Resolución sancionatoria N° 73553 de 2021

(30 DICIEMBRE 2021) ““Por la cual se impone una sanción y se imparten órdenes” Radicación 17-328842 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012, por parte de la sociedad STARK GYM S.A.S, identificada con Nit. 900.965.267-5, por lo que decidió iniciar de oficio investigación administrativa en consideración a los siguientes hechos: 1.1 En la cadena radial “La FM” se presentó una denuncia pública sobre un incidente de seguridad relacionado con los datos personales de los usuarios de STARK GYM S.A.S, respecto a un presunto incidente de seguridad de los procedimientos implementados para llevar acabo el recaudo de los pagos de sus clientes a través del sistema de débito automático. 1.2 El 13 de septiembre del 2017, el Laboratorio de Informática Forense de la Superintendencia de Industria y Comercio inspeccionó y preservó las páginas web del sitio web www.starksmartgym.com.co, como consta en el acta de preservación de páginas web – pre investigación (acta-informe LIF N° 198-17)1, encontrando que la Política de Tratamiento de la Información que se ponía a disposición de los usuarios no contenía la siguiente información: • Domicilio, dirección y teléfono del Responsable del Tratamiento de los datos personales. • La finalidad del tratamiento de los datos personales de carácter sensible que se recolectan de los usuarios, específicamente sobre su estado de salud y su huella dactilar (dato biométrico). • Sobre el tratamiento de los datos personales de los menores de edad. • La fecha de entrada en vigencia de las Políticas de Tratamiento de la Información.

SEGUNDO: En ejercicio de las facultades conferidas en los artículos 19 y 21 literales a) y b) de la Ley 1581 del 2012, los días 14 y 15 de septiembre del 2017, la Dirección de Investigación de Protección de Datos Personales realizó una visita de inspección en las instalaciones de la sociedad STARK GYM S.A.S, mediante la cual se realizó la verificación y recopilación de toda la información necesaria con el propósito de comprobar el cumplimiento de los deberes y requisitos establecidos en la Ley 1581 de 2012.

Que, una vez analizados los documentos aportados por la sociedad inspeccionada y las pruebas recolectadas durante la visita de inspección realizada a la sociedad investigada se encontraron los siguientes hallazgos: 1 Folios 21 a 41 del expediente N° 17-328842. HOJA N, “Por la cual se impone una sanción y se imparten órdenes” 2.1 En relación con los datos personales de los usuarios: (i) Se evidenció que el proceso de afiliación de los usuarios es realizado en cada una de las sedes del gimnasio, para dicho registro la sociedad utilizaba un software denominado “XXXXX” licenciado con la sociedad SIBO AVANCE, mediante el cual recolecta los siguientes datos personales: Datos para registro de usuarios: • • • • • • Número de cédula Nombre Primer apellido Fecha de nacimiento Dirección de correo electrónico Dirección de residencia Aunque quienes atendieron la visita afirmaron que únicamente se recababan los datos personales mencionados, anteriormente, se evidenció que el sistema permitía el registro de los siguientes datos: • • • • • • • • • • • Plan que pretende adquirir Teléfono Profesión (grupo, subgrupo) Ingresos Barrio Género Institución educativa EPS Número de hijos Número de celular Empresa Una vez eran registrados los datos requeridos para la afiliación en el software “XXXXXXX” se enviaba un correo electrónico al usuario que tenía un enlace que dirigía al contrato de prestación de servicios celebrado y a la Política de Tratamiento de la Información. (ii) Datos biométricos: dentro del desarrollo de la visita de inspección se verificó que para el acceso de los afiliados a las sedes de los gimnasios, se recolectaba la huella dactilar y mediante un sistema de algoritmos se realizaba una comparación para validar la identidad de cada titular al momento del ingreso.

Datos sobre tarjetas y pago: el pago de los servicios prestados por la sociedad STARK GYM S.A.S, mediante la opción de débito automático, era procesado por la pasarela de pagos EN LÍNEA PAGOS ELP S.A.S. y para el efecto se recolectaba la siguiente información: • • • • Número de tarjeta Código de seguridad Número de cuotas Fecha de vencimiento Datos de menores de edad: la sociedad manifestó que no recolectaba datos personales de menores de 13 años, sin embargo, los demás menores de edad podían adquirir el servicio mientras el acudiente firmara el contrato (iii) Asimismo, dentro de la inspección se encontró un formato ubicado en la recepción del establecimiento de comercio, para realizar el préstamo de toallas, en el cual se solicitaban los siguientes datos personales a los usuarios del gimnasio: • Nombre HOJA N, “Por la cual se impone una sanción y se imparten órdenes” • • Firma Número de celular En dicho formulario no se observó la autorización para el tratamiento de los datos personales allí recolectados.

(iv) En la revisión realizada al contrato de prestación de servicios que STARK GYM S.A.S celebraba con sus usuarios, se encuentra la autorización para el tratamiento de datos personales. No obstante, pese a que la investigada recolecta datos personales sensibles y de menores de edad, no se evidenció que se informara a los Titulares el carácter facultativo de la respuesta a las preguntas que versen sobre esta clase de información y la finalidad del tratamiento.

(v) En la sede ubicada en la carrera 7 N° 43-53 de la ciudad de Bogotá no se observó un aviso de privacidad con el cumplimiento de los requisitos exigidos por el decreto 1074 de 2015, ni la publicación de las políticas de protección de datos de la compañía, mediante las cuales se les informe a los titulares la recolección de datos personales mediante el uso de un sistema de videovigilancia. 2.2 En relación con los datos personales de los trabajadores la sociedad investigada indicó que el proceso de recolección de la información de los aspirantes es realizado por correo electrónico, la cual es administrada por la Directora de Talento Humando de la Sociedad, o en los puntos de atención de cada una de las sedes del gimnasio.

De igual manera la sociedad STARK GYM S.A.S. indicó que contrata con una empresa de servicios temporales quien colabora con la selección y la clasificación de los posibles aspirantes de la compañía. Luego de la revisión de las hojas de vida solicitadas dentro de la visita de inspección, se evidenció que ninguna contiene la autorización para el tratamiento de datos personales suscrita por el trabajador. 2.3 Respecto a la seguridad de la información, se encontró lo siguiente: (i) En la visita de inspección se pudo evidenciar que la sociedad STARK GYM S.A.S., no tenía implementada una política de seguridad de la información. (ii) En la verificación al equipo de cómputo de la Directora de Talento Humano y Bienestar, en el que se encontraban almacenados los datos personales de los trabajadores, encontró lo siguiente: • Puede accederse a la información almacenada en el equipo a través de su usuario y sin contraseña. Es decir, el equipo no tenía control de acceso. • No tiene ninguna restricción para el uso de puertos USB y permite realizar capturas de imagen de la pantalla.

(iii) Acerca de los computadores instalados en la recepción, en los que se recolectaban y almacenaban datos personales de los usuarios de los servicios: • Los puertos USB estaban habilitados. • No se restringía la navegación en la Red, el acceso a correos electrónicos y a sitios web. • Las sesiones activas no se suspendieron después de 5 minutos de inactividad.

(iv) De la revisión de los contratos de la Directora de Talento Humano y Bienestar, no se evidenció cláusula de confidencialidad de la información. (v) Dentro de la diligencia de inspección realizad a la sede ubicada en la carrera 7 N° 43-53 de la ciudad de Bogotá, se evidenció que el establecimiento cuenta con un total de 13 HOJA N, “Por la cual se impone una sanción y se imparten órdenes” cámaras de seguridad, las cuales son contraladas y monitoreadas por medio de la aplicación denominada “¡VMS-4500” por la administradora de la sede, por medio de un aplicativo instalado en su teléfono celular de uso personal.

Luego de la verificación realizada al teléfono celular de la administradora de la sede, se pudo evidenciar que bajo dicha aplicación se controlan todas las cámaras de la sede, (i) se pueden realizar impresiones de pantalla, y (ii) almacenar videos e imágenes en el mismo aplicativo, sin que cuente con cualquier tipo de restricción. (vi) En relación con el incidente de seguridad que dio lugar al fraude que se cometió con las tarjetas de crédito, durante la inspección, la sociedad investigada manifestó que tuvo conocimiento de su ocurrencia el día 25 de agosto del 2017, cuando la sociedad EN LÍNEA PAGOS ELP S.AS. le informó que el código de recaudo había sido bloqueado porque habían sido clonadas varias tarjetas de sus clientes.

Asimismo, quienes atendieron la visita informaron que INCOCRÉDITO estaba adelantando una investigación relacionada con este incidente y que IQ INFORMATION QUALITY los estaba asesorando en la implementación de medidas para reparar las vulnerabilidades en la seguridad por ellos encontradas.

TERCERO: Mediante oficio radicado bajo el N° 17-328842-2-0 del 25 de septiembre del 2017, esta Dirección de Investigación de Protección de Datos Personales hizo un requerimiento información a INCOCRÉDITO, en el que le solicitó: “Al respecto, los requerimos comedidamente para se sirvan remitir a esta Dirección de Investigación de Protección de Datos Personales, copia de la documentación resultante de la investigación administrativa y del análisis de vulnerabilidades efectuado por INCOCRÉDITO con ocasión al incidente previamente relacionado, en aras de que obre como prueba dentro de la presente investigación”.

CUARTO: En respuesta al requerimiento de información realizado por esta Dirección, INCOCRÉDITO, mediante comunicado radicado bajo el N° 17-328842-00005-0000 del 07 de junio del 2018, aportó copia de los informes de investigación, de los que es importante resaltar lo siguiente: 4.1 El 23 de agosto del 2017, INCOCRÉDITO alerta al sector relevante de un posible compromiso en 12 establecimientos de comercio, debido a que se hicieron varios reportes de fraudes que afectan tarjetas que se utilizaron en estos lugares. 4.2 INCOCRÉDITO llevó a cabo la investigación en contra de la sociedad STARK GYM S.A.S, por una posible fuga en la información de las tarjetas de crédito y débito de sus usuarios. 4.3 De acuerdo con el informe de investigación del punto de compromiso, con fecha 7 de septiembre del 2017, se hicieron los siguientes hallazgos dentro de esta investigación: “Se da inicio a la investigación con 8 tarjetas de crédito reportadas por ITAÚ, las cuales presentaron marcación de fraude en comercio del exterior entre el 21 y el 22 de agosto de 2017, luego de cursar por STARK GYM.

Se recibe por parte de Bancolombia 27 tarjetas que presentaron las mismas características y luego del correo emitido por parte del CFI se recibieron 146 tarjetas más. Se recogió un total de 181 tarjetas, de las cuales 14 fueron descartas por presentar fraudes antes de haber cursado por el comercio investigado. Se realizó un análisis a 167 tarjetas, con el fin de encontrar conexidad en las fechas, montos, lugares y otros elementos, en donde se encontró lo siguiente.

La materialización del fraude se dio desde el 9 de julio hasta el 24 de agosto de 2017, con un incremento que paso de una transacción diaria a 90, los días 21 y 22 de agosto”. (Negrilla fuera del original). HOJA N, “Por la cual se impone una sanción y se imparten órdenes” 4.6 Posteriormente, de conformidad con el informe final de investigación efectuada por punto de compromiso en el establecimiento EN LÍNEA PAGOS, con fecha 03 de octubre del 2017, se determinó que la vulnerabilidad de la información y, por ende, el punto de compromiso se presentó en esta pasarela de pagos, pues los 12 establecimientos en los que se hicieron las transacciones con las tarjetas que después se vieron afectadas por el fraude tenían en común que el procesador de los pagos era EN LÍNEA PAGOS ELP S.A.S. Sin embargo, aclararon que no se estableció la forma en la que se llevó a cabo la intrusión y esta empresa haría una auditoría para determinar cómo se había producido la fuga de la información. 4.7 Según el informe con fecha 03 de octubre del 2017, de los 12 establecimientos el más afectado fue STARK GYM. 4.8 Tanto STARK GYM S.A.S, como EN LÍNEA PAGOS ELP S.A.S, presentaron vulnerabilidades en la seguridad de la información, que estaban siendo voluntariamente reparadas, y esta última sociedad no contaba con certificación PCI.

QUINTO: Esta Superintendencia también hizo una visita de inspección a EN LÍNEA PAGOS S.A. ELP encontrando que tenían fallas de seguridad, como consta en el acta de la diligencia, radicada bajo el N° 17-328842-00004-0000 del 22 de febrero del 2018. De la información contenida en el acta se resalta: 5.1 La sociedad EN LÍNEA PAGOS ELP S.A.S actúa como intermediario que se encarga de transferir los datos remitidos por STARK GYM S.A.S a CREDIBANCO, entidad que envía la información a las entidades financieras, y estas últimas, a su vez, dan la respuesta sobre el débito automático (aprobado/rechazado) a CREDIBANCO, quien la comunica a ELP. 5.2 EN LÍNEA PAGOS S.A. ELP, una vez aprobada la operación, envía un comprobante de pagos al comercio, al cliente y a un correo electrónico de Outllook del Gerente General, con el número de autorización, el nombre y los datos de la factura. 5.3 El registro de las transacciones no solo es visible en el correo electrónico, sino también en la plataforma que opera el intermediario. 5.4 Al acceder a la plataforma se muestran los siguientes datos relacionados con la transacción: monto, nombre del tarjetahabiente, últimos dígitos del número de identificación, correo electrónico enmascarado, valor pagado, fecha y hora de la transacción, entidad financiera, tipo de tarjeta, franquicia, nivel de tarjeta, banco emisor de la tarjeta, país, lugar en que se realizó la transacción y dirección IP. 5.5 EN LÍNEA PAGOS ELP almacenaba en la nube información sobre la transacción, como el nombre del tarjetahabientes, PAN o número completo de la tarjeta, días de expiración, CVV2 y dígitos de seguridad. 5.6 Para la fecha en que se realizó la visita, EN LÍNEA PAGOS ELP S.A.S se había percatado de que otros gimnasios que utilizaban el software GYMSOFT y que eran usuarios de sus servicios habían presentado el mismo problema de fraude mediante tarjeta. 5.7 La sociedad EN LÍNEA PAGOS S.A. ELP no contaba con una Política de Seguridad de la Información, políticas de back up o procedimientos de supresión de la información debidamente documentados. 5.8 ELP sostiene que “STARK solicitó que ELP se integrara con GYMSOFT (este último debía ser el que tenía que integrarse con ELP), en vista de lo anterior se solicitó que esperara la certificación por parte de ELP, sin embargo, ellos integraron y salieron directamente a la producción. HOJA N, “Por la cual se impone una sanción y se imparten órdenes” En este orden, en la relación directa existente entre STARK y ELP ahora estaba GYMSOFT, a quien STARK enviaba información y este a su vez la remitía a ELP.

Fue a partir de la integración que se empezaron a presentar los incidentes de seguridad”2. 5.9 “Como medidas correctivas ELP dejó de operar con GYMSOFT en todos los comercios a partir del momento en que se entregaron los análisis de vulnerabilidad. Del mismo modo se incrementaron las medidas de seguridad de las que se encuentran revestidos los servidores.

Se inició el proceso de certificación PCI con IQ para pasar de nivel 2 a nivel 1 de seguridad y ya contaban con una certificación expedida por Trustwave. Otra medida implementada fue dejar de utilizar los computadores de STARK para evitar que a través de dicha indumentaria se continuara recolectando la información de las tarjetas para generar en débito automático”3 5.10 Los servidores Tokenización 1 y 2 almacenan información de las tarjetas inscritas en el sistema contienen información cifrada y los campos de la tabla son ID, número de tarjeta, fecha de expiración y código de seguridad.

La plataforma Tokinización 1 “contiene 22.487 registros contenidos en la tabla principal y la plataforma Tokinización 2 hasta ahora esta iniciando la inclusión de registros”4 5.11 Se encontró un servidor público con una tabla aplicada como un control con función de “filtro negro”, en esta se consignan datos sobre nombre, dirección, teléfono, ciudad, celular y cédula de ciudadanía, y de datos información catalogada por ELP como sensibles tal como números de tarjetas y código de seguridad.

Esta información está cifrada. 5.12 EN LÍNEA PAGOS ELP S.A. realizó un análisis de vulnerabilidades con Information Quality IQ, adoptó medidas correctivas – entre estas dejar de operar con GYMSOFT e incrementar las medidas de seguridad de sus servidores – e inicio un proceso de certificación PCI para pasar de nivel 2 a nivel 1 de seguridad.

SEXTO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales, se inició la presente investigación administrativa mediante la expedición de la Resolución N° 73553 del 13 de diciembre del 2019, por medio de la cual se formularon cargos a la sociedad STARK GYM S.A.S, identificada con Nit. 900.965.267-5, por la presunta infracción de las normas consagrada en: • El literal b) del artículo 17 de la Ley 1581 del 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 ejúsdem, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 del 2015. • El literal c) del artículo 17 de la Ley 1581 del 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la norma en mención. • El literal d) del artículo 17 de la Ley 1581 del 2012, en concordancia con lo literales g) y h) del artículo 4 de la misma Ley. • En literal k) del artículo 17 de la Ley 1581 del 2012, en concordancia con el inciso 3 del artículo 25 de citada norma, junto con los artículos 2.2.2.25.3.1, 2.2.2.25.3.2 y 2.2.2.25.3.3 del Decreto Único Reglamentario 1074 del 2015. • El literal n) del artículo 17 de la Ley 1581 del 2012.

La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer 2 Acta de diligencia de visita de inspección realizada a la sociedad EN LÍNEA PAGOS ELP S.A.S, radicada bajo el N° 17-328842-00004-0000 del 22 de febrero del 2018, páginas 5 y 6. 3 Ídem, página 8. 4 Ídem, página 9.

HOJA N, “Por la cual se impone una sanción y se imparten órdenes” dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

SÉPTIMO: Que, mediante escrito radicado el día 15 de enero del 2020, el apoderado de la sociedad STARK GYM S.A.S, dio respuesta a la formulación de cargos informando lo siguiente: 7.1 En relación con los cargos primero al cuarto: 7.1.1 Aceptó los cargos primero al cuarto formulados mediante la Resolución N° 73553 del 13 de diciembre del 2019.

Literalmente el abogado afirmó: “Lo primero que debemos decir frente a estos cargos es que, por medio del presente escrito, mi Representada hace reconocimiento expreso de la comisión de las infracciones que allí se imputan. Así, ya partiendo de un escenario en el que se ha aceptado la comisión de la infracción, plantearemos inicialmente las razones por las cuales estimamos en este caso es posible para el Despacho incluso prescindir de cualquier sanción administrativa en contra de mi Representada y, de manera subsidiaria haremos el análisis atinente a los criterios de dosimetría sancionatoria que, consideramos debería aplicarse en el evento en que el Despacho considere pertinente imponer alguna sanción a mi Representada” 5.

(Negrilla fuera del original). 7.1.2 El abogado manifestó que, aunque la conducta de la investigada puede considerarse objetivamente infractora, en el caso sub-examine no es necesario que la administración imponga una sanción a la investigada. Textualmente, el apoderado afirma: “El artículo 29 de la Constitución Nacional indica, en primer lugar, que “El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas …”.

De otro lado, y tal como lo ha planteado la Honorable Corte Constitucional, entre otras en la Sentencia C-690 de 1996: “los principios del derecho penal -como forma paradigmática de control de la potestad punitiva- se aplican, con ciertos matices, a todas las formas de actividad sancionatoria del Estado.” En virtud de lo anterior, en el ejercicio del poder punitivo de la administración, en tanto le resultan aplicables los principio del derecho penal y debe realizarse con sujeción al debido proceso así como en procura de la tutela material de los bienes jurídicos objeto de protección, el funcionario debe, no solo valorar la conducta desde sus límites materiales (tipicidad, antijuricidad, culpabilidad), sino que evidentemente también está obligado a evaluar la necesidad de imposición de una sanción, al ser este un criterio incorporado, no solo como principio general del derecho punitivo, sino como elemento del debido proceso en materia sancionatoria.

No puede entonces perderse de vista que el ejercicio de la función administrativa en materia sancionatoria debe estar orientado en todo momento a la tutela real y material de los intereses que eventualmente puedan verse lesionados con una infracción y que, en dicho contexto, puede presentarse conductas que, incluso pudiéndose considerar objetivamente como infractoras, no hacen necesaria la imposición de una sanción por parte de la Administración, bien sea porque no se ha presentado una afectación material del bien jurídico tutelado o porque la propia conducta del investigado determina que, en su caso particular y de cara a la tutela real del interés vulnerado, resulta mucho más efectivo ejercer alternativamente las facultades de inspección, vigilancia y control, y no simplemente aplicar el poder sancionatorio de la administración. Así, la sanción administrativa no debería ser la primera o única reacción a la infracción, sino un mecanismo que, entendiendo la aplicación analógica de los principio del derecho penal al derecho administrativo sancionatorio, funcione como ultima ratio permitiendo priorizar correctivos que pueden ser empleados como prima ratio, para efectos de focalizar su aplicación en la conducta antijurídica que se persigue – que es la que finalmente genera la afectación real del interés jurídico tutelado-, en lugar de enfocarse en el sujeto infractor como tal, al afectar su patrimonio con sanciones económicas”6 5 Escrito de descargos radicado bajo el N° 17-328842-00012-0001 del 15 de enero del 2020, página 2. 6 Ídem, página 3.

HOJA N, “Por la cual se impone una sanción y se imparten órdenes” Las razones en las que el apoderado fundamenta la no imposición de la sanción son las siguientes: (i) “Para la época en que se produjeron los hallazgos por parte de la SIC, STARK GYM ya contaba con varios mecanismos, herramientas y procesos orientados a la protección de datos personales de sus clientes, y, en consecuencia, aunque los cuestionamientos planteados por la Entidad en el acto de formulación de cargos tiene un asidero fáctico objetivo, no era que (…) no hubiera adoptado absolutamente ninguna medida para proteger los datos de sus clientes y que, en cuanto al acatamiento de los lineamientos de la Ley 1581 del 2012, el índice de cumplimiento fuera nulo”7.

El apoderado sostiene que, para ese momento, la sociedad investigada tenía una Política de Tratamiento de la Información que había sido puesta a disposición de los Titulares de los datos personales en su sitio web y que se les remitía a sus usuarios al correo electrónico. Además, el abogado señala que STARK GYM S.A.S está en un constante proceso de mejora de las políticas, procedimientos y mecanismos dirigidos a la protección de datos personales.

(ii) El sitio web operado por STARK GYM S.A.S había sido evaluado como libre de amenazas y contaba con una certificación SSL/TLS, como se verifica en el informe LIF. (iii) La sociedad STARK GYM S.A.S “(…) fue diligente de cara al cumplimiento de sus deberes y mediante comunicaciones del 12 y 15 de septiembre del 2017, radicadas en los expedientes 17328039 y 17-331808, respectivamente, puso en conocimiento de la Superintendencia de Industria y Comercio el incidente ocurrido con la pasarela de pagos “EN LÍNEA PAGOS””8.

(iv) La investigada había implementado medidas voluntarias para garantizar la seguridad de la información. “Las medidas en cuestión fueron sugeridas por los expertos en seguridad informática de IQ INFORMATION QUALITY y, tal como se desprende de la documentación que obra en el expediente fueron avaladas por INCOCREDITO (…)”9 (v) En el momento del incidente, la empresa llevaba pocos meses de operación en el mercado y sus procedimientos y herramientas estaban en proceso de mejora.

(vi) Desde el acaecimiento del incidente de seguridad hasta la fecha en que se presentaron los descargos, únicamente se habían presentado 8 quejas relacionadas con los pagos de los usuarios, que fueron resueltas, y no habían tenido lugar otros incidentes. (vii) El punto de compromiso en el que se produjo el incidente de la seguridad de la información estuvo en la pasarela de pagos administrada por EN LÍNEA PAGOS ELP S.A.S, no en los sistemas o instalaciones de STARK GYM S.A.S. (viii) En cumplimiento del literal d) del artículo 17 de la Ley 1581 del 2012, STARK GYM S.A.S reemplazó la pasarela de pagos de EN LÍNEA PAGOS por la plataforma PAYU, que cuenta con certificación PCI DSS.

El apoderado realiza la siguiente petición principal: “Por lo tanto, solicitamos respetuosamente exonerar a mi representada de cualquier sanción que pueda derivarse de las infracciones relacionadas en los cargos PRIMERO al CUARTO de la Resolución 73553 de 2019, toda vez que en este caso la imposición de una sanción resulta innecesaria, atendiendo a las particularidades de la conducta de mi Poderdante y al hecho de que, justamente a partir de dicha conducta, la afectación material del interés jurídico tutelado 7 Ídem, página 4. 8 Ídem.

Página 5. 9 Ídem. HOJA N, “Por la cual se impone una sanción y se imparten órdenes” en la ley aplicable es inexistente ya que se han adoptado voluntariamente medidas tendientes a la supresión del riesgo”10. 7.3 En relación con el quinto cargo, el apoderado de la investigada no aceptó la comisión de la infracción y sostuvo que la sociedad STARK GYM S.A.S cumplió con el deber contemplado en el literal n) del artículo 17 de la Ley 1581 del 2012, ya que, mediante comunicados radicados los días 12 y 15 de septiembre del 2017, obrantes en los expedientes 17-328039 y 17-331808, informó a la Superintendencia de Industria y Comercio sobre el acaecimiento del incidente de seguridad. 7.4 Además, agregó: “(…) objetivamente (…) mi Representada informó a la Entidad acerca de posibles violaciones a los códigos de seguridad y eventuales riesgos en la administración de la información de algunos de sus clientes y, de hecho, recibió una respuesta por parte de la Administración, en los términos previamente indicados, con lo cual acató el deber que le asiste de conformidad con la norma cuya infracción se le imputa.

Ahora bien, se observa que en el presente caso el reporte fue realizado ante la Delegatura de Protección al Consumidor y no ante la Delegatura de Protección de Datos Personales. Así, aun cuando lo anterior puede ser considerado un error de tipo formal, lo cierto es que la valoración subjetiva de la conducta de mi Representada, contrastada con la actuación de la Entidad y puestas ambas conductas a la luz de los principios que rigen las actuaciones administrativas, es preciso concluir que en este caso sí se cumplió con el deber en cuestión, más allá del aspecto formal antes enunciado.

En efecto, si en este caso se analiza lo ocurrido a la luz del principio de confianza legítima y los principios de buena fe, eficacia y economía, que deben estar incorporados en todas las interacciones entre los ciudadanos y la administración, se concluye fácilmente que mi Poderdante en efecto cumplió con el deber que le correspondía. Veamos11: 7.5 En relación con el principio de buena fe y confianza legítima: “En tal sentido, es claro que en este caso la conducta de mi Representada, más allá del error formal antes referido, debe ser considerada como ajustada al principio de buena fe, y mal haría el Despacho en presumir una conducta inapropiada o alejada de tal principio, por el solo hecho de haberse presentado lo que podría entenderse como un mero error formal.

Por su parte, obsérvese que en este caso, la conducta de la Entidad tuvo como efecto que mi Representada tuviera la legítima convicción de haber cumplido con su deber de reportar el incidente de seguridad; de hecho, en la respuesta remitida por la Entidad, frente a los reportes enviados por mi Mandante, no se realizó ninguna advertencia sobre la necesidad de redirigir el reporte a otra Delegatura y tampoco se remitió la actuación a la Delegatura de Protección de Datos, como sería lógico tratándose de dependencias de una misma Entidad, por el contrario, se procedió a remitir la actuación a la Fiscalía General de la Nación, como consta en el expediente No. 17-331808.

Así las cosas, más allá de los que podría considerarse un error formal de mi Representada, resulta preciso indicar que la conducta de la Entidad – en este caso por medio de la Delegatura de Protección al Consumidor – al no haber remitido informado a mi mandante sobre la necesidad de presentar el reporte ante otra Delegatura e incluso al no haber remitido el reporte realizado por mi mandante a la Delegatura de Protección de Datos, constituye una actuación omisiva que, al ser analizada a la luz del principio de buena fe, en su aspecto relacionado con el hecho de que la administración debe evitar “dilaciones injustificadas, el abuso del poder y el exceso de requisitos formales”, permite concluir que la conclusión más ajustada a derecho en este caso es la de mi Poderdante cumplió con el deber que le correspondía y que, sería excesivo sancionarlo por el cargo analizado.

Esto pues, más allá de la valoración fáctica objetiva, lo cierto es que mi Poderdante ha demostrado diligencia de cara al cumplimiento de sus deberes e incluso la conducta de la Entidad generó en ella la legítima convicción de haber procedido en tal sentido”12 7.6 Sobre los principios de eficiencia y economía: “Así las cosas, salta a la vista que, en el presente caso, la imposición de una sanción por concepto del cargo analizado, sería desproporcionada e iría abiertamente en contra de los principios y 10 Ídem. 11 Ídem, página 10. 12 Ídem, páginas 11 – 12.

HOJA N 10, “Por la cual se impone una sanción y se imparten órdenes” postulados planteados, pues es claro que el hecho de haber radicado el reporte del incidente ante una dependencia diferente, aun cuando podría ser considerado un error, evidentemente sería un error formal que debió ser removido de oficio por parte de la Administración, remitiendo el reporte a la Delegatura de Protección de Datos o incluso advirtiendo a mi Representada sobre la necesidad de remitirlo a tal dependencia, cosa que no ocurrió en este caso”13. 7.7 El apoderado sostiene que el artículo 24 de la Ley 1581 del 2012 contempla criterios de graduación de la sanción que deben analizarse siempre, tomando en consideración los hechos del caso concreto, pues las normas, la doctrina y la jurisprudencia no distinguen entre criterios de agravación y atenuación punitiva.

El abogado añade que, en la sentencia C1011/08, la Corte Constitucional especificó que la causal establecida en el literal f) es un criterio de atenuación, pero de ello no se colige que haya considerado que los demás criterios son causales de agravación y/o atenuantes. En consecuencia, considera que en el caso subexamine deben aplicarse así: 7.8 Dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley: (i) “(…) la afectación de cliente en el caso de mi poderdante, específicamente en relación con los citados incidentes, no superó el 3% de su base de usuarios, por lo que la cantidad de incidentes presentados, contrasta con la magnitud y extensión de la demanda que era atendida por mi poderdante en el momento del incidente, no permite concluir que la compañía investigada hubiera afectado de manera sustancial el derecho de sus clientes, ya que el 97% de ellos no presentaron ni han presentado ninguna novedad como la descrita”;

(ii) “Ahora bien, entendiendo que las demás conductas infractoras endilgadas a mi Poderdante en los cargos PRIMERO al CUARTO, tienen que ver con el manejo de la información o datos personales de la totalidad de sus clientes, a continuación realizaremos un análisis con base en el cual se puede concluir con facilidad que la conducta de mi Representada, tanto en el momento de ocurrencia de los hechos que dieron lugar a la presente investigación, como después de que se superaron los incidentes y, de hecho, con ocasión del Actos de formulación de cargos que acá nos ocupa, permite concluir que la dimensión del daño o peligro a los intereses jurídicos tutelados, ha sido menor y, en todo caso, se han tomado y se están adoptando las medidas necesarias para eliminar por completo cualquier vestigio de daño o peligro”14.

(iii) Acerca de la aplicación de este criterio de graduación en relación con el cargo primero: (a) Para septiembre del 2017, la investigada obtenía autorización para el tratamiento de los datos personales. (b) En los contratos que se suscribían con los usuarios se incluía una cláusula de autorización para el tratamiento de los datos personales, como constataron los funcionarios de la (c) Todos los registros de clientes nuevos o renovados se realizarán por medio del módulo de venta en línea, de esta forma se garantiza que la autorización se recolecte a más tardar en el momento de recolectar los datos personales, en cumplimiento del artículo 2.2.2.25.2.2 del Decreto 1074 del 2015.

(d) Se realizará una nueva auditoría con la finalidad de “(…) mejorar todas las políticas y procedimientos asociados al manejo de estos temas, en función de los cuestionamientos planteados por el Despacho en el Acto de formulación de cargos. (…)”15. (iv) Sobre la aplicación de esta causal en relación con el cargo segundo: (a) “Como se desprende de los documentos que aportamos con este escrito, mi Representada ha implementado mejoras en los contratos de afiliación que suscriben sus clientes, en 13 Ídem, página 14. 14 Ídem, página 18. 15 Ídem, página 19.

HOJA N 11, “Por la cual se impone una sanción y se imparten órdenes” cuento al informe de la finalidad con que se recolectan los datos personales de los clientes”16. (b) “Adicionalmente, reiteramos que mi Representada actualmente se dispone a realizar una nueva auditoría en estos aspectos, para efectos de mejorar todas las políticas y procedimientos asociados al manejo de estos temas y en este caso en particular en lo que tiene que ver con el manejo de la información sensible, en ellos términos de lo que señala su Despacho en el Acto de formulación de cargos.

(…)”17 (v) Sobre la aplicación de esta causal de graduación de la sanción en relación con el cargo tercero: (a) “Mi Representada fue diligente de cara al cumplimiento de sus deberes y mediante comunicaciones del 12 y 15 de septiembre de 2017, radicadas en los expedientes 17328039 y 17-331808, respectivamente, puso en conocimiento de la Superintendencia de Industria y Comercio el incidente ocurrido con la pasarela de pagos “EN LINEA PAGOS” 18.

(b) “Con ocasión de la visita efectuada en septiembre del año 2017, y en virtud del mentado incidente, mi Representada adoptó toda una serie de medidas de seguridad físicas y en materia de software, que se encuentran documentadas en el expediente, para efectos de robustecer todos los mecanismos de protección de la información (…)” 19 (c) “Las medidas en cuestión fueron sugeridas por los expertos en seguridad informática de IQ INFORMATION QUALITY y, tal como se desprende de la documentación que obra en el expediente, fueron avaladas por INCOCREDITO, quien aportó, a solicitud de ese Despacho, informes emitidos entre los meses de octubre y noviembre de 2017, en los cuales se da cuenta de la implementación de tales medidas y la conformidad de los sistemas de seguridad de mi Poderdantes con los estándares de seguridad definidos por INCOCREDITO (Ver informe de INCOCREDITO del 3 de octubre de 2017), al punto que mi Representada logró rápidamente que esta entidad desbloqueara el código de operación que había sido restringido con ocasión del incidente.”20 (d) “No puede perderse de vista que, en este caso, tal como lo confirmó INCOCREDITO en sus informes del 3 de octubre y 10 de noviembre de 2017 – que reposan en el expediente – el “punto de compromiso ocurrió en el establecimiento de pasarela EN LINEA PAGOS WEB, como plataforma tecnológica.”21 “Así, sin que mi Representada pretenda desconocer el hecho objetivo de que le son atribuibles los deberes contenidos en el artículo 17 de la Ley 1581 del 2012 en materia de seguridad de la información, lo cierto es que el incidente ocurrido con la información financiera de algunos clientes no tuvo lugar en sus bases de datos y servidores, pues estos, de hecho, fueron catalogados como seguros por parte de LIF y se han robustecido aun más en materia de seguridad, como se expuso previamente (y como se demostrará con ocasión del presente proceso”22.

(e) “Según el reporte del 10 de noviembre de 2017 de INCOCREDITO, otros comercios que usaban la pasarela EN LINEA PAGOS presentaron vulnerabilidades como la reportada en el caso de mi Representada, en el periodo comprendido entre el 1 de enero al 31 de agosto de 2017, con un total de 1438 tarjetas afectadas en diferentes comercios. Por lo tanto, mi 16 Ídem. 17 Ídem. 18 Ídem., página 20. 19 Ídem. 20 Ídem. 21 Ídem. 22 Ídem.

HOJA N 12, “Por la cual se impone una sanción y se imparten órdenes” representada procedió inmediatamente a sustituir dicha pasarela de pagos y, desde hace ya casi dos (2) años, utiliza la plataforma denominada PayU”23. (f) “PayU Latam, cuenta con la certificación Internacional PCE DSS, el más alto nivel de certificación a nivel mundial en seguridad transaccional con tarjetas de crédito y no se han presentado incidentes asociados a la seguridad de la información.”24 (g) “En tal sentido, no se trata de que mi Representada haya puesto en funcionamiento un sistema de recolección de información sin certificación de la pasarela de pagos, como lo indica el Despacho en la formulación del cargo, lo cierto es que, sin desconocer que la integridad y seguridad de la información también es responsabilidad de mi Poderdante, en el momento en que ésta se advirtió que la pasarela de pagos, encargada del tratamiento, no garantizaba la conservación de la información bajo las condiciones de seguridad necesarias, procedió a su inmediato reemplazo por una pasarela de pagos con estándares de seguridad superiores, con miras a atender los deberes que les corresponde en los términos de los literales d) (…) del artículo 17 de la Ley 1581 de 2012”25 (h) “Tampoco puede pasar inadvertido el hecho de que el informe entregado a esa Dirección por parte del LIF, calificó el sitio web de mi Representada como “libre de amenazas”, después de haber hecho una revisión con 65 aplicativos analizadores diferentes, encontrando que el sistema contaba con las medidas de protección necesarias para garantizar la integridad de la información. Incluso, en el citado informe se explica que la página cuenta con un certificado SSL/TSL “permitiendo que el sitio no sea fácilmente vulnerable para ataques””26.

(i) “Finalmente, obsérvese que mi Representada contaba en su momento con una POLÍTICA DE PRIVACIDAD Y PROTECCIÓN DE DATOS, la cual ha sido actualizada y se encuentra disponibles en https://www.starksmartgym.com.co/sites/default/files/politica_de_privacidad_stark.pdf. Dicha Política está siendo en todo caso actualizada y ajustada para efectos de atender los cuestionamientos realizados por el Despacho en el acto de formulación de cargos y de los resultados de este proceso se pondrá en conocimiento al Despacho oportunamente”27.

(vi) Acerca de la aplicación de esta causal de graduación de la sanción en relación con el cuarto cargo: (a) “Mi representada contaba en su momento con una Política de Privacidad y Protección de Datos, la cual ha sido actualizada y se encuentra disponible en https://www.starksmartgym.com.co/sites/default/files/politica_de_privacidad_stark.pdf.”28 (b) La PTI contiene una cláusula referente al tratamiento de datos personales mediante cámaras de video vigilancia. (c) “En todo caso, dicha Política está siendo actualizada y ajustada para efectos de atender los cuestionamientos realizados por el Despacho en el acto de formulación de cargos y de los resultados de este proceso se pondrá en conocimiento al Despacho oportunamente”29.

(vii) Sobre la aplicación de esta causal de graduación de la sanción en relación con el cargo quinto: “Frente a la conducta infractora imputada en el cargo QUINTO, téngase en cuenta que, en el evento improbable en que el Despacho estime procedente imponer una sanción, habrá 23 Ídem, página 21. 24 Ídem. 25 Ídem. 26 Ídem. 27 Ídem. 28 Ídem., página 23. 29 Ídem., página 24.

HOJA N 13, “Por la cual se impone una sanción y se imparten órdenes” de observarse que, al tratarse de una obligación regulatoria propia del desarrollo de la actividad comercial, pero que no tiene relación o impacto directo en los intereses o derechos de los consumidores, en el evento en que se concluya que se produjo la infracción, necesariamente tendría que concluirse que su impacto en el mercado o la dimensión del daño o peligro creados, es prácticamente nulo.

Así las cosas, debe concluirse que en este caso la dimensión del daño o peligro a los intereses jurídicos tutelados es menor, entendiendo que, en los que tiene que ver con el incidente informático que se presentó en la pasarela de pagos, la afectación del portafolio de clientes fue mínima (apenas 3%), mi Representada adoptó las medidas que le correspondían para mejorar el manejo interno de la información y continuar de manera segura con la recepción de pagos y cambió inmediatamente la pasarela de pagos – encargada del tratamiento – con lo cual opera hoy con absoluta normalidad.

Además, aunque vale mencionar que, para la época en que se dio la visita de inspección que originó esta Actuación, mi Poderdante contaba con algunas herramientas, políticas y procedimientos en materia de tratamiento de datos y seguridad de la información, voluntariamente ha implementado, acciones de mejora para dar pleno cumplimiento a los postulados de la Ley 1581 de 2012 y las cuales pondrá prontamente en conocimiento del Despacho.”30 7.9 La investigada no obtuvo ningún beneficio económico propio o para terceros como consecuencia de las conductas infractoras. 7.10 STARK GYM S.A.S no tiene antecedentes relacionados con los cargos formulados. 7.11 La investigada ha colaborado con la SIC en el desarrollo de sus funciones e incluso fue quien puso en conocimiento de la entidad el incidente de seguridad.

Estos hechos deben tenerse en cuenta para analizar los criterios de “resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio” y “renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio”. 7.12 El abogado reitera: “(…) mi Representada hace reconocimiento expreso de la comisión de las infracciones que se le imputan en los cargos PRIMERO al CUARTO”

OCTAVO: Que, mediante Resolución N° 17-328842 del 02 de septiembre del 2020, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 17-328842, con el valor legal que les corresponda y rechazó las pruebas solicitadas por el apoderado de la investigada, declarando agotada la etapa probatoria y corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.

Las pruebas que se incorporaron son las siguientes: “(… ) 4.1 4.2 Documento radicado bajo el N° 17-328842-00001-0000 del 22 de septiembre de 2019 (folios 7 a 16), por medio del cual la investigada entrega los documentos solicitados por la Dirección de Investigación de Protección de Datos Personales durante la inspección llevada a cabo en las instalaciones de la sociedad, los días 14 y 15 de septiembre de 2017, y los siguientes anexos: 4.1.1 Informe de Incocrédito sobre el resultado de la investigación realizada a Stark Gym S.A.S., socializado el 15 de septiembre de 2017 (folio 8). 4.1.2 Política de Respaldo de Información de Dataware (folios 9 a 13). 4.1.3 Configuración de NVR de la sede de la carrea 7ª N° 43 – 53 (folios 14 a 15). 4.1.4 Correo que demuestra la publicación en la página web de la Política de Tratamiento de la Información (folio 16).

Acta de preservación de páginas web – pre investigación (acta-informe LIF N° 198-17) (folios 21 a 41). 30 Ídem., páginas 24 y 25. HOJA N 14, “Por la cual se impone una sanción y se imparten órdenes” 4.3 DVD radicado bajo el N° 2017-328842 (serial físico P31113900974S-06575/serial lógico AD41-934E) con archivos que contienen los hallazgos de la inspección y las capturas de imagen (folio 42). 4.4 Acta de diligencia de visita de inspección al responsable de bases de datos personales - Ley 1581 de 2012, llevada a cabo los días 14 y 15 de septiembre del 2017 en las instalaciones de STARK GYM S.A.S. (folios 43 a 66). 4.5 Acta de la “DILIGENCIA DE VISITA DE INSPECCIÓN SUJETOS OBLIGADOS RÉGIMEN DE PROTECCIÓN DE DATOS PERSONALES LEYES 1266 DE 2008 Y 1581 DE 2012 – RADICADO 17328842”, realizada a EN LÍNEA PAGOS ELP S.A.S, radicada bajo el número 17-328842-00004-0000 del 22 de febrero de 2018 (folios 71 a 84). 4.6 Comunicado con fecha 16 de febrero del 2018, por medio del cual el gerente de EN LÍNEA PAGOS S.A.S, deja constancia de la entrega a esta Superintendencia de Industria y Comercio de los documentos solicitados durante la inspección (folios 85 a 87). 4.7 Informe técnico/ejecutivo de “Ethical Hacking Re-Test” elaborado por Information Quality (IQ) (folios 88 a 106 cuaderno reservado). 4.8 Copia de la carta con fecha 15 de septiembre del 2017 dirigida por STARK GYM S.A.S a INCOCRÉDITO, en el que el representante legal de la investigada le solicita la entrega de un certificado del cierre del proceso de investigación llevado a cabo por esta asociación a raíz del incidente de seguridad en la información (folio 107 cuaderno reservado). 4.9 Copia de la respuesta dada por INCOCRÉDITO al comunicado con fecha 15 de septiembre del 2017 remitido por STARK GYM S.A.S. (folio 108 cuaderno reservado). 4.10 Documento que contiene el listado de trabajadores de STARK GYM S.A.S (folios 114 a 117 cuaderno reservado). 4.11 Documento en el que se explica la estructura organizacional de STARK GYM S.A.S (folio 118 cuaderno reservado). 4.12 Documento que contiene el listado de trabajadores con acceso a información personal de STARK GYM S.A.S. (folio 119 cuaderno reservado). 4.13 Documento en el que se describe el rol del cargo de Directora de Talento y Bienestar (folios 121 a 123 cuaderno reservado). 4.14 Documento en el que se describe el rol del cargo de Directora de Mercadeo (folios 124 a 127 cuaderno reservado). 4.15 Documento en el que se describe el rol del cargo de Director de Operaciones (folios 128 a 130 cuaderno reservado). 4.16 Documento en el que se describe el rol del cargo de Asistente Contable (folios 131 a 132 cuaderno reservado). 4.17 Documento en el que se describe el rol del cargo de Asistente Administrativo (folios 133 a 134 cuaderno reservado). 4.18 Documento en el que se describe el rol del cargo de Director Administrativo y Financiero (folios 135 a 136 cuaderno reservado).

HOJA N 15, “Por la cual se impone una sanción y se imparten órdenes” 4.19 Documento en el que se describe el rol del cargo de Asesor Integral (folios 137 a 138 cuaderno reservado). 4.20 Documento en el que se describe el rol del cargo de Entrenador de Planta (folios 139 a 140 cuaderno reservado). 4.21 Documento en el que se describe el rol del cargo de Manager de Sede (folios 141 a 143 cuaderno reservado). 4.22 Copia del recibo MC03862637 (folio 144 cuaderno reservado). 4.23 Política de Privacidad de MailChimp (folios 145 a 191 cuaderno reservado). 4.24 Política de Privacidad y Protección de Datos de STARK GYM S.A.S (folio 192 cuaderno reservado). 4.25 Copia del modelo de contrato de Prestación de Servicios que celebra STARK GYM S.A.S con sus afiliados (folio 193 a 196 cuaderno reservado). 4.26 Factura de venta N° CA 2445 expedida por STARK GYM S.A.S (folio 200 cuaderno reservado). 4.27 Modelo de contrato de prestación de servicios que suscribe STARK GYM S.A.S con sus usuarios (folio 202 cuaderno reservado). 4.28 Archivos contenidos en CD ( ) entregado por el gerente de STARK GYM S.A.S. (folio 203 cuaderno reservado), relacionados a continuación: 4.28.1 Listado de afiliados a STARK GYM S.A.S con tarjeta clonada. 4.28.2 Comunicaciones dirigidas a los usuarios afectados por el incidente de seguridad. 4.28.3 Copia de un contrato de prestación de servicios. 4.28.4 Copia de los contratos celebrados con los proveedores XXXXXXXXXXXXXXXXXXXXXX, Dataware Sistemas S.A.S, En Línea Pagos ELP S.A.S, R Y R Moreno S.A.S., Sibo Avance S.A.S Y Telesentinel Ltda. 4.28.5 Copia de los contratos celebrados por STARK GYM S.A.S con el Gerente de Talento y Bienestar, el Gerente Administrativo y Financiero, el Director de Mercadeo, el Gerente General y el Gerente de Operaciones. 4.28.6 Copia de los 11 contratos celebrados por STARK GYM S.A.S con los asesores y 10 otro sí que forman parte de algunos contratos. 4.28.7 Copia de los 4 contratos celebrados por STARK GYM S.A.S con los managers y 3 otro sí que forman parte de algunos de los contratos. 4.28.8 Copia de un correo electrónico enviado por EN LÍNEA PAGOS ELP S.A.S que contiene el comprobante de Pago # XXXXXX. 4.28.9 Copia del correo electrónico en el que se confirma la cancelación del acuerdo de débito automático celebrado entre EN LÍNEA PAGOS ELP S.A.S y STARK GYM S.A.S. 4.28.10 Archivo de Excel que contiene un listado con las desafiliaciones MailChimp. 4.28.11 Capturas de pantalla de los comprobantes de envío de comunicaciones relacionadas con la clonación de las tarjetas. 4.28.12 Informe técnico/ejecutivo de “ETHICAL HACKING RE-TEST”, elaborado por IQ Information Quality.

HOJA N 16, “Por la cual se impone una sanción y se imparten órdenes” 4.28.13 Copia de la factura de venta N° CXXXX expedida el 14 de septiembre del 2017 por STARK GYM S.A.S 4.28.14 Documento de evaluación de soluciones informáticas elaborado por Softimiza, relacionado con la selección del proveedor XXXXX. 4.28.15 Inventario de equipos. 4.28.16 Copia de correo electrónico con fecha 15 de septiembre del 2017 en el que se envían datos sobre la licencia de antivirus adquirida por STARK GYM S.A.S. 4.28.17 Copia del comunicado con fecha 24 de agosto del 2017, en el que la Gerente Regional de Incocrédito le informa a STARK GYM S.A.S que su código de operación había sido suspendido temporalmente. 4.28.18 Copia de la Política de Privacidad y Protección de Datos de STARK GYM S.A.S. 4.28.19 Términos de uso de MailChimp. 4.28.20 Políticas de Privacidad de MailChimp. 4.28.21 Portafolio de servicios de DataWare Sistemas S.A.S. 4.28.22 Documento con comentarios sobre el estudio presentado por IQ con fecha 14 de septiembre del 2017. 4.28.23 Reporte del mes de agosto de EN LÍNEA PAGOS EPL S.A.S. 4.28.24 Documento en el que se describen las tarifas de los planes que ofrece STARK GYM S.A.S. 4.28.25 Diagramas de Red de las sedes de STARK GYM S.A.S ubicadas en la calle 43, la calle 66 y la calle 127. 4.28.26 Distribución de puntos de red en el switch de las sedes de STARK GYM S.A.S ubicadas en la calle 43, la calle 66 y la calle 127. 4.29 Documentos contenidos en bluray (XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX) (folio 204 cuaderno reservado ). 4.30 Documentos contenidos en bluray (XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXX) (folio 209 cuaderno reservado). 4.31 Archivos contenidos en memoria USB (XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX) entregada por el representante legal de En Línea Pagos (folio 214 cuaderno reservado), que a continuación se relacionan: 4.31.1 Carpeta denominada “EN LINEA PAGOS”: (a) Capturas de pantalla de mensajes en los que se hace referencia a los manuales operativos de EN LÍNEA PAGOS S.A.S. (b) Capturas de pantalla de las carpetas y mensajes del correo electrónico de la administración de EN LÍNEA PAGOS S.A.S. (c) Capturas de pantalla de las bases de datos de EN LÍNEA PAGOS S.A.S. (d) Captura de pantalla del uso de la aplicación de EN LÍNEA PAGOS S.A.S. (e) Copia de un mensaje de correo electrónico con fecha 16 de febrero del 2018, que contiene un comprobante de pago.

(f) Documento en el que se presenta información sobre el detalle de una transacción realizada a través de la plataforma de EN LÍNEA PAGOS S.A.S. el día 16 de febrero del 2018. HOJA N 17, “Por la cual se impone una sanción y se imparten órdenes” (g) Estándar de Seguridad de los Datos PCI 2006-2016. (h) Copia del comunicado con fecha 30 de julio del 2014 dirigido por CredibanCo a la Compañía Nacional de Internet, en el que le comunica que validó el código de seguridad secundario.

(i) Certificado de Auditor Interno de Sistemas de Gestión de Seguridad de la Información según la Norma ISO 27001. (j) Documento denominado “Configuración SSL actual”. (k) Acuerdo proveedor SSL. (l) Términos del servicio de Vultr Holding Corporation, proveedor de servicios de almacenamiento de EN LÍNEA PAGOS S.A.S. (m) Modelo de contrato de arrendamiento de la plataforma informática de pagos del EN LÍNEA PAGOS ELP S.A.S. (n) Informe técnico/ejecutivo de “ETHICAL HACKING RE-TEST”, elaborado por IQ Information Quality, con fecha 22 de septiembre del 2017.

(o) Correo electrónico con fecha 12 de septiembre del 2017, en el que EN LÍNEA PAGOS ELP S.A.S., entre otros asuntos, se refiere a la utilización de Gymsoft por parte de STARKGYM S.A.S. (p) Formato de evaluación para certificar desarrollos de comercios en modalidad API o webservices de comercios afiliados. (q) Documento titulado “SEGURIDAD RSA OBLIGATORIA Y SEGURIDAD EN SUS CERTIFICADOS SSL.

En Cumplimiento a la Norma PCI DSS CONFIDENCIAL”, con fecha de creación del 01 de noviembre del 2017. (r) Documento titulado “MANUAL DE INTEGRACIÓN API CON SEGURIDAD RSA. Webservices – Tarjetas de Crédito”, con fecha de creación 11 de abril del 2010. (s) Política de Tratamiento de la Información de EN LÍNEA PAGOS ELP S.A.S. (t) Copia del acta de una de las reuniones de seguimiento que hizo Incocrédito al incidente de seguridad, con fecha 08 de septiembre del 2017.

(u) Documento titulado “Vulnerability Scan Report: Attestation of Compliance”, con fecha 09 de enero del 2018. 4.31.2 Copia del plan de acción sobre vulnerabilidades detectadas sobre XXXXXX con fecha 06 de septiembre del 2017, contenido en la carpeta denominada “XXXXXX”. 4.31.3 Comunicado con fecha 7 de septiembre del 2017 dirigido por Ensaloc al Gerente General de STARK GYM S.A.S., incluido en la carpeta denominada “STARK”. 4.32 Informe de la inspección llevada cabo en una de las sedes de STARK GYM S.A.S. los días 14 y 15 de septiembre de 2017, con fecha 27 de noviembre de 2017 (folios 215 a 230 cuaderno reservado). 4.33 Documento con radicación N° 17-328842-00005-0000 del 7 de junio 2018, en el que INCOCRÉDITO responde al requerimiento hecho por esta Superintendencia mediante escrito con radicación N° 17328842-2-0, junto con las siguientes actas (folios 231 a 302): 4.33.1 Acta del 07 de septiembre del 2017 (BOG-3330-17) 4.33.2 Acta del 13 de octubre del 2017 (BOG-3891-17) 4.33.3 Acta del 24 de noviembre del 2017 (BOG-4353-17) 4.33.4 Acta del 03 de octubre del 2017 (MED-214-2017) 4.33.5 Acta del 10 de noviembre del 2017 (MED-214-2017) HOJA N 18, “Por la cual se impone una sanción y se imparten órdenes” 4.34 Informe de la inspección llevada cabo en las instalaciones de STARK GYM los días 14 y 15 de septiembre de 2017, con radicación N° 17-328842-00006-0001 del 28 de junio 2018 (folios 303 a 315). 4.35 Acta de preservación de páginas web pre-investigación (acta-informeLIF 071-19) con radicación N° 17328842-00007-0001 de 3 de julio de 2017 (folios 316 a 335 cuaderno reservado) y archivos contenidos en CD (serial lógico AD40-2FA9) que contienen los hallazgos realizados y las imágenes preservadas (folio 335 cuaderno reservado). 4.36 Escrito con radicación N° 17-328842-00012-0001 del 15 de enero de 2020, en el que la investigada rinde descargos, junto con los siguientes anexos (folios 355 a 443): 4.36.1 Certificado de Existencia y Representación Legal de STARK GYM S.A.S (folio 372 a 376). 4.36.2 CD que contiene los documentos relacionados en el acápite de pruebas del escrito de descargos (folio 377). 4.37 Copia del reporte de incidente de seguridad remitido a la Delegatura de Protección del Consumidor de la Superintendencia de Industria y Comercio, radicado bajo el N° 17-328039-00000-0000 del 13 de septiembre de 2017 (folio 378). 4.38 Copia de la actualización del reporte de incidente de seguridad remitido a la Delegatura de Protección del Consumidor de la Superintendencia de Industria y Comercio, radicado bajo el N° 17-331808-000000000 del 18 de septiembre de 2017 (folio 379). 4.39 Copia del acta de la reunión de seguimiento al incidente de seguridad, realizada el día 1º de septiembre de 2017 (folios 382 a 385). 4.40 Copia del acta de la reunión de seguimiento al incidente de seguridad, realizada el día 8 de septiembre de 2017 (folios 386 a 390). 4.41 Copia del acta titulada “PLAN DE TRABAJO IMPLEMENTACIÓN RECOMENDACIONES INFORME DE VULNERABILIDAD” (folios 391 a 392). 4.42 Copia de la respuesta emitida por la Delegatura de Protección al Consumidor de la Superintendencia de Industria y Comercio a los reportes del incidente de seguridad comunicados por STARK GYM S.A.S (folio 393). 4.43 Copia de la carta dirigida por INCOCRÉDITO a STARK GYM S.A.S, en la que la Gerente Regional para Bogotá deja constancia de que los problemas de seguridad en el manejo de la información fueron remediados (folio 394). 4.44 Certificado expedido por el representante legal de STARK GYM S.A.S, dirigido a la Delegatura de Protección de Datos Personales de la Superintendencia de Industria y Comercio (folio 395). 4.45 Copia del comunicado con fecha 13 de septiembre de 2017, dirigido por STARK GYM S.A.S a sus afiliados (folio 396). 4.46 Copia del comunicado con fecha 12 de septiembre de 2017, dirigido por STARK GYM S.A.S a sus afiliados (folio 397). 4.47 Modelos de los contratos de trabajo a término fijo y a término indefinido que suscriben los trabajadores de STARK GYM S.A.S (folios 398 a 405). 4.48 Modelo de la cláusula de confidencialidad de los contratos de trabajo (folio 406).

HOJA N 19, “Por la cual se impone una sanción y se imparten órdenes” 4.49 Modelo del contrato de prestación de servicios que se celebra con los clientes (407 a 413). 4.50 Copia de los términos y condiciones generales de uso para comercios PAYU (folios 414 a 427). 4.51 Documento en el que se describe el procedimiento de recepción de novedades de los afiliados de STARK GYM S.A.S (folios 428 a 429). 4.52 Documento en el que se describe el proceso de creación de nuevos clientes de STARK GYM S.A.S (folios 430 a 441). 4.53 Política de Privacidad y Protección de Datos Personales de STARK GYM S.A.S (folios 442 a 443).”

NOVENO: Que, dentro del plazo otorgado por la Resolución N° 17-328842 del 02 de septiembre del 2020, la sociedad investigada mediante comunicado radicado bajo el N° 17-328842-00019-0001 del 21 de septiembre del 2020, presentó alegatos de conclusión reiterando lo señalado en los descargos e indicando lo siguiente: 9.1 Agregó que la sociedad investigada continuó adoptando medidas para cumplir con las normas sobre protección de datos personales, como la inclusión de cláusulas de confidencialidad en los contratos de trabajo y la adecuación de las Políticas de Tratamiento de la Información. 9.2 Para reforzar su argumento de que no es necesario imponer una sanción a STARK GYM S.A.S, sostuvo: “Adicionalmente, en este análisis no puede dejar de considerarse la emergencia sanitaria que atraviesa actualmente el País, en virtud del denominado COVID-19.

Dicho fenómeno ha hecho que mi representada, una empresa que desarrolla sus actividades en la industria del fitness, a través de gimnasios, sea considerablemente afectada en sus finanzas (…). De hecho, ponemos de presente al Despacho que la investigada, para la fecha de presentación de estos alegatos, no ha podido reanudar sus actividades económicas y todos sus gimnasios permanecen cerrados desde el mes de marzo de este año, generando gran afectación a la estabilidad y viabilidad financiera de la organización. (…) No estamos planteando que la emergencia sanitaria sirva como excusa para el incumplimiento de los deberes; planteamos que los hechos que se encuentran acreditados en el expediente permiten concluir que, en el caso concreto, lo más ajustado a nuestro marco constitucional es hacer un ejercicio alternativo del poder sancionatorio de la administración, evitando imponer sanciones económicas que desdibujarían el rol del Estado frente al derecho a la libre actividad económica”31. 9.3 Dado que como argumento subsidiario el apoderado solicitó graduar la sanción de conformidad con el principio de razonabilidad y proporcionalidad, pidió a esta Dirección tomar en consideración los siguientes hechos al momento de valorar los criterios de dosificación establecidos en la Ley 1581 del 2012: • “(…) incidentes de seguridad que ocurrieron en la plataforma EN LINEA PAGOS y que estaban asociados a clientes de mi Representada, ascendían a un total de 167 tarjetas.”32 • “(…) la afectación de clientes en el caso de mi poderdante, específicamente en relación con los citados incidentes, no superó el 3% de su base de usuarios, por lo que la cantidad de incidentes presentados, contrastada con la magnitud y extensión de la demanda que era atendida por mi poderdante en el momento del incidente, no permite concluir que la 32 Radicado N° 17-328842-00019-0001 del 21 de septiembre del 2020.

HOJA N 20, “Por la cual se impone una sanción y se imparten órdenes” compañía investigada hubiera afectado de manera sustancial el derecho de sus clientes, ya que el 97% de ellos no presentaron ni han presentado ninguna novedad como la descrita.”33 • “Para la época en que se produjeron los hallazgos que dieron origen a la investigación de la referencia, STARK GYM ya contaba con varios mecanismos, herramientas y procesos orientados a la protección de los datos personales de sus clientes y al cumplimiento de la normatividad aplicable.”34 • “Mi Representada contaba en su momento con una Política de Privacidad y Protección de Datos, la cual ha sido actualizada y se encuentra disponible en https://www.starksmartgym.com.co/sites/default/files/politica_de_privacidad_stark.pdf.” • “En consecuencia, no era que mi Representada no hubiera adoptado absolutamente ninguna medida para proteger los datos de sus clientes y que, en cuanto al cumplimiento de los lineamientos de la Ley 1581 de 2012, el índice de cumplimiento fuera nulo.”36 • “En el presente caso el beneficio económico obtenido por mi Representada es nulo (…)”.37 • “Mi Representada no tiene antecedentes relacionados con sanciones asociadas a este tipo de conductas.38” • “STARK GYM ha prestado a la SIC toda la colaboración necesaria para el desarrollo de sus labores, fue la primera en poner en conocimiento de la administración el incidente y ha atendido todos los llamados de la administración con absoluta diligencia.”39 • “Las infracciones reconocidas no son producto de omisiones dolosas o gravemente culposas, frente a los parámetros de la norma aplicable y desde la época del incidente tan solo se han presentado 8 quejas relacionadas con temas de pagos, las cuales se han atendido en un 100% de manera satisfactoria para los clientes, sin que se haya detectado algún incidente de percance asociado a la seguridad de la información, y que constituyen apenas el 0,08% del universo de transacciones que realiza mi Representada en el ejercicio de su negocio.”40 DÉCIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO PRIMERO: Análisis del caso 11.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 201141, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”. 33 Ídem. 34 Ídem. 35 Ídem. 36 Ídem. 37 Ídem. 38 Ídem. 39 Ídem. 40 Ídem. 41 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

HOJA N 21, “Por la cual se impone una sanción y se imparten órdenes” Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares.

El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012. (ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a: • El literal b) del artículo 17 de la Ley 1581 del 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 ejúsdem, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 del 2015. • El literal c) del artículo 17 de la Ley 1581 del 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la norma en mención. • El literal d) del artículo 17 de la Ley 1581 del 2012, en concordancia con lo literales g) y h) del artículo 4 de la misma Ley. • En literal k) del artículo 17 de la Ley 1581 del 2012, en concordancia con el inciso 3 del artículo 25 de citada norma, junto con los artículos 2.2.2.25.3.1, 2.2.2.25.3.2 y 2.2.2.25.3.3 del Decreto Único Reglamentario 1074 del 2015. • El literal n) del artículo 17 de la Ley 1581 del 2012.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos, así como las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 11.2 Valoración probatoria y conclusiones 11.2.1 Respecto del deber de solicitar copia de la respectiva autorización otorgada por el Titular El tratamiento de datos vinculados a personas naturales es una actividad usual y necesaria en la sociedad actual, en particular para el establecimiento de vínculos comerciales entre los asociados.

Sin embargo, como lo ha puesto de manifiesto la Corte Constitucional, la recolección, almacenamiento, uso, transferencia y demás operaciones que tienen como objeto los datos personales han generado un riesgo de infracción de derechos fundamentales. En este contexto, es esencial garantizar que el individuo tenga la facultad de permitir el acceso a su información personal y controlar el manejo que otros hacen de ésta42.

Es por esta razón que la Asamblea Nacional Constituyente consagró en el artículo 15 de la Constitución Política el derecho fundamental al habeas data o autodeterminación informática, que consiste en la potestad que tienen los titulares de los datos personales para otorgar autorización para su tratamiento y revocarla, así como para conocer y solicitar la actualización, rectificación y supresión de la información personal sobre ellos almacenada en bases de datos y archivos de entidades públicas y privadas.

Uno de los principios de ineludible observancia en la administración de información de carácter personal es el principio de libertad, desarrollado inicialmente por la mencionada Corte y 42 Ídem. HOJA N 22, “Por la cual se impone una sanción y se imparten órdenes” posteriormente consagrado por el legislador en el literal c) del artículo 4 de la Ley 1581 de 2012.

De acuerdo con este principio: “El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular”43. En palabras de la Corte Constitucional, este principio es el “(…) pilar fundamental de la administración de datos, [y] permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos”.

En desarrollo de este principio, el legislador impuso a quienes tratan información relativa a las personas físicas el cumplimiento de determinados deberes. Sobre el particular, el literal b) del artículo 17 de la Ley 1581 de 2012 establece que es un deber del responsable del tratamiento solicitar a su titular autorización para el manejo de sus datos personales y conservar una copia de la misma.

Este principio además se traduce en una prohibición para el responsable de tratar la información que se adquirió sin el consentimiento cualificado del titular de los datos personales o sin orden legal que lo reemplace44. Empero, no toda aquiescencia o acción del titular equivale a una autorización para el manejo de su información personal.

Por el contrario, el consentimiento válido debe reunir las siguientes condiciones: (i) Ser previo: los artículos 4 literal c) y 9 de la Ley 1581 de 2012, así como el artículo 2.2.2.25.2.2 del Decreto 1074 de 2015, establecen que el titular debe manifestar su consentimiento a más tardar en el momento de recolección de los datos personales;

(ii) Ser informado: el consentimiento es informado si el titular de los datos conoce los efectos de autorizar el manejo de su información personal45, y; (iii) Ser expreso: el carácter expreso implica que el titular de los datos personales es consciente de que está autorizando específicamente su tratamiento por parte de un tercero para determinadas finalidades.

Así, por ejemplo, la aceptación de términos y condiciones de un contrato o reglamento de uso en una página web no puede entenderse como autorización para el Tratamiento. En este sentido, esta Dirección encontró preliminarmente que: (i) Durante la diligencia de inspección a las instalaciones de STARK GYM S.A.S se comprobó que, aunque la sociedad incorporaba en los contratos de prestación de servicios que suscribía con sus usuarios una cláusula sobre el tratamiento de sus datos personales, no solicitaba su consentimiento a más tardar en el momento de recolectar los datos personales, pues primero los registraba en el software “GYMSOFT” y después enviaba una copia del contrato al correo electrónico dado por su Titular.

(ii) Aunque el contrato de prestación de servicios se firme en físico en las instalaciones, la investigada solicita autorización para el tratamiento de los datos personales de sus usuarios después de recolectarlos, como se constató en la inspección realizada a las instalaciones de la sociedad. (iii) La sociedad STARK GYM S.A.S no cuenta con autorización para el tratamiento de los datos personales de sus trabajadores, como consta en los contratos que fueron entregados en la diligencia de inspección y que reposan en el expediente.

Estos hechos se demuestran con el acta de la diligencia de visita de inspección al responsable de bases de datos personales - Ley 1581 de 2012 que se llevó a cabo los días 14 y 15 de septiembre del 2017 en las instalaciones STARK GYM S.A.S y los contratos entregados durante la diligencia de inspección; documentos que reposan en el expediente. 43 Literal “c” del artículo 4 de la Ley Estatutaria 1581 de 17 de octubre de 2012. 44 Corte Constitucional, sentencia C-748/11, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). 45 Ídem.

HOJA N 23, “Por la cual se impone una sanción y se imparten órdenes” Frente al cargo objeto de estudio, la investigada, a través de su apoderado, en el escrito de descargos y en los alegatos aceptó la comisión de la infracción. Textualmente, el abogado afirmó: “Lo primero que debemos decir frente a estos cargos [primero al cuarto] es que, por medio del presente escrito, mi Representada hace reconocimiento expreso de la comisión de las infracciones que allí se imputan.

Así, ya partiendo de un escenario en el que se ha aceptado la comisión de la infracción (…)”. (Negrilla fuera del original). Sin perjuicio de la aceptación de cargos, una vez revisado el acervo probatorio, esta Dirección encontró que: Como se ha señalado reiteradamente, en relación con los datos personales de los usuarios, se evidencia que STARK GYM S.A.S no solicitaba su consentimiento previo, expreso e informado para el tratamiento de sus datos personales a más tardar al momento de recolectarlos, pues, durante la diligencia de inspección a las instalaciones de STARK GYM S.A.S, se comprobó que, aunque la sociedad incorporaba en los contratos de prestación de servicios que suscribía con sus usuarios una cláusula sobre el tratamiento de sus datos personales, primero los registraba en el software “GYMSOFT” y después enviaba una copia del contrato al correo electrónico dado por su Titular.

Además, aunque el contrato de prestación de servicios se firmara en físico en las instalaciones, la investigada solicitaba autorización para el tratamiento de los datos personales de sus usuarios después de recolectarlos, como se constató en la inspección realizada a las instalaciones de la sociedad. Esto pese a que, como consta en el acta de la diligencia de visita de inspección al responsable de bases de datos personales - Ley 1581 de 2012 en las instalaciones STARK GYM S.A.S, la investigada recolectaba datos personales de sus usuarios de las siguientes formas: (i) Se evidenció que el proceso de afiliación de los usuarios es realizado en cada una de las sedes del gimnasio, para dicho registro la sociedad utilizaba un software denominado “GYMSOFT” licenciado con la sociedad SIBO AVANCE, mediante el cual recolecta los siguientes datos personales: Datos para registro de usuarios: • • • • • • Número de cédula Nombre Primer apellido Fecha de nacimiento Dirección de correo electrónico Dirección de residencia Aunque quienes atendieron la visita afirmaron que únicamente se recababan los datos personales mencionados, anteriormente, se evidenció que el sistema permitía el registro de los siguientes datos: • • • • • • • • • • • Plan que pretende adquirir Teléfono Profesión (grupo, subgrupo) Ingresos Barrio Género Institución educativa EPS Número de hijos Número de celular Empresa HOJA N 24, “Por la cual se impone una sanción y se imparten órdenes” (ii) Datos biométricos: dentro del desarrollo de la visita de inspección se verificó que, para el acceso de los afiliados a las sedes de los gimnasios, se recolectaba la huella dactilar y mediante un sistema de algoritmos se realizaba una comparación para validar la identidad de cada titular al momento del ingreso, como se muestra en las siguientes imágenes: HOJA N 25, “Por la cual se impone una sanción y se imparten órdenes” Datos sobre tarjetas y pago: el pago de los servicios prestados por la sociedad STARK GYM S.A.S, mediante la opción de débito automático, era procesado por la pasarela de pagos EN LÍNEA PAGOS ELP S.A.S. y para el efecto se recolectaba la siguiente información: • • • • Número de tarjeta Código de seguridad Número de cuotas Fecha de vencimiento Asimismo, durante la diligencia de inspección realizada a las instalaciones de STARK GYM S.A.S, se comprobó que la sociedad investigada no solicitaba autorización para el tratamiento de los datos personales de sus trabajadores; hecho que consta, además, en los contratos aportados por la investigada en la inspección. Por lo anterior, se concluye que se encuentra probado el incumplimiento del deber de solicitar al titular de los datos personales autorización para su tratamiento, previsto en el literal b) del artículo 17 de la Ley 1581 del 2012 y desarrollado por el literal c) del artículo 4 y el artículo 9 ejúsdem, así HOJA N 26, “Por la cual se impone una sanción y se imparten órdenes” como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 del 2015.

En consecuencia, se procederá a impartir una sanción a la sociedad STARK GYM S.A.S por el cargo primero. Por otro lado, este Despacho encontró que, contrario a lo que afirma el apoderado de la investigada, la sociedad STARK GYM S.A.S no cumple todavía con el mencionado deber, puesto que: (i) En el contrato de los trabajadores junto con el modelo de contrato de trabajo, aportados con el escrito de descargos, no se incluye una cláusula en la que se les solicite autorización para el tratamiento de sus datos personales, pues si bien en la Cláusula Décimo sexta del modelo de contrato se indica que el Manual de políticas y procedimientos de protección de datos personales, hace parte integral del contrato, este Despacho no observa la autorización expresa emanada del trabajador de autorizar al empleador; en este caso a STARK GYM S.A.S, a tratar y usar sus datos personales.

(ii) Con el escrito de descargos, la investigada aportó un proceso de creación de clientes nuevos o que renueven su suscripción en planes en los que la forma de pago sea el débito automático de una tarjeta de crédito, que aplica tanto al módulo presencial como en línea y menciona la forma en la que se solicita autorización para el Tratamiento de datos personales al momento de diligenciar el formato de registro, como se ve a continuación: Una vez, este Despacho accede al formato de contrato de prestación de servicios, se observa en la cláusula décima tercera se indica que: “( ) Con la suscripción del presente Contrato el Afiliado autoriza a Stark para: a) Enviar información sobre novedades, noticias y promociones propias y de terceros. b) Enviar información sobre programas propios y de terceros. c) Precisar, analizar y optimizar los productos y servicios existentes y futuros, propios y de terceros. d) Reportar información sobre riesgos crediticios y el control y prevención del lavado de activos. e) Realizar actividades de archivo, actualización, almacenamiento y procesamiento de información, sea por sí mismo o a través de terceros con quienes se contrate a tal efecto. f) Promocionar y mercadear productos y servicios nuevos y existentes, propios y de terceros. g) Ser filmado por sistema de videovigilancia dentro de las instalaciones, reconociendo la existencia de cámaras de circuito cerrado de televisión instaladas por Stark.

Lo anterior conforme a la política de privacidad y protección de datos personales. h) Usar fotografías que sean tomadas dentro de los gimnasios para publicidad a través de redes sociales, página web, etc. ( )”. No obstante, dicha autorización guarda silencia respecto de los datos sensibles que son recolectados por la investigada, puesto que de conformidad con la información evidenciada en la HOJA N 27, “Por la cual se impone una sanción y se imparten órdenes” visita de inspección, se encontró que la investigada recolecta datos de carácter sensible como lo es la huella dactilar de sus afilados, de los cuales no se hace ninguna referencia no en el contrato de servicios antes mencionado, ni en la política de privacidad, pese a que de acuerdo con el literal a) del artículo 6 de la Ley 1581 de 2012 se indica claramente que se prohíbe el Tratamiento de datos sensibles excepto si el titular a otorgado autorización explicita a su tratamiento.

De esta manera, y pese a que la sociedad STARK GYM S.A.S aseguró, que luego de la visita de inspección realizada por esta Dirección tomó las medidas necesarias para dar cabal cumplimiento al deber de solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por los titulares, se sigue evidenciando falencias que permite concluir que es una conducta continuada y que se sigue vulnerando el derecho de habeas data de los titulares.

En consecuencia, este Despacho procederá a impartir una orden a la sociedad STARK GYM S.A.S así como la sanción correspondiente, en la cual se tendrá encuentra en cuenta el reconocimiento de la conducta. 11.2.2 Respecto del deber de informar al titular de los datos la finalidad del tratamiento y los derechos que le asisten por virtud de la autorización otorgada En el literal c) del artículo 17 de la Ley 1581 de 2012, el legislador impuso al responsable del tratamiento el deber de informar a su titular la finalidad o finalidades para la que serán tratados sus datos personales y los derechos que le asisten a sus Titular en virtud de la autorización otorgada.

Esta obligación de información debe cumplirse a más tardar en el momento de recolección de los datos personales, en los términos del artículo 12 de la Ley 1581 de 2012. De acuerdo con el principio de finalidad, consagrado en el literal b) del artículo 4 de la Ley 1581 de 2012, “[e]l Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular” (Negrilla fuera del original).

Para la Corte Constitucional, este principio: “(…) permite un control por parte del titular del dato, en tanto le es posible verificar si está siendo usado para la finalidad por él autorizada. Es una herramienta útil para evitar arbitrariedades en el manejo de la información por parte de quien trata el dato.”46 De este principio se extraen algunas reglas: (i) está prohibido el tratamiento de datos personales sin que se identifique de manera previa, clara, específica y expresa la finalidad del mismo, y;

(ii) no está permitido el procesamiento de información de carácter personal para fines diferentes a los autorizados por el titular del dato47. Por su parte, como explica la Corte Constitucional, existe una prohibición general de tratar datos personales sensibles, esto es, aquellos que pertenecen a la intimidad de las personas o cuyo uso indebido puede dar lugar a discriminación. Sin embargo, se introdujo como excepción a esta prohibición, el supuesto en que el Titular de los datos personales conceda su autorización expresa para el tratamiento, de acuerdo con el principio de libertad y lo previsto en las disposiciones jurídicas48.

Esta autorización, por supuesto, se entiende otorgada únicamente en relación con las finalidades informadas al Titular a más tardar en el momento de consentir el tratamiento de sus datos personales sensibles; asunto que cobra relevancia debido a la especial afectación que su uso inadecuado puede causar a sus derechos al habeas data e intimidad.

Al respecto, al analizar la constitucionalidad de esta excepción, la Corte Constitucional aseveró: “La Sala considera que, de conformidad con el principio de libertad, es posible que las personas naturales den su consentimiento, por su puesto, expreso e informado, para que sus datos personales sean sometidos a tratamiento. En estos casos deberán cumplirse con todos los principios que rigen el tratamiento de datos personales, en especial cobrará importancia el 46 Ídem. 47 Corte Constitucional, sentencia C-748/11, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). 48 Ídem.

HOJA N 28, “Por la cual se impone una sanción y se imparten órdenes” principio de finalidad, según el cual el dato sensible solamente podrá ser tratado para las finalidades expresamente autorizadas por el titular y que en todo caso deben ser importantes desde el punto de vista constitucional. En este orden de ideas, la Sala encuentra que el primer contenido normativo del literal a) se ajusta a la Constitución.”49 (Énfasis fuera del original).

Además, el literal b) del citado artículo 12 establece que el Responsable del Tratamiento debe informar al Titular de los Datos Personales el carácter facultativo de la respuesta a las preguntas que se refieran a datos sensibles o datos de niñas, niños y adolescentes. Al analizar la constitucionalidad de la norma, en la sentencia C-748/11, la Corte Constitucional sostuvo: “En primer lugar, el carácter facultativo, en razón del principio de libertad, es predicable de todas las preguntas.

Sin embargo, cuando se trate de una de las situaciones en que excepcionalmente se permite el Tratamiento de un dato sensible o de una niña, niño o adolescente, el Responsable del Tratamiento deberá informar las limitaciones y derechos que le son predicables de este tipo de dato.”50 (Negrilla fuera del original). Vale la pena recordar que son datos sensibles, entre otros, los datos biométricos, que son definidos como “(…) datos personales obtenidos a partir de un tratamiento técnico especifico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”51.

En este sentido, esta Dirección encontró preliminarmente que: (i) La sociedad investigada no informa a los usuarios de sus servicios la finalidad de la recolección de datos personales en el formato de préstamo de toallas. (ii) STARK GYM S.A.S trata información sensible, en específico la huella dactilar de sus usuarios, sin informar a su titular la finalidad del tratamiento, ni el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles.

(iii) En las instalaciones del gimnasio funciona un sistema de videovigilancia que recolecta datos personales, pero en ningún momento se les informa a sus titulares la finalidad del tratamiento. Estos hechos se demuestran con el acta de la diligencia de visita de inspección al responsable de bases de datos personales - Ley 1581 de 2012 realizada a STARK GYM S.A.S los días 14 y 15 de septiembre del 2017; documento que reposa en el expediente.

Frente al cargo objeto de estudio, la investigada, a través de su apoderado, en el escrito de descargos y en los alegatos aceptó la comisión de la infracción. Literalmente, el abogado afirmó: “Lo primero que debemos decir frente a estos cargos [primero al cuarto] es que, por medio del presente escrito, mi Representada hace reconocimiento expreso de la comisión de las infracciones que allí se imputan.

Así, ya partiendo de un escenario en el que se ha aceptado la comisión de la infracción (…)”. (Negrilla fuera del original). Sin perjuicio de la aceptación de cargos, una vez analizado el acervo probatorio, esta Dirección de Investigación de Protección de Datos Personales encontró lo siguiente: En primer lugar, durante la inspección llevada a cabo en las instalaciones de la sociedad STARK GYM S.A.S, se estableció que la investigada, en un formato que se diligenciaba para el préstamo 49 Ídem. 50 Ídem. 51 Artículo 4.14 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).

HOJA N 29, “Por la cual se impone una sanción y se imparten órdenes” de toallas, recolectaba datos personales de sus usuarios, en específico, el nombre, la firma y el número de celular, sin informar la finalidad del tratamiento, como consta en el acta de la diligencia de visita de inspección y se ve en la siguiente imagen: En segundo término, como se ha mencionado a lo largo de esta Resolución, durante la visita de inspección se comprobó que STARK GYM S.A.S recolectaba y trataba la huella dactilar de sus usuarios, para permitir la entrada al gimnasio de sus Titulares empleando un torniquete de acceso.

De acuerdo con el acta de la diligencia de visita de inspección al responsable de bases de datos personales - Ley 1581 de 2012 realizada a STARK GYM S.A.S los días 14 y 15 de septiembre del 2017: “(…) al momento de registrarse en el sistema se registra la huella del cliente, al momento de ingresar se toma una foto a la huella y mediante un sistema de algoritmos se hace una comparación, para permitir o restringir el acceso al gimnasio.

La huella queda en un “template” de GYMSOFT donde queda la información de todos los clientes (…)” Sin embargo, como se demuestra con el acta de la diligencia de visita de inspección, la investigada no informaba la finalidad o finalidades del Tratamiento de los datos personales, ni el carácter facultativo de las preguntas que versen sobre los datos personales sensibles.

Finalmente, la sociedad STARK GYM S.A.S recolectaba datos personales, a través de un sistema de videovigilancia que funcionaba en sus instalaciones, sin informar a los titulares las finalidades de su recolección, tal como se constata en la siguiente imagen: HOJA N 30, “Por la cual se impone una sanción y se imparten órdenes” Por otro lado, este Despacho determinó que, contrario a lo que afirma el apoderado de la investigada, la sociedad STARK GYM S.A.S no cumple todavía con el deber contemplado en el literal c) del artículo 17 de la Ley 1581 del 2012, concordante con el literal b) del artículo 4 y el artículo 12 ejúsdem, puesto que: Si bien en la cláusula decimotercera del contrato de prestación de servicios allegado con el escrito de descargos se solicita a los usuarios de STARK GYM S.A.S autorización para el tratamiento de sus datos personales, nuevamente omitieron: (a) Informar la finalidad o finalidades del tratamiento de su huella digital, así como el carácter facultativo de la respuesta a preguntas que versen sobre este dato personal.

(b) Especificar la finalidad o finalidades del tratamiento de los datos personales recolectados a través del sistema de videovigilancia. Aunque en la cláusula se menciona que con la suscripción del contrato el afiliado autoriza a STARK GYM S.A.S para “ser filmado por sistema de videovigilancia dentro de las instalaciones, reconociendo la existencia de cámaras de circuito cerrado de televisión instaladas por Stark.

Lo anterior conforme a la política de privacidad y protección de datos personales”, no se explica de forma particular cuál es la finalidad o finalidades del tratamiento. Pues si bien en dicho documento remite al lector a la política de privacidad; y en dicha política si se observen algunas finalidades del tratamiento, la investigad no está cumpliendo el deber de informar, puesto que al momento de recolectar la información personal producto de la afiliación, solo se le pone de presente el contrato de prestación de servicios al titular, y no se le proporciona un link o acceso a las Políticas de privacidad.

(c) Dentro del contrato del contrato y Reglamento de uso, se observa que la investigad hace una mención constante a la política de privacidad y protección de datos personales, al igual que a la política de tratamiento de datos personales, sin embargo, de esta última no aportó documento en el escrito de descargos, ni tampoco se hace claridad sin son el mismo documento.

De igual manera, se observa dentro de contrato de prestación de servicios el anexo IV, mediante el cual la investigada dispuso un formato de AUTORIZACIÓN DE PLAN DEBITO AUTOMÁTICO, mediante el cual el titular deberá manifestar que conoce y acepta la política de tratamiento de datos personales, la cual en ningún momento de la eventual recolección se HOJA N 31, “Por la cual se impone una sanción y se imparten órdenes” le puso de presente.

Pues como se observa en la siguiente imane, la sociedad ni siquiera dispuso un link de acceso a la misma. De esta manera, y pese a que la sociedad STARK GYM S.A.S aseguró, que luego de la visita de inspección realizada por esta Dirección tomó las medidas necesarias para dar cabal cumplimiento al deber de informar a los titulares la finalidad del tratamiento, se sigue evidenciando falencias que permite concluir que es una conducta continuada y que se sigue vulnerando el derecho de habeas data de los titulares.

En consecuencia, este Despacho procederá a impartir una orden a la sociedad STARK GYM S.A.S así como la sanción correspondiente, en la cual se tendrá encuentra en cuenta el reconocimiento de la conducta. 11.2.3 Respecto del deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento En los términos del artículo 4 literal g) de la Ley 1581 de 2012, en virtud del principio de seguridad, los responsables del tratamiento deben asegurar que en la administración de datos de carácter personal se adopten las medidas técnicas, humanas y administrativas “necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”.

HOJA N 32, “Por la cual se impone una sanción y se imparten órdenes” En la sentencia C-748/11, la Corte Constitucional afirmó sobre este principio: “Existe entonces un deber tanto de los Responsables como los Encargados de establecer controles de seguridad, de acuerdo con el tipo de base de datos que se trate, que permita garantizar los estándares de protección consagrados en esta Ley Estatutaria.”52 El principio de seguridad está estrechamente relacionado con otros principios de raigambre constitucional, como el principio de confidencialidad, que es definido por la Ley 1581 del 2015 así: h) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma.” En desarrollo de estos principios, el legislador impuso a los responsables del tratamiento el deber contemplado en literal d) del artículo 17 de la Ley 1581 del 2012, que reza: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)” Por su parte, teniendo en cuenta el artículo 15 de la Constitución Política de Colombia, en concordancia con los principios rectores de seguridad y de circulación restringida, se tiene que como una extensión de los mismos, el legislador concibió en el literal d) del artículo 17 de la Ley Estatutaria de Protección de Datos Personales, como deber de los Responsables en el Tratamiento de datos, la conservación de la información con todas las medidas de seguridad que sean necesarias con el fin de evitar cualquier clase de acceso no autorizado o adulteración fraudulenta.

De esta manera, el Responsable deberá tener en cuenta tanto el volumen de la base de datos a la que realiza Tratamiento, como la naturaleza de los datos que trata, haciendo que dichas medidas o controles de seguridad sean directamente proporcionales al tipo de base de datos que trate. Especialmente, se debe tener presente que a pesar de que exista previamente una autorización por parte del titular para divulgar su información personal, la divulgación, circulación y acceso de los datos tiene que estar controlado y restringido frente a terceros no autorizados.

Únicamente de esta forma, se cumplirá con los estándares exigidos por la ley. En consecuencia, para cumplir este deber, el responsable del tratamiento de los datos personales debe implementar medidas, procedimientos y lineamientos técnicos, administrativos y humanos que se seguirán en la organización para asegurar la confidencialidad, integridad y disponibilidad de la información de carácter personal que trata, que deben estar debidamente documentados en una Política de Seguridad de la Información. En este sentido, esta Dirección encontró preliminarmente que: (i) 52 Ídem.

STARK GYM S.A.S no adoptó las medidas de seguridad que se requerían para garantizar la seguridad de la información y, por esta razón, 150 titulares de datos personales se vieron afectados porque personas ajenas accedieron a la información de sus tarjetas de crédito y realizaron transacciones en línea. HOJA N 33, “Por la cual se impone una sanción y se imparten órdenes” (ii) Los contratos de los trabajadores del área administrativa que trataban datos personales, como la Directora de Talento Humano y Bienestar no incluían cláusula de confidencialidad de la información. (iii) Equipos de cómputo en los que se trataban datos personales no contaban con controles tecnológicos y físicos que garantizaran la seguridad de la información. (iv) En una de las sedes de STARK GYM S.A.S se había instalado un sistema de videovigilancia, pero la sociedad no tenía implementadas las medidas de seguridad adecuadas para evitar la divulgación o acceso no autorizado a los datos personales que recolectaban las cámaras.

(v) La investigaba utilizaba el software “GYMSOFT” sin certificación de la pasarela de pagos. (vi) La sociedad STARK GYM S.A.S no contaba con Políticas de Seguridad de la Información. Los hechos (ii) a (iv) y (vi) se demuestran con el informe de inspección radicado bajo el N° 17328842-00006-0001 del 28 de junio del 2018, el acta de la diligencia de visita de inspección al responsable de bases de datos personales - Ley 1581 de 2012 realizada a STARK GYM S.A.S los días 14 y 15 de septiembre del 2017 y los contratos entregados durante la diligencia de inspección; documentos que reposan en el expediente.

El hecho (v) con el acta de la diligencia de inspección realizada a EN LÍNEA PAGOS ELP S.A.S, radicada bajo el N° 17-328842-00004-0000 del 22 de febrero del 2018. Finalmente, el hecho (i) se prueba con las copias de los informes allegados por INCOCRÉDITO, las actas de seguimiento al incidente de seguridad y el acta de la diligencia de inspección realizada a EN LÍNEA PAGOS ELP S.A.S, radicada bajo el N° 17-328842-00004-0000 del 22 de febrero del 2018.

Frente al cargo objeto de estudio, la investigada, a través de su apoderado, en el escrito de descargos y en los alegatos aceptó la comisión de la infracción. Literalmente, el abogado afirmó: “Lo primero que debemos decir frente a estos cargos [primero al cuarto] es que, por medio del presente escrito, mi Representada hace reconocimiento expreso de la comisión de las infracciones que allí se imputan.

Así, ya partiendo de un escenario en el que se ha aceptado la comisión de la infracción, (…)”. (Negrilla fuera del original). Sin perjuicio de la aceptación de cargos, una vez revisado en acervo probatorio, este Despacho encontró que: En primer lugar, la sociedad investigada tiene pocos controles tecnológicos implementados en los equipos de cómputo en los que se recolecta la información. Así, el computador de la Directora de Talento Humano y Bienestar, en el que se almacenan o a través del cual se accede a la cuenta de correo electrónico en la que se almacenan datos personales de los candidatos que participan en los procesos de selección, no tiene contraseña y no tiene restricción para el ingreso a redes sociales, como se evidencia en las siguientes imágenes: “Por la cual se impone una sanción y se imparten órdenes” HOJA N 34, HOJA N 35, “Por la cual se impone una sanción y se imparten órdenes” Acerca de los computadores instalados en la recepción, en los que se recolectaban y almacenaban datos personales de los usuarios de los servicios: • Los puertos USB estaban habilitados, como se constata en las siguientes imágenes: HOJA N 36, “Por la cual se impone una sanción y se imparten órdenes” • No se restringía la navegación en la Red, el acceso a correos electrónicos y a sitios web. • Las sesiones activas no se suspendieron después de 5 minutos de inactividad.

En segundo término, dentro de la diligencia de inspección realizada a la sede ubicada en la carrera 7 N° 43-53 de la ciudad de Bogotá, se evidenció que el establecimiento cuenta con un total de 13 cámaras de seguridad, las cuales son contraladas y monitoreadas por medio de la aplicación denominada “¡VMS-4500” por la administradora de la sede, por medio de un aplicativo instalado en su teléfono celular de uso personal.

HOJA N 37, “Por la cual se impone una sanción y se imparten órdenes” Luego de la verificación realizada al teléfono celular de la administradora de la sede, se pudo evidenciar que bajo dicha aplicación se controlan todas las cámaras de la sede, (i) se pueden realizar impresiones de pantalla, y (ii) almacenar videos e imágenes en el mismo aplicativo, sin que cuente con cualquier tipo de restricción. A continuación, se muestran imágenes captadas durante la inspección ocular que lo demuestran: En tercer lugar, como se observa en el contrato de la Directora de Talento Humano y Bienestar, en el mismo no se incorporaba una cláusula de confidencialidad de la información, aunque, como se mencionó, tenía acceso a datos personales relacionados con los procesos de selección y contratación. En cuarto término, durante la inspección que se llevó a cabo en las instalaciones de STARK GYM S.A.S, los intervinientes manifestaron no tener documentadas las Políticas de Seguridad de la Información y las Políticas para la Gestión de Incidentes de Seguridad, como se demuestra con el acta de la diligencia. Sin embargo, como consta en este documento, quienes atendieron la visita afirmaron que la investigada había implementado algunas medidas y procedimientos relacionados con la seguridad de la información. Asimismo, posteriormente, aportaron una política de respaldo de la información. Empero estas políticas no contemplan las medidas, procedimientos y lineamientos técnicos, administrativos y humanos que garantizan la confidencialidad, integridad y disponibilidad de la información de carácter personal que trata el Responsable.

Finalmente, en relación con el incidente de seguridad, en la formulación de cargos, esta Dirección determinó que presuntamente la sociedad STARK GYM S.A.S no implementó las medidas de seguridad de la información necesarias; razón por la que 150 titulares se vieron afectados debido al fraude que se cometió con sus tarjetas de crédito. Como consta el acta de la visita de inspección realizada a la sociedad EN LÍNEA PAGOS ELP S.A., INCOCRÉDITO sostuvo: “Consecuentes con lo anterior y teniendo en cuenta que ni los comercio afectados ni la pasarela a la fecha de los hechos contaban con la debida Certificación o estar en cumplimiento de la norma PCI, es evidente que se presentó una irregularidad por esta razón, la cual aunque no garantiza haber detectado la intrusión y la pérdida de información es una situación grave que se debe tener en cuenta como primera medida para recomendar a los establecimientos que acuerda servicios con la Pasarela afectada y sea una exigencia por parte de las Entidades Financieras Adquirentes a sus comercios para evitar situación de fraude masivo como el ocurrido en esta oportunidad” 53.

Por estas razones, aunque no existe una prueba que determine la causa de la intrusión, sí se puede colegir que STARK GYM S.A.S falló en adoptar las medidas administrativas necesarias para 53 Radicado N° 17-328842-00005-0000 del 07 de junio del 2018, página 49. HOJA N 38, “Por la cual se impone una sanción y se imparten órdenes” contratar el servicio de pago electrónico con una plataforma que adoptará las medidas para conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; situación que puso en peligro los datos personales de sus usuarios que optaban por el pago mediante débito automático.

De otra parte, y respecto a las medidas adoptadas por la sociedad si ben pudo haber adoptado medidas de seguridad respecto al desarrollo del debito automático, en el escrito de Descargos no en los alegatos de conclusión, la sociedad investigada allego evidencias de la adaptación del sistema de video vigilancia, que como se indicó líneas a tras era directamente controlado en el teléfono personal de una funcionaria de la compañía sin ningún tipo de restricción. De igual manera no aportó los documentos que soporten la adopción de medidas de control respecto de los equipos de computo inspeccionados junto con la política adaptada a los demás equipos.

A lo anterior se suma que, como se ha mencionado a lo largo de este escrito, STARK GYM S.A.S aceptó expresamente la comisión de la infracción en los descargos y alegatos. Por lo anterior, se concluye que se encuentra probado el incumplimiento del deber previsto en el literal d) del artículo 17 de la Ley 1581 del 2012, en concordancia con lo literales g) y h) del artículo 4 de la misma Ley.

En consecuencia, se procederá a impartir una sanción y una orden a la sociedad STARK GYM S.A.S. 11.2.4 Respecto del deber de contar con una Política de Tratamiento de la Información Los artículos 17 literal k) y 25 de la Ley 1581 de 2012 y 2.2.2.25.3.1 del Decreto 1074 de 2015 imponen al responsable del tratamiento la obligación de adoptar una Política de Tratamiento de Datos Personales que debe ser redactada en un lenguaje claro y sencillo, constar en un medio físico o electrónico y ser puesta en conocimiento de los titulares de los datos personales, en los términos de esta última norma.

De acuerdo con el artículo 2.2.2.25.3.1 citado, la Políticas deberán contener, como mínimo, la siguiente información: “(…) 1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. 2. Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando ésta no se haya informado mediante el Aviso de Privacidad. 3.

Derechos que le asisten como Titular. 4. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. 5. Procedimiento para que los Titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. 6.

Fecha de entrada en vigencia de la política de Tratamiento de la información y período de vigencia de la base de datos.” En relación con la Política de Tratamiento de la Información es recomendable: (i) Elaborar e implementar una PTI que sea aplicable al tratamiento de todos los datos personales que trata (semiprivados, privados y sensibles) y pertenecientes a diferentes titulares (v.gr. clientes o usuarios, trabajadores, proveedores, etc.).

Así, a manera de ejemplo, la Política debe incluir todas las finalidades para la que son tratados cada grupo de datos personales (v.gr. datos de trabajadores, clientes o usuarios, proveedores, etc.), y no solamente los datos de los clientes o usuarios. (ii) Elaborar e implementar una Política de Tratamiento de los Datos Personales que no reproduzca el contenido de las normas legales, sino que procure el efectivo cumplimiento HOJA N 39, “Por la cual se impone una sanción y se imparten órdenes” de las normas que regulan la materia mediante su adecuación a las particularidades de la organización, el tipo de datos personales que trata, la forma y finalidad del tratamiento, entre otros aspectos.

(iii)Tomar en consideración que en los términos del artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, el responsable del tratamiento debe asegurar que la Política de Tratamiento de Datos Personales que debe ser redactada en un lenguaje claro y sencillo, constar en un medio físico o electrónico y ser puesta en conocimiento de los titulares de los datos personales.

Por su parte, el artículo 2.2.2.25.3.2 establece que en caso de que el Responsable no pueda poner a disposición de los Titulares de los datos personales la Política de Tratamiento de la Información, deberá comunicarles, a más tardar en el momento de recolectar los datos, que existen las Políticas y la forma de acceder a éstas. Esta dificultad para comunicar las PTI puede tener lugar cuando se utilizan sistemas de videovigilancia en espacios en los que circulan diferentes personas.

La Guía de Protección de Datos Personales en Sistemas de Videovigilancia 54 recomienda al Responsable del Tratamiento poner en un lugar visible un aviso en el que se informe a los Titulares que están siendo grabados y que deberá incluir la información exigida por las normas para los avisos de privacidad. De conformidad con el artículo 2.2.2.25.3.3 el contenido, como mínimo, será el siguiente: “1.

Nombre o razón social y datos de contacto del responsable del tratamiento. 2. El Tratamiento al cual serán sometidos los datos y la finalidad del mismo. 3. Los derechos que le asisten al titular. 4. Los mecanismos dispuestos por el responsable para que el titular conozca la política de Tratamiento de la información y los cambios sustanciales que se produzcan en ella o en el Aviso de Privacidad correspondientes.

En todos los casos, debe informar al Titular cómo acceder o consultar la política de Tratamiento de información. No obstante lo anterior, cuando se recolecten datos personales sensibles, el aviso de privacidad deberá señalar expresamente el carácter facultativo de la respuesta a las preguntas que versen sobre este tipo de datos. En todo caso, la divulgación del Aviso de Privacidad no eximirá al Responsable de la obligación de dar a conocer a los titulares la política de tratamiento de la información, de conformidad con lo establecido en este capítulo.” En este sentido, esta Dirección encontró preliminarmente que: (i) A pesar de que la sociedad STARK GYM S.A.S contaba con una Política de Tratamiento de la Información que ponía a disposición de sus usuarios, ésta no contenía toda la información exigida por el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015.

Este hecho se prueba con el acta de preservación de páginas web – pre investigación (acta-informe LIF N° 198-17), que obra en el expediente, y en el informe de inspección radicado bajo el N° 17-328842-00006-0001 del 28 de junio del 2018. (ii) La investigada recolectaba datos personales a través de un sistema de videovigilancia, pero no ponía a disposición de los usuarios, en un lugar visible, un aviso de privacidad.

Este hecho se demuestra con el informe de inspección radicado bajo el N° 17-32884200006-0001 del 28 de junio del 2018 y el acta de la diligencia de visita de inspección al responsable de bases de datos personales - Ley 1581 de 2012 realizada a STARK GYM S.A.S los días 14 y 15 de septiembre del 2017. 54 Superintendencia de Industria y Comercio, Guía para la Protección de Datos Personales en Sistemas de Videovigilancia, disponible en web: https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Guia_Vigilancia_sept16_2016.pdf HOJA N 40, “Por la cual se impone una sanción y se imparten órdenes” Frente al cargo objeto de estudio, la investigada, a través de su apoderado, en el escrito de descargos y en los alegatos aceptó la comisión de la infracción. Literalmente, el abogado afirmó: “Lo primero que debemos decir frente a estos cargos [primero al cuarto] es que, por medio del presente escrito, mi Representada hace reconocimiento expreso de la comisión de las infracciones que allí se imputan.

Así, ya partiendo de un escenario en el que se ha aceptado la comisión de la infracción (…)”. (Negrilla fuera del original). Por otro lado, esta Dirección encontró que el apoderado de la investigada aportó con el escrito de descargos una Política de Privacidad y Protección de Datos Personales actualizada y que en los alegatos explicó que la misma está disponible para los Titulares en el sitio web https://www.starksmartgym.com.co/politica-privacidad/.

Sin embargo, ésta no cumple íntegramente los requisitos establecidos en el artículo 2.2.2.25.3.3 del Decreto 1074 del 2015, como se verá en seguida: REQUISITO LEGAL 1. ¿la PTI contiene el nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable? (Numeral 1 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). 2.

¿La PTI señala el tipo de Tratamiento –manual o automatizado- al cual serán sometidos los Datos? (Numeral 2 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). NO NO El Responsable no menciona el tipo de Tratamiento. NO El Responsable informa la finalidad o finalidades del Tratamiento de algunos datos personales, pero no de todos (v.gr. la finalidad del tratamiento de los datos sensibles).

Asimismo, la PTI solo se refiere a la finalidad para la que se tratan datos de sus usuarios, no especifica la finalidad del tratamiento de los datos personales de otros grupos (v.gr. trabajadores, proveedores, etc). El Responsable no comunica algunos de los derechos que les asisten a los Titulares de los datos personales, como se explicará en las siguientes casillas. 3.

¿La PTI informa la finalidad del Tratamiento de los Datos? (Numeral 2 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). 4. ¿La PTI Menciona de manera completa los derechos del Titular del Dato? (Numeral 1 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y artículo 8 de la Ley 1581 de 2012). 5.

¿En la PTI se informa al Titular del dato que tiene derecho “conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del COMENTARIO Una vez revisada la política, se comprobó que únicamente señala la denominación social del Responsable del Tratamiento (numeral 1) y el correo electrónico (numerales 10 y 12), pero no menciona el domicilio, dirección y teléfono. NO SÍ En el numeral 10 de la PTI se informan estos derechos.

HOJA N 41, “Por la cual se impone una sanción y se imparten órdenes” Tratamiento. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado”? (Literal a) del artículo 8 de la L. 1581 de 2012) 6.

¿En la PTI se informa al Titular del dato que tiene derecho a “solicitar prueba de la autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10” de la Ley 1581 de 2012? (Literal –b- del artículo 8 de la L 1581 de 2012) 7. En la PTI se informa al Titular que tiene derecho a “ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus datos personales”? (Literal -c- del artículo 8 de la L 1581 de 2012) 8.

¿En la PTI se informa al Titular del dato que tiene derecho a “presentar ante la y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen? (Literal -d- del artículo 8 de la L 1581 de 2012) 9. ¿En la PTI se informa al Titular del dato que tiene derecho a revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales? (Literal -e- del artículo 8 de la L 1581 de 2012) 10.

¿En la PTI se informa al Titular del dato que tiene derecho a “acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento”? (Literal -f- del artículo 8 de la L 1581 de 2012) NO En el documento allegado no comunica a los Titulares que tienen este derecho. NO En el documento aportado con el escrito de descargos el Responsable no comunica a los Titulares de los datos que tienen este derecho.

NO En el documento no se comunica a los Titulares de los datos que les asiste este derecho. SÍ En la PTI aportada con el escrito de descargos, el Responsable informa a los Titulares de los datos personales que tienen derecho a solicitar la supresión del dato (literal c) del numeral 10 de la PTI), pero se le recomienda manifestarse expresamente sobre la revocación de la autorización SI En el primer párrafo y en el literal a) del numeral 10 de la PTI, el Responsable informa a los Titulares de los datos personales que gozan de este derecho.

HOJA N 42, “Por la cual se impone una sanción y se imparten órdenes” 11. ¿En la PTI se señala quién es la persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el Dato y revocar la Autorización? (Numeral 4 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y artículo 23 del Decreto 1377 de 2013). 12.

¿En la PTI se describe el procedimiento para que los Titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la Autorización? (Numeral 5 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, artículo 18 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.6. del Decreto 1074 de 2015 y numeral 3 del artículo 27 del Decreto 1377 de 2013). 13.

¿La PTI indica la fecha de entrada en vigencia de la política de Tratamiento de la información? (Núm. 6, art 13 del Decreto 1377 de 2013 incorporado en el Artículo 2.2.2.25.3.1 Decreto 1074 de 2015). 14. ¿La PTI informa el período de vigencia de la Base de Datos? (Numeral 6 del artículo 13 del Decreto 1377 de 2013 incorporado en el Artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).

NO El Responsable del Tratamiento no menciona quien es el encargado de la atención de consultas y reclamos. NO El Responsable del Tratamiento debe incluir los procedimientos para la atención de consultas y reclamos, teniendo en cuenta lo previsto en los artículos 14 y 15 de la Ley 1581 de 2012 y las características de su organización y el tipo de datos personales tratados.

El Responsable menciona, en el último párrafo del numeral 10 y en el numeral 12, el correo electrónico al que debe enviarse la consulta o reclamo y su contenido, pero se debe complementar el procedimiento. SI En la última frase de la PTI se señala que su fecha de entrada en vigencia es abril del 2018. NO Este dato no se incorporó en la PTI.

Por esta razón, este Despacho encuentra procedente impartir una orden a la sociedad STARK GYM S.A.S de documentar, implementar y poner a disposición de sus usuarios una Política de Tratamiento de la Información que cumpla con los requisitos del artículo en el artículo 2.2.2.25.3.3 del Decreto 1074 del 2015. De otra parte, tampoco se allegó evidencia del aviso de privacidad respecto a la videovigilancia en todas las instalaciones de la sociedad, puesto que no solo basta que esta información obre en una política de privacidad dispuesta en una pagina web, es necesario que todas las personas, independientemente si son afiliados o trabajadores, que ingresen a las instalaciones y sean aptadas por el sistema de videovigilancia tenga como mínimo el conocimiento de la finalidad, de sus derechos y de quien es el responsable y ante quien poder poner una petición queja o reclamo.

Por tal motivo se impondrá la orden correspondiente. HOJA N 43, “Por la cual se impone una sanción y se imparten órdenes” 11.2.5 Respecto del deber de informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares Un incidente de seguridad de la información tiene lugar cuando una amenaza, esto es, una causa que potencialmente puede generar un incidente explota una vulnerabilidad, que es “una debilidad de un activo o control que puede ser explotada por una o más amenazas”55.

Estas brechas en la seguridad pueden afectar los datos personales que son tratados por la organización y, por ende, afectar el derecho fundamental al habeas data de sus titulares. La Circular Única de la SIC establece que un incidente de seguridad se refiere “(…) a la violación de los códigos de seguridad o la pérdida, robo y/o acceso no autorizado de información de una base de datos administrada por el Responsable del Tratamiento o por su Encargado (…)”.

El literal n) del artículo 17 de la Ley 1581 del 2012, impone un deber a los Responsables del Tratamiento de notificar los incidentes de seguridad de la información a la autoridad de protección de datos personales. Esta norma debe interpretarse en consonancia con el artículo 19 de la norma en mención que aclara que esta autoridad será la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio.

A lo anterior se suma que, de conformidad con el artículo 2.1 del Título V de la Circular Única de la a registrar sus bases de datos en el Registro Nacional de Bases de Datos deberán reportar la ocurrencia del incidente en este registro público dentro de los quince (15) días hábiles siguientes al momento en que se detecten y sean puestos en conocimiento de la persona o área encargada de atenderlos.

En este sentido, esta Dirección encontró preliminarmente que tuvo conocimiento del incidente de seguridad relacionado con la información de las tarjetas de crédito de sus clientes, por medio de la denuncia que se hizo en un medio de comunicación y no por la notificación que hiciera la investigada. Frente al cargo objeto de estudio, en los descargos, el abogado de STARK GYM S.A.S aseveró que su poderdante “(…) fue diligente de cara al cumplimiento de sus deberes y mediante comunicaciones del 12 y 15 de septiembre del 2017, radicadas en los expedientes 17-328039 y 17331808, respectivamente, puso en conocimiento de la Superintendencia de Industria y Comercio el incidente ocurrido con la pasarela de pagos “EN LÍNEA PAGOS”.

En los alegatos de conclusión, reiteró su argumento. Ahora bien, revisado el acervo probatorio que obra en el expediente se encuentra que, en efecto, la investigada radicó en esta Superintendencia dos comunicaciones, los días 12 y 15 de septiembre del 2017, informando el incidente de seguridad en la información y las medidas que se estaban adoptando para detenerlo.

Además, el apoderado de la investigada aportó con los alegatos un oficio en el que la Delegatura de Protección al Consumidor responde lo siguiente: “De conformidad con lo expuesto y una vez analizados los hechos materia de queja nos permitimos indicarle que la Entidad competente para avocar conocimiento de los mismos es la Fiscalía General de la Nación (…)” No obstante, en las copias de las comunicaciones remitidas por la investigada el 12 y 15 de septiembre del 2017, allegadas con el escrito de descargos radicado bajo el N° 17-328842-000120001 del 15 de enero del 2020.

Por otro lado, el fraude relacionado con las tarjetas de crédito se extendió hasta el 24 de agosto del 2017, como consta en el informe de 7 de septiembre de 2017 allegado por INCOCRÉDITO. El abogado de la investigada señaló que tuvieron conocimiento del incidente de seguridad el 25 de agosto del 2017, cuando la sociedad EN LÍNEA PAGOS ELP S.A.S. le informó que el código de recaudo había sido bloqueado porque habían sido clonadas varias tarjetas de sus clientes.

En esta misma fecha INCOCRÉDITO hizo una visita de inspección a las instalaciones de STARK GYM 55 IT GOVERNANCE PRIVACY TEAM, “EU GENERAL DARA PROTECTION REGULATION (GDPR), 3a edición, IT Governance Publishing, disponible en http://www.jstor.com/stable/j.ctvr7fcwb.9. HOJA N 44, “Por la cual se impone una sanción y se imparten órdenes” S.A.S. Por lo tanto, esta Dirección considera que las comunicaciones del 12 y el 15 de septiembre del 2017 fueron radicadas dentro del término de 15 días hábiles dispuesto en la Circular Única.

Para esta Dirección, dado que las comunicaciones en las que se reportaba el incidente de seguridad se radicaron en esta Superintendencia de Industria y Comercio, dentro del término establecido en el artículo 2.1 del Título V de la Circular Única. Por lo cual se considerará que STARK GYM S.A.S cumplió con el deber establecido en el literal n) del artículo 17 de la Ley 1581 del 2012.

Por esta razón, se archivará el cargo quinto. 11.2.6 Responsabilidad de los Administradores en materia de tratamiento de datos personales El artículo 2 de la Constitución Política señala que son fines esenciales del Estado entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultado positivos y concretos respecto de, entre otros, los derechos constitucionales como, por ejemplo.

El debido tratamiento de datos personales o la protección de datos previsto en el artículo 15 de la Carta Política La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la Republica están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado de los particulares”.

Como es sabido, la Constitución Política de Colombia establece en su artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes ara una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.

De igual manera, nuestra Carta política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual el “fin justifica los medios”.

En efecto, no se trata de una libertad ilimitada, sino de una actividad restringida porque no sólo debe ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común a que se refiere el precitado artículo 333 exige que, entre otras, que la realización de cualquier actividad económica garantice, entre otras, los derechos fundamentales de las personas.

Es por eso que la Constitución pone d presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la Ley 222 de 1995 56 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de junta o consejo directivo y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con la diligencia de un buen hombre de negocios”, sino que en cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”57 Obsérvese que la regulación no exige cualquier tipo de cumplimiento de la ley, sino uno calificado, es decir, estricto o ajustado con exactitud a lo establecido en l norma.

Velar por el estricto cumplimiento de la ley exige que los administradores actúen de manera muy profesional, diligente y proactiva para que en su organización la regulación se cumpla de manera real (no formal), efectiva 56 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disipaciones”. 57 Cfr. Numeral 2 del artículo 23 de la ley 222 de 1995.

HOJA N 45, “Por la cual se impone una sanción y se imparten órdenes” y rigurosa. Por eso, los administradores deben cuidar con esmero este aspecto y no sólo ser guardianes sino promotores de la correcta aplicación de la ley. Esto, desde luego, implica que los administradores deben verificar permanentemente si la ley se está cumpliendo en todas las actividades que realiza su empresa u organización. De esta manera, el artículo 24 de la ley 222 de 199558 presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funcione, violación d la ley o de lo estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir como “un buen hombre de negocios” tal y como lo señala el precitado artículo 23 de la norma en mención. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad a los socios o a terceros”.

Todo lo anterior pone de presente no sólo el alto nivel de responsabilidad jurídica y económica en cabeza de los administradores, sino el enorme profesionalismo y diligencia que debe rodear su gestión en el tratamiento de datos. En virtud de lo anterior, EXHORTAMOS a los Representantes Legales de la sociedad STARK GYM S.A.S para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales, especialmente los de libertad, finalidad, seguridad y confidencialidad. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

DÉCIMO SEGUNDO: En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones: (i) La sociedad STARK GYM S.A.S deberá documentar e implementar un procedimiento para recolectar la autorización de los Titulares de los datos personales e informarles la finalidad o finalidades de su tratamiento y los demás datos a que se refiere el artículo 12 de la Ley 1581 del 2012 a más tardar al momento de recolectarlos y para todos sus titulares (afiliado, trabajadores proveedores, etc.). 58 ARTÍCULO

24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así:

ARTICULO 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten. En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador.

De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia. En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar.

Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades ante dichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos.

HOJA N 46, “Por la cual se impone una sanción y se imparten órdenes” (ii) Documentar e implementar las siguientes políticas: a) Una POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN, mediante la cual se implementen medidas técnicas, administrativas y humanas para asegurar la confidencialidad, integridad y disponibilidad de la información de carácter personal que trata el responsable. b) Ajustar la política de tratamiento de la información de conformidad a los requisitos mínimos exigidos mediante le artículo 2.2.2.25.3.1. del Decreto 1074 de 2015. c) Implementar las medidas necesarias para informar las finalidades y los requisitos dispuestos en el artículo 12 de la Ley 1581 de 2012 a todos los titulares que ingresen a las instalaciones de la sociedad, que se recolectaran datos personales en virtud del sistema de videovigilancia. (iii) Implementar las medidas técnicas, administrativas y humanas para asegurar la confidencialidad, integridad y disponibilidad de la información en los dispositivos o equipos d computo donde se alojen bases de datos con información personal de los titulares.

Para dar cumplimiento, la investigada deberá acreditar el cumplimiento de lo ordenado mediante certificación firmada por el representante legal y remitir la documentación o pruebas pertinentes dentro del término de los tres (3) meses siguientes a la ejecutoria de la presente decisión.

DÉCIMO TERCERO: Imposición y graduación de la sanción 13.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 23 59. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 2 60, 4 61 y 6 62 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo 63.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”64 (negrita añadida) 59Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” 60 Artículo 2.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) 61 Artículo 4. La Constitución es norma de normas.

(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) 62 Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.

(negrita añadida) 63 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017);

Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). 64 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. HOJA N 47, “Por la cual se impone una sanción y se imparten órdenes” Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 65.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En efecto, el artículo 26 de la Ley 152 de 1994 dispone: “Con base en el Plan Nacional de Desarrollo aprobado, cada uno de los organismos públicos de todo orden a los que se aplica esta Ley preparará su correspondiente plan de acción. En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV.” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Tributario (UVT).

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2021 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional66 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada. 65 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. 66 Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) HOJA N 48, “Por la cual se impone una sanción y se imparten órdenes” Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”67 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 23 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros68. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”69.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia70. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2371 de la misma.

Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: 67 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 68 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 69 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 70 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 71 Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; HOJA N 49, “Por la cual se impone una sanción y se imparten órdenes” “Ley 1581 de 2012, artículo 24: “Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012.

Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “El artículo 23 del proyecto establece las sanciones que puede aplicar la Superintendencia de Industria y Comercio a los responsables del tratamiento y encargados del tratamiento, dentro de las cuales contempla las multas, la suspensión de las actividades relacionadas con el tratamiento, el cierre temporal de las operaciones relacionadas con el tratamiento y finalmente el cierre inmediato y definitivo de la operación: Esta norma constituye una disposición de carácter sancionatorio y por ello debe cumplir con todos los principios propios del debido proceso sancionador contemplados en la Constitución Política y reconocidos por la jurisprudencia de esta Corporación: En primer lugar, el principio de legalidad, de acuerdo con el cual: “las conductas sancionables no sólo deben estar descritas en norma previa sino que, además, deben tener un fundamento legal, por lo cual su definición no puede ser delegada en la autoridad administrativa”.

Este axioma tiene una interpretación menos rigurosa en el Derecho administrativo sancionador que en el Derecho penal, pues es posible una flexibilización razonable de la descripción típica: “Ha reiterado la Corte, que en el derecho administrativo sancionador "aunque la tipicidad hace parte del derecho al debido proceso en toda actuación administrativa, no es demandable en este campo el mismo grado de rigurosidad que se exige en materia penal”, por cuanto la naturaleza de las conductas reprimidas, los bienes jurídicos involucrados y la teleología de las facultades sancionadoras en estos casos, hacen posible también una flexibilización razonable de la descripción típica, en todo caso, siempre erradicando e impidiendo la arbitrariedad y el autoritarismo, que se haga prevalecer los principios de legalidad y de justicia social, así como los demás principios y fines del Estado, y que se asegure los derechos constitucionales, los intereses legítimos y los derechos de origen legal o convencional de todas las personas”.

Esta norma cumple con el principio de tipicidad, para lo cual debe interpretarse conjuntamente con el artículo 22 de la futura ley estatutaria, que establece la posibilidad de imponer sanciones cuando se hayan incumplido las disposiciones de esta ley. En este sentido, el supuesto de hecho que completa la norma jurídica sancionatoria está constituido por la infracción de las disposiciones de la futura ley estatutaria por la cual se dictan disposiciones generales para la protección de datos personales.

(…)72 Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” 72Corte Constitucional, Sentencia C-748 de 2011, M.P: Jorge Ignacio Pretelt Chaljub.

FJ: 2.22.3. HOJA N 50, “Por la cual se impone una sanción y se imparten órdenes” 13.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

En el caso sub examine, quedaron probadas las siguientes situaciones: En el caso sub-examine, quedó demostrado que: (i) La sociedad STARK GYM S.A.S incumplió el deber de solicitar a sus usuarios y trabajadores autorización para tratar sus datos personales, a más tardar en el momento de recolectarlos y, por lo tanto, infringió el literal b) del artículo 17 de la Ley 1581 del 2012, concordante con los artículos 4 literal c) y 9 de la norma en mención y 2.2.25.2.2 del Decreto 1074 del 2015.

En consecuencia, por el cargo primero, se le impondrá una sanción de MIL UNIDADES DE VALOR TRIBUTARIO VIGENTES (1000 UVT). (ii) La investigada incumplió el deber contemplado en el literal c) del artículo 17 de la Ley 1581 del 2012, concordante con los artículos 4 literal b) y 12 ejúsdem, debido a que incumplió el deber de informar a su Titular la finalidad del tratamiento de los datos personales y/o los derechos que le asisten en virtud de la autorización otorgada, aunque recolectaba este tipo de datos por medio de un formato de préstamo de toallas, el sistema de videovigilancia y el sistema que registraba la huella dactilar.

En consecuencia, por el cargo segundo, se le impondrá una sanción de MIL UNIDADES DE VALOR TRIBUTARIO VIGENTES (1000 UVT). (iii) La sociedad STARK GYM S.A.S incumplió el deber de “[c]onservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”, contemplado en el literal d) del artículo 17 de la Ley 1581 del 2012, concordante con los literales del artículo g) y h) del artículo 4 de la norma en mención, por las razones expuestas en el numera séptimo. En consecuencia, por el cargo tercero, se le impondrá una sanción de MIL QUINIENTAS UNIDADES DE VALOR TRIBUTARIO VIGENTES (1500 UVT). 13.2.2 El reconocimiento o aceptación de la comisión de una aceptación El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581de 2012 se aplicará toda vez que la investigada, en su comunicación del 15 de enero del 2020, reconoció la comisión de la infracción a los deberes contemplados en (i) el literal b), c), d) y k) del artículo 17 de la Ley 1581 del 2012.

El apoderado de la investigada indicó expresamente sobre los cargos primero al cuarto: “Lo primero que debemos decir frente a estos cargos es que, por medio del presente escrito, mi Representada hace reconocimiento expreso de la comisión de las infracciones que allí se imputan. Así, ya partiendo de un escenario en el que se ha aceptado la comisión de la infracción (…)”.

(Negrilla fuera del original). En virtud de lo expuesto, se procederá a reducir la sanción impuesta en MIL TRESCIENTAS UNIDADES DE VALOR TRIBUTARIO VIGENTES (1300) unidades de valor tributario vigentes. En consecuencia, el valor total de la sanción es por la suma equivalente a DOS MIL DOSCIENTAS UNIDADES DE VALOR TRIBUTARIO VIGENTES (2200 UVT) HOJA N 51, “Por la cual se impone una sanción y se imparten órdenes”

DÉCIMO CUARTO: CONCLUSIÓN Se procederá a imponer una sanción a la sociedad STARK GYM S.A.S por las siguientes razones: i. En relación con el primer cargo: La sociedad STARK GYM S.A.S, a través de su apoderado, reconoció expresamente haber incumplido el deber de solicitar a sus usuarios y trabajadores autorización para tratar sus datos personales, a más tardar en el momento de recolectarlos.

Además, en el transcurso de la investigación se pudo evidenciar que la compañía efectivamente no solicitaba el consentimiento del titular de acuerdo con las disposiciones previstas en la Ley 1581 de 2012, y a la fecha, aún se presentan grandes falencias que permiten deducir que el derecho fundamental sigue estando, vulnerando. ii. En relación con el segundo cargo: La investigada, por medio de su apoderado, aceptó la vulneración al artículo 17 literal c) de la Ley 1581 del 2012, concordante con los artículos 4 literal b) y 12 ejúsdem, en razón a que incumplió el deber de informar a su Titular la finalidad del tratamiento de los datos personales y/o los derechos que le asisten en virtud de la autorización otorgada.

Asimismo, revisando las pruebas allegadas al expediente, se encuentra que la sociedad STARK GYM S.A.S aun no implementa de manera eficiente y eficaz dicho requisito y por lo tanto incumple el deber que ostenta en su calidad de Responsable de la información. iii. En relación con el tercer cargo: La sociedad investigada, por medio de su apoderado, aceptó el cargo tercero, formulado por un presunto incumplimiento al deber de “[c]onservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”, contemplado en el literal d) del artículo 17 de la Ley 1581 del 2012, concordante con los literales del artículo g) y h) del artículo 4 de la norma en mención. iv.

En relación con el cuarto cargo: STARK GYM S.A.S, a través de su apoderado, reconoció expresamente el incumplimiento al deber de no contar con una Política de Tratamiento de la Información, previsto en el literal k) del artículo 17 de la Ley 1581 del 2012, dado que este documento no incluía toda la información a que se refiere el artículo 2.2.2.25.3.1 del Decreto 1074 del 2015. v. En relación con el quinto cargo: se archivará la investigación debido a que esta Dirección consideró que la investigada no infringió el deber de notificar a la autoridad de protección de datos personales el incidente de seguridad ocurrido, contemplado en el literal n) del artículo 17 de la Ley 1581 del 2012.

DÉCIMO QUINTO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad STARK GYM S.A.S, identificada con el Nit. 900.965.267-5, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su apoderado vinculado al correo electrónico gerencia@gyclaw.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

HOJA N 52, “Por la cual se impone una sanción y se imparten órdenes” Finalmente, indicando que la totalidad del Expediente se encuentra digitalizado para su consulta por medios virtuales, si la investigada considera estrictamente necesario el acceso del Expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.

Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. En mérito de lo expuesto este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad STARK GYM S.A.S, identificada con el Nit. 900.965.267-5, de SETENTA Y NUEVE MILLONES OCHOCIENTOS SETENTA Y SIETE MIL SEISCIENTOS PESOS M/CTE ($ 79.877.600), equivalente a DOS MIL DOSCIENTAS UNIDADES DE VALOR TRIBUTARIO VIGENTES (2200 UVT), por la violación a lo dispuesto en: • El literal b) del artículo 17 de la Ley 1581 del 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 ejúsdem, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 del 2015. • El literal c) del artículo 17 de la Ley 1581 del 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la norma en mención. • El literal d) del artículo 17 de la Ley 1581 del 2012, en concordancia con lo literales g) y h) del artículo 4 de la misma Ley.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR a la sociedad STARK GYM S.A.S, identificada con el Nit. 900.965.267-5, que, en su calidad de responsable del Tratamiento, cumpla con las siguientes órdenes: (iv) La sociedad STARK GYM S.A.S deberá documentar e implementar un procedimiento para recolectar la autorización de los Titulares de los datos personales e informarles la finalidad o finalidades de su tratamiento y los demás datos a que se refiere el artículo 12 de la Ley 1581 del 2012 a más tardar al momento de recolectarlos y para todos sus titulares (afiliado, trabajadores proveedores, etc.).

(v) Documentar e implementar las siguientes políticas: d) Una POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN, mediante la cual se implementen medidas técnicas, administrativas y humanas para asegurar la confidencialidad, integridad y disponibilidad de la información de carácter personal que trata el responsable. e) Ajustar la política de tratamiento de la información de conformidad a los requisitos mínimos exigidos mediante le artículo 2.2.2.25.3.1. del Decreto 1074 de 2015. f) Implementar las medidas necesarias para informar las finalidades y los requisitos dispuestos en el artículo 12 de la Ley 1581 de 2012 a todos los titulares que ingresen a HOJA N 53, “Por la cual se impone una sanción y se imparten órdenes” las instalaciones de la sociedad, que se recolectaran datos personales en virtud del sistema de videovigilancia. (vi) Implementar las medidas técnicas, administrativas y humanas para asegurar la confidencialidad, integridad y disponibilidad de la información en los dispositivos o equipos d computo donde se alojen bases de datos con información personal de los titulares.

Para dar cumplimiento, la investigada deberá acreditar el cumplimiento de lo ordenado mediante certificación firmada por el representante legal y remitir la documentación o pruebas pertinentes dentro del término de los tres (3) meses siguientes a la ejecutoria de la presente decisión PARÁGRAFO PRIMERO: La sociedad STARK GYM S.A.S, identificada con el Nit. 900.965.267-5, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (05) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.

Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo, suscrita por el representante legal junto con las respectivas evidencias.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad STARK GYM S.A.S, identificada con Nit. 900.965.267-5, a través de su representante legal y apoderado, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO CUARTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 30 DICIEMBRE 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.12.30 11:29:35 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: AMCC Revisó: AMCC Aprobó: CESM NOTIFICACIÓN: Investigada: Sociedad: STARK GYM S.A.S. Identificación: Nit. 900.965.267-5 Representante Legal: FREDDY ANDRES BELTRÁN BLANCO Identificación: C.C. 80.189.948 Dirección: Calle 127 A N° 7-12 Piso 3 Ciudad: Bogotá Correo electrónico: contador@starksmartgym.com.co “Por la cual se impone una sanción y se imparten órdenes” Apoderado: Nombre: DANIEL OBED CUELLAR MORALES Identificación: C.C. 79.763.810 Tarjeta Profesional: 185.805 Dirección: Calle 31 N° 13 A – 51 Torre 2, oficina 117 Ciudad: Bogotá Correo electrónico: gerencia@gyclaw.com HOJA N 54,