presentada el 08 de marzo de 2017 1 por el senor, identificado con la cedula de ciudadania - · esta Superintendencia tuvo conocimiento de la presunta violaci6n de las normas de protecci6n de dates personales contenidas en la Ley 1581 de 2012, por parte de la sociedad SAMSARA REPRESENTACIONES HOTELERAS S.A.S. identificada con Nit.900.850.317-0, con base en los siguientes hechos: o Manifesto que el 7 de marzo de 2017 lo contactaron a traves del numero celular para ofrecerle un servicio de recreaci6n con la sociedad SAMSARA REPRESENTACIONES HOTELERAS S.A.S. o Seria16 que no otorg6 su autorizaci6n para que dicha sociedad almacenara sus dates personales "[s]e hacen pasar por entidad filial de CREDIBANCO, VISA Y MASTERCARD, pero no son masque una empresa de recreaci6n" (fl.1 reverse). o Afirma que la persona que atendi6 la llamada contaba con su direcci6n, correo electr6nico, nombre complete, telefono, numero de cedula y celular. o Solicita se supriman sus dates personales de la base de dates de la sociedad enunciada.
SEGUNDO: Que con base en los hechos anotados, el 09 de mayo de 2018 esta Superintendencia requiri6 a los operadores de telefonia m6vil; COLOMBIA MOVIL S.A. ESP 2, COLOMBIA TELECOMUNICACIONES S.A. ESP3 y COMUNICACION CELULAR COMCEL S.A. COMCEL S.A4 con el fin de conocer nombre e identificaci6n del contrato de telefonia m6vil correspondiente a la linea TERCERO: Que la sociedad COMUNICACION CELULAR COMCEL S.A. COMCEL S.A. a traves de su representante legal, mediante comunicaci6n de fecha 23 de mayo de 2018 respondi6 al requerimiento realizado por esta Superintendencia, informando lo siguiente (fls. 7 al 10): • Que la linea m6vil No. registra a nombre de la sociedad COMPANlA NACIONAL DE ALIMENTOS EL EDEN identificada con el Nit.900.054.658 en la modalidad prepago desde el 7 de mayo de 2018 y "se evidencia cambio de No. MIN el 11 de mayo de 2018, antes y ahora "(fl.7). 1 Obrante de folios 1 al 2. 2 Obrante a folio 4 3 Obrante a folio 5 4 Obrante a folio 6 RESOLUCION NUMERo3 6 9 b bua1a, HOJA CUARTO: Que la sociedad COLOMBIA IViOVIL S.A. ESP., a traves de su vicepresidenta de servicio al cliente, mediante comunicacien de fecha 25 de mayo de 2018 respondie al requerimiento realizado por esta Superintendencia, informando lo siguiente (fls.11 al 13): fue activada el 17 de enero de 2017 a nombre de la senora la cual se cancele el 07 de junio de 2017.
QUINTO: Que la sociedad COLOMBIA TELECOMUNICACIONES S.A. ESP., a traves de su apoderada especial, mediante comunicaci6n de fecha 25 de mayo de 2018 respondi6 al requerimiento realizado por esta Superintendencia, informando lo siguiente (fls.14 y 15): • Que la linea mevil No. no fue activada con esta sociedad.
SEXTO: Que el dia veintisiete (27) de julio de 2018 a las 13:17:25 se culmine con la preservaci6n del sitio web "http://www.samsara.com.co" mediante informe N o. - del 4 de julio de 20185 realizado en las instalaciones del Laboratorio de Informatica Forense del Superintendencia de industria y Comercio.
SEPTIMO: Que con base en los hechos anotados, el 03 de octubre de 2018 esta Superintendencia ara ue senalara lo siguiente: (i) requiri6 a la senora informara si en el mes de marzo de 2017 hacia uso de la linea de lo contrario indicara el nombre de la persona que hacia uso de la linea; (ii) indicara si tiene vinculo laboral, comercial o de servicios con la sociedad SAMSARA REPRESENTACIONES HOTELERAS S.A.S.;
(iii) manifestara si realize llamadas telef6nicas al senor para ofrecerle algun servicio; (iv) En caso de ser positiva la respuesta al numeral anterior informara si las llamadas se realizaron para ofrecer productos o servicios propios o a nombre de un tercero y en este ultimo caso suministrar nombre y datos de contacto de la persona nombre de quien realiza las llamadas.
OCTAVO: Que con base en los hechos anotados, esta Direcci6n remitie comunicaci6n los dias 03 de octubre y 27 de noviembre de 2018 a la sociedad SAMSARA REPRESENTACIONES HOTELERAS S.A.S.; para que senalara lo siguiente: (i) informara si cuenta con procedimientos para la recolecci6n, almacenamiento, uso, circulaci6n y supresien de informaci6n y de ser afirmativo aportar copia de los mismos;
(ii) indicara que mecanismos emplea para obtener la autorizacien previa expresa e informada de los Titulares para el Tratamiento de sus datos personales con el fin de ofrecerles la prestaci6n de productos y servicios; (iii) aportara copia del (los) modelo(s) de autorizacien para el Tratamiento de datos personales; (iv) informara si cuenta con un manual en donde se senalen los procedimientos para que el Titular presente consultas y reclamos con el fin de que ejerza sus derechos a conocer, actualizar, rectificar y suprimir sus datos personales y der ser afirmativo aportar copia de los mismos;
(v) remitiera copia de la Politica de Tratamiento de Datos Personales desarrollada e implementada por la organizaci6n; (vi) aportara copia del modelo de Aviso de privacidad utilizado para poner en conocimiento la Politica de Tratamiento de Datos Personales y la forma de acceder a esta; (vii) Acreditara el (los) mecanismo(s) implementado(s) por la organizacien para dar a conocer a los Titulares el Aviso de Privacidad y la existencia de la Politica de Tratamiento de Datos Personales;
(viii) lnformara si cuenta con un Encargado para el Tratamiento de Datos; (ix) Remitiera copia de la politica de seguridad de la informacien implementada por la organizaci6n para prevenir la adulteraci6n, perdida, consulta, uso o acceso no autorizado o fraudulento de los datos personales suministrados por los Titulares; (x) Manifestara si realiza o al una vez realize el Tratamiento de los datos personales del Titular; xi remitiera copia de la autorizaci6n otorgada por el senor para el Tratamiento de sus datos personales en caso de no contar con la autorizaci6n, informar cemo obtuvo los datos y de ser afirmativo, informar que datos trate;
(xii) informara si el numero celular se encuentra registrado en alguna de sus bases ~un contratista o empleado; e (xiii) informara si la senora - - - - - tiene algun vinculo laboral, comercial o de servicios con ustedes. En caso afirmativo remita copia del contrato o documento que haga sus veces. s Obrante de folios 16 al 39 RESOLUCION NUMERO 6 9 6 ~UCfti HOJA Par la cual se impone una sanci6n y se imparten unas 6rdenes NOVENO: Que mediante Resolucion No. 5484 del 7 de marzo de 20196, se ordeno el inicio de la investigacion administrativa por la vulneraci6n a las disposiciones contenidas en (i) el literal b) del articulo 17 de la Ley 1581de2012 en concordancia con el articulo 9 ibidem, y el literal c) del articulo 4 de la misma ley y el articulo 2.2.2.25.2.2 del Decreto Unico Reglamentario 1074 de 2015;
(ii) el inciso 3 del articulo 25 de la Ley 1581 de 2012 en concordancia con el articulo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015; (iii) el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del artfculo 4 de la misma ley, y los articulos 2.2.2.25.2.1 y 2.2.2.25.6.1 del Decreto Unico Reglamentario 1074 de 2015;
(iv) el literal k) del artfculo 17 de la Ley 1581de2012 en concordancia con el artfculo 2.2.2.26.2.4 del Decreto Unico Reglamentario 1074 de 2015 y; (v) el literal o) del articulo 17 de la Ley 1581 de 2012.
DECIMO: Que la Resolucion No. 5484 del 7 de marzo de 2019 fue notificada el 11 de abril de 2019 mediante aviso No. 3778 (fl. 76), y una vez vencido el termino legal otorgado para presentar descargos la sociedad guardo silencio.
DECIMO PRIMERO: Que mediante Resoluci6n No. 18919 del 31 de mayo de 2019 7, esta Direccion de lnvestigaci6n de Protecci6n de Datos Personales, decidi6 incorporar y tener como prueba los documentos aportados por el denunciante, las pruebas gestionadas por este Despacho y en consecuencia declar6 agotada la etapa probatoria dentro de la presente actuacion administrativa, corriendo traslado a la sociedad investigada para alegar de conclusion.
DECIMO SEGUNDO: Que la Resolucion No. 18919 del 31 de mayo 2019 fue comunicada el 08 de julio de 2019 (fl.85), y una vez vencido el termino legal otorgado para presentar alegatos de conclusion la sociedad guard6 silencio.
DECIMO TERCERO: Competencia de la Superintendencia de lndustria y Comercio El artfculo 19 de la Ley 1581 de 2012, establecio que la Superintendencia de lndustria y Comercio, a traves de la Delegatura para la Proteccion de Datos Personales, ejercera la vigilancia con el fin de garantizar queen el Tratamiento de Datos personales se respeten los principios, derechos, garantfas y procedimientos previstos en la Ley 1581 de 2012.
DECIMO CUARTO: Analisis del caso 14.1 Adecuaci6n tipica La Corte Constitucional mediante sentencia C-748 de 2011 8, establecio lo siguiente en relaci6n con el principio de tipicidad en el derecho administrativo sancionatorio: "(...) En relaci6n con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracci6n administrativa en la medida en que se sefla/a que la constituye el incumplimiento de las disposiciones de ta fey, esto es, en terminos especificos, la regulaci6n que hacen /os articu/os 17 y 18 def proyecto de fey, en /os que se senalan /os deberes de los responsab/es y encargados def tratamiento de/ data (...)".
Atendiendo los parametros serialados por la citada jurisprudencia, para el caso especifico se tiene que: (i) El articulo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del Tratamiento respecto del manejo de los datos personales de los Titulares. El incumplimiento de tales requisites dara lugar a la aplicacion de las sanciones definidas especificamente en el articulo 23 de la Ley 1581 de 2012.
(ii) De conformidad con los hechos alegados por el reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneraci6n a las disposiciones contenidas en (i) el literal b) del artfculo 17 de la Ley 1581 de 2012 en concordancia con el articulo 9 ibidem, y el literal c) del artfculo s Obrante de folios 51 al 57 1 Obrante a folios 79 y 80 s Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011 ).
RESOLUCION NUMERO 3fi 9 60~ 2CJT9,_: HOJA 4 de la misma ley y el articulo 2.2.2.25.2.2 del Decreto Unico Reglamentario 1074 de 2015; (ii) el incise 3 del articulo 25 de la Ley 1581 de 2012 en concordancia con el articulo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015; (iii) el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del articulo 4 de la misma ley, y las articulos 2.2.2.25.2.1 y 2.2.2.25.6.1 del Decreto Unico Reglamentario 1074 de 2015;
(iv) el literal k) del artfculo 17 de la Ley 1581 de 2012 en concordancia con el articulo 2.2.2.26.2.4 del Decreto Unico Reglamentario 1074 de 2015 y; (v) el literal o) del articulo 17 de la Ley 1581 de 2012.. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada par la investigada dara lugar o no a la imposici6n de una sanci6n para lo cual se deberan tener en cuenta las hechos narrados par el reclamante, y el conjunto de pruebas obrantes en el expediente. 14.2 Valoraci6n probatoria y conclusiones 14.2.1 Consideraciones previas respecto del Silencio de la fuente de informaci6n y debida notificaci6n Sea lo primero aclarara que, comoquiera que la sociedad SAMSARA REPRESENTACIONES HOTELERAS S.A.S., no alleg6 a la presente investigaci6n las respectivos descargos ni alegatos de conclusion, es precise tener en cuenta en el caso particular que el incise primero del articulo 42 del C6digo de Procedimiento Administrative y de lo Contencioso Administrative (Ley 1437 de 2011) dispone lo siguiente: "( ) Habiendose dado oportunidad a los interesados para expresar sus opiniones, y con base en las pruebas e informes disponibles, se tomara la decision que sera motivada (... )".
Par otra parte, el articulo el articulo 176 del C6digo General del Proceso seriala que: "(...) Las pruebas deberan ser apreciadas en conjunto, de acuerdo con las reg/as de la sana critica, sin perjuicio de las solemnidades prescritas en la fey sustancial para la existencia o validez de ciertos actos. El juez expondra siempre razonadamente el merito que le asigne a cada prueba (...)".
De igual forma, es necesario aclarar queen el articulo 67 y ss. de la Ley 1437 de 2011 (CPACA) se establecen las procedimientos para efectuar y materializar las diferentes medias de notificaci6n, par lo que la administraci6n al momenta de notificar decisiones a las particulares debe ceriirse estrictamente a estas normas que garantizan el debido proceso y el derecho de defensa en el marco de las actuaciones administrativas.
Revisando las diferentes etapas surtidas dentro del presente expediente, se tiene que la Resoluci6n No. 5484 del 07 de marzo de 2019 a traves de la cual "se inicia una investigaci6n administrativa y se formulan cargos" se efectu6 citaci6n de notificaci6n con el fin de surtir la notificaci6n personal el 13 de marzo de 2018 tal coma obra a folio 59, lo anterior atendiendo lo dispuesto en el articulo 68 de la Ley 1437 de 2011.
Ahora bien, teniendo en cuenta que la citaci6n de notificaci6n personal no surti6 efecto9, esta Superintendencia efectu6 la notificaci6n par aviso No. 3778 el 04 de abril de 2019 tal como obra a folio 76 en las terminos del articulo 69 de Ley 1437 de 2011 la cual fue efectivamente recibida tal como se evidencia a folio 77. Par lo anterior encuentra este Despacho que la resoluci6n que dio indici6 a la presente actuaci6n se notific6 en debida forma, garantizando el principio del debido proceso en las terminos serialados en la ley, sin embargo, la fuente guard6 silencio y no ejerci6 su derecho a la defensa. 14.2.2 Frente al primer cargo - Respecto del deber de solicitar la autorizaci6n previa, expresa e informada El articulo 15 de la Constituci6n Politica establece que las personas, en desarrollo de sus derechos a la autodeterminaci6n informatica y el principio de libertad, son quienes de forma expresa deben autorizar que la informaci6n que sabre ellos sea recaudada pueda ser incluida en una base datos. 9 Obrante a folio 61 RESOLUCION NUMERd 6 9 O( D~ 2fiig HOJA Par la cual se impone una sanci6n y se imparten unas 6rdenes Al respecto la Corte Constitucional ha serialado lo siguiente: "Principia de /ibertad: El tratamiento solo puede ejercerse con el consentimiento, previo, expreso e informado def titular.
Los datos persona/es no podran ser obtenidos o divu/gados sin previa autorizaci6n, o en ausencia de mandato legal o judicial que re/eve el consentimiento. Este principio, pilar fundamental de la administraci6n de datos, permite al ciudadano elegir voluntariamente si su informaci6n personal puede ser utilizada o no en bases de datos. Tambien impide que la informaci6n ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para /os que fue autorizado inicialmente.
El literal c) de/ Proyecto de Ley Estatutaria no s6/o desarrolla el objeto fundamental de la protecci6n de/ habeas data, sino que se encuentra en intima relaci6n con otros derechos fundamentales como el de intimidad y el fibre desarrollo de la personalidad. En efecto, el ser humano goza de la garantia de determinar que datos quiere sean conocidos y tiene el derecho a determinar lo que podria denominarse su 'imagen informatica"10.
Los principios rectores, ademas, deben confluir en cuanto a su aplicaci6n con los deberes y derechos contenidos en la Ley 1581 de 2012, especificamente en el presente case, es relevante mencionar los deberes que tienen los Responsables de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data. Al respecto la Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realiza el analisis constitucional de la Ley estatutaria 1581 de 2012, manifesto: "De conformidad con la jurisprudencia de esta Corporaci6n, dentro de las prerrogativas contenidos minimos- que se desprenden de este derecho encontramos por lo menos las siguientes: (i) el derecho de las personas a conocer-acceso- /a informaci6n que sabre el/as estan recogidas en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha informaci6n;
(ii) el derecho a incluir nuevos datos con el fin de se provea una imagen comp/eta de/ titular; (iii) el derecho a actualizar la informaci6n, es decir, a poner al dia el contenido de dichas bases de datos; (iv) el derecho a que la informaci6n contenida en bases de datos sea rectificada o corregida, de ta/ manera que concuerde con la realidad;
(v) el derecho a excluir informaci6n de una base de datos, bien por que se esta hacienda un uso indebido de el/a, o por simple voluntad de/ titular -salvo las excepciones previstas en la normativa." De esta manera, debe precisar este Despacho que, tal come lo manifiesta la Corte Constitucional, el derecho de habeas data otorga la facultad al Titular de los dates personales de exigir el acceso, correcci6n, adici6n, actualizaci6n y eliminaci6n de su informaci6n, por lo que resulta apenas claro, que los Responsables de la informaci6n deben implementar mecanismos que le permita al Titular acceder en cualquier memento a su informaci6n. lgualmente, es importante indicar que en virtud del principio de libertad, citado lineas atras, el legislador impuso a los Responsables del Tratamiento de dates personales la exigencia de requerir la autorizaci6n previa, expresa e informada del Titular, consagrada en el articulo 9 de la Ley 1581 de 2012 11 y, ademas, el deber de solicitar y conservar copia de la autorizaci6n de Tratamiento otorgada por el mismo, dispuesto en el literal b) del articulo 17 del mismo compendio normativo 12.
De lo anterior, vale la pena precisar que la jurisprudencia constitucional, en sentencia mencionada lineas atras, se refiere a las caracteristicas de los dates personales al analizar la constitucionalidad del proyecto de ley de protecci6n de dates personales, a saber: "i) Estar referidos a aspectos exclusivos y propios de una persona natural; ii) Permitir identificar a la persona, en mayor o menor medida, gracias a la vision de conjunto que se /ogre con el mismo y con otro datos; iii) Su propiedad reside exclusivamente en el titular def mismo, situaci6n que no se altera por su obtenci6n par pa rte de un tercero de manera licita o ilicita; iv) su tratamiento esta sometido a reg/as especia/es (principios) en lo relativo a su captaci6n, administraci6n y divu/gaci6n" (resaltado fuera de texto), Ver en: Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP.
Jorge Ignacio Pretelt Chaljub. Ley 1581 de 2012. "Articulo 9. Autorizacion de/ Titular. Sin perjuicio de las excepciones previstas en la /ey, en el Tratamiento se requiere la autorizaci6n previa e informada de/ Titular, la cual debera ser obtenida por cualquier medio que pueda ser objeto de consulta posterior'. Ley1581 de 2012. "Articulo 17.
Deberes de los Responsab/es de/ Tratamiento. Los Responsables de/ Tratamiento deberan cumplir /os siguientes deberes, sin perjuicio de las demas disposiciones previstas en la presente ley yen otras que rijan su actividad: (...) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorizaci6n otorgada por el Titular,· (...)".
RESOLUCION NUMERO HOJA caracterlsticas que se adicionan al concepto de date personal establecido en la Ley, consistente en un derecho de propiedad sobre este, que se radica en cabeza del titular. Frente al deber de solicitar y conservar la autorizaci6n para el tratamiento de los dates, la sociedad investigada no se pronunci6 al respecto.
Per su parte a traves de la preservaci6n del sitio web "http://www.samsara.com.co" el Laboratorio de Informatica Forense de esta Superintendencia se encontr6 que "En la pagina web http:llwww.samsara.com.colsamsara!Membresia vip-php se observa un formulario de registro que reco/ecta datos persona/es, para poder enviar la solicitud se deberan activar dos botones de radio que acompafian las frases 'Aceptar terminos' y 'Autoriza el manejo de /os datos persona/es' no obstante se evidencia que las mencionadas oraciones no contienen ningun link que permita acceder a las terminos y condiciones, ni a la Politica de tratamiento de datos" (fl.25).
Al respecto encuentra este Despacho que la forma en que se solicita a los Titulares el manejo de sus dates personales la misma no informa las finalidades especificas del Tratamiento al cual seran sometidos los dates de los Titulares, por lo tanto, la investigada procedi6 a recoger, decidir y hacer tratamiento sobre los dates personales de diferentes titulares de informaci6n sin que los titulares tuvieran plena conciencia de los efectos de su autorizaci6n, al respecto la Corte Constitucional en Sentencia C 748 de 2011 serial6 lo siguiente: "(...) En consecuencia no esta permitido el consentimiento tacito de/ Titular de/ dato.
El consentimiento que brinde la persona debe ser definido coma una indicaci6n especifica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos persona/es. (...) (i) los datos persona/es s6/o pueden ser registrados y divulgados con el consentimiento fibre, previo, expreso e informado def titular. Es decir, no esta permitido el consentimiento tacito def Titular def data y solo podra prescindirse de el por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido coma una indicaci6n especifica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos persona/es.
Por ello, el silencio def Titular nunca podria inferirse coma autorizaci6n def uso de su informaci6n y (iii) el principio de libertad no solo implica el consentimiento previo a la recolecci6n def data, sino que dentro de este se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plaza de su validez. (...)". Es decir que si bien la sociedad investigada esta solicitando autorizaci6n a los Titulares para el manejo de sus dates, dicha autorizaci6n no cumple con los presupuestos basicos serialados en la ley para que el Titular pueda comprender las implicaciones de entregar sus dates a esta sociedad a traves del mecanismo de recolecci6n implementado en su pagina web y el use al cual seran sometidos los mismos per parte del Responsable de lnformaci6n.
En virtud de lo expuesto, se contempla una posible vulneraci6n a las disposiciones del literal b) del artrculo 17 de la Ley 1581 de 2012 en concordancia con el artlculo 9 ibidem, y el literal c) del artlculo 4 de la misma ley y el artlculo 2.2.2.25.2.2 del Decreto Unico Reglamentario 1074 de 2015, raz6n per la cual esta Direcci6n impondra la sanci6n a que haya lugar y procedera a impartir una orden de conformidad con lo enunciado e imponer una sanci6n. 14.2.3 Frente al segundo cargo - Respecto del deber de implementar una Politica de Tratamiento de Datos personales Sea lo primero aclarar que mediante el artrculo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015, se establece el contenido mlnimo que debe reunir el documento que haga sus veces de politica de tratamiento de informaci6n el dispuso lo siguiente: "(...) Articulo 2.2.2.25.3.1.
Politicas de Tratamiento de la informacion. Los responsables def tratamiento deberan desarrollar sus politicas para el tratamiento de los datos persona/es y velar porque tos Encargados def Tratamiento den cabal cumplimiento a las mismas. Las politicas de tratamiento de la informaci6n deberan constar en media fisico o electr6nico, en un fenguaje claro y sencillo y ser puestas en conocimiento de los Titulares.
Dichas politicas deberan incluir, por lo menos, la siguiente informaci6n:. RESOLUCION NUMEROJ 6 9 6 bE- '9 ·= HOJA 1. 2. 3. 4. 5. 6. Nombre o raz6n social, domici/io, direcci6n, correo electr6nico y teletono def Responsable. Tratamiento al cual seran sometidos las datos y finalidad def mismo cuando esta nose haya informado mediante el aviso de privacidad.
Derechos que le asisten coma Titular. Persona o area responsable de la atenci6n de peticiones, consultas y reclamos ante la cual el titular de la informaci6n puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el data y revocar la autorizaci6n. Procedimiento para que las titulares de la informaci6n puedan ejercer las derechos a conocer, actua/izar, rectificar y suprimir informaci6n y revocar la autorizaci6n.
Fecha de entrada en vigencia de la politica de tratamiento de la informaci6n y perfodo de vigencia de la base de datos. Cualquier cambio sustancial en las polfticas de tratamiento, en las terminos descritos en el artfculo 2. 2. 2. 25. 2. 2. def presente Oecreto debera ser comunicado oportunamente a las titulares de las datos persona/es de una manera eficiente, antes de implementar las nuevas politicas.
(...) ". La reunion de estos elementos permiten garantizar "el ambito de protecci6n def derecho de habeas data"13 pues resultan oponibles al sujeto obligado en los procesos de recolecci6n, Tratamiento, circulaci6n y disposici6n final de datos, asi como tambien permite garantizar a los Titulares el pleno y efectivo ejercicio del derecho de habeas data a traves de la implementaci6n y puesta en marcha, a su vez, de los principios que rigen el Tratamiento de los datos personales mediante herramientas claramente definidas y los procedimientos para su implementaci6n.
En efecto el Responsable tiene el deber de tratar la informaci6n que se encuentra almacenada en su base de datos bajo las medidas minimas establecidas por el regimen de protecci6n de datos personales, pues asi lo dispuso la Ley 1581de2012 cuando serial6 en su articulo 25 incise tercero que "(/)as polfticas de tratamiento en ningun caso podran ser inferiores a las deberes contenidos en la presente fey", disposici6n que, igualmente, refuerza la hip6tesis esgrimida entorno a que mediante la polltica de tratamiento se pretende cimentar los pilares de protecci6n al derecho.
Teniendo en cuenta que la investigada no present6 escrito de descargos ni alegatos de conclusion, asi como tampoco aport6 documentos o material probatorio al expediente, encontramos que no se pronunci6 frente al cargo formulado. Por su parte, este Despacho a traves de la preservaci6n del sitio web "http://www.samsara.com.co" el Laboratorio de Informatica Forense de esta Superintendencia se encontr6 que "Referente a /os terminos y condiciones y a la polftica de tratamiento de la informaci6n personal, estos se encuentran publicados en: http:llwww.samsara.eom.co/samsara/termi com.php" (fl.25).
Con base en lo indicado, precede este Despacho a analizar las Politicas de Tratamiento puestas a disposici6n de los Titulares a traves de la pagina web de la sociedad 14, de acuerdo a lo establecido en el articulo 2.2.2.25.3.1 del Decreto Onico Reglamentario 1074 de 2015, se encuentra lo siguiente: 1. Nombre o raz6n social, domicilio, direcci6n, correo electr6nico y te/etono def Responsable Las politicas serialan que el nombre es SAMSARA HOTELES S.A.S identificada con Nit. 900.850.371-0, el domicilio es Carrera 27 No. 78- 15 en Bogota D.C., el telefono (+57 1) 4 84 21 90 - 4 84 21 94 y correo electr6nico info@samsara.com.co - reservasnancy@gmail.com, tal como consta a folio 38 reverse. 2.
Tratamiento al cual seran sometidos las datos y finalidad def mismo cuando esta no se haya informado mediante el aviso de privacidad. Al realizar la revision el texto se tiene que las finalidades a la cual sera sometido el Tratamiento de los datos personales se relacionaron a folio 39. 3. Derechos que le asisten coma Titular. 13 Corte Constitucional, sentencia C-748 de 2011, M.P. Maria Victoria Calle Correa 14 Obrante de folio 31 reverso al 39 36 9 6 RESOLUCION NU MERO qE °!lO!t !!.
Par la cual se impone una sanci6n y se imparten unas 6rdenes HOJA Al respecto en el acapite 5 de la politica implementada (fl.33 reverse) se hace menci6n a las derechos de las titulares de informaci6n. 4. Persona o area responsable de la atenci6n de peticiones, consultas y reclamos ante la cual el titular de la informaci6n puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorizaci6n.
Las politicas serialan que las consultas, reclamos o peticiones respecto a la protecci6n de sus datos personales deberan tramitarse a traves de la pagina web www.samsara.com.co, correo electr6nico info@samsara.com.co- reservasnancy@gmail.com o a la direcci6n Carrera 27 No. 78- 15 en Bogota D.C., tal coma consta a folio 39 reverse. 5. Procedimiento para que los titulares de la informaci6n puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir informaci6n y revocar la autorizaci6n.
Frente a este requisite, en el acapite 19 de la politica implementada (fl.37 reverse) se hace menci6n a las reglas aplicables cuando un titular de informaci6n considere que su informaci6n de be ser objeto de actualizaci6n, correcci6n o supresi6n. 6. Fecha de entrada en vigencia de la politica de tratamiento de la informaci6n y periodo de vigencia de la base de datos.
Al respecto en el acapite 26 de la politica implementada (fl.38 reverse) se hace menci6n a la fecha de entrada en vigencia de la misma y las derechos de las titulares de informaci6n, sin embargo, no hace referencia al periodo de vigencia de la base de datos que son objeto de Tratamiento par parte de la investigada. Por otra parte, es pertinente indicar que a lo largo de la redacci6n de la Politica de Tratamiento implementada, se hace menci6n al Decreto 1377 de 2013 el cual fue derogado y compilado en el Decreto Unico Reglamentario 1074 de 2015.
En virtud de lo expuesto, este Despacho encuentra que la sociedad investigada cuenta con unas Politicas de Tratamiento de acuerdo a lo establecido en el articulo 25 de la Ley 1581 de 2012 en concordancia con el articulo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015, no obstante se encuentra la necesidad de impartir unas ordenes tendientes que la sociedad establezca un periodo de vigencia y actualice la normatividad citada. 14.2.4 Frente al tercer cargo - Respecto del deber de contar con manual interno de politicas y procedimientos para garantizar, el adecuado cumplimiento de la ley El literal k) del articulo 17 de la Ley 1581 de 2012, contempla el deber de los responsables de adoptar un manual interno de politicas y procedimientos cuya puesta en marcha garantice el adecuado cumplimiento de la Ley de protecci6n de datos personales.
Al respecto, se encuentra que la investigada no present6 escrito de descargos ni alegatos de conclusion, asi coma tampoco aport6 documentos o material probatorio al expediente, encontramos que no se pronunci6 frente al cargo formulado. En este orden de ideas, este Despacho encuentra que a pesar de que a traves de las oficios Nos. 17-58734-10 15 y 17-58734-13 16 la sociedad investigada no alleg6 ni se pronunci6 respecto de la implementaci6n de un manual de procedimientos para la recolecci6n, uso, circulaci6n y supresi6n de la informaci6n almacenada en sus bases de datos, ni la implementaci6n de un manual de Politicas de Seguridad de la informaci6n, con el fin de garantizar el adecuado cumplimiento de la Ley 1581 de 2012.
En virtud de lo expuesto, este Despacho encuentra que la sociedad SAMSARA REPRESENTACIONES HOTELERAS S.A.S., no tiene un manual de procedimientos para la recolecci6n, uso, circulaci6n y supresi6n de la informaci6n almacenada en sus bases de datos, ni un manual de Politicas de Seguridad de la informaci6n. 1s Obrante a folios 42 y 43 16 Obrante a folios 47 y 48,, JO~Ot - - RESOLUCION NU MERO oe- 201'9 HOJA A partir de lo anterior, y analizado el acervo probatorio que obra en el expediente se evidencia que la sociedad investigada no alleg6 documento alguno en el que se describa el procedimiento del ciclo del dato Dicho procedimiento deberia describir: - El metodo de recolecci6n de la informaci6n. - La forma de almacenamiento de la informaci6n. - Los multiples usos que puede tener la informaci6n de pendiendo de la(s) finalidades especificadas por la empresa. - La forma en que la informaci6n circula al interior de la empresa y/o si es remitida a en Encargado para su Tratamiento; y - El metodo empleado para dar disposici6n final a la informaci6n o suprimir el dato del Titular que asi lo solicita.
En virtud de lo expuesto, se contempla una vulneraci6n a las disposiciones del literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del articulo 4 de la misma ley, y los articulos 2.2.2.25.2.1 y 2.2.2.25.6.1 del Decreto Unico Reglamentario 1074 de 2015 raz6n por la cual esta Direcci6n impondra la sanci6n a que haya lugar y se impartira una orden de conformidad a lo enunciado. 14.2.5 Frente al cuarto cargo - Respecto del deber de contar con manual para la atenci6n de consultas y reclamos Conforme al principio de legalidad en materia de datos personales, cualquier forma de Tratamiento de informaci6n personal desde su recolecci6n hasta su disposici6n final se encuentra orientada por las normas contenidas no solamente en la Ley 1581 de 2012 sino tambien en la normatividad que sobre la materia se ha expedido, la cual, para el caso en particular, corresponde al Decreto Unico Reglamentario 1074 de 2015 17; lo que traduce en el hecho de que las disposiciones del referido decreto tienen la misma obligatoriedad y caracter vinculante que la ley estatutaria.
Es deber de los responsables adoptar un manual inferno de politicas y procedimientos para garantizar el adecuado cump/imiento de la presente fey y en especial, para la atenci6n de consultas y reclamos, contemplado en el literal k) del articulo 17 de la Ley 1581 de 2012, toda vez que las politicas de tratamiento de la informaci6n hacen parte del manual interno de politicas y procedimientos adoptado por los Responsables y Encargados del Tratamiento, ya que por medic de este se le informa a los Titulares cuales son sus derechos, quien es el Responsable de la informaci6n y el fin para el cual van a ser tratados sus dates.
Al respecto, se encuentra que la investigada no present6 escrito de descargos ni alegatos de conclusion, asi como tampoco aport6 documentos o material probatorio al expediente, encontramos que no se pronunci6 frente al cargo formulado. En este orden de ideas, este Despacho encuentra que a pesar de que a traves de las oficios Nos. 17-58734-10 18 y 17-58734-13 19 la sociedad investigada no alleg6 ni se pronunci6 respecto de la implementaci6n de un manual o procedimiento para la atenci6n de consultas y reclamos.
En virtud de lo expuesto, este Despacho encuentra que la sociedad SAMSARA REPRESENTACIONES HOTELERAS S.A.S., no tiene un manual o procedimiento para la atenci6n de consultas y reclamos. En virtud de lo expuesto, se evidencia una vulneraci6n a las disposiciones del literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el articulo 2.2.2.26.2.4 del Decreto Unico Reglamentario 1074 de 2015, raz6n par la cual esta Direcci6n impondra la sanci6n a que haya lugar y se impartira una orden de conformidad a lo enunciado. 14.2.6 Frente al cargo quinto - Respecto del deber de cumplir con las instrucciones que imparta la Superintendencia de industria y Comercio Por medio del cual se expide el Decreto Unico Reglamentario del Sector Comercio, lndustria y Turismo, norma que compil6, entre otros, el Decreto 1377 de 2013 que reglament6 parte del articulado de la Ley 1581 de 2012. 1a Obrante a folios 42 y 43 19 Obrante a folios 47 y 48 RESOLUCION NUMERO J6 9 6 lrC_2&19' HOJA El articulo 17 de la Ley 1581 de 2012 establece los deberes de las Fuentes de lnformaci6n, especificamente, el literal o) establece que las Responsables tienen el deber de "[c]umplir con las instrucciones y requerimientos que imparta la Superintendencia de lndustria y Comercio".
En el caso bajo estudio encontramos que a traves de de las oficios Nos. 17-58734-1020 y 17-587341321 este Despacho requiri6 a la sociedad SAMSARA REPRESENTACIONES HOTELERAS S.A.S., para que allegara la informaci6n relacionada en el incise OCTAVO de la presente resoluci6n de conformidad con las funciones asignadas par la Ley 1581 de 2012 esta Direcci6n de lnvestigaci6n de Protecci6n de Dates Personales adelant6 actuaci6n reliminar con base en la queja presentada el 08 de marzo de 2017 22 par el senor Asf las cosas, esta Direcci6n evidencia que la sociedad investigada, no atendi6 las solicitudes antes enunciada dentro del termino otorgado que para el oficio No. 17-58734-10 correspondi6 a diez (10) di as ha biles y teniendo en cuenta que dicho oficio se notific6 el 1O de octubre de 201823, el termino se venci6 el 25 de octubre de 2018, fecha para la cual la sociedad no alleg6 respuesta al requerimiento efectuado.
Respecto al oficio No. 17-58734-13 el termino otorgado para el pronunciamiento de la sociedad investigada correspondi6 a diez (10) di as habiles y teniendo en cuenta que dicho oficio se notific6 el 4 de diciembre de 201824, el termino se venci6 el 18 de diciembre de 2018, fecha para la cual la sociedad no alleg6 respuesta al requerimiento efectuado.
Conforme a lo indicado, la falta de respuesta de la investigada, obstaculizo a esta Direcci6n la facultad de inspeccionar y velar par el cumplimiento oportuno de la protecci6n de dates personales, de igual forma, se retras6 la etapa de indagaci6n preliminar adelantada par este Despacho, interrumpiendo asi la fluidez y observancia del cumplimiento de las deberes contenidos en la Ley 1581 de 2012.
Par consiguiente la sociedad SAMSARA REPRESENTACIONES HOTELERAS S.A.S., en su calidad de Responsable del Tratamiento de Dates, requerida para que suministrara informaci6n que llevara a este Despacho a inspeccionar si se implementaron las medidas respectivas para garantizar el debido Tratamiento de las dates personales de las Titulares de informaci6n y protecci6n al derecho de habeas data, demostr6 un actuar negligente respecto de la atenci6n de las requerimientos efectuados par esta Direcci6n mostrando una renuencia a colaborar con lo solicitado, dentro del plaza otorgado y par consiguete para esta Direcci6n encuentra plenamente probado el incumplimiento par la sociedad investigada respecto al deber contemplado en el literal o) del articulo 17 de la Ley 1581 de 2012, par lo que se procedera a imponer la respectiva sanci6n. 14.2. 7 Conclusiones Que en virtud de las hallazgos de la preservaci6n del sitio web "http://www.samsara.com.co"y la falta de respuesta de la investigada se encontr6 probado que: 1.
La sociedad SAMSARA REPRESENTACIONES HOTELERAS S.A.S., al recolectar dates personales a traves del formulario de registro ubicado en http:llwww.samsara.eom.co/samsara/Membresia vip-php, no solicita la autorizaci6n de las titulares ni les informa las finalidades especificas para las cuales utilizara las dates, par lo que se impartira una sanci6n y se impondra una orden. 2.
La investigada si bien implement6 una Politica para el Tratamiento de dates personales la misma no hace referencia al periodo de vigencia de la base de dates que son objeto de Tratamiento par parte de la investigada y se hace menci6n al Decreto 1377 de 2013 el cual fue derogado y compilado en el Decreto Unico Reglamentario 1074 de 2015. Par lo que se impondra una sanci6n y se impartira una orden. 20 Obrante a folios 42 y 43 21 Obrante a folios 47 y 48 22 Obrante de folios 1 al 2. 23 Obrante a folio 43 24 Obrante a folio 48 RESOLUCION NUMERO HOJA Par la cual se impone una sanci6n y se imparten unas 6rdenes 3.
La sociedad enunciada no tiene un manual de procedimientos para la recolecci6n, uso, circulaci6n y supresi6n de la informaci6n almacenada en sus bases de dates, ni un manual de Politicas de Seguridad de la informaci6n, por lo que se impondra una sanci6n y se impartira una orden. 4. La sociedad en comento no tiene un manual o procedimiento para la atenci6n de consultas y reclamos, por lo que se impondra una sanci6n y se impartira una orden. 5.
Por ultimo la investigada no atendi6 el requerimiento de esta Superintendencia oportunamente como bien lo preve el literal o) de la Ley 1581 de 2012 lo que le acarreara una sanci6n al respecto.
DECIMO QUINTO: lmposici6n y graduaci6n de la sanci6n 15.1 Facultad sancionatoria La Ley 1581 de 2012 le confiri6 a la Superintendencia de lndustria y Comercio una potestad sancionatoria que se concreta en el articulo 23 de la Ley 1581 de 2012. Esta potestad sancionatoria, que es una manifestaci6n del poder punitive del Estado, derivado de los articulos 21, 4 1 y 6 1 de la Constituci6n, debe respetar las garantias constitucionales fijadas en el articulo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrative 1.
La Corte Constitucional seria16 sobre este asunto: "La sanci6n administrativa, como respuesta de/ Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos genera/es o especificos que se han ideado para el adecuado funcionamiento y marcha de la administraci6n entre otros, y consecuencia concreta de/ poder punitivo de/ Estado, no debe ser ajena a las principios que rigen el derecho al debido proceso.
(... )"1 (negrita ariadida) Dentro del marco de la Ley 1581de2012, con relaci6n a la imposici6n de la sanci6n, el articulo 24 de la misma Ley establece unos criterios de graduaci6n que permiten garantizar el respeto de las garantias del articulo 29 Constitucional 1 y que, por lo tanto, esta Direcci6n debera analizar para el caso concrete y asi determinar cuales debe tener en cuenta.
Esos criterios, segun la sentencia C748 de 2011, hacen referencia a cinco circunstancias de agravaci6n, entre los literales a) ye), ya una circunstancia de atenuaci6n o disminuci6n de la sanci6n, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracci6n al Regimen de Protecci6n de Dates, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrative sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibria entre la sanci6n y la finalidad que la norma vulnerada que establezca, asi como la proporcionalidad entre la gravedad de la infracci6n y la sanci6n aplicada.
Sobre la aplicaci6n de este principio, la Corte Constitucional ha serialado: "En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, este exige que tanto la fa/ta descrita coma la sanci6n correspondiente a las mismas que resu/ten adecuadas a /os fines de la norma, esto es, a la realizaci6n de las principios que gobiernan la funci6n publica.
Respecto de la sanci6n administrativa, la proporcionalidad implica tambien que el/a no resulte excesiva en rig1dez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad"1 Siendo asi, para la correcta adecuaci6n de los hechos y la sanci6n aplicable, el operador juridico en materia de protecci6n de dates personales debe analizar todos los criterios de graduaci6n del articulo 24 de la Ley 1581 de 2012 con la finalidad de establecer c6mo se aplican al caso concrete y, de esa forma, seleccionar y graduar la sanci6n que se impondra. Para esta finalidad, tambien se pueden tener en cuenta para la dosificaci6n de la sanci6n, el tamario de la empresa, sus ingresos operacionales, patrimonio y, en general, su informaci6n financiera, como tambien su rol dentro del cumplimiento del Regimen General de Protecci6n de Dates Personales, de tal forma que la sanci6n resulte disuasoria mas no confiscatoria.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificaci6n de perjuicios materiales o morales, es decir no se trata de la cuantificaci6n de un dario subjetivo, como sucede en el regimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del RESOLUCION NUMERO 36 9 6JE ~o19 HOJA articulo 22 y siguientes de la Ley 1581de2012, son una consecuencia negativa impuesta en contra de la persona natural o juridica que viole las disposiciones de la Ley 1581 de 2012 1.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento del Regimen General de Protecci6n de Datos Personales y, de esa forma, proteger el derecho fundamental a la protecci6n de datos personales, entre otros 1. La imposici6n de sanciones por violaci6n de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protecci6n de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el articulo 15 de la Constituci6n de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Del mismo modo, la vulneraci6n del derecho fundamental a la protecci6n de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuesti6n insignificante ode poca monta.
La transgresi6n flagrante a los derechos humanos de un ciudadano es, por si s61o, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuerdese que, segun la Declaraci6n Universal de los Derechos Humanos, "el descanacimienta y el menasprecia de las derechas humanas han ariginada actas de barbarie ultrajantes para la canciencia de la humanidad"l. Par esa, segun dicha dacumenta, se cansidera "esencial que las derechas humanas sean protegidas par un regimen de Derecha".
No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia 1. 15.1.1 La dimension de/ dafla a peligro a las intereses jurfdicas tuteladas par la fey De la lectura del articulo 24 de la Ley 1581 de 2012, resulta claro que para que haya lugar a la imposici6n de una sanci6n por parte de esta Direcci6n, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses juridicos tutelados por la Ley 1581 de 2012.
La norma, pues, hace una distinci6n entre el dario concretado y el peligro o riesgo a los intereses juridicos tutelados por la Ley 1581 de 2012, entre otros, la protecci6n del derecho fundamental a la protecci6n de datos personales y Habeas data. En primer lugar, como consecuencia de la violaci6n del deber establecido literal b) del articulo 17 de la Ley 1581 de 2012 en concordancia con el articulo 9 ibidem, y el literal c) del articulo 4 de la misma ley y el articulo 2.2.2.25.2.2 del Decreto Unico Reglamentario 1074 de 2015; se encuentra configurada por cuanto si bien la sociedad SAMSARA REPRESENTACIONES HOTELERAS S.A.S, cuenta con autorizaci6n previa, expresa e informada autorizaci6n no cumple con los presupuestos basicos serialados en la ley para que el Titular pueda comprender las implicaciones de entregar sus datos a esta sociedad a traves del mecanismo de recolecci6n implementado en su pagina web y el uso al cual seran sometidos los mismos por parte del Responsable de lnformaci6n; esta Direcci6n impondra por esta conducta como sanci6n, la suma de DIEZ (10) salarios minimos legales mensuales vigentes.
En segundo lugar qued6 demostrado que la sociedad SAMSARA REPRESENTACIONES HOTELERAS S.A.S., no tiene un manual de procedimientos para la recolecci6n, uso, circulaci6n y supresi6n de la informaci6n almacenada en sus bases de datos, ni un manual de Politicas de Seguridad de la informaci6n por lo que se contempla una vulneraci6n a las disposiciones del literal k) del articulo 17 de la Ley 1581de2012 en concordancia con el literal g) del articulo 4 de la misma ley, y los articulos 2.2.2.25.2.1 y 2.2.2.25.6.1 del Decreto Unico Reglamentario 1074 de 2015 esta Direcci6n impondra por esta conducta como sanci6n, la suma de CINCO (5) salarios minimos legales mensuales vigentes.
En tercer lugar se evidencia una vulneraci6n a las disposiciones del literal k) del articulo 17 de la Ley 1581de2012 en concordancia con el articulo 2.2.2.26.2.4 del Decreto Unico Reglamentario 1074 de 2015 toda vez que la sociedad SAMSARA REPRESENTACIONES HOTELERAS S.A.S., no tiene un manual o procedimiento para la atenci6n de consultas y reclamos, raz6n por la cual esta Direcci6n impondra por esta conducta como sanci6n, la suma de CINCO (5) salarios minimos legales mensuales vigentes.
RESOLUCION NUMERJ 6 9 6 7oE: 2°0~ HOJA En ultimo lugar, qued6 demostrado a largo del presente analisis a pesar de que la investigada no emiti6 respuesta a los requerimientos efectuados a traves de de los oficios Nos. 17-58734-10 y 1758734-13. Per lo anterior es claro que la sociedad no atendi6 el requerimiento de esta Superintendencia oportunamente come bien lo preve el espiritu de la Ley 1581 de 2012.
Como quiera que es claro que la sociedad investigada vulner6 el deber contemplado en el literal o) del articulo 17 de la Ley 1581de2012, esta Direcci6n impondra per esta conducta come sanci6n, la suma de DIEZ (10) salaries minimos legales mensuales vigentes. En virtud de lo expuesto, esta Direcci6n impondra, dentro del margen que le otorga la Ley 1581 de 2012 articulo 23 literal a, que varia entre uno (1) y dos mil (2000) Salaries Minimos Legales Mensuales Vigentes, una multa de VEINTICUATRO MILLONES OCHOCIENTOS CUARENTA Y TRES MIL CUATROCIENTOS OCHENTA (COP$24.843.480), correspondiente a TREINTA (30) Salaries Minimos Legales Mensuales Vigentes. 15.1.2 Otros criterios de graduaci6n Per ultimo se aclara que los criterios de graduaci6n de la sanci6n agravantes serialados en los literales b), c), d) ye) del articulo 24 de la Ley 1581 de 2012 no seran tenidos en cuenta debido a que (i) dentro de la investigaci6n realizada no se encontr6 que la investigada hubiera obtenido beneficio econ6mico alguno per la comisi6n de la infracci6n, (ii) no hubo reincidencia en la comisi6n de la infracci6n, (iii) no hubo resistencia u obstrucci6n a la acci6n investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las 6rdenes e instrucciones del Despacho.
El criterio de atenuaci6n serialado en el literal f) del articulo citado no se aplica toda vez que el investigado no reconoci6 o acept6 la comisi6n de la infracci6n.
DECIMO SEXTO: Orden administrativa En este orden de ideas, de acuerdo con los argumentos de hecho y de derecho expuestos per la investigada, una vez analizadas las pruebas obrantes en el expediente, yen virtud del literal e) del articulo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el "(...)lmpartir instrucciones sobre las medidas y procedimientos necesarios para la adecuaci6n de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley( )", per lo que esta instancia se dispone a impartir las siguientes instrucciones: La sociedad SAMSARA REPRESENTACIONES HOTELERAS S.A.S., debera: • Ajustar el formulario a traves del cual recolecta dates personales en su pagina web http:llwww.samsara.eom.co/samsara!Membresia vip-php a traves del cual los titulares "Autoriza el manejo de los datos persona/es" con el fin de que el mismo sea expreso e informado es decir que contenga una indicaci6n especifica e informada y libremente emitida sobre el Tratamiento al cual seran sometidos sus dates personales. • Adecuar su Politica de Tratamiento de Dates Personales en cumplimiento de los requisites establecidos el articulo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015, toda vez que en la misma no se hace referencia al periodo de vigencia de la base de dates, de igual forma debera actualizarse hacienda referencia a la normatividad vigente • Que implemente o, si ya lo tiene, adecue manual de procedimientos para la recolecci6n, uso, circulaci6n y supresi6n de la informaci6n almacenada en sus bases de dates y manual de Politicas de Seguridad de la informaci6n de acuerdo a lo establecido en el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del articulo 4 de la misma ley, y los articulos 2.2.2.25.2.1 y 2.2.2.25.6.1 del Decreto Unico Reglamentario 1074 de 2015. • Que implemente o, si ya lo tiene, adecue un manual para la atenci6n para la atenci6n de consultas y reclamos. el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el articulo 2.2.2.26.2.4 del Decreto Unico Reglamentario 1074 de 2015. 16.1 De lo anteriormente ordenado la sociedad SAMSARA REPRESENTACIONES HOTELERAS S.A.S., debera remitir a este Despacho las acciones correctivas adoptadas, dentro del termino y el mode serialado en la parte resolutiva del presente acto administrative.
REsoLuc16N NU MERO 36 9 6 Zufl~ HOJA DECIMO SEPTIMO: Es oportuno resaltar lo conceptuado en la Resoluci6n No. 83882 del 15 de noviembre de 2018, emanada del Despacho del Superintendente Delegado para la Protecci6n de Dates Personales, respecto de la responsabilidad de las administradores. Alli se serial6 lo siguiente: "( ) 6.1. Responsabilidad de /os administradores en materia de tratamiento de datos persona/es.
El articulo 2 de la Constituci6n de la Republica de Colombia de 1991 seflala que son fines esenciales def Estado, entre otros, 'garantizar la efectividad de las principios, derechos y deberes consagrados en la Constituci6n'. N6tese coma la disposici6n constitucional reclama que se obtengan resultados positivos y concretos respecto de, entre otros, las derechos constitucionales coma, par ejemplo, el debido tratamiento de las datos persona/es o la protecci6n de datos previsto en el articulo 15 de la Carta Politica.
La efectividad de las derechos humanos es un asunto de gran importancia en la sociedad a tat punto que es una exigencia de naturaleza constitucional y de/ mas alto nivel en el ordenamiento juridico. Par eso, el citado articulo ordena que las 'autoridades de la Republica estan instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demas derechos y libertades, y para asegurar el cumplimiento de las deberes sociales def Estado y de las particulares'.
Como es sabido, la Constituci6n Po/itica de Colombia establece en el artfculo 333 que 'la actividad econ6mica y la iniciativa privada son fibres, dentro de las Ifmites def bien comun'. Oicho 'bien comun' se refiere a cuestiones relevantes para una sociedad coma, entre otros, la protecci6n de las derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado coma una 'persona' y no coma un objeto o cosa.
En lfnea con lo anterior, nuestra Carta Politica recalca que la 'fibre competencia econ6mica es un derecho de todos que supone responsabilidades' y que la 'empresa, coma base de/ desarrollo, tiene una funci6n social que implica obligaciones'. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurfdica la afirmaci6n segun la cual 'el fin justifica las medias'.
En efecto, nose trata de una libertad ilimitada, sino de una actividad 'restringida' porque no solo debe ser respetuosa de/ bien comun, sino que demanda el cumplimiento de obligaciones constitucionales y legates. El bien comun al que se refiere el precitado artfcu/o 333 exige que, entre otras, la realizaci6n de cua/quier actividad econ6mica garantice las derechos fundamentales de las personas.
Es por eso que la Constituci6n pone de presente que la participaci6n en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la fey. Ahora bien, segun el artfculo 22 de la fey 222 de 199520 la expresi6n administradores comprende al 'representante legal, el liquidador, el factor, las miembros de juntas o consejos directivos y quienes de acuerdo con las estatutos ejerzan o detenten esas funciones'.
Cualquiera de ellos tiene la obligaci6n legal de garantizar las derechos de las titulares de las datos y de cumplir la fey 1581 de 2012 y cualquier otra norma. Es por eso que el artfcu/o 23 de la fey en menci6n establece que las administradores no s6/o deben 'obrar de buena fe, con lea/tad y con la diligencia de un buen nombre de negocios', sino que en el cumplimiento de sus funciones deben 'velar por el estricto cumplimiento de las disposiciones legales o estatutarias"21 (subrayamos) (...) N6tese que el artfculo 24 22 de la fey en comento presume la culpa def administrador 'en las casos de incumplimiento o extralimitaci6n de sus funciones, violaci6n de la fey ode las estatutos'.
Dicha presunci6n de responsabilidad exige que las administradores esten en capacidad de probar que han obrado con lea/tad y la diligencia de un experto, es decir, coma un 'buen hombre de negocios' tat y coma lo seflala el precitado artfculo 23. Adicionalmente, no debe perderse de vista que las administradores jurfdicamente responden 'solidaria e ilimitadamente de las perjuicios que por dolo o culpa ocasionen a la sociedad, a /os socios o a terceros'23.
Toda lo anterior pone de presente no s6/o el alto nivel de responsabilidad jurfdica y econ6mica en cabeza de /os administradores, sino el enorme profesionalismo y diligencia que debe rodear su gesti6n en el tratamiento de datos persona/es." RESOLUCION NUMERO j O~ ~J ~1g ~ HOJA Par la cual se impone una sanci6n y se imparten unas 6rdenes En virtud de lo anterior, EXHORTAMOS a los Representantes Legales de la sociedad SAMSARA REPRESENTACIONES HOTELERAS S.A.S, para que se adopten las medidas pertinentes, utiles, efectivas y verificables con el prop6sito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigaci6n. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la Superintendencia de lndustria y Comercio incorporadas en la "Gula para implementaci6n de/ principio de responsabilidad demostrada (accountability)", con especial enfasis en utilizar mecanismos de monitoree y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la practica les dereches de les Titulares de los dates personal es. 5) Hacer efectivo el plene respeto del derecho fundamental de Habeas Data.
En merito de lo expuesto, este Despacho RESUELVE ARTiCULO PRIMERO: lmponer una sanci6n pecuniaria a la sociedad SAMSARA REPRESENTACIONES HOTELERAS S.A.S., identificada con el Nit.900.850.317-0, DE VEINTICUATRO MILLONES OCHOCIENTOS CUARENTA Y TRES MIL CUATROCIENTOS OCHENTA (COP$24.843.480), correspondiente a TREINTA (30) Salaries Minimos Legales Mensuales Vigentes, de los de be res establecidos en: i) el literal b) del articulo 17 de la Ley 1581 de 2012 en concerdancia con el articulo 9 ibidem, y el literal c) del articulo 4 de la misma ley y el articulo 2.2.2.25.2.2 del Decreto Onico Reglamentario 1074 de 2015; ii) literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el literal g) del articulo 4 de la misma ley, y los articulos 2.2.2.25.2.1 y 2.2.2.25.6.1 del Decrete Onico Reglamentario 1074 de 2015; iii) literal k) del articule 17 de la Ley 1581 de 2012 en concordancia con el articule 2.2.2.26.2.4 del Decreto Onice Reglamentario 1074 de 2015; y iv) el literal e) del articulo 17 de la Ley 1581 de 2012 conforme a lo serialado en la parte motiva del presente acto administrative.
PARAGRAFO: El valor de la sanci6n pecuniaria que por esta resoluci6n se impene, debera consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Direcci6n del Tesoro Nacional - Fondes Comunes, C6digo Rentfstico No. 350300, Nit. 899999090-2. En el recibe debera indicarse el numero del expediente y el numero de la presente reseluci6n.
El pago debera acreditarse ante la pagaduria de esta Superintendencia, con el original de la consignaci6n, dentro de los cinco (5) dias habiles siguientes a la ejecuteria de esta resoluci6n. ARTiCULO SEGUNDO: ORDENAR a la sociedad SAMSARA REPRESENTACIONES HOTELERAS S.A.S., identificada con el Nit.900.850.317-0, cumplir las instrucciones impartidas por esta Direcci6n en el presente acte administrative, a saber: • Ajustar el formulario a traves del cual recolecta datos personales en su pagina web http://www.samsara.com.colsamsara/Membresia vip-php a traves del cual los titulares "Autoriza el manejo de los datos persona/es" con el fin de que el mismo sea expreso e informado es decir que contenga una indicaci6n especifica e informada y libremente emitida sebre el Tratamiento al cual seran sometidos sus datos personales. • Adecuar su Politica de Tratamiento de Datos Personales en cumplimiento de los requisites establecidos el articulo 2.2.2.25.3.1 del Decrete Onico Reglamentario 1074 de 2015, toda vez que en la misma no se hace referencia al periodo de vigencia de la base de datos, de igual forma debera actualizarse haciende referencia a la normatividad vigente • Que implemente o, si ya lo tiene, adecue manual de procedimientos para la recolecci6n, uso, circulaci6n y supresi6n de la informaci6n almacenada en sus bases de datos y manual de Peliticas de Seguridad de la informaci6n de acuerdo a lo establecide en el literal k) del articulo - RESOLUCION NUMERO E--2019 HOJA Par la cual se impone una sanci6n y se imparten unas 6rdenes 17 de la Ley 1581 de 2012 en concordancia con el literal g) del articulo 4 de la misma ley, y las articulos 2.2.2.25.2.1 y 2.2.2.25.6.1 del Decreto Unico Reglamentario 1074 de 2015. • Que implemente o, si ya lo tiene, adecue un manual para la atenci6n para la atenci6n de consultas y reclamos. el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con el articulo 2.2.2.26.2.4 del Decreto Unico Reglamentario 1074 de 2015.
PARAGRAFO PRIMERO: La sociedad SAMSARA REPRESENTACIONES HOTELERAS S.A.S., debera dar cumplimiento a la instrucci6n impartida dentro de las dos (2) meses siguientes a la ejecutoria del presente acto administrative.
PARAGRAFO SEGUNDO: La sociedad SAMSARA REPRESENTACIONES HOTELERAS S.A.S., debera acreditar el cumplimiento de lo ordenado en el presente articulo ante esta Superintendencia dentro de las cinco (05) dias habiles siguientes a la expiraci6n del plaza previsto para su acatamiento senalado en el paragrafo anterior. Para ello debera remitir a esta Entidad una certificaci6n de cumplimiento de las 6rdenes impartidas par mandate de este acto administrative.
Dicha certificaci6n debe ser emitida par un auditor interno o externo especializado en las temas que involucra la implementaci6n de cada orden.
PARAGRAFO TERCERO: El incumplimiento de lo ordenado en el presente acto administrative, hara a la sociedad SAMSARA REPRESENTACIONES HOTELERAS S.A.S., identificada con el Nit. 900.850.317-0, acreedora de las sanciones previstas en la ley. ARTiCULO TERCERO: EXHORTAR al senor JORGE ARMANDO INFANTE CAMPOS, identificado con la cedula de ciudadania No. 80.418.435, en calidad de representante legal de la sociedad SAMSARA REPRESENTACIONES HOTELERAS S.A.S., identificada con el Nit.900.850.317-0, para que se adopten las medidas pertinentes, utiles, efectivas y verificables con el prop6sito de: 1) Evitar que se repitan hechos coma las que dieron origen a la presente investigaci6n. 2) Respetar y garantizar las derechos de las Titulares de las dates. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sabre el tratamiento de dates personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la Superintendencia de lndustria y Comercio incorporadas en la "Gula para implementaci6n def principio de responsabilidad demostrada (accountability)", con especial enfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la practica las derechos de las Titulares de las dates personales. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.
ARTiCULO CUARTO: Notificar personalmente el contenido de la presente resoluci6n al SAMSARA REPRESENTACIONES HOTELERAS S.A.S., identificada con el Nit.900.850.317-0 a traves de su representante legal y/o apoderado, en calidad de investigada, entregandole copia de la misma e informandole que contra ella precede recurse de reposici6n, ante el Director de lnvestigaci6n de Protecci6n de Dates Personales y de apelaci6n ante el Superintendente Delegado para la Protecci6n de Dates Personales dentro de las diez (10) dias siguientes a su notificaci6n.
ARTiCULO QUINTO: Comunicar la presente decision al denunciante, senor identificado con C.C. No. - · NOTIFiQUESE, COMUNiQUESE Y CUMPLASE Dada en Bogota, D.C., El Director de lnvestigaci6n de Protecci6n de Dates Perso les, OS ENRIQUE SALAZAR MUNOZ Elabor6: MYLP Revis6: AMVJ Aprob6: CESM. RESOLUCION NUMERO 36 9 6dE~01S Par la cual se impone una sanci6n y se imparten unas 6rdenes NOTIFICACION: lnvestigada: Sociedad: ldentificaci6n: Representante Legal: ldentificaci6n: Direcci6n: Ciudad: Direcci6n: Ciudad: Correo electr6nico: COMUNICACION: Denunciante: ldentificaci6n: Direcci6n: Ciudad: Correo electr6nico: SAMSARA REPRESENTACIONES HOTELERAS S.A.S. NIT Nit. 900.850.317-0 JORGEARMANDOINFANTECAMPOS C.C. 80.418.435 Carrera 27 No. 78-15 Bogota, D.C. Carrera 27 No. 78-17 Bogota, D.C. info@srhhoteles.com.co HOJA