Sanción 61471 de 2023 — SIC

(27 FEBRERO 2023) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación: 20-360266 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales (5) y (9) del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que la sociedad CARBONES QUINTANA ALVARADO S.A.S. identificada con NIT. 900.128.731-1, en su condición de Responsable del Tratamiento, llevó a cabo el Registro Nacional de Bases de Datos según lo establecido en el artículo 25 de la Ley 1581 de 2012 y el Decreto 1074 de 2015.

SEGUNDO: Que dicha sociedad reconoció durante ese proceso que no había adoptado ninguna medida de seguridad para proteger los datos personales, ya que frente al cuestionario de preguntas sobre “SEGURIDAD DE LA INFORMACIÓN” no acreditó que hubiera implementado las medidas requeridas en el formulario del Registro Nacional de Bases de Datos.

Durante el proceso del RNBD esa sociedad también manifestó ante esta entidad que sus bases o archivos contienen datos sensibles.

TERCERO: Que mediante Resolución N° 61471 del 7 de noviembre de 20191, la Dirección de Investigación de Protección de Datos Personales consideró necesario impartir, con CARÁCTER PREVENTIVO una orden administrativa a la sociedad CARBONES QUINTANA ALVARADO S.A.S., identificada con el Nit. 900.128.731-1 la cual establece: “ARTÍCULO PRIMERO: ORDENAR a la sociedad CARBONES QUINTANA ALVARADO S.A.S que documente, implemente y monitoree una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles.

ARTÍCULO SEGUNDO: La sociedad CARBONES QUINTANA ALVARADO S.A.S deberá cumplir lo ordenado en esta resolución dentro de los seis (6) meses siguientes a la ejecutoria del presente acto administrativo PARÁGRAFO PRIMERO: Para demostrar el cumplimiento deberá remitir una certificación suscrita por el Representante Legal de la sociedad CARBONES QUINTANA ALVARADO S.A.S que acredite que se han implementado las medidas ordenadas.” Resolución N° 61471 del 7 de noviembre de 2019 obrante en expediente 19-250384 “Por la cual se resuelve un recurso de reposición y se HOJA N, 2 concede el recurso de apelación”

CUARTO: Que la investigada fue notificada de la Resolución N° 61471 del 7 de noviembre de 2019, el 20 de noviembre del 2019 mediante Aviso N° 26029 de acuerdo con la certificación de fecha 28 de noviembre de 2019 expedida por la Coordinadora del Grupo de Notificaciones y certificaciones de esta Superintendencia.

QUINTO: Que, transcurrido el término concedido por esta Superintendencia para que la sociedad CARBONES QUINTANA ALVARADO S.A.S. cumpliera la orden administrativa impuesta a través de la Resolución N° 61471 del 7 de noviembre de 2019, esta guardó silencio.

SEXTO: Que, en virtud del traslado efectuado al interior de esta Dirección y el material probatorio recaudado de manera preliminar, se expidió la Resolución N° 62175 del 05 de octubre de 2020 2, mediante la cual se resolvió iniciar investigación administrativa y formular un cargo único en contra de la sociedad CARBONES QUINTANA ALVARADO S.A.S. identificada con Nit. 900.128.731-1, por la presunta violación a lo dispuesto: (i) El literal o) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 de la misma norma.

En virtud de lo anterior, esta Superintendencia le concedió un término de quince (15) días hábiles a la investigada para que rindiera los respectivos descargos y aportara o solicitara las pruebas que pretendiera hacer valer dentro de la presente actuación administrativa.

SÉPTIMO: Que la Resolución N° 62175 del 5 de octubre de 2020 le fue notificada de forma electrónica a la investigada el 06 de octubre de 2020, según consta en la certificación expedida por la Secretaría General de esta Superintendencia con radicación número 20-360266- -4 del 27 de octubre de 2020.

OCTAVO: Que dentro del término otorgado por la Resolución N° 62175 del 5 de octubre de 2020, para que la investigada presentara descargos, esta guardó silencio.

NOVENO: Que, mediante Resolución N° 8381 del 25 de febrero de 20213, esta Dirección ordenó la incorporación de pruebas allegadas a la presente actuación administrativa, y con base en ello, declaró agotada la etapa probatoria. Así mismo, ordenó correr traslado a la investigada por el término de diez (10) días hábiles para que presentara alegatos de conclusión. Resolución N° 62175 del 05 de octubre de 2020 obrante en el expediente 20-360266 Resolución N° 8381 del 25 de febrero de 2021 obrante en el expediente 20-360266 “Por la cual se resuelve un recurso de reposición y se HOJA N, 3 concede el recurso de apelación”

DÉCIMO: Que la Resolución N° 8381 del 25 de febrero de 2021 le fue comunicada al representante legal de la investigada el 26 de febrero de 2021, de conformidad con la certificación radicada bajo el número 20-360266-8 del 17 de marzo de 2021 expedida por la Secretaría General de esta Superintendencia.

DÉCIMO PRIMERO: A pesar de que la sociedad investigada fue comunicada en debida forma para que presentara los alegatos de conclusión y ejerciera su derecho de defensa, habiendo trascurrido los 10 días que señala el artículo 48 de la ley 1437 de 2011, esta guardó silencio.

DÉCIMO SEGUNDO: Que mediante la Resolución 86800 del 7 de diciembre de 20224, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la sociedad CARBONES QUINTANA ALVARADO S.A.S., identificada con NIT. 900.128.731-1, de NUEVE MILLONES QUINIENTOS UN MIL PESOS M/CTE ($9.501.000) correspondiente a 250 Unidades de Valor Tributario – UVT, por la violación a lo dispuesto en:  El literal o) del art 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 de la norma en mención. Asi mismo se impartió la siguiente orden: “ARTÍCULO SEGUNDO: IMPONER la siguiente orden administrativa a la sociedad CARBONES QUINTANA ALVARADO S.A.S con Número de Identificación Tributaria 900.128.731-1:  ORDENAR a la sociedad CARBONES QUINTANA ALVARADO S.A.S. que documente, implemente y monitoree una política de seguridad de la información que contenga medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

La política deberá contener medidas de seguridad reforzada, especiales y más robustas respecto de las bases de datos que contengan datos sensibles.”

DÉCIMO TERCERO: Que la Resolución 86800 del 7 de diciembre de 2022 fue notificada por Aviso No. 34576 el 20 de diciembre de 2022 a la sociedad investigada, a través de su apoderado especial, de acuerdo con certificación expedida por la Secretaría General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado radicado 20-360266- -14 del 27 de diciembre de 2022.

DÉCIMO CUARTO: Que mediante correo electrónico con radicado 20-360266- -00015 del 30 de diciembre de 20225, a través de su apoderado especial, CARBONES QUINTANA ALVARADO S.A.S. presentó escrito con el cual interpuso recurso de reposición y en subsidio de apelación contra la Resolución 86800 del 7 de diciembre de 2022 para que se revoque parcialmente la sanción impuesta, con fundamento en: 14.1 Sintetiza la razón de su solicitud de revocatoria parcial de la Resolución 86800 del 7 de diciembre de 2022 en que: “TERCERO: Si bien mi representada guardó silencio en el trámite administrativo, lo anterior obedeció a que la Superintendencia de Industria y Comercio no notificó a mi representada en la dirección física habilitada de notificaciones, sino que fue notificada electrónicamente sin que mi representada hubiese dado autorización para ello.”6 14.2 Manifiesta que ya cuenta con una política de seguridad: “CUARTO: CARBONES QUINTANA ALVARADO S.A.S- ya cuenta con una política de seguridad que documenta, implementa y monitorea la información y que contiene medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales.”7 Resolución 86800 del 7 de diciembre de 2022 obrante en el expediente 20-360266 Expediente digital, consecutivo 15 Expediente digital, consecutivo 15, página 2 Expediente digital, consecutivo 15, página 2 HOJA N, 4 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 14.3 Informa que ha cumplido con el deber de inscribir sus bases de datos en el Registro Nacional de Bases de Datos: “SEXTO: Dentro del Registro Nacional de Base de Datos se constata que mi representada cuenta con tres bases de datos que tienen fines específicos: Cada una de estas bases de datos tiene un responsable, un encargado del tratamiento de datos como se constata en el Registro Nacional.

DÉCIMO PRIMERO: Así mismo, CARBONES QUINTANA ALVARADO S.A.S. ha cumplido con los deberes establecidos en el artículo 17 de la Ley 1581 de 2012, de la siguiente manera: (…) Expediente digital, consecutivo 15, página 2 Expediente digital, consecutivo 15, página 2 HOJA N, 5 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” 14.5 Señala que ha implementado las siguientes medidas de seguridad 10: “DÉCIMO SEGUNDO: La información recolectada por CARBONES QUINTANA ALVARADO S.A.S. se encuentra debidamente custodiada en el servidor de almacenamiento de datos Google Drive, que, hace parte de un correo electrónico empresarial, el cual cuenta con infraestructura de confianza para evitar cualquier intento de acceso o vulneración de los datos de información almacenados.

DÉCIMO TERCERO: Al servidor de almacenamiento utilizado por CARBONES QUINTANA ALVARADO S.A.S. Google Drive, únicamente tienen acceso las personas autorizadas para el manejo de la información, quienes deben acceder con una clave de acceso, que impide el acceso de la información a personal no autorizado.” 14.6 Finalmente solicita que se revoque la sanción impuesta11: “Respetuosamente solicito a la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO, REVOCAR la Resolución No. 86800 de 2022 del siete (7) de diciembre de 2022 "por la cual se impone una sanción administrativa y se imparte una orden", y en su lugar, se ABSUELVA a CARBONES QUINTANA ALVARADO S.A.S. del presunto incumplimiento a los deberes que le asisten como responsable del tratamiento respecto del manejo de los datos personales de los titulares.”

DÉCIMO QUINTO: Competencia de la Superintendencia de Industria y Comercio La Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

DÉCIMO SEXTO: Que el artículo 77 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y de lo Contencioso Administrativo) consagra los requisitos para la presentación de los recursos y el artículo 78 de la misma Ley, las causales de rechazo de aquellos. Al respecto, este Despacho concluye que se encuentran presentes los requisitos necesarios para estudiar de fondo el recurso de reposición recibido para el caso en concreto, por cuanto: 16.1 El recurso fue interpuesto por el apoderado de la sociedad investigada dentro del término legal, ya que fue radicado dentro del término otorgado en el Artículo Cuarto de la parte resolutiva de la Resolución 15494 del 19 de marzo de 2021 y acorde con el artículo 76 de la Ley 1437 de 2011.

Esto en consideración a: 11.1.1 La sociedad investigada fue notificada por Aviso No. 34576 el 20 de diciembre de 2022 de la Resolución 86800 del 7 de diciembre de 2022, a través de su apoderado especial, de acuerdo con certificación expedida por la Secretaría General Ad-Hoc de la Superintendencia de Industria y Comercio con radicado 20-360266- -14 del 27 de diciembre de 2022. 11.1.2 La recurrente interpuso recurso de reposición y en subsidio de apelación el 30 de diciembre de 2022 a través de correo electrónico con radicado 20-360266- -00015, encontrándose dentro del término legal. 11.1.3 La recurrente manifestó los motivos de inconformidad que presenta respecto de la Resolución 86800 del 7 de diciembre de 2022, los cuales fueron expuestos en el numeral considerativo noveno de esta resolución. 11.1.4 Respecto de los documentos aportados como pruebas por la recurrente: mediante el correo electrónico con radicado 20-360266- -00015 del 30 de diciembre de 2022, allegó lo siguiente: Expediente digital, consecutivo 15, página 2 Expediente digital, consecutivo 15, página 2 “Por la cual se resuelve un recurso de reposición y se HOJA N, 6 concede el recurso de apelación”    Política de Protección de Datos Personales de Carbones Quintana Alvarado S.A.S., la cual puede ser consultada en el Registro Nacional de Bases de Datos.

Contratos de Trabajo en los cuales se evidencia la autorización del tratamiento de datos otorgado por los trabajadores. Comunicado oficial de Tratamiento de Datos. 11.1.5 Sobre la indicación del nombre y dirección del recurrente, y correo electrónico si desea ser notificado por este medio:  El apoderado especial en el escrito con radicado 20-360266- -00015 del 30 de diciembre de 2022, con el cual interpone recuso de reposición y en subsidio de apelación a la Resolución 86800 del 7 de diciembre de 2022, señala nombre, dirección y correo electrónico de la recurrente para notificaciones.

DÉCIMO SÉPTIMO: Que una vez revisados los argumentos presentados por la recurrente se encuentra que los mismos se concretan en dos (2) aspectos a saber: (i) Indebida notificación de las resoluciones que se han proferido a lo largo de la investigación por falta de notificación a la dirección física (ii) Implementación de política de seguridad de la información. 17.1 Indebida notificación de las resoluciones de la presente actuación administrativa El recurrente sintetiza la razón de su solicitud de revocatoria parcial de la Resolución 86800 del 7 de diciembre de 2022 en que: “TERCERO: Si bien mi representada guardó silencio en el trámite administrativo, lo anterior obedeció a que la Superintendencia de Industria y Comercio no notificó a mi representada en la dirección física habilitada de notificaciones, sino que fue notificada electrónicamente sin que mi representada hubiese dado autorización para ello.”12 De acuerdo con lo establecido en la Ley 1437 de 2011 la citación para la notificación personal de los actos administrativos se puede realizar a través del correo electrónico de notificación judicial: “ARTÍCULO 68.

Citaciones para notificación personal. Si no hay otro medio más eficaz de informar al interesado, se le enviará una citación a la dirección, al número de fax o al correo electrónico que figuren en el expediente o puedan obtenerse del registro mercantil, para que comparezca a la diligencia de notificación personal. El envío de la citación se hará dentro de los cinco (5) días siguientes a la expedición del acto, y de dicha diligencia se dejará constancia en el expediente.

Cuando se desconozca la información sobre el destinatario señalada en el inciso anterior, la citación se publicará en la página electrónica o en un lugar de acceso al público de la respectiva entidad por el término de cinco (5) días.” Al respecto, se deben hacer las siguientes precisiones: (i) (ii) El correo de notificación judicial de la sociedad es ADMINISTRATIVO@CARBOQUIA.COM La sociedad recurrente el 14 de noviembre de 2019 mediante radicado No. 19-267199— 0 solicitó ante esta Superintendencia el registro del correo electrónico administrativo@carboquia.com como el correo autorizado para recibir las notificaciones de los actos administrativos.

Expediente digital, consecutivo 15, página 2 “Por la cual se resuelve un recurso de reposición y se HOJA N, 7 concede el recurso de apelación” (iii) Tercero que la Resolución 61471 del 07 de noviembre de 2019, a través de la cual se impartieron unas órdenes, fue notificada mediante aviso y no electrónicamente, esto se puede evidenciar en las siguientes pruebas: (iv) Ahora bien, en la medida en que la sociedad no se presentó para notificarse personalmente ni realizó el proceso para notificarse electrónicamente, se procedió de acuerdo con lo establecido en la Ley, y la Resolución 61471 del 7 de noviembre de 2019 fue notificada el 20 de noviembre de 2019 mediante Aviso No. 26029 al correo electrónico de notificación judicial del recurrente: administrativo@carboquia.com que se encuentra en su certificado de existencia y representación legal, el cual también es el correo autorizado expresamente para la notificación de todos los actos administrativos que profiera esta Superintendencia. “Por la cual se resuelve un recurso de reposición y se HOJA N, 8 concede el recurso de apelación” (v) Como se puede evidenciar, contrario a lo que afirma la sociedad no se realizó notificación electrónica sino que se envió una comunicación al correo electrónico de notificación judicial con el fin de que la sociedad se presente ante las instalaciones de la SIC para surtir la notificación personal, o se notifique de forma electrónica y aclarándole que "Si no se surte la notificación personal, ésta se realizará por medio de aviso según lo dispuesto en el artículo 69 de la Ley 1437 de 2011, que se remitirá a su dirección de correspondencia o correo electrónico, con copia íntegra de la decisión".

(vi) En virtud de lo expuesto y de acuerdo con la autorización para recibir notificaciones judiciales esta Dirección procedió a proferir la Resolución No. 62175 de fecha 05/10/2020 a través de la cual se formularon cargos y se abrió la investigación en contra de la recurrente y notificarla de acuerdo a lo establecido por la Ley y autorizado por la recurrente.

(vii) Respecto a la Resolución No. 86800 de fecha 7/12/2020, se procedió a enviar al correo electrónico de notificación judicial la comunicación a través de la cual le informaban que se acercara a las instalaciones de la Superintendencia para surtir la notificación personal o de lo contrario, se procedería a realizar la notificación judicial de acuerdo a lo establecido en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo (CPACA).

(viii) Transcurrido el término legal establecido la sociedad no se presentó para surtir la notificación personal, razón por la cual se procedió a notificar el 20 de diciembre de 2022 mediante Aviso No. 34576, informando al correo electrónico de notificación judicial del recurrente: administrativo@carboquia.com lo siguiente: HOJA N, 9 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Por lo anterior, contrario a lo que afirma la sociedad recurrente todos los actos administrativos han sido notificados de acuerdo a lo establecido en la Ley, al correo electrónico de notificación judicial de la sociedad y de acuerdo a la autorización de notificación. 17.1.1 Implementación de una Política de Seguridad A continuación, este despacho se pronunciará sobre cada uno de los argumentos expuestos por el recurrente en el recurso de reposición en subsidio de apelación:  El recurrente al respecto manifiesta que ya cuenta con una política de seguridad de la información: “CUARTO: CARBONES QUINTANA ALVARADO S.A.S- ya cuenta con una política de seguridad que documenta, implementa y monitorea la información y que contiene medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales.”13 Con relación a este argumento se observa que la Política de Seguridad a la que se refiere la sociedad corresponde a la Política de Protección de Datos Personales, documento diferente y el cual no demuestra el cumplimiento de la orden impuesta en la Resolución 61471 del 7 de noviembre de 2019.  Informa que ha cumplido con el deber de inscribir sus bases de datos en el Registro Nacional de Bases de Datos: “SEXTO: Dentro del Registro Nacional de Base de Datos se constata que mi representada cuenta con tres bases de datos que tienen fines específicos: Expediente digital, consecutivo 15, página 2 “Por la cual se resuelve un recurso de reposición y se HOJA N,10 concede el recurso de apelación” Cada una de estas bases de datos tiene un responsable, un encargado del tratamiento de datos como se constata en el Registro Nacional.

Así mismo en dicho registro, están indicados de manera expresa todos los canales de contacto con los que cuenta la empresa para el uso, retiro o modificación de la información que reposa en dichas bases de datos. De igual manera, en el registro se puede comprobar que mi representada cuenta con una Política de Protección de Datos Personales desde el 30 de enero de 2017, la cual fue radicada en el Registro Nacional de Base de Datos y que se puede consultar en cada una de las bases de datos reportadas.”14 Referente al deber de registrarse en el Registro Nacional de Bases de Datos, se aclara que este corresponde al cumplimiento de otro deber que no fue objeto de estudio en esta investigación, por lo tanto, no acredita el cumplimiento de la orden impuesta en la Resolución 61471 del 7 de noviembre de 2019  Señala que la sociedad implementó en los contratos de trabajo y de proveedores una cláusula de autorización para el tratamiento de datos personales15: “NOVENO: Adicionalmente, CARBONES QUINTANA ALVARADO S.A.S. para dar cumplimiento a lo ordenado por SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO, en la Resolución No. 61471 del 7 de noviembre de 2019, implementó en los contratos de trabajo y en los contratos con proveedores una cláusula en la autorizan de manera clara, expresa y voluntaria el tratamiento de sus datos personales, así como se establecen las finalidades del manejo de los datos personales, de la siguiente forma: (…)” Respecto a la implementación de la cláusula de autorización para el tratamiento de datos personales incluida en los contratos de trabajo y de proveedores, se debe decir que si bien esta es una medida efectiva para cumplir, en parte, con uno de los deberes establecidos en la Ley, se le recuerda al recurrente que la orden iba encaminada a documentar unas políticas de seguridad, y que en consecuencia estas cláusulas en los contratos no acreditan el cumplimiento de lo ordenado de forma clara y especifica en Resolución 61471 de 2019.  Afirma que emitió un comunicado oficial en el que le informa a los titulares acerca del tratamiento de sus datos personales: “DÉCIMO: CARBONES QUINTANA ALVARADO S.A.S. emitió comunicado oficial en el que se le informó a los clientes, trabajadores, proveedores y accionistas así como a cualquier titular o sus causahabientes respecto al manejo y tratamiento dado a su información y su (sic) derechos como titulares de los datos manejados.” Expediente digital, consecutivo 15, página 2 Expediente digital, consecutivo 15, página 2 “Por la cual se resuelve un recurso de reposición y se HOJA N,11 concede el recurso de apelación” Este comunicado oficial dirigido a los titulares en el que se les informa la finalidad del tratamiento de sus datos personales hace parte del principio de responsabilidad demostrada y obedece al deber que tienen los Responsables de informar el uso predispuesto para el tratamiento de los datos personales, lo cual no se debe hacer después de la recolección de los datos sino siempre de manera previa al tratamiento.

Por otra parte, este comunicado no tiene que ver con el objeto de estudio, puesto que no acredita la implementación de una Políticas de Seguridad. Manifiesta la sociedad recurrente que ha cumplido con el deber de conservar la información bajo condiciones de seguridad 16:

DÉCIMO PRIMERO: Así mismo, CARBONES QUINTANA ALVARADO S.A.S. ha cumplido con los deberes establecidos en el artículo 17 de la Ley 1581 de 2012, de la siguiente manera: (…) Expediente digital, consecutivo 15, página 2 HOJA N,12 “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” En razón al cuadro en el que el recurrente informa el cumplimiento de los deberes de la Ley 1581 de 2012 y la forma en que ha cumplido con cada uno de ellos, se aclara que no serán revisados los demás deberes que no corresponden al objeto de la presente investigación y que solo se verificará lo que se ciñe al objeto de estudio que es el cumplimiento de la orden impuesta en la Resolución 61471 de 2019.

De igual manera, revisado el material probatorio aportado junto con el recurso reposición en subsidio de apelación se evidenció que pese a que la sociedad afirma que "ya cuenta con una política de seguridad que documenta, implementa y monitorea la información y que contiene medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos personales"17 para acreditar esto aporta las Políticas de Protección de Datos Personales.

Al respecto, es importante aclarar que las Políticas de Protección de Datos Personales son documentos diferentes a las Políticas de Seguridad, esto en la medida en que las Políticas de Protección de Datos Personales se encuentran en un documento que debe tener el contenido mínimo establecido en la Ley y deben ser puestas a disposición de los titulares, así mismo, cualquier cambio sustancial en las mismas debe ser informado a los titulares, es decir este es un documento elaborado por el Responsable para todos los titulares de la información cuyos datos son tratados por este.

De otro lado, se tiene que las Políticas de Seguridad es un documento interno de la empresa, cuyo contenido debe ser establecido por la sociedad o empresa que lo elabora, el cual debe ser puesto en conocimiento de sus trabajadores. Asi pues, al tener claras las diferencias entre los dos documentos, se encuentra que el material probatorio aportado por la sociedad no acredita el cumplimiento de las órdenes impartidas mediante la Resolución 61471 del 7 de noviembre 2019 en la medida en que se le ordenó que documente, implemente y monitoree una Política de Seguridad de la Información, en el que se incluyan todas las medidas de seguridad dispuestas por la sociedad recurrente para evitar posibles problemas que se puedan presentar a futuro con adulteraciones, perdidas, consultas, y accesos no autorizados de datos personales.

Ahora bien, las medidas de seguridad implementadas que se esbozan en el recurso por el recurrente no acreditan el cumplimiento de la orden impuesta, y en cambio demuestran que aún persiste el incumplimiento puesto que se ha hecho caso omiso de las instrucciones dadas tanto en la Resolución 61471 del 7 de noviembre 2019 como en la Resolución 86800 del 7 de diciembre de 2022 que impuso una sanción y reitero la orden de establecer un Política de Seguridad de la Información debidamente documentada.  De otro lado, señala que ha implementado las siguientes medidas de seguridad 18: “DÉCIMO SEGUNDO: La información recolectada por CARBONES QUINTANA ALVARADO S.A.S. se encuentra debidamente custodiada en el servidor de almacenamiento de datos Google Drive, que, hace parte de un correo electrónico empresarial, el cual cuenta con infraestructura de confianza para evitar cualquier intento de acceso o vulneración de los datos de información almacenados.

DÉCIMO TERCERO: Al servidor de almacenamiento utilizado por CARBONES QUINTANA ALVARADO S.A.S. Google Drive, únicamente tienen acceso las personas autorizadas para el manejo de la información, quienes deben acceder con una clave de acceso, que impide el acceso de la información a personal no autorizado.” Expediente digital, consecutivo 15 Expediente digital, consecutivo 15, página 2 “Por la cual se resuelve un recurso de reposición y se HOJA N,13 concede el recurso de apelación” Al respecto se aclara que la implementación de estas medidas corresponden a unas de las medidas de seguridad que puede implementar la sociedad para proteger los datos personales, sin embargo, pese a ser medidas de seguridad, a través de estas no se acredita el cumplimiento de la orden objeto de estudio, puesto que la sociedad debía acreditar haber documentado e implementado unas Políticas de Seguridad donde se encuentren esas y otras medidas que la sociedad considere pertinentes y adecuadas para impedir posibles problemas que se puedan presentar a futuro con adulteraciones, perdidas, consultas, y accesos no autorizados de datos personales.

En síntesis, frente a las medidas de seguridad implementadas por la sociedad CARBONES QUINTANA ALVARADO S.A.S., es necesario reiterar que lo ordenado en la Resolución 61471 del 7 de noviembre 2019 es que se documente, implemente y monitoree una Política de Seguridad de la Información, el cual es un documento diferente de la Política de Tratamiento de Datos Personales en el que se incluyan todas las medidas de seguridad dispuestas por la sociedad recurrente para evitar posibles problemas que se puedan presentar a futuro con adulteraciones, perdidas, consultas, y accesos no autorizados de datos personales, de manera que, las medidas de seguridad implementadas que se esbozan en el recurso por el recurrente no acreditan el cumplimiento de la orden impuesta, y en cambio demuestran que aún persiste el incumplimiento puesto que se ha hecho caso omiso de las instrucciones dadas tanto en la Resolución 61471 del 7 de noviembre 2019 como en la Resolución 86800 del 7 de diciembre de 2022 que impuso una sanción y reitero la orden de establecer un Política de Seguridad de la Información debidamente documentada.

Por otra parte, teniendo en cuenta que la Superintendencia de Industria y Comercio debe velar por el cumplimiento de la legislación en materia de protección de datos personales y con ello solicitar la información que sea necesaria a los Responsables y Encargados del tratamiento cuando se busque hacer efectivo el ejercicio de sus funciones, en este caso la sociedad CARBONES QUINTANA ALVARADO S.A.S. debió dar cumplimiento a la orden impuesta en la Resolución 61471 del 7 de noviembre 2019, para evitar el acceso no autorizado a los datos personales de los titulares que se encontraban en sus bases de datos, más aun teniendo en cuenta que al momento de realizar el procedimiento de inscripción en el RNBD se señaló que hace el tratamiento de datos personales sensibles. 17.1.2 Respecto de las pretensiones La recurrente indicó como pretensiones: “Respetuosamente solicito a la SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO, REVOCAR la Resolución No. 86800 de 2022 del siete (7) de diciembre de 2022 "por la cual se impone una sanción administrativa y se imparte una orden", y en su lugar, se ABSUELVA a CARBONES QUINTANA ALVARADO S.A.S. del presunto incumplimiento a los deberes que le asisten como responsable del tratamiento respecto del manejo de los datos personales de los titulares.” Al respecto, se confirma la conducta negligente de la recurrente por el incumplimiento del deber consagrado en: el literal o) del articulo 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 de la norma en mención, y que ni durante la investigación ni ahora en el recurso se aportó prueba alguna que acreditara el cumplimiento del mencionado deber dentro del término de seis (6) meses otorgados en la Resolución 61471 del 7 de noviembre 2019 así como tampoco aportó prueba alguna que acredite que a la fecha cumplió con lo ordenado en la mencionada resolución. Por lo cual, no es procedente la pretensión de revocar la sanción impuesta contra la recurrente.

Finalmente se concede el recurso de apelación ante el Superintendente Delegado para la Protección de Datos Personales con el fin de que surta el trámite de Apelación.

DÉCIMO OCTAVO: Conclusiones i. Se confirmó que el recurrente infringió abiertamente las normas sobre protección de datos personales consagradas en el literal o) del art 17 de la Ley 1581 de 2012 en concordancia con el literal f) del artículo 21 de la norma en mención. ii. CARBONES QUINTANA ALVARADO S.A.S autorizó el 14 de noviembre de 2019 con radicado19-267199 la notificación de los actos administrativos emitidos por la “Por la cual se resuelve un recurso de reposición y se HOJA N,14 concede el recurso de apelación” Superintendencia de Industria y Comercio al correo electrónico administrativo@carboquia.com, que fue al que se le notificó la Resolución 61471 del 7 de noviembre 2019 mediante la cual se le impartió una orden y las demás resoluciones que dieron origen a la presente investigación, por lo tanto, la recurrente no puede invocar una indebida notificación o falta de conocimiento de las actuaciones administrativas que se han llevado a cabo. iii.

Las medidas de seguridad implementadas por la sociedad que son mencionadas en las Políticas de Protección de Datos Personales no demuestran el cumplimiento de la orden impuesta por esta Superintendencia de implementar y documentar unas Políticas de Seguridad, las cuales deben estar en un documento diferente a las Políticas de Protección de Datos Personales. iv.

El hecho de que la sociedad haya realizado la inscripción de las bases de datos en el Registro Nacional de Bases de Datos no demuestra el cumplimiento de la orden de implementar y documentar unas Medidas de Seguridad. v. CARBONES QUINTANA ALVARADO S.A.S incumplió el deber de cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio, al no acreditar la implementación de una Política de Seguridad de la Información dentro del término ordenado y según las condiciones establecidas en la Resolución 61471 del 7 de noviembre 2019.

DÉCIMO NOVENO: Que analizadas todas las cuestiones planteadas con ocasión del Recurso y al tenor de lo dispuesto por el Código de Procedimiento Administrativo y de lo Contencioso Administrativo artículo 8019, este Despacho encuentra que no fueron desvirtuados los argumentos que fundamentaron la Resolución impugnada, en la medida en que la sociedad recurrente no demostró que dio cumplimiento a la orden impuesta en la Resolución 61471 del 7 de noviembre 2019.

Razón por la cual el acto administrativo recurrido será confirmado.

VIGÉSIMO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad CARBONES QUINTANA ALVARADO S.A.S identificada con NIT. 900.128.731-1, con el correo electrónico de notificación judicial administrativo@carboquia.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 20-360266. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto, este Despacho Código de Procedimiento Administrativo y de lo Contencioso Administrativo.

“Artículo 80. Decisión de los recursos. Vencido el período probatorio, si a ello hubiere lugar, y sin necesidad de acto que así lo declare, deberá proferirse la decisión motivada que resuelva el recurso. [ ] La decisión resolverá todas las peticiones que hayan sido oportunamente planteadas y las que surjan con motivo del recurso.” “Por la cual se resuelve un recurso de reposición y se HOJA N,15 concede el recurso de apelación”

RESUELVE

ARTÍCULO PRIMERO: CONFIRMAR en todas sus partes la Resolución 86800 del 7 de diciembre de 2022, por las razones expuestas en la parte motiva de este Acto Administrativo.

ARTÍCULO SEGUNDO: CONCEDER el Recurso de Apelación interpuesto subsidiariamente por la sociedad sancionada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.

ARTÍCULO TERCERO: NOTIFICAR a la sociedad CARBONES QUINTANA ALVARADO S.A.S., con Número de Identificación Tributaria 900.128.731-1, la presente Resolución a través de su Representante Legal o apoderado, entregándole copia de la misma.

ARTÍCULO CUARTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Avenida Carrera 7 # 31 A - 36 pisos 3 y 3a en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D. C., 27 FEBRERO 2023 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: DMPRB Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Investigada: Entidad: CARBONES QUINTANA ALVARADO S.A.S Identificación: Nit.: 900.128.731-1 Representante Legal: LINA ALEJANDRA QUINTANA ALVARADO Identificación: C.C. No. 1071608699 Dirección: VDA APOSENTOS FCA LOS REMANSOS Ciudad: Cucunubá, Cundinamarca Correo electrónico: administrativo@carboquia.com Apoderado: XXXXXXXXXXXXXXXXXXX Identificación: XXXXXXXXXX Tarjeta Profesional: XXXXXXXXXX Dirección: XXXXXXXXXXXXXXXXXXX Ciudad: XXXXXXX Correo electrónico: a.s@actuarasesoreslaborales.com

Resolución sancionatoria N° 61471 de 2023

CONSIDERANDO

RESUELVE