Resolución sancionatoria N° 25067 de 2022

(29 ABRIL 2022) VERSIÓN PÚBLICA “Por la cual se impone una sanción y se imparten unas órdenes” Radicación 19-120638 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022; y

CONSIDERANDO

PRIMERO: Que en virtud de las funciones otorgadas a esta Superintendencia por los artículos 19 y siguientes de la Ley 1581 de 2012, y de conformidad con el procedimiento previsto en el artículo 47 de la Ley 1437 de 2011 (Código de Procedimiento Administrativo y Contencioso Administrativo), la Dirección de Investigación de Protección de Datos Personales a través del Grupo de Trabajo de Investigaciones Administrativas adelantó una visita de inspección en las instalaciones de la sociedad INSTITUTO TRIANGULO S.A., identificada con NIT 800.002.695-1, los días 4 y 5 de junio de 2019, con el fin de recopilar y requerir toda la información necesaria con el propósito de comprobar el cumplimiento de los deberes y requisitos establecidos en el Régimen General de Protección de Datos Personales contemplados en la Ley 1581 de 2012.

SEGUNDO: Que con fundamento en los resultados arrojados por la vista de inspección llevada a cabo por este Despacho, la documentación recolectada en desarrollo de la etapa de indagación preliminar y los testimonios recaudados, se pudo establecer que: 2.1. De acuerdo a la recepción de la declaración del señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxx, Director Administrativo de la sociedad INSTITUTO TRIANGULO S.A. manifestó que la institución cuenta con la política de protección de datos personales, la cual se difunde a través de la página web de la institución y al momento del diligenciamiento del formulario de matrícula de cada aspirante; respecto de la autorización para el Tratamiento de los datos recolectados, indicó que dentro del “manual de convivencia” se encuentran explicados los derechos y deberes de la institución y sus estudiantes.

Indicó además que frente a la finalidad del Tratamiento de datos personales, esta se encuentra socializada a través de la página web, que los fines del Tratamiento son los educativos tal como se aclara en el manual de convivencia. Sin embargo, este Despacho encontró que no solicita autorización de los Titulares para la recolección de datos personales recolectados a través de la “ficha de inscripción y matricula”, por lo que se tiene que, presuntamente, la sociedad INSTITUTO TRIANGULO S.A. está recolectando información de naturaleza privada de los aspirantes y estudiantes sin contar con su autorización previa y expresa, adicionalmente sin informar las finalidades para las cuales será utilizada su información personal. 2.2.

Se efectuó la recepción de la declaración de la señora xxxxxxxxxxxxxxx, Secretaria Académica de la sociedad INSTITUTO TRIANGULO S.A., respecto a la atención de las PQRS indicó que estas se registran a través de un formato que se tiene dispuesto en cada sede para tal fin y que las quejas allegadas a través de la página web se direccionan al correo electrónico y desde las secretarías se diligencian las solicitudes en formatos para su trazabilidad.

Respecto al término de atención de las PQRS indicó que estas se atienden dependiendo de su complejidad y en consideración al proceso que se deba aplicar. Se observó que la sociedad INSTITUTO TRIANGULO S.A. en la fecha en que se adelantó la visita de inspección no contaba con: i) un manual de políticas o procedimientos internos documentados para la atención de quejas y reclamos y; ii) con un manual de procedimientos HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” utilizado para la recolección, almacenamiento, uso, circulación y supresión de información, en donde se describan las finalidades para las cuales la información es recolectada. 2.3.

En recepción de la declaración de la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxxx, Jefe de Talento Humano de la sociedad INSTITUTO TRIANGULO S.A., respecto a la recolección de la información de empleados, manifestó que al presentarse una contratación se hace un archivo de la hoja de vida y sus documentos; frente a los aspirantes no seleccionados para contratación, indicó que esta información no se destruye y se archiva en un folder AZ en el archivo de hojas de vida no seleccionadas.

Durante este proceso expresó no solicitar autorización para el Tratamiento de datos, solo en el caso de la contratación se solicita la autorización. Se encontró que el establecimiento aloja los archivos académicos de sus estudiantes de forma física o archivada en AZ en donde reposa documentación de las personas que se encuentran cursando los programas actuales, frente a los cuales se evidenciaron deficiencias relacionadas con el almacenamiento de la información. 2.4.

En la inspección realizada se encontró que la sociedad INSTITUTO TRIANGULO S.A. cuenta con un sistema de video vigilancia, el cual es manejado por empleados de la institución educativa y está compuesto por diez (10) cámaras ubicadas por las áreas del Instituto, mediante el cual recolecta datos personales de naturaleza privada dentro de las instalaciones de la institución sin cumplir con el deber de solicitar la autorización previa para la recolección y tratamiento de la información, no se informa a los Titulares acerca de las finalidades del Tratamiento y no cuentan con el aviso de privacidad para informar a los Titulares que están siendo vigilados a través de un sistema de Video-Vigilancia. 2.5.

El señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, Desarrollador Web (Webmaster) de la página del Instituto, tras la búsqueda de la política de tratamiento de datos en la página web, señaló no haberla encontrado, que dicha política no estaba publicada en la página web; indicó además que el vínculo para acceder al “manual de convivencia” en la página web se encuentra desactualizado.

Frente a la solicitud de autorización para el tratamiento de datos, manifestó que cambiaron el formato antiguo y que ahora con el Wordpress olvidaron pedir la autorización y que no cuentan con manual de seguridad de acceso a la información. Adicionalmente, en el curso de la declaración se tuvo conocimiento sobre la ocurrencia de un incidente de seguridad presentado en los últimos tres años, el cual no fue reportado debidamente a esta Superintendencia puesto que desconocía que tenía el deber de hacerlo. 2.6.

Frente al Registro Nacional de Bases de Datos, el Despacho encontró que la sociedad INSTITUTO TRIANGULO S.A. no ha cumplido con el deber de realizar dicho registro. En conclusión, se estableció que el INSTITUTO TRIANGULO S.A. recolecta información de naturaleza privada y en desarrollo de la visita se pudo concluir que dicha actividad se lleva a cabo, presuntamente, sin el cumplimiento de los requisitos mínimos establecidos en la Ley 1581 de 2012.

TERCERO: Que, a partir de las averiguaciones preliminares adelantadas por esta Dirección en especial en la visita administrativa, se determinó que la sociedad INSTITUTO TRIANGULO S.A. actúa en condición de Responsable del Tratamiento, pues es quien decide sobre las finalidades a las que será sometida la información recolectada y almacenada en sus bases de datos.

CUARTO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: (i) el literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y los artículos 2.2.2.25.2.3 y 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015;

(ii) el literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; (iii) el literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012 y;

(iv) el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 25 ibídem y el Decreto 090 de 2018, se inició la presente investigación administrativa mediante la expedición de la Resolución No. 34664 del 2 de julio de 2020, por medio de la cual se formularon CUATRO (4) cargos a la sociedad INSTITUTO TRIANGULO S.A., identificada con NIT 800.002.695-1.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

QUINTO: Que el representante legal de la sociedad INSTITUTO TRIANGULO S.A. dio respuesta a la formulación de cargos de la Resolución No. 34664 de 2020 mediante la comunicación con radicado 19-120638-000101 del 11 de agosto de 2020 en la que señaló: 5.1. Respecto de la solicitud de autorización: “Acorde a los lineamientos el INSTITUTO TRIANGULO S.A., ha venido solicitando a los estudiantes titulares de cada ficha de matrícula su autorización para la recolección de datos personales, dicha autorización esta implementada en la misma ficha de matrícula donde se le indica al estudiante su debida autorización. ❖ El Instituto Triangulo por prestar un servicio educativo debe cumplir con la normatividad académica y lineamientos que exige los procesos de registro e inscripción de estudiantes, vigilado y supervisado por la SED. Por lo que se debe llevar una ficha de matrícula debidamente diligenciada y firmada por el titular de la misma, Decretos 114, 2888, 4904 y todo lo expuesto en la LEY 115, en lo que corresponde con esta situación de registro y ficha de matrícula. ❖ Durante este proceso la secretaria una vez el estudiante termina de diligenciar dicho formato de inscripción y matricula le ratifica de manera verbal que si leyó y registro de manera consiente los datos solicitados. ❖ Igualmente, la secretaria le muestra la nota que se tiene pegado en la ventanilla con la mención del decreto y la autorización”. 5.2.

En cuanto al procedimiento de autorización de Tratamiento de datos personales: “El instituto Triangulo, cuenta con un archivo físico el cual es administrado bajo acta de nombramiento a la Secretaria Académica, quien es la única autorizada para su control, organización y acceso, las fichas y gestión de documental se encuentra en AZ, debidamente organizada.

Por programas. - Es de aclarar que a medida que se exigen lo controles por parte de los entes de control. Por lo que lleva los libros de matrícula según los lineamientos y que exige la academia. - Por otro lado, a medida que los medios y la tecnología lo permite el Instituto Triangulo se ha preocupado por mejorar dicho procedimiento, por lo que hoy indica se han definido el registro y control documental en una plataforma que cuanta igualmente con los controles claves y permisos de usuarios acorde a su nivel su rol y tipos de usuarios los cuales según las condiciones anteriores podrá solo acceder a determinados procedimientos de consulta”. 5.3.

En relación con la seguridad en las instalaciones: “Para garantizar la seguridad y tranquilidad institucional la institución implemento desde finales del primer semestre del año 2019, un sistema que ayude a la vigilancia y seguridad de todo el personal tanto administrativo y académico, para lo cual se ubicaron 10 cámaras en lugares y sitios públicos así: - La recepción - Entrada al edificio - Escales de acceso publico (sic) - Pasillo y recorridos lagos - En la tesorería y caja a. Se cuenta con los avisos básicos en cartelera y la recepción como lo exige la SED, que toda información debe estar en sitios públicos y visibles por nuestro principal actor que es el estudiante”. 1 El escrito de descargos obra en el expediente digital, en el radicado 19-120638-00010, página 15.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” 5.4. En materia de seguridad informática e incidentes de seguridad: “Como cualquier institución cuenta con una persona encargada para el control y administración de nuestra página y plataformas las cuales tal y como se le explico (sic) al funcionario delegado de la Súper Intendencias (sic)nos encontrábamos en proceso de actualización. - Es de aclarar que la institución no aplica para implementar un sistema de gestión de seguridad informática, que El Instituto Triangulo ha implementado y acatado los requerimientos pertinentes como lo exige la norma para salvaguardar el uso y tratamiento de datos.

Adicionalmente, en el curso de la declaración se tuvo conocimiento sobre la ocurrencia de un incidente de seguridad presentado en los últimos tres años, el cual no fue reportado debidamente a esta Superintendencia puesto que desconocía que tenía el deber de hacerlo. R: / WEB MASTER: El incidente presentado no fue relacionado con Instituto Triángulo, se asoció al grupo al que pertenece la Institución, bajo el nombre escuelaintegral.edu.co.

En el momento de la revisión el entrevistado, no conocía el incidente ya que nunca se presentó en el Instituto Triángulo, se presentó sobre un proceso adicional, y se envió soporte a través del correo 04 de Junio de 2019, a la dirección: c.yabril@sic.gov.co (…)”. 5.5. Respecto de la autorización, otorgada por quienes se vinculan en planta administrativa o académica, para el Tratamiento de la información: “El Instituto Triangulo dando cumplimiento a la normatividad que desde lo académico exige llevar un registro debidamente diligenciado bajo la plena autorización de los autores que presentan registro de vinculación académica o administrativa. - La institución siempre y en cualquier caso de manera físico o digital se les ha pedido su consentimiento y autorización para el Tratamiento de Datos, a cada uno de las personas para tales fines tal y como se ha evidencia en los diferentes oficios documentales que se han aportado como insumo para dar claridad. - Por otro lado, el Instituto Triangulo es una Institución educativa que debe cumplir con la normatividad que exige los decretos y leyes que rigen este sector académico en cabeza del ministerio de educación a través de sus SED Secretarias de Educación Distrital, que como siempre respeta y se alinea a dichos entes de control, en el marco del cumplimiento para la prestación del servicio”. 5.6.

Específicamente, sobre el primer cargo: “Para este punto el Instituto Triangulo, como ya se indicó en literales anteriores, un archivo y copia de las fichas de matrícula con la firma y autorización - Que en su proceso de mejora continua en la nueva plataforma que se implementó para finales del año 2019, se informa y registra la autorización para el tratamiento de datos.

Anexo 6: Pantallazos del registro informe y autorización. R: / Es de aclarar que el Instituto evidencia en la ficha de matrícula solicitó y cuenta con la debida autorización tal y como se puede observar en la misma. - Por otro lado, se aclara que en las carteleras y en la ventanilla de la recepción se presenta y muestra la norma y para el tratamiento y uso de datos. - Que con el debido proceso y como lo exige la academia se encuentra en el manual de convivencia, debidamente registrado el cual está en la página que es de acceso público - Que al instante de su matrícula la secretaria le aclara y le pregunta solicitando su respectiva autorización y permiso para el uso y tratamiento de datos”. 5.7.

En particular, respecto del segundo cargo: “Durante el proceso de matrícula, los estudiantes son informados, de todo el proceso académico que lleva el uso y tratamiento de datos en las diferentes etapas de su permanencia en la Institución y fuera de ésta: definidos en el formato de autorización: ANEXO 10. FOR-IT-CM-01 FORMATO DE AUTORIZACION DE TRATAMIENTO PARA HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” PROTECCION DE DATOS PERSONALES, donde se resalta el siguiente ítem de cumplimiento: 1.

El Instituto Triangulo actuará como responsable del Tratamiento de datos personales de los cuales soy titular y que, conjunta o separadamente podrá recolectar, usar y tratar mis datos personales conforme a la Política de Tratamiento de Datos Personales. 2. Que me ha sido informada la finalidad de la recolección de los datos personales, la cual consiste en: • Estudiantes: Validar la información del estudiante, padre de familia o acudiente del Instituto Triangulo, para adelantar las acciones de matrícula, magnetización, cargue de información a los programas institucionales, certificaciones, notas, practica laboral, base de datos egresados, cobro y recuperación de cartera”. 5.8.

En cuanto al tercer cargo: “Para dar cumplimiento a este requisito se ha definido en el procedimiento: ANEXO 10. FORIT-CM-01 FORMATO DE AUTORIZACION DE TRATAMIENTO PARA PROTECCION DE DATOS PERSONALES: numeral:

5.11. PROCESO DE CONSULTA. Además, cuenta con un Instructivo ANEXO. 11 INS-IT-MN-01 INSTRUCTIVO MANEJO DE LA INFORMACIÓN, para salvaguardar toda la información administrativa. Así mismo la consulta de los documentos se hace a través del 9 proceso de Gestión Documental que se ha ido implementando en la Institución. R/: El Instituto Triángulo dando cumplimiento a los requisitos por parte de la Secretaría de Educación, debe solicitar documentos de ingreso a los estudiantes con el fin de realizar el proceso de matrícula, estos documentos son archivados por parte del personal del área de secretaría académica, en AZ, correctamente identificadas, en cuanto a todo lo concerniente a historia de notas, estas se manejan a través del Q10 o software en la nube que apoya la gestión académica, administrativa, donde se almacena toda la información, escaneada de los documentos respectivos, así mismo las notas y los seguimientos respectivos, para lo cual el proveedor cuenta con una política de tratamiento de datos, así mismo el acceso solo al personal de secretaría. ANEXO. 12.

Sin embargo cabe resaltar que los documentos académicos propios del proceso, son almacenados en el Drive del SGC, el cual tiene acceso limitado solo para los líderes de proceso, y el cual no se comparte para todo el personal, como parte de las evidencias en el momento de auditorías realizadas por entes de control. En cuanto a lo que se menciona sobre el área de Talento Humano, en el almacenamiento de las hojas de vida de los aspirantes a cargos, estos archivos se encuentran correctamente almacenados por nombre o dependencia del área contratante, restringido su acceso, ya que se encuentra ubicado en el área del proceso.

El uso de las páginas para consultar redes sociales, no se tiene bloqueado, ya que es una de las estrategias de mercadeo que utiliza el Instituto, así mismo se resuelven dudas de los posibles aspirantes a los diferentes programas que ofrece la Institución, pero si se controla que el acceso se haga a través de la cuenta creada para la Institución. Se ha trabajado sobre la sensibilización del personal, en el uso adecuado de estos medios.

Los puertos USB, tampoco se pueden bloquear ya que para las revisiones que se hacen por parte de otros entes con los que se tienen convenios académicos, es indispensable la inserción de unidades extraíbles, para lo que la Institución ha definido la implementación de un antivirus que realiza el escaneo de las unidades que se insertan en los equipos, y todo esto es previa autorización del líder de soporte técnico.

Se refleja en el ANEXO. 11 INSITMN-01 INSTRUCTIVO MANEJO DE LA INFORMACIÓN”. 5.9. Sobre el cuarto cargo: “Dando cumplimiento a lo definido en el ‘Manual de Usurario del Registro Nacional de Bases de Datos – RNBD’ se ha realizado el Registro de las bases de Datos, no obstante en determinado momento hubo una confusión sobre la correcta interpretación de los lineamientos definidos para tal fin por parte de los responsables del proceso, donde no era claro el registro de las bases de datos de la Institución, sin embargo la Institución ha seguido de manera responsable toda la información registrada en este manual que suministra la SEXTO: Que este Despacho profirió la Resolución No. 74575 del 23 de noviembre de 2020, mediante la cual se incorporaron las pruebas obrantes en el expediente 19-120638 en los radicados HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” 19-120638-00000 al 19-120638-00010, con el valor probatorio que les corresponda, así como decretó de oficio las siguientes pruebas: “• La Sociedad INSTITUTO TRIÁNGULO S.A. deberá aportar copia de la política de tratamiento de datos personales y el correspondiente soporte que asegure la integridad de la prueba de la misma. • La sociedad INSTITUTO TRIÁNGULO S.A. deberá aportar copia de manual de convivencia y copia del ‘formulario de matrícula’ que utiliza la Secretaria del Instituto dentro de los procesos de matrícula. • La sociedad INSTITUTO TRIÁNGULO S.A. deberá aportar cualquier medio probatorio que asegure la integridad de prueba de los enlaces que conducen dentro de la página web de la investigada, al manual de convivencia de la sociedad INSTITUTO TRIANGULO S.A. • La sociedad INSTITUTO TRIÁNGULO S.A. deberá aportar cualquier medio probatorio que asegure la integridad de prueba de los formularios disponibles en línea mediante los cuales se realiza el tratamiento de datos personales, en la página de la sociedad INSTITUTO TRIÁNGULO S.A. • La sociedad INSTITUTO TRIÁNGULO S.A. deberá aportar copia de autorización para tratamiento de datos personales de menores de edad debidamente firmada y el correspondiente soporte que asegure la integridad de la misma. • La sociedad INSTITUTO TRIÁNGULO S.A. deberá aportar copia del reporte del incidente de seguridad mencionado a folio 16 del Acta de visita de inspección bajo número de radicado 19-120638-2. • La sociedad INSTITUTO TRIÁNGULO S.A. deberá aportar copia del contrato suscrito entre la sociedad INSTITUTO TRIÁNGULO S.A. y el proveedor externo de soporte y servicio de la plataforma Q10. • La sociedad INSTITUTO TRIÁNGULO S.A. deberá aportar copia del contrato laboral o de prestación de servicios suscrito entre la sociedad INSTITUTO TRIÁNGULO S.A. y alguno de sus empleados, vigente al momento de la visita de inspección administrativa. •La sociedad INSTITUTO TRIÁNGULO S.A. deberá aportar copia de los certificados en materia de seguridad del proveedor externo de soporte y servicio de la plataforma Q10”.

SÉPTIMO: Que la investigada a través de las comunicaciones con radicados 19-120638-00014 del 7 de diciembre de 2020 y 19-120638-00015 del 9 de diciembre de 2020, presentó pruebas acorde con lo decretado en la Resolución No. 74575 de 2020.

OCTAVO: Que, mediante la comunicación con radicado 19-120638-00021 del 24 de agosto de 2021 se corrió traslado a la investigada para que presentara alegatos de conclusión, quien guardó silencio.

NOVENO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

DÉCIMO: Análisis del caso 10.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20112, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del Tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012. 2 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” (ii) De conformidad con los hechos y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de (i) el literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y los artículos 2.2.2.25.2.3 y 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015;

(ii) el literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; (iii) el literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012 y;

(iv) el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 25 ibídem y el Decreto 090 de 2018. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta las razones de hecho y de derecho aducidas por la investigada en el escrito de descargos, así como en el conjunto de pruebas allegadas al expediente. 10.2 Valoración probatoria y conclusiones A continuación, se realizará un análisis del cargo imputado a la investigada en la presente actuación, así como del acervo probatorio recaudado, para establecer si se presentó una infracción al Régimen de Protección de Datos Personales. 10.2.1 Respecto del deber solicitar y conservar la autorización previa, expresa e informada El artículo 15 de la Constitución Política establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base de datos Conforme con el principio de libertad consagrado en el literal c) del artículo 4 de la Ley 1581 de 2012, según el cual “[e]l Tratamiento solo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento (…)”, es claro que el Tratamiento de los datos personales solo puede ser autorizado voluntariamente por el Titular de estos para la finalidad específica. Sobre este principio, la Corte Constitucional en sentencia C-748 del 6 de octubre de 2011, por medio de la cual realizó el estudio de constitucionalidad del proyecto de ley estatutaria que posteriormente se convirtió en la Ley 1581 de 2012, señaló lo siguiente: “Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su ‘imagen informática’”.

(Se subraya fuera de texto) Este principio es desarrollado, entre otros, por el artículo 9 y el literal b) del artículo 17 de la Ley 1581 de 2012. El primero de ellos señala que “[s]in perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior”.

En el segundo se expresa que es deber de los Responsables del Tratamiento “[s]olicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Así, en virtud del principio de libertad, citado líneas atrás, el legislador impuso a los Responsables del Tratamiento de datos personales la exigencia de requerir la autorización previa, expresa e informada del Titular, consagrada en el artículo 9 de la Ley 1581 de 2012 y, además, el deber de solicitar y conservar copia de la autorización de Tratamiento otorgado por el mismo, dispuesto en el literal b) del artículo 17 del mismo compendio normativo.

Al respecto, la Corte Constitucional mediante la sentencia C-748 de 2011 expresó: “En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación: (i) Solicitar y conservar la autorización para el tratamiento del dato –en los términos descritos previamente, lo que se ajusta plenamente al principio de libertad y consentimiento expreso del titular del dato ( )”. También, vale la pena precisar que en sentencia T-987 de 2012, la Sala Novena de Revisión de la Corte Constitucional señaló: “La autorización será compatible con el derecho de hábeas data cuando la misma es idóneas para garantizar las facultades de conocimiento, actualización y rectificación, al igual que la cláusula general de libertad.

Esto significa que sujeto concernido manifiesta su consentimiento de tratamiento del dato (i) para que sea consignado en una base o registro de datos particular e identificable; y (ii) para unas finalidades y usos que son expresos y puestos a consideración del Titular del dato, como condición previa para el otorgamiento de la autorización. Este requisito, por ende, implica que son violatorias del derecho de hábeas data de aquellas formas de recopilación de información personal que sean secretas o que se fundamentan en desnaturalizar o falsear la voluntad del sujeto concernido para la incorporación del dato personal”.

Además de lo anterior, en el Decreto Único Reglamentario 1074 de 2015 se dispone lo siguiente: “Artículo 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales serán recolectados así como todas las finalidades específicas del Tratamiento para cuales se obtiene consentimiento.

Artículo 2.2.2.25.2.3. De la autorización para el tratamiento de datos personales sensibles. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.

Artículo 2.2.2.25.2.4. Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta.

Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (í) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca”.

Preliminarmente esta Dirección encontró que la investigada en la “ficha de inscripción y matrícula” o “formulario de matrícula” no solicita la autorización previa y expresa de los aspirantes y estudiantes para el Tratamiento de sus datos personales, siendo esta información de naturaleza privada de los Titulares. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Por su parte, la investigada en descargos3 expresó que en la ficha de matrícula, como se evidencia con las pruebas aportadas, obra la solicitud de autorización para el Tratamiento de los datos del aspirante, así como desde finales del 2019 en procura de la mejora continua se implementó una nueva plataforma que “(…) informa y registra la autorización para el tratamiento de datos”.

Adicionalmente, indicó que “(…) al instante de su matrícula la secretaria le aclara y le pregunta solicitando su respectiva autorización y permiso para el uso y tratamiento de datos”. En primer lugar, con el objeto de determinar si para la época de la visita administrativa, efectuada el 4 y 5 de junio de 2019 por parte de personal de la Superintendencia de Industria y Comercio en las instalaciones de la sociedad INSTITUTO TRIÁNGULO S.A., la investigada para la recolección de los datos personales en los formatos de “ficha de inscripción y matrícula” o “formulario de matrícula” de los aspirantes y estudiantes cumplía con el deber de solicitar su autorización previa y expresa, se efectúa la siguiente relación de evidencias obrantes en el acervo probatorio: (i) Declaraciones del señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, Director Administrativo de la sociedad INSTITUTO TRIÁNGULO S.A. “Personal SIC: ¿Cómo ustedes difunden esa política? ¿A través de qué canales o de qué medios? Director: los medios se informan a través de la página que tenemos de internet, dirección www.institutotriangulo.edu.co.

Personal SIC: ¿Algún otro medio para difundir esos…? Director: y la socialización en los inicios de la matrícula de cada estudiante (…) Personal SIC: ¿Ustedes le dan a conocer a los Titulares de la información esta política? ¿Les hacen firmar un formato o algo de que les están dando a conocer la política? Director: dentro del manual de convivencia se establecen los derechos y obligaciones de parte y parte.

Personal SIC: ¿Y ahí está especificado…? Director: asimismo los derechos en materia de datos de cada estudiante. (…) Personal SIC: ¿Ustedes solicitan y conservan las autorizaciones de Tratamiento de datos personales de los Titulares? Director: ¿Bajo qué documento o bajo qué? Personal SIC: la ley establece una obligación de que ustedes deben solicitar de forma previa la autorización para el Tratamiento de datos personales.

¿Sí? Esto es que el Titular le otorga a ustedes la facultad de que ustedes puedan tratar… Director: la ficha de matrícula, ahí está. (…) Personal SIC: ¿En la autorización ustedes informan para que solicitan esa autorización? ¿Para qué recolectan la información de los Titulares? Director: Bueno, como te dije inicialmente, la socialización se hace a través de redes sociales.

En la página y en nuestros medios de comunicación externos. No se coloca un aviso de privacidad explícito de datos, no se ha colocado. (…) Se establece que no se entregará información a ningún tercero a menos que sea por orden judicial. (…). Personal SIC: ¿Y, asimismo, ustedes informan a los Titulares para que recolectan la información? 3 Expediente digital, radicado 19-120638-00010, página 15.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Director: no, vuelvo y te digo, se les define que la información se utiliza para el manejo académico. Personal SIC: Entonces para temas académicos. ¿Eso se le informa en la autorización? Director: se establece en el Manual de Convivencia que es para el tema meramente académico.

(…) Personal SIC: ¿Procedimiento de cómo entra la información y qué circulación se le da dentro de la institución? Director: una vez que el estudiante se entera de nuestra publicidad, pues efectivamente se acerca a solicitar información y está interesado, lo convence la prestación del servicio que le estamos ofreciendo, se registra bajo un documento que se llama ‘ficha de matrícula’.

Esa ‘ficha de matrícula’ es diligenciada por el estudiante, autorizando el Tratamiento de los datos, lo firma, anexando los documentos que básicamente es el documento de identidad y los certificados de estudio”4. (Se subraya) (ii) Declaraciones de la señora xxxxxxxxxxxxxxxx, Secretaria Académica del INSTITUTO TRIÁNGULO S.A. “Personal SIC: cuéntenos Mónica, un poquito, cómo es el proceso en sí como tal desde que llega el estudiante (…), trae su documentación, usted la recepciona.

Por favor. Secretaria Académica: claro que sí. Recepcionamos la documentación para inscripción, ehhh, partiendo del documento de identidad, soportes académicos, ehhh, fotografías, soportes de EPS, SISBEN, y esto va adjunto a la ficha de matrícula, el cual el estudiante firma y encarpeta por proceso, por ciclo. Personal SIC: en términos generales en ese formulario, ¿qué información solicita? Secretaria Académica: la información del formulario, bueno. La información personal del estudiante, dirección, teléfono, correo electrónico, se suministra en este caso, también, antecedentes académicos que hayan hecho algún proceso académico con otra institución (….).

Se registra también el proceso, el programa que es de interés del estudiante (…)”5. (Se subraya) (iii) Entre el minuto 8:25 a 8:43 del video tomado el 4 de junio de 2019 en la inspección ocular 6 a la página web de la investigada, www.institutotriangulo.edu.co, se visualiza que cuando se oprimió el link para acceder a la “ficha de inscripción y matrícula” se direccionó a una página web cuyo contenido es el siguiente: Imagen 1.

Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638. Luego de ello, se visualiza en el video que cuando se hizo clic sobre el link de “Nuevo Formulario” que se observa en la imagen anterior, se accedió a la “ficha de inscripción y matrícula”, cuyo contenido es el siguiente: 4 Entrevista obrante en medio magnético (en formato Blue-ray) del expediente físico 19-120638. 5 Ibídem. 6 Ibídem.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Imagen 2. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638. Imagen 3. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638. Imagen 4. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Imagen 5. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638. Imagen 6. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638. (iv) Modelo de “ficha de inscripción y matrícula” diligenciado de un aspirante al COLEGIO TRÁNGULO, aportado por la investigada por requerimiento en la visita administrativa llevada a cabo el 4 y 5 de junio de 2019.

A continuación, se insertan imágenes de dicho modelo diligenciado el 5 de junio de 2019, a saber: Imagen 7. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Imagen 8. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638.

Imagen 9. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638. Imagen 10. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Imagen 11. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638.

Imagen 12. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638. (v) Modelo de “ficha de inscripción y matrícula” diligenciado de un aspirante al INSTITUTO TRIÁNGULO, aportado por la investigada por requerimiento en la visita administrativa llevada a cabo el 4 y 5 de junio de 2019. A continuación, se insertan imágenes de uno de ellos, fechado del 5 de junio de 2019, a saber: Imagen 13.

Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Imagen 14. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638. Imagen 15. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638.

Imagen 16. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638. Imagen 17. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Imagen 18. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638.

(vi) Modelo de “ficha de inscripción y matrícula” diligenciado, aportados por la investigada por requerimiento en la visita administrativa, de la aspirante xxxxxxxxxxxxxxxxxxxxxxxxx7, en la cual, además de los datos personales consignados en dicha ficha por la Titular, se encuentran anexos unos documentos diligenciados por un médico general por consulta externa especializada ante Capital Salud EPS Régimen Subsidiado S.A.S. visualizándose información médica sobre su estado de salud, diagnóstico médico y plan de manejo del diagnóstico de la Titular.

Ahora bien, previo a la exposición del análisis del acervo probatorio, es preciso aclarar que la sociedad INSTITUTO TRIÁNGULO S.A. tiene por objeto social, entre otros, “la prestación de servicios de educación en cualquier modalidad” 8, para lo cual cuenta con establecimientos de comercio para (i) la formación para el trabajo, dentro de los cuales se encuentra el INSTITUTO TRIÁNGULO SEDE CHAPINERO en cuya sede se llevó a cabo la visita administrativa del 4 y 5 de junio de 2019 y;

(ii) los estudios en primera y bachillerato, dentro de los que se encuentran el COLEGIO TRIÁNGULO – ZIPAQUIRÁ. Esta aclaración se efectúa en consideración a que la investigada aportó evidencias tanto de dicho Instituto como de tal Colegio y es necesario comprender este aspecto, a fin de la exposición, en lo pertinente, que se realiza respecto de este cargo como de los subsiguientes.

De acuerdo con el análisis integral de las pruebas obrantes en el expediente, dentro de las cuales se encuentran las evidencias relacionadas anteriormente, este Despacho halla que el Director Administrativo de la sociedad INSTITUTO TRIÁNGULO S.A. informó que en la “ficha de inscripción y matrícula” los aspirantes y estudiantes autorizan el Tratamiento de los datos personales que son consignados en este documento; no obstante, esta Dirección evidencia que en los formatos de “ficha de inscripción y matrícula” obtenidos de la inspección ocular y aportados por la investigada por requerimiento de esta entidad en la visita administrativa del 4 y 5 de junio de 2019, la sociedad INSTITUTO TRIÁNGULO S.A. no solicitaba, para la fecha de la citada visita, la autorización previa y expresa de los aspirantes a estudiantes para el Tratamiento de sus datos personales, en consideración a que: (i) En las imágenes 2 a 6 y 13 a 18, correspondientes al formulario de “ficha de inscripción y matrícula” del INSTITUTO TRIÁNGULO la única mención relacionada con el deber a cargo de la investigada previsto en el literal b) del artículo 17 de la Ley 1581 de 2012 se encuentra en el título de Observaciones, al consignarse que “5.

Autorizamos la microfilmación o grabación de los documentos entregados y su posterior destrucción”, respecto a lo cual este Despacho manifiesta que: • Dicho numeral 5 solo indica que se solicita autorización al Titular para el Tratamiento de los documentos que van anexos a la ficha y en todo caso, dicha solicitud para el Tratamiento de los anexos no da lugar a que haya una autorización real y efectiva del Titular para el Tratamiento de sus datos personales, por cuanto no tiene la opción de seleccionar si da su consentimiento o no para la microfilmación o grabación y destrucción 7 Carpeta de la Titular obrante en medio magnético (en formato Blue-ray) en el expediente físico 19-120638. 8 De acuerdo con consulta realizada en el Registro Único Empresarial y Social – RUES.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” de los documentos adjuntos a la “ficha de inscripción y matrícula”, por ejemplo, a través de un recuadro en el que pueda seleccionar si autoriza. • (ii) No obra solicitud de autorización para el Tratamiento de los datos personales que el Titular diligencia en la “ficha de inscripción y matrícula”.

En las imágenes 7 a 12, correspondientes al formulario de “ficha de inscripción y matrícula” del COLEGIO TRIÁNGULO, se evidencia que lo único referente al deber de solicitar la autorización previa y expresa del Titular por parte de la investigada se encuentra en el título de Observaciones, subtítulo de Importante, al señalar que “Autorizo la microfilmación o grabación de los documentos entregados y la posterior destrucción de los originales”.

Nótese, que al igual que con las imágenes 2 a 6 y 13 a 18, con la “ficha de inscripción y matrícula” del COLEGIO TRIÁNGULO no se solicita de forma efectiva y real la autorización del Titular, por cuanto no tiene la opción de manifestar su voluntad seleccionando si consiente o no la grabación o microfilmación y destrucción de los documentos allegados, y la investigada no solicita la autorización previa y expresa respecto de los datos que han sido diligenciados por el Titular en el documento de “ficha de inscripción y matrícula”.

Aunado con lo anterior, es preciso señalar que la investigada no solo no solicitó autorización previa y expresa para el Tratamiento de datos de naturaleza privada y semiprivada, como se visualiza en las imágenes 2 a 18, sino que también somete a Tratamiento datos sensibles 9, ya que, como se describió en el numeral (vi), en la carpeta de la aspirante xxxxxxxxxxxxxxxxxxxxxxxxxx se encuentra que la investigada recolectó información sobre su estado de salud y de orden médico sin el consentimiento previo y expreso de la Titular y sin encontrarse dentro de alguna de las excepciones previstas en el artículo 6 de la Ley 1581 de 201210.

Téngase en cuenta que el artículo 6 de la Ley 1581 de 2012 proscribió el tratamiento de datos sensibles salvo en los casos allí taxativamente señalados. Esta restricción obedece a que el uso o circulación indebida de esta información puede ocasionar la afectación de la intimidad del Titular o generar discriminación por parte de terceros causando una intromisión en la “esfera o espacio de vida privada no susceptible de la interferencia arbitraria de las demás personas, que al ser considerado un elemento esencial del ser, se concreta en el derecho a poder actuar libremente en la mencionada esfera o núcleo, en ejercicio de la libertad personal y familiar, sin más limitaciones que los derechos de los demás y el ordenamiento jurídico”11 y por tal motivo, este tipo de información personal ha sido clasificada como una categoría especial de datos concepto que jurídicamente conlleva el grado máximo de cuidado y diligencia en las actividades que involucren su Tratamiento y administración. De otra parte, la investigada señaló en descargos12 que “ha venido solicitando a los estudiantes titulares de cada ficha de matrícula su autorización para la recolección de datos personales, dicha 9 El artículo 5 de la Ley 1581 de 2012 define los datos sensibles en los siguientes términos: “Artículo 5°.

Datos sensibles. Para los propósitos de la presente ley, se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos”. 10 “Artículo 6°.

Tratamiento de datos sensibles. Se prohíbe el Tratamiento de datos sensibles, excepto cuando: a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización; b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado.

En estos eventos, los representantes legales deberán otorgar su autorización; c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad.

En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular; d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial; e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares”. 11 Corte Constitucional Sentencia C-1011 de 2008 MP.

Jaime Córdoba Triviño. 12 Obrante en el radicado 19-120638, página 15. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” autorización esta implementada en la misma ficha de matrícula donde se le indica al estudiante su debida autorización”, aportando un formato de “ficha de inscripción y matrícula” del INSTITUTO TRIÁNGULO fechado del 8 de agosto de 2020 en el cual se visualiza lo siguiente: Imagen 23.

Tomada del radicado 19-120638-00010, página 7. Esta Dirección evidencia en la anterior imagen que en la “ficha de inscripción y matrícula” fechada del 8 de agosto de 2020, al igual que en las obtenidas en la visita administrativa del 4 y 5 de junio de 2019 correspondientes a las imágenes 2 a 18, se consigna que “5. Autorizamos la microfilmación o grabación de los documentos entregados y su posterior destrucción” sin que el Titular tenga la opción de seleccionar o escoger si autoriza la microfilmación o grabación y destrucción de los documentos entregados con la citada ficha, por lo cual no hay una solicitud y otorgamiento de autorización previa y expresa en los términos de la Ley 1581 de 2012 y la normatividad que la complementa, así como tampoco se solicita al Titular autorización para el Tratamiento de los datos que consigna en la ficha.

A su turno, dentro de los descargos13 se encuentra el modelo de “FORMATO DE AUTORIZACIÓN DE TRATAMIENTO PARA PROTECCIÓN DE DATOS PERSONALES”, FOR-IT-CM-01, con el cual el Titular de la información al diligenciarlo otorga su consentimiento previo, expreso e informado a la sociedad INSTITUTO TRIÁNGULO S.A. para el Tratamiento de sus datos. Respecto a este formato, este Despacho advierte que (i) para el 4 y 5 de junio de 2019, fechas de realización de la visita administrativa, la investigada no contaba con este modelo para solicitar la autorización previa, expresa e informada de los Titulares y;

(ii) la investigada señala en descargos que la autorización la solicita con la “ficha de inscripción y matrícula”; no obstante, indica que aporta el antedicho modelo y el “PROCEDIMIENTO TRATAMIENTO Y PROTECCIÓN DE DATOS PERSONALES”, PRO-IT-CM02, versión 214, en el que se establece cómo se solicita la autorización, por lo cual se evidencia una contradicción en los argumentos expuestos por la investigada sobre la forma cómo obtiene la autorización previa, expresa e informada de los Titulares, para la fecha de presentación de descargos.

Conforme con lo expuesto, este Despacho encuentra demostrado el actuar negligente de la sociedad INSTITUTO TRIÁNGULO S.A. en el cumplimiento del deber previsto en el literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso 13 Ibídem. 14 Respecto a la autorización se establece lo siguiente en el “PROCEDIMIENTO TRATAMIENTO Y PROTECCIÓN DE DATOS PERSONALES”, PRO-IT-CM-02, versión 2: “5.4.

AUTORIZACIÓN PARA EL TRATAMIENTO DE DATOS PERSONALES La autorización para el tratamiento de datos personales será la regla general para la recolección y manejo de los mismos, esta deberá ser manifestada por el TITULAR a través de consentimiento expreso, libre e informado y por escrito. Para lo anterior, se aplicarán los siguientes formatos que podrán ser remitidos a través de correo electrónico corporativo o en documento físico de acuerdo a la necesidad: • Formato de autorización para el tratamiento de datos personales FOR-IT-CM-01.

Aviso de privacidad para el tratamiento de datos personales de visitantes: Aplicable en el área de recepción de las Sedes. Los formatos deberán diligenciarse de forma previa, para garantizar que el titular conoce toda la información relacionada con la finalidad para la cual serán recolectados los datos que suministre y los derechos enunciados en el numeral anterior, en cumplimiento de lo dispuesto en el artículo 7 del Decreto 1377 de 2013.

Cada autorización será almacenada por el responsable designado por área o proceso”. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” primero del artículo 2.2.2.25.2.2 y los artículos 2.2.2.25.2.3 y 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015, en consideración a que para la fecha de realización de la visita administrativa por parte de esta entidad, la investigada no solicitaba la autorización previa y expresa a los aspirantes a estudiantes en el formulario de “ficha de inscripción y matrícula” del INSTITUTO TRIÁNGULO y el COLEGIO TRIÁNGULO para el Tratamiento de sus datos personales.

Por ello, se impondrá una sanción de orden pecuniaria en virtud del literal a) del artículo 23 de la Ley 1581 de 2012. Adicionalmente, conforme a la facultad prevista en el literal e) del artículo 21 de la Ley 1582 de 2012, se impartirán unas órdenes administrativas tendientes a garantizar que previo al Tratamiento de los datos personales de los Titulares se cuente con su autorización previa y expresa. 10.2.2 Respecto del deber de informar las finalidades del Tratamiento El artículo 4 de la Ley 1581 de 2012, contempla los principios para el Tratamiento de datos personales, entre los cuales se encuentra en el literal b) el principio de finalidad que señala que “[e]l Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular”.

Sobre esto, la Honorable Corte Constitucional en sentencia C-748 de 2011, señaló que en virtud del principio de finalidad los datos personales deben ser procesados con un propósito específico y explícito, razón por la cual se impone el deber de informar clara, suficiente y previamente al Titular acerca de la finalidad de la información suministrada, prohibiendo así la recopilación de datos sin la especificación clara acerca de su finalidad.

El principio rector, que para el cargo objeto de análisis es el de finalidad, debe confluir en cuanto a su aplicación con los deberes y derechos contenidos en la Ley 1581 de 2012, específicamente para el cargo es relevante mencionar el deber consagrado en el literal c) del artículo 17 de informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten en virtud de la autorización. Adicionalmente, el artículo 12 de la misma Ley, señala que el responsable debe informar clara y expresamente al Titular: (i) el tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo;

(ii) el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; (iii) los derechos que le asisten como Titular y; (iv) la identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. A su turno, el artículo 2.2.2.25.2.2. del Decreto único Reglamentario 1074 de 2015 que: “Artículo 2.2.2.25.2.2.

Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales serán recolectados así como todas las finalidades específicas del Tratamiento para cuales se obtiene consentimiento.

En virtud de lo expuesto, es importante aclarar que el consentimiento es un elemento esencial en el manejo de la administración de los datos, y que el mismo debe ser calificado, por cuanto debe ser previo, expreso e informado, así pues, el Titular antes de expresar su consentimiento debe conocer las finalidades para las cuales serán tratados sus datos, con el fin de autorizar su conservación, uso y circulación según lo informado por el responsable del tratamiento, y así poder hacer uso de la libertad frente al poder informático y la autodeterminación informática.

En este mismo sentido, la Corte Constitucional señaló lo siguiente: “La libertad en la administración de datos personales significa que el sujeto concernido mantenga, en todo momento, las facultades de conocimiento, actualización y rectificación de la información personal contenida en las bases de datos. Si ello es así, es evidente que la libertad del individuo ante el poder informático se concreta, entre otros aspectos, en la posibilidad de controlar la información personal que sobre sí reposa en las bases de datos, competencia que está supeditada a que exprese su consentimiento para la incorporación de la información en el banco de datos o archivo correspondiente.

Este ejercicio de la libertad en los procesos informáticos, a juicio de la Corte, se concreta en la exigencia de autorización previa, expresa y suficiente por parte del titular de la información, requisito predicable de los actos de administración de datos personales de contenido comercial y crediticio. La eliminación del consentimiento del titular, adicionalmente, genera una desnaturalización del dato financiero, comercial y crediticio, que viola el derecho fundamental al hábeas data, en tanto restringe injustificadamente la autodeterminación del sujeto respecto de su información personal.

Para la Constitución, la libertad del sujeto concernido significa que la HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” administración de datos personales no pueda realizarse a sus espaldas, sino que debe tratarse de un proceso transparente, en que en todo momento y lugar pueda conocer en dónde está su información personal, para qué propósitos ha sido recolectada y qué mecanismos tiene a su disposición para su actualización y rectificación. La eliminación de la autorización previa, expresa y suficiente para la incorporación del dato en los archivos y bancos de datos administrados por los operadores permite, en últimas, la ejecución de actos ocultos de acopio, tratamiento y divulgación de información, operaciones del todo incompatibles con los derechos y garantías propios del hábeas data.”15 Preliminarmente, este Despacho evidenció que la sociedad INSTITUTO TRIANGULO S.A. no informa las finalidades del Tratamiento a los Titulares que realizan su inscripción como estudiantes en el “formulario de matrícula”, llevando presuntamente a que la investigada esté recolectando datos sin informar el Tratamiento al que serán sometidos y así posiblemente desconociendo lo previsto en el artículo 12 de la Ley 1581 de 2012.

Frente a la formulación de este cargo, la sociedad INSTITUTO TRIANGULO S.A. en descargos16 expresó: “Durante el proceso de matrícula, los estudiantes son informados, de todo el proceso académico que lleva el uso y tratamiento de datos en las diferentes etapas de su permanencia en la Institución y fuera de ésta: definidos en el formato de autorización: ANEXO 10.

FOR-IT-CM-01 FORMATO DE AUTORIZACION DE TRATAMIENTO PARA PROTECCION DE DATOS PERSONALES, donde se resalta el siguiente ítem de cumplimiento: 1. El Instituto Triangulo actuará como responsable del Tratamiento de datos personales de los cuales soy titular y que, conjunta o separadamente podrá recolectar, usar y tratar mis datos personales conforme a la Política de Tratamiento de Datos Personales. 2.

Que me ha sido informada la finalidad de la recolección de los datos personales, la cual consiste en: • Estudiantes: Validar la información del estudiante, padre de familia o acudiente del Instituto Triangulo, para adelantar las acciones de matrícula, magnetización, cargue de información a los programas institucionales, certificaciones, notas, practica laboral, base de datos egresados, cobro y recuperación de cartera”.

Ahora bien, tras examinarse la totalidad del acervo probatorio, este Despacho relaciona a continuación las evidencias que permiten concluir si para la fecha de la visita administrativa la sociedad INSTITUTO TRIÁNGULO S.A. informaba o no a los Titulares, que diligenciaban el formato de “ficha de inscripción y matrícula”, las finalidades del Tratamiento de sus datos, a saber: (i) Declaraciones del señor xxxxxxxxxxxxxxxxxxxxxxxxxxxxx, Director Administrativo de la sociedad INSTITUTO TRIÁNGULO S.A. “Personal SIC: ¿Cómo ustedes difunden esa política? ¿A través de qué canales o de qué medios? Director: los medios se informan a través de la página que tenemos de internet, dirección www.institutotriangulo.edu.co.

Personal SIC: ¿Algún otro medio para difundir esos…? Director: y la socialización en los inicios de la matrícula de cada estudiante (…) Personal SIC: ¿Ustedes le dan a conocer a los Titulares de la información esta política? ¿Les hacen firmar un formato o algo de que les están dando a conocer la política? Director: dentro del manual de convivencia se establecen los derechos y obligaciones de parte y parte.

Personal SIC: ¿Y ahí está especificado…? 15 Ver en: Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP. Jorge Ignacio Pretelt Chaljub. 16 Expediente digital, radicado 19-120638-00010, página 15. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Director: asimismo los derechos en materia de datos de cada estudiante.

(…) Personal SIC: ¿Ustedes solicitan y conservan las autorizaciones de Tratamiento de datos personales de los Titulares? Director: ¿Bajo qué documento o bajo qué? Personal SIC: la ley establece una obligación de que ustedes deben solicitar de forma previa la autorización para el Tratamiento de datos personales. ¿Sí? Esto es que el Titular le otorga a ustedes la facultad de que ustedes puedan tratar… Director: la ficha de matrícula, ahí está. (…) Personal SIC: ¿En la autorización ustedes informan para que solicitan esa autorización? ¿Para qué recolectan la información de los Titulares? Director: Bueno, como te dije inicialmente, la socialización se hace a través de redes sociales.

En la página y en nuestros medios de comunicación externos. No se coloca un aviso de privacidad explícito de datos, no se ha colocado. (…) Se establece que no se entregará información a ningún tercero a menos que sea por orden judicial. (…). Personal SIC: ¿Y, asimismo, ustedes informan a los Titulares para que recolectan la información? Director: no, vuelvo y te digo, se les define que la información se utiliza para el manejo académico.

Personal SIC: Entonces para temas académicos. ¿Eso se le informa en la autorización? Director: se establece en el Manual de Convivencia que es para el tema meramente académico. (…) Personal SIC: ¿Procedimiento de cómo entra la información y qué circulación se le da dentro de la institución? Director: una vez que el estudiante se entera de nuestra publicidad, pues efectivamente se acerca a solicitar información y está interesado, lo convence la prestación del servicio que le estamos ofreciendo, se registra bajo un documento que se llama ‘ficha de matrícula’.

Esa ‘ficha de matrícula’ es diligenciada por el estudiante, autorizando el Tratamiento de los datos, lo firma, anexando los documentos que básicamente es el documento de identidad y los certificados de estudio”17. (Se subraya) (ii) Declaraciones del señor xxxxxxxxxxxxxxxxxxxxxxxxxxxx, encargado de Webmaster, Desarrollador, Administrador de Publicidad Digital del INSTITUTO TRIÁNGULO S.A. “Personal SIC: El ingeniero esta mañana nos refería también a los manuales de convivencia; sin embargo, cuando revisamos acá en el manual en “QUIENES SOMOS” pues no nos lo deja cargar y no sabemos qué es lo que pasa.

Aparece este error. Webmaster: ahhh, sí. Entonces, está desactualizada. Personal SIC: ¿Por qué no nos aparece? Digamos que esta es la manera como ustedes difunden a la comunidad como tal, a la ciudadanía, todo lo relacionado a la Política de Tratamiento de la Información. Al no evidenciarla acá, como el canal más próximo para que la gente conozca esta información quedamos como un poquitico sin información. ( ) Otra pregunta es este link, acá donde dice sales habeas data y nos relaciona un link.

Este link también ingresamos y no nos deja. Webmaster: sí, seguro está desactualizado el enlace. 17 Entrevista obrante en medio magnético (en formato Blue-ray) del expediente físico 19-120638. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Personal SIC: no está actualizada. Y, ¿qué se supone que estaba (…)? Webmaster: las políticas, hay un modelo de políticas que se dan referencia a nivel institucional Personal SIC: aparte de este link que en la página claramente no lo vemos, ¿hay algún otro medio para que podamos acceder a esta política? Webmaster: ¿Al texto de las políticas? Personal SIC: sí. Webmaster: pues nosotros como somos de la parte de la Universidad San José utilizamos el mismo modelo de ellos.

¿No sé si eso puede ser? (…)”18. (iii) Entre el minuto 5:20 a 5:45 del video tomado el 4 de junio de 2019 en la inspección ocular 19 a la página web de la investigada, www.institutotriangulo.edu.co, se visualiza que cuando se oprimió el link Manual de Convivencia se generó error y no se direccionó al documento de Manual de Convivencia. (iv) Entre el minuto 2:13 a 2:28 del video tomado el 5 de junio de 2019 en la inspección ocular, el Manual de Convivencia de la investigada se visualiza en la página www.institutotriangulo.edu.co.

(v) Entre el minuto 8:25 a 8:43 del video tomado el 4 de junio de 2019 en la inspección ocular 20 a la página web de la investigada, www.institutotriangulo.edu.co, se visualiza que cuando se oprimió el enlace para acceder a la “ficha de inscripción y matrícula” se direccionó a una página web cuyo contenido era el siguiente: Imagen 24. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638.

Luego de ello, se visualiza en el video que cuando se hizo clic sobre el enlace de “Nuevo Formulario” que se observa en la imagen anterior, se accedió a la “ficha de inscripción y matrícula”, del cual se extrae la siguiente imagen: 18 Ibídem. 19 Este video obra en medio magnético (en formato Blue-ray) en el expediente físico 19-120638. 20 Ibídem.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Imagen 25. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638. (vi) Formulario de “ficha de inscripción y matrícula” diligenciado de un aspirante al COLEGIO TRÁNGULO, aportado por la investigada por requerimiento en la visita administrativa llevada a cabo el 5 y 6 de junio de 2019.

A continuación, dos imágenes de la última página del formulario diligenciado el 5 de junio de 2019, a saber: Imagen 26. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638. Imagen 27. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638. (vii) Formulario de “ficha de inscripción y matrícula” diligenciado, de un aspirante al INSTITUTO TRIÁNGULO, aportado por la investigada por requerimiento en la visita administrativa llevada a cabo el 4 y 5 de junio de 2019.

A continuación, una imagen del formulario diligenciado y fechado del 5 de junio de 2019: HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Imagen 28. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638. (viii) Formato de “ficha de inscripción y matrícula” diligenciado, aportado por la investigada por requerimiento en la visita administrativa llevada a cabo el 5 y 6 de junio de 2019, de la aspirante xxxxxxxxxxxxxxxxxxxxxxxxxxx 21, en la cual, además de los datos personales consignados en dicha ficha por la Titular, se encuentran anexos unos documentos diligenciados por un médico general por consulta externa especializada ante Capital Salud EPS Régimen Subsidiado S.A.S. visualizándose información médica sobre el estado de salud, diagnóstico médico y plan de manejo del diagnóstico de la Titular.

(ix) El 16 de junio de 2020 a través de la comunicación con radicado 19-120638-00003 un funcionario de esta Superintendencia radicó el informe de la visita de inspección llevada a cabo en las instalaciones del INSTITUTO TRIÁNGULO S.A. el 4 y 5 de junio de 2019, en el cual, entre otros aspectos, se consigna lo siguiente: “Dentro de las casillas del formulario tambien se encuentra una espacio reservado para el establecimiento donde diligencian observaciones de la entrevista realizada por la institucion al aspirante y un espacion con observaciones donde se estipulan obligaciones para los acudientes, compromisos de los estudiantes, prohibiciones y un listado de documentos que el aspirante debe allegar para la formalizacion de la matricula, dentro del cual se encuentra un el link https://bit.ly/2WqwycG: Imagen 5 Tomada del soporte allegado por el Instituto Triángulo Al ingresar en el buscador o barra de direcciones este link https://bit.ly/2WqwycG redirecciona inmediatamente a la politica de tratamiento de datos personales del Instituto Triangulo S.A., https://institutotriangulo.edu.co/newsite/politica-de-tratamiento-de-datospersonales/, donde se encuentra la explicada la política del tratamiento de datos, la finalidad del tratamiento de datos, derechos del titular de los datos personales y la forma de ejercerlos, información sobre el almacenamiento, modificaciones a la política de tratamiento de datos por parte de la institución, vigencia de la política de tratamiento de datos y canales de atención de consultas y reclamos”.

(x) En el Manual de Convivencia del INSTITUTO TRIÁNGULO, CÓDIGO: MN-AC-02, VERSIÓN: 01, aportado por la investigada en formato Word a requerimiento en la visita administrativa, se halla lo siguiente: 21 Carpeta de la Titular obrante en medio magnético (en formato Blue-ray) en el expediente físico 19-120638. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Imagen 29.

Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638. Página 3 del Manual de Convivencia del INSTITUTO TRIÁNGULO. Imagen 30. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638. Página 13 del Manual de Convivencia del INSTITUTO TRIÁNGULO. Imagen 31. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638.

Página 14 del Manual de Convivencia del INSTITUTO TRIÁNGULO. (xi) En el Manual de Convivencia del COLEGIO TRIÁNGULO – ZIPAQUIRÁ 2019, aportado por la investigada en formato PDF a requerimiento en la visita administrativa, se consigna lo siguiente: Imagen 32. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638.

Página 2 del Manual de Convivencia del COLEGIO TRIÁNGULO – ZIPAQUIRÁ 2019. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Imagen 33. Tomada del medio magnético (formato Blue-ray) obrante en el expediente físico 19-120638. Página 8 del Manual de Convivencia del COLEGIO TRIÁNGULO – ZIPAQUIRÁ 2019. Realizada la anterior relación de pruebas determinantes para esclarecer si la sociedad INSTITUTO TRIÁNGULO S.A. informa las finalidades del Tratamiento en la “ficha de inscripción y matrícula” cuanto menos al momento de recolección de los datos personales de los aspirantes a estudiantes, este Despacho evidencia: (i) En la visita administrativa el Director Administrativo de la sociedad INSTITUTO TRIÁNGULO S.A. expresó que la finalidad del Tratamiento de la información es académica y que ello se indica en el Manual de Convivencia. (ii) En inspección ocular del 4 de junio de 2019 a la página web www.institutotrinagulo.edu.co, se presentó error en la página al intentar acceder al Manual de Convivencia. Sobre esto el Webmaster de la investigada expresó que la página web para consultar el Manual de Convivencia se encontraba desactualizada.

(iii) En dos de los formularios “ficha de inscripción y matrícula” del INSTITUTO TRIÁNGULO (imágenes 25 y 28) se consigna que “[c]onocemos y nos comprometeremos a cumplir el Manual de Convivencia”. Es de señalar que en el primero de ellos, corresponde al obtenido por esta entidad en la inspección ocular a la página web y el segundo, es el proporcionado por la investigada a requerimiento de la visita administrativa.

Sobre el Manual de Convivencia es de advertir que en la página web de la investigada, www.institutotrinagulo.edu.co, no era visible este manual para el 4 de junio de 2019, fecha en la que se realizó la inspección ocular a dicha página, y esto fue ratificado al afirmar el Webmaster de la sociedad INSTITUTO TRIÁNGULO S.A. que la página para acceder al Manual de Convivencia estaba desactualizada.

Para el 5 de junio de 2019, segundo día de desarrollo de la visita administrativa, el Manual de Convivencia ya se encontraba cargado en dicha página web. En todo caso, nótese en las imágenes 29 a 31 que en el Manual de Convivencia del INSTITUTO TRIÁNGULO no se informan las finalidades del Tratamiento a los aspirantes que diligencian el formulario “ficha de inscripción y matrícula” y no se encuentra que el Tratamiento es para fines académicos como lo manifestó el Director Administrativo de la investigada.

En el manual la única mención que se halla en materia de protección de datos personales es: “(…) el Instituto Triángulo es respetuoso del derecho de habeas data para nuestros estudiantes (Ley 1581 de 2012), dentro de las políticas establecidas por la institución educativa para el caso en particular de su comunidad escolar, debe guardar reserva respecto a la protección de datos, salvo que bajo autorización expresa de cada alumno mayor de edad, y/o acudiente facilite para divulgar la información. Se guarda cualquier reserva a terceros sobre cualquier proceso académico, disciplinario y convivencial de los alumnos”.

(iv) En la “ficha de inscripción y matrícula” del COLECIO TRIÁNGULO (imágenes 26 y 27) no se hace referencia al Manual de Convivencia; no obstante, aunque se hiciera referencia, al igual que con el INSTITUTO TRIÁNGULO, en el Manual de Convivencia del COLEGIO TRIÁNGULO – ZIPAQUIRÁ 2019 tampoco se informan las finalidades del Tratamiento como se visualiza en las imágenes 32 y 33.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” (v) En los formularios “ficha de inscripción y matrícula” del COLEGIO TRIÁNGULO (imágenes 26 y 27) y del INSTITUTO TRIÁNGULO (imagen 28) se indica que: “(…) Habeas Data (…) https://bit.ly/2WqwycG”. Respecto de este enlace, en el informe del 20 de junio de 2020 de visita de inspección se acredita que dicho enlace direcciona a la Política de Tratamiento de la Información de la sociedad INSTITUTO TRIÁNGULO S.A., dentro de la cual se señalan las finalidades del Tratamiento.

Sin embargo, es necesario hacer hincapié en que en la inspección ocular del 4 de junio de 2019 a la página web, www.institutotriangulo.edu.co, no se encontraba la Política de Tratamiento de la Información y el Webmaster de la investigada, precisamente, manifestó que seguramente el enlace para acceder a la política estaba desactualizado. De manera que, a través del enlace obrante en la “ficha de inscripción y matrícula” del COLEGIO TRIÁNGULO y del INSTITUTO TRIÁNGULO, para la época de realización de la visita administrativa, los aspirantes a estudiantes no podían conocer las finalidades del Tratamiento de sus datos personales, ya que al digitar el link https://bit.ly/2WqwycG en la web, no podían acceder a la Política de Tratamiento de la Información. En todo caso, dentro de la visita administrativa, la sociedad INSTITUTO TRIÁNGULO S.A. aportó en formato Word la Política de Tratamiento de la Información vigente para junio de 201922, siendo las finalidades demasiado amplias al comprender aquellas relativas al objeto social de la empresa, debiendo tener en cuenta la investigada que las finalidades del Tratamiento deben ser específicas.

Al respecto, en dichas políticas establece: “Finalidad del tratamiento de los datos personales Finalidad del Tratamiento de Datos de Clientes. (…) De igual manera, el INSTITUTO TRIANGULO S.A. podrán (sic) llevar a cabo el tratamiento de la información personal de sus empleados y estudiantes actuales o futuros y de aquellos con los cuales haya terminado su relación laboral, académica, con la finalidad de enviarles información que a juicio de el (sic) INSTITUTO TRIANGULO S.A. pueda ser de su interés; así como, entre otros, invitarlos a eventos que organice cualquiera de el (sic) INSTITUTO TRIANGULO S.A.; remitir boletines, informes sectoriales o publicaciones y en general, utilizar los datos para el desarrollo de las actividades comprendidas en el objeto social del INSTITUTO TRIANGULO S.A..

Así mismo, el INSTITUTO TRIANGULO S.A., con ocasión de los eventos, capacitaciones o demás actividades llevadas a cabo por éstas, podrán (sic) grabar y tomar audios, videos o fotos de Clientes del desarrollo de éstos (sic). Estos audios, videos o fotos podrán ser utilizados por el INSTITUTO TRIANGULO S.A. en boletines, informes sectoriales, publicaciones, y en general en cualquier actividad de la Sociedades”.

(vi) En uno de los formularios de “ficha de inscripción y matrícula” (imagen 25) descargado de la página web de la investigada en la inspección ocular, no se indica un enlace para consultar la Política de Tratamiento de la Información del INSTITUTO TRIÁNGULO. De manera que, para la fecha de visita administrativa del 4 y 5 de junio de 2019 la investigada contaba con dos formularios distintos de “ficha de inscripción y matrícula” del INSTITUTO TRIÁNGULO, por cuanto en otro de los formularios (imagen 28) sí se señala el enlace para acceder a dicha política.

En todo caso, como se expresó, los aspirantes no podían acceder a través de ese enlace a la Política de Tratamiento de la Información. De acuerdo con lo anteriormente expuesto, está demostrado en esta investigación administrativa que para la época de la visita administrativa llevada a cabo por esta entidad en las instalaciones de la sociedad INSTITUTO TRIÁNGULO S.A., la investigada no informaba a los aspirantes a estudiantes las finalidades del Tratamiento de los datos que consignaban en el documento “ficha de inscripción y matrícula” y de los documentos adjuntos a la ficha.

Además, en cuanto a lo expresado por la investigada en descargos23, es preciso señalar que los formatos adoptados por la sociedad INSTITUTO TRIÁNGULO S.A. en materia de autorización y 22 Obrante en el expediente físico en el medio magnético (formato Blue-ray). 23 Expediente digital, radicado 19-120638-00010, página 15. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Política de Tratamiento de la Información que informan las finalidades del Tratamiento son posteriores a las fechas en las que se llevó a cabo la visita administrativa, por lo cual no desvirtúan que la investigada para el 4 y 5 de junio de 2019 no informaba las finalidades del Tratamiento a los aspirantes a estudiante de acuerdo con lo expuesto.

En conclusión, se encuentra demostrado el actuar negligente de la sociedad INSTITUTO TRIÁNGULO S.A. en el cumplimiento del deber previsto en el literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, por cuanto no informó a los aspirantes a estudiantes las finalidades del Tratamiento en la “ficha de inscripción y matrícula”, por lo cual se impondrá una sanción pecuniaria acorde con el literal a) del artículo 23 de la Ley 1581 de 2012 y adicionalmente, se impartirán unas órdenes administrativas tendientes a garantizar que se informe a los Titulares las finalidades del Tratamiento, de forma específica y acorde con el objeto del Tratamiento, conforme con la facultad otorgada a esta entidad en el literal e) del artículo 21 de la Ley 1581 de 2012. 10.2.3 Respecto del deber de conservar la información bajo condiciones de seguridad necesarias para evitar su adulteración, pérdida, uso acceso no autorizado o fraudulento En primer lugar, el artículo 17 de la Ley 1581 de 2012 dispone los deberes de los Responsables del Tratamiento, especificando en el literal d) lo siguiente: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)”. Frente a este deber la Corte Constitucional en sentencia C-748 de 2011 señaló: “En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal.

Específicamente se dispone que son deberes de esta parte de la relación: (…) (iii) Adoptar las medidas para garantizar la seguridad del dato, a efectos de que no se pierda, no se adultere, no se utilice o acceda por fuera de la autorización, lo cual es desarrollado en el literal d) en concordancia con el principio de seguridad en la transferencia del dato.

Por tanto, el responsable está obligado a exigir y controlar las condiciones de seguridad que está empleando el encargado del tratamiento -literal a), como informar oportunamente a la autoridad encargada de la protección del dato sobre violaciones a los códigos de seguridad y la existencia de riesgos en la administración de la información de los titulares- literal n); siendo estos deberes, sin lugar a dudas, también desarrollo del principio de seguridad jurídica”.

El deber previsto en el citado literal d), es desarrollo, junto con el principio de acceso y circulación restringida, del principio de seguridad previsto en el literal g) del artículo 4 de la Ley 1581 de 2012 sobre el que se señala: “ARTÍCULO

4. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;

(…)”. A su vez, respecto del principio de seguridad es preciso traer a colación lo determinado por la Corte Constitucional en sentencia C-748 de 2011 en los siguientes términos: “2.6.5.2.7. Principio de seguridad: Al amparo de este principio, la información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

De este principio se deriva entonces la responsabilidad que recae en el administrador del dato. El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto ‘diluvio de datos’[240], a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior transferencias, no cesa de aumentar.

Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros. Ello también aumenta los riegos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre.

(…) Existe entonces un deber tanto de los Responsables como los Encargados de establecer controles de seguridad, de acuerdo con el tipo de base de datos que se trate, que permita garantizar los estándares de protección consagrados en esta Ley Estatutaria”. Preliminarmente esta Dirección evidenció que en la inspección ocular se encontraron archivos físicos y digitales con soportes académicos de estudiantes y hojas de vida de los aspirantes a empleos, en los cuales obran datos privados de los Titulares, hallándose en deficientes condiciones de almacenamiento que repercuten en su conservación segura.

A su turno, al realizarse la inspección ocular en la Secretaría de la sociedad INSTITUTO TRIÁNGULO S.A.S. posiblemente hay fallas en las condiciones de seguridad al no estar bloqueados los puestos USB de los equipos y al poderse acceder a las redes sociales sin ningún tipo de restricción. Ante este cargo, la investigada en descargos24 expresó que cuenta con un archivo físico que es administrado por la Secretaria Académica, “quien es la única autorizada para su control, organización y acceso, las fichas y gestión de documental se encuentra en AZ, debidamente organizada”, contando con el software Q10 para la gestión académica y administrativa.

Además, señaló que ha adoptado procedimientos en el Área de Talento Humano y agregó: “En cuanto a lo que se menciona sobre el área de Talento Humano, en el almacenamiento de las hojas de vida de los aspirantes a cargos, estos archivos se encuentran correctamente almacenados por nombre o dependencia del área contratante, restringido su acceso, ya que se encuentra ubicado en el área del proceso.

El uso de las páginas para consultar redes sociales, no se tiene bloqueado, ya que es una de las estrategias de mercadeo que utiliza el Instituto, así mismo se resuelven dudas de los posibles aspirantes a los diferentes programas que ofrece la Institución, pero si se controla que el acceso se haga a través de la cuenta creada para la Institución. Se ha trabajado sobre la sensibilización del personal, en el uso adecuado de estos medios.

Los puertos USB, tampoco se pueden bloquear ya que para las revisiones que se hacen por parte de otros entes con los que se tienen convenios académicos, es indispensable la inserción de unidades extraíbles, para lo que la Institución ha definido la implementación de un antivirus que realiza el escaneo de las unidades que se insertan en los equipos, y todo esto es previa autorización del líder de soporte técnico.

Se refleja en el ANEXO. 11 INS-ITMN-01 INSTRUCTIVO MANEJO DE LA INFORMACIÓN”. 24 Expediente digital, radicado 19-120638-00010, página 15. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Por su parte, respecto al cargo formulado y analizado el conjunto del acervo probatorio, este Despacho encuentra necesario destacar las siguientes pruebas: (i) Declaración de la señora xxxxxxxxxxxxxxxxxx, Secretaria Académica de la sociedad INSTITUTO TRIÁNGULO S.A. “Personal SIC: llega ese formulario con los anexos a tus manos y, ¿qué pasa? ¿Qué sigue? Secretaria Académica: ya va para el libro de matrículas en este caso.

Todos los procesos académicos van archivados por programas, jornadas, dependiendo en cada caso el producto, tanto para colegio como para técnico. Personal SIC: ¿Dónde archivan esa información? Secretaria Académica: En Secretaría Personal SIC: ¿Ahí mismo en Secretaría ustedes tienen un archivo? Secretaria Académica Sí, sí señora”. (ii) Declaración de la señora xxxxxxxxxxxxxxxxxxxxxxxxxxxx, Jefe de Talento Humano de la sociedad INSTITUTO TRIANGULO S.A. “Personal SIC: ¿Qué niveles de seguridad ustedes manejan para el almacenamiento de esa información? Jefe de Talento Humano: todas las hojas de vida están bajo llave.

Personal SIC: ¿Quién más tiene acceso? Jefe de Talento Humano: Solamente yo. Personal SIC: ¿Esa información aparte de estar en archivo físico, está digitalizado? Jefe de Talento Humano: sí señora, está digitalizado. Personal SIC: ¿Quién la digitaliza? Jefe de Talento Humano: lo digitaliza un aprendiz del SENA. Personal SIC: ¿Quién tiene acceso información a esa información cuando ya está digitalizada? Jefe de Talento Humano: solamente la Jefe de Talento Humano”.

(iii) Instructivo de Manejo de la Información fechado del 20 de agosto de 2017 25, aportado en formato Word en la visita administrativa, en el cual, entre otros aspectos, se encuentra: “7. Políticas de seguridad informática. a. Implementación de software denominado ‘PENS’, ‘INSNOTA’ ‘TRINOTA’, a través del cual se administra de manera segura la información sometida a reserva y que exige para su administración, consulta y modificación sobre la información de los estudiantes. b. Todos los usuarios de los recursos TIC deben proteger, respaldar y evitar accesos de la información a personas no autorizadas; es decir son responsables de cuidar todos los activos digitales de información sean o no propiedad del SGC. c. Todos los sistemas de información y recursos tecnológicos utilizados para el procesamiento deben contar con mecanismo de seguridad apropiados. d. Toda información que provenga de un archivo externo de la Entidad o que deba ser restaurado tiene que ser analizado con el antivirus institucional vigente. e. Ningún funcionario debe brindar información no autorizada en ningún sitio ya sea interno o externo de la Entidad. f. Ningún usuario, debe descargar y/o utilizar información, archivos, imagen, sonido u otros que estén protegidos por derechos de autor de terceros sin la previa autorización de los mismos”. 25 Obrante en el expediente físico en el medio digital (formato Blue-ray).

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” (iv) En la inspección ocular se obtuvo un video de duración de 2:43 minutos 26, en el cual se escucha lo siguiente: “Personal SIC: ¿Este equipo tiene algún bloqueo de puertos o accede (…)? Director Administrativo: no tiene bloqueo de puertos.27 Personal SIC: ¿No? Igual puedes meterle una USB (inaudible) Director Administrativo: digamos el acceso a la bahía sí está restringido (inaudible)”.

(v) Informe de visita de inspección28 en el cual se evidencia lo siguiente: “4.4 Verificación sistema operativo, seguridad y acceso a internet en los equipos de cómputo De acuerdo con la información recibida y la verificación efectuada, los equipos de cómputo no presentan restricción en sus puertos y cuentan con software antivirus instalado.

Imagen 10 Información sobre antivirus - obtenida con la Aplicación de Microsoft Windows Recortes También se verifica la actualización del sistema operativo, sin embargo, el ingeniero aclara que por políticas las actualizaciones se descargan pero el administrador decide cuando instalarlas y lo hace a través del Windows Update. El administrador tiene un control sobre la instalación de algunas aplicaciones y las que instalan los usuarios deben ser notificadas al administrador a través de correo ya que los equipos están conectados al servidor Windows Server 2008; los usuarios tienen permisos locales y otros adicionales desde el servidor a través de protocolos de red. No se puede ver la información de todos los equipos desde otro que esté conectado.

Imagen 11 Información sobre Windows Update - obtenida con la Aplicación de Microsoft Windows Recortes 26 Ibídem. 27 De acuerdo con el contexto de la conversación y las respuestas y afirmaciones subsiguientes, este Despacho entiende que lo afirmado por el Director Administrativo fue “no tiene bloqueo de puertos” y no fue “no, tiene bloqueo de puertos”. 28 Expediente digital, radicado 19-120638, página 2.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Se realizó la verificación en el mismo equipo de cómputo en el que se encuentra la información de los alumnos sobre el acceso a internet y se pudo constatar que no se encuentra restringido: Imagen 12 Acceso sin restricción de los equipos de cómputo- obtenida con la Aplicación de Microsoft Windows Recortes 4.5 Seguridad de la información física El instituto cuenta con un archivo físico que está dividido en dos partes, la primera el archivo de gestión que se encuentra ubicado en la secretaria en el piso 3 y la otra parte es el archivo central que está en el piso 2, este último es un cuarto con llave la cual está en custodia de una de las secretarias.

El archivo que reposa en la secretaria del piso 3, tiene un archivador en el cual se encuentran las listas de asistencia y algunos documentos que soportan las fallas o faltas de asistencia. Imagen 13 Archivador en el que reposan las listas de asistencia - obtenida con la Aplicación de Microsoft Windows Recortes HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Imagen 14 Documentación encontrada en archivador metálico - obtenida con la Aplicación de Microsoft Windows Recortes También en la secretaria se pueden encontrar documentos archivados en AZ, en donde reposan la documentación de las personas que están cursando los programas en la fecha: Imagen 15 Fotografías tomadas al archivo de gestión”.

Ahora bien, conforme con lo anterior este Despacho evidencia que para el 4 y 5 de junio de 2019, fecha en la cual se llevó a cabo la visita administrativa en las instalaciones de la sociedad INSTITUTO TRIÁNGULO S.A., se hallaron las siguientes evidencias respecto al cargo formulado por medidas de seguridad de la información: (i) De acuerdo con la declaración de la Secretaria Académica, en Secretaría Académica se encuentra la información de los estudiantes, lo cual fue corroborado en la inspección ocular al hallarse en dicha secretaría en AZ y en los equipos de cómputo en formato digital, evidenciándose en la inspección ocular que el acceso a los equipos de cómputo con la información de los estudiantes no se encuentra restringido.

(ii) El Director Administrativo señaló que los equipos de cómputo no cuentan con bloqueo de los puertos USB, lo cual fue corroborado en la inspección ocular por el personal técnico de esta Superintendencia. Al respecto, es preciso señalar por este Despacho que la falta de bloqueo de los puertos USB pone en riesgo la información que en los equipos de cómputo se almacena, entre ella las HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” hojas de vida digitalizadas de los empleados y aspirantes a ser contratados, así como de los estudiantes y aspirantes a estudiantes, ya que da lugar a que un tercero sin autorización o, incluso, de forma fraudulenta conecte una USB al puerto y sustraiga información. (iii) Solo la Jefe de Talento Humano tiene acceso a las hojas de vida, en formato físico y digital, de los empleados y aspirantes, conservando bajo llave los formatos físicos; no obstante, un aprendiz del SENA tiene acceso a los documentos de las hojas de vida al digitalizarlos y la investigada no cuenta con un protocolo, procedimiento o cláusula, frente a la información a la que tiene acceso el aprendiz del SENA.

(iv) Si bien para la época de realización de la visita administrativa la investigada contaba con un Instructivo de Manejo de la Información, fechado del 20 de agosto de 2017, en el cual se consigna que “[t]odos los sistemas de información y recursos tecnológicos utilizados para el procesamiento deben contar con mecanismo de seguridad apropiados”, de acuerdo con lo expuesto en los numerales anteriores, este Despacho evidencia que los equipos de cómputo no cuentan con las medidas de seguridad necesarias, pertinentes, útiles y efectivas para evitar su consulta, uso o acceso no autorizado o fraudulento.

Así las cosas, este Despacho encuentra demostrado que para el 4 y 5 de junio de 2019 la sociedad INSTITUTO TRIÁNGULO S.A. no contaba con medidas de seguridad necesarias, pertinentes y útiles para la conservación real y efectiva de la información, tanto en formatos digitales como físicos, obrante en las hojas de vida de los empleados y aspirantes a empleados, así como en los archivos académicos de los aspirantes a estudiantes, de los estudiantes activos y de los estudiantes retirados.

Así mismo, se probó que la investigada no cuenta con bloqueo en los puertos, para acceso con USB, conllevando a una potencial fuga de información al facilitar que un tercero no autorizado o que actúe de forma fraudulenta obtenga información de los equipos de cómputo en los cuales se almacena información, entre otra, laboral y académica. En cuanto a lo señalado por la investigada en descargos, en el sentido de que no puede bloquear el acceso a los puertos a USB, es menester señalar que con el objeto de garantizar la seguridad de la información, la sociedad INSTITUTO TRIÁNGULO S.A. debe adoptar las medidas necesarias, pertinentes, útiles y efectivas que restrinjan el uso, consulta o acceso no autorizado o fraudulento a sus sistemas de información, para lo cual debe valerse, por ejemplo, de un software especializado que se adapte a sus necesidades específicas y que a su vez, garantice el cumplimiento de la Ley 1581 de 2012 y las normas que la complementen, adicionen o modifiquen.

Cabe señalar, que dentro del acervo probatorio no hay evidencia suficiente para determinar en esta actuación administrativa, si para la época de la realización de la visita administrativa había o no acceso a las redes sociales sin restricción. Conforme con lo anterior, este Despacho encuentra demostrado que la sociedad INSTITUTO TRIÁNGULO S.A. desconoció abiertamente el deber previsto en el literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012, en cuanto para el 4 y 5 de junio de 2019 no contaba con medidas de seguridad necesarias, pertinentes y útiles para garantizar la adecuada conservación de los archivos físicos y digitales, en los cuales obraba información de empleados, aspirantes a empleados, estudiantes, estudiante retirados y aspirantes a estudiantes, así como no tenía restringidos los puertos de acceso a USB.

Por ello, se impondrá una sanción pecuniaria de acuerdo con el literal a) del artículo 17 de la Ley 1581 de 2012 y adicionalmente, se impondrá una orden administrativa tendiente a garantizar que la investigada adopte las medidas necesarias, útiles y efectivas para garantizar la seguridad de la información de los Titulares, de acuerdo con la facultad del artículo e) del artículo 21 de la citada ley. 10.2.4 Respecto del deber de cumplir con las instrucciones impartidas por la Sobre este deber el literal o) del artículo 17 de la Ley 1581 de 2012 establece lo siguiente: “[c]umplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio”.

A su turno, el artículo 25 de la Ley 1581 de 2012 dispone: HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” “Artículo 25. Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. El registro será administrado por la Superintendencia de Industria y Comercio y será de libre consulta para los ciudadanos. Para realizar el registro de bases de datos, los interesados deberán aportar a la cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes.

Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. Parágrafo. El Gobierno Nacional reglamentará, dentro del año siguiente a la promulgación de la presente ley, la información mínima que debe contener el Registro, y los términos y condiciones bajo los cuales se deben inscribir en este los Responsables del Tratamiento”.

A su vez, el Decreto 90 de 2018 establece en sus artículos 1 y 2 establece: “ARTÍCULO 1°. Modifíquese el artículo 2.2.2.26.1.2 del Decreto número 1074 de 2015 Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, el cual quedará así: ‘Artículo 2.2.2.26.1.2. Ámbito de aplicación. Serán objeto de inscripción en el Registro Nacional de Bases de Datos, las bases de datos que contengan datos personales cuyo Tratamiento automatizado o manual sea realizado por los Responsables del tratamiento que reúnan las siguientes características: a) Sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT); b) Personas jurídicas de naturaleza pública’.

ARTÍCULO 2 °. Modifíquese el artículo 2.2.2.26.3.1 del Decreto número 1074 de 2015 Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, el cual quedará así: ‘Artículo 2.2.2.26.3.1. Plazo de inscripción. La inscripción de las bases de datos en el Registro Nacional de Bases de Datos se llevará a cabo en los siguientes plazos: a) Los Responsables del Tratamiento, sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 610.000 Unidades de Valor Tributario (UVT), deberán realizar la referida inscripción a más tardar el treinta (30) de septiembre de 2018, de acuerdo con las instrucciones impartidas por la Superintendencia de Industria y Comercio; b) Los Responsables del Tratamiento, sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 y hasta 610.000 Unidades de Valor Tributario (UVT), deberán realizarla referida inscripción a más tardar el treinta (30) de noviembre de 2018, de conformidad con las instrucciones impartidas por la Superintendencia de Industria y Comercio; c) Los Responsables del Tratamiento, personas jurídicas de naturaleza pública, deberán realizar la referida inscripción a más tardar el treinta y uno (31) de enero de 2019, de conformidad con las instrucciones impartidas por la Superintendencia de Industria y Comercio.

Las bases de datos que se creen con posterioridad al vencimiento de los plazos referidos en los literales a), b) y c) del presente artículo, deberán inscribirse dentro de los dos (2) meses siguientes, contados a partir de su creación’”. (Se subraya) En virtud de las normas citadas, existe el deber de los Responsables del Tratamiento de cumplir con las instrucciones impartidas por la Superintendencia de Industria y Comercio, la cual en el caso particular consistía en realizar la inscripción en el Registro Nacional de Bases de Datos, tal como quedó expresado en el Capítulo Segundo - Título V de la Circular Única de la Superintendencia de Industria y Comercio29.

Adicionalmente, por expresa disposición del artículo 25 de la Ley 1581 de 2012, dicha inscripción debía realizarse bajo las formas y en los términos señalados por el Gobierno Nacional, aquellos que fueron indicados en el Decreto 090 de 2018, “por el cual se modifican los 29 La Circular V expedida por la Superintendencia de Industria y Comercio realizó un compendio de las órdenes de inscripción de en el RNB, la cual fue impartida por primera vez mediante Circular Externa 002 del 3 de noviembre de 2015.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” artículos 2.2.2.26.1.2 y 2.2.26.3.1 del Decreto 1074 de 2015-Decreto Único Reglamentario del Sector Comercio Industria y Turismo”, expedido por el Ministerio de Comercio Industria y Turismo. Ahora bien, preliminarmente este Despacho evidenció que la sociedad INSTITUTO TRIANGULO S.A. en la diligencia de visita administrativa aportó sus estados financieros y se halló que sus activos superaban 100.000 UVT del año 2018, por lo cual debió inscribir sus bases de datos en el Registro Nacional de Bases de Datos – UVT.

La investigada en descargos30 expresó que “en determinado momento hubo una confusión sobre la correcta interpretación de los lineamientos definidos para tal fin por parte de los responsables del proceso, donde no era claro el registro de las bases de datos de la Institución”; sin embargo, se procedió a registrar la información en el Registro Nacional de Bases de Datos – RNBD conforme con el “Manual de Usurario del Registro Nacional de Bases de Datos – RNBD”.

De acuerdo con lo expuesto por la sociedad INSTITUTO TRIANGULO S.A. en descargos, este Despacho encuentra que la sociedad reconoció que para la época de la visita administrativa no había inscrito sus bases de datos en el RNBD; en todo caso, esta Dirección procede a realizar el siguiente análisis: De acuerdo con el “ESTADO DE SITUACIÓN FINANCIERA COMPARATIVO”31 los activos totales de la sociedad INSTITUTO TRIANGULO S.A., a corte del 31 de diciembre de 2017, eran de $ 5.335.489.006.

De manera que los activos totales eran equivalentes a 161.471,95 UNIDADES DE VALOR TRIVUTARIO – UVT, en consideración a que para el 2017 la UVT se fijó en $ 31.859 de mediante la Resolución No. 71 del 21 de noviembre de 2016 de la DIRECCIÓN DE IMPUESTOS Y ADUANAS NACIONALES – DIAN. A su turno, a corte del 31 de diciembre de 2018 sus activos totales ascendían a $ 5.077.896.572, correspondiendo a 153.151,66 UVT en consideración a que mediante la Resolución No. 63 del 14 de noviembre de 2017 de la DIAN se fijó la UVT en $ 33.156.

Así, nótese que la investigada tenía tanto en el 2017 como en el 2018, activos totales superiores a 100.000 UVT y en la medida en que estos activos totales estaban entre 100.000 y 610.000 UVT, la sociedad INSTITUTO TRIANGULO S.A. tenía el deber de inscribir sus bases de datos en el RNBD hasta el 30 de noviembre de 2018 conforme con el literal b) del artículo 2.2.2.26.3.1. del Decreto único Reglamentario 1074 de 2015, modificado por el artículo 2 del Decreto 90 de 2018.

Por su parte, la investigada en descargos aportó oficio con radicado 20-274363-00000 del 5 de agosto de 2020, con el cual acredita la radicación de la base de datos de “q10 Colegio”. A su vez, este Despacho procedió a verificar las bases de datos inscritas en el Registro Nacional de Bases de Datos – RNBD por la sociedad INSTITUTO TRIANGULO S.A. y encontró, adicionalmente, el registro de las bases de datos “Convenios” el 29 de julio de 2020 y “q10 Instituto” el 5 de agosto de 2020, como se visualiza a continuación: Imagen 34.

Consulta realizada el 6 de abril de 2022 al RNBD. Así las cosas, las investigada inscribió en el RNBD sus bases de datos hasta julio y agosto de 2020, a pesar de que estaba obligada a efectuarlo a más tardar el 20 de noviembre de 2018 y por ello, para el 4 y 5 de junio de 2019, fechas de realización de la visita administrativa, no pudo demostrar el cumplimiento del deber de inscribir sus bases de datos en el RNBD.

Por su parte, frente a lo señalado por la investigada en el sentido de que no era claro si debía registrar las bases de datos en el RNBD, por cuanto se interpretó inadecuadamente los lineamientos que se han definido, es preciso señalar que el Decreto 090 de 2018 establece de forma clara 30 Expediente digital, en el radicado 19-120638-00010, página 15. 31 Obrante en el expediente digital, radicado 19-120638-00001, folio 38.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” quienes deben registrar sus bases de datos en el RNBD y además, la Superintendencia de Industria y Comercio expidió el “Manual de Usuario del Registro Nacional de Bases de Datos – RNBD” en el cual se describe de forma detalla cómo efectuar la inscripción de las bases de datos.

De acuerdo con lo expuesto, se encuentra demostrado el actuar negligente de la sociedad INSTITUTO TRIANGULO S.A. en el cumplimiento del deber previsto en el literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012, ya que debió inscribir sus bases de datos en el Registro Nacional de Bases de Datos – RNBD hasta el 30 de noviembre de 2018, en consideración a que sus activos totales, tanto para el 2017 como para el 2018, estaban entre 100.000 y 610.000 UVT.

Por ello, en los términos del literal a) del artículo 23 de la Ley 1581 de 2012 se le impondrá una multa; no obstante, en consideración al reconocimiento expreso de la infracción por la investigada, se atenuará el monto de la sanción en aplicación del literal f) del artículo 24 de la citada ley.

DÉCIMO PRIMERO: En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…) Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones: (i) La sociedad INSTITUTO TRIANGULO S.A., identificada con NIT 800.002.695-1, deberá revisar que en todos sus establecimientos de comercio se solicite, para la recolección de datos, la autorización previa, expresa e informada a los Titulares, ya sean aspirantes a estudiantes, estudiantes, proveedores, candidatos para un cargo, empleados, etc., para el Tratamiento de sus datos personales, así como deberá conservar soporte o documento que evidencie que el consentimiento del Titular fue otorgado previo al Tratamiento.

(ii) La sociedad INSTITUTO TRIANGULO S.A., identificada con NIT 800.002.695-1, deberá garantizar que los Titulares al otorgar su autorización previa, expresa e informada para el Tratamiento de sus datos personales, efectivamente cuenten con la opción de manifestar o seleccionar su consentimiento en el mecanismo adoptado por la sociedad INSTITUTO TRIÁNGULO S.A. para solicitar la autorización de los Titulares.

Adicionalmente, en particular, respecto de los datos sensibles o de los datos de niños, niñas y adolescentes, deberá informar a los Titulares que es facultativo responder a las preguntas que sean formuladas sobre esta clase de datos. (iii) La sociedad INSTITUTO TRIANGULO S.A., identificada con NIT 800.002.695-1, deberá revisar que las finalidades del Tratamiento que informa a los Titulares sean exclusivamente para finalidades específicas y en caso de que no sea así, deberá actualizar en los documentos correspondientes, las finalidades del Tratamiento para que cumplan con este objetivo de ser específicas.

(iv) La sociedad INSTITUTO TRIANGULO S.A., identificada con NIT 800.002.695-1, deberá abstenerse de recolectar datos personales que no sean estrictamente necesarios para las finalidades del Tratamiento informadas a los Titulares, a fin de evitar la vulneración de derechos de los Titulares al recolectar datos adicionales que sean innecesarios para las finalidades establecidas.

(v) La sociedad INSTITUTO TRIANGULO S.A., identificada con NIT 800.002.695-1, deberá adoptar las medidas necesarias, útiles y efectivas para garantizar que en el Tratamiento de la información de los Titulares se garanticen los principios de acceso y circulación restringida y de seguridad, de los literales f) y g) del artículo 4 de la Ley 1581 de 2012.

(vi) La sociedad INSTITUTO TRIANGULO S.A., identificada con NIT 800.002.695-1, deberá revisar y garantizar que en todos sus establecimientos de comercio se dé cumplimiento al régimen general de protección de datos personal previsto en la Ley 1581 de 2012 y las normas que la complementan, adicionan o modifican. De lo anteriormente ordenado la sociedad INSTITUTO TRIANGULO S.A. deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ”

DÉCIMO SEGUNDO: Imposición y graduación de la sanción 12.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, la Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)”.

(Se subraya fuera de texto) El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 32. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la Ley 152 de 1994. En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV”. 32 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT. Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibídem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional33 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”34. Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros35. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el 33 “Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…)”. (Negrita añadida) 34 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 35 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí solo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”36.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia37. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2338 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 12.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley 36 Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos 37 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 38Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012. Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”39. De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados40.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que: • La sociedad INSTITUTO TRIÁNGULO S.A. no solicitaba autorización previa y expresa a los aspirantes a estudiantes en el formulario “ficha de inscripción y matrícula”, tanto del INSTITUTO TRIÁNGULO como del COLEGIO TRIÁNGULO, para el Tratamiento de los datos consignados en dicha ficha y de los documentos anexos a esta en los que obra información de naturaleza privada, semiprivada y sensible, por lo cual se impondrá una sanción pecuniaria equivalente a CIENTO DIECISIETE (117) UNIDADES DE VALOR TRIBUTARIO - UVT41 por la vulneración del deber previsto en el por lo cual se encuentra demostrado el actuar negligente de la investigada en el cumplimiento del deber previsto en el literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y los artículos 2.2.2.25.2.3 y 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015. • La sociedad INSTITUTO TRIÁNGULO S.A. no informó las finalidades del Tratamiento a los aspirantes a estudiantes al recolectar sus datos en el formulario “ficha de inscripción y matrícula”, por lo cual se impondrá una sanción pecuniaria equivalente a CIENTO 39 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp.

Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 40 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la de datos sensibles; Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada.

En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. 41 Mediante Resolución 140 del 25 de noviembre de 2021 se fijó en $38.004 pesos el valor de la Unidad de Valor Tributario - UVT, que regirá durante el año 2022.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” DIECISIETE (117) UNIDADES DE VALOR TRIBUTARIO - UVT por el desconociendo del deber previsto en el literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015. • La sociedad INSTITUTO TRIÁNGULO S.A. no contaba con las medidas necesarias, útiles y pertinentes para garantizar la debida conservación de los archivos físicos y digitales en los que obraba información de empleados, aspirantes a empleados, estudiantes, aspirantes a estudiantes y estudiantes retirados, así como no tenía bloqueado los puertos de acceso a USB, por lo cual se impondrá una sanción pecuniaria equivalente a CIENTO DIECISIETE (117) UNIDADES DE VALOR TRIBUTARIO - UVT por el desconociendo del deber previsto en el literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012. • La sociedad INSTITUTO TRIÁNGULO S.A. no inscribió sus bases de datos en el Registro Nacional de Bases de Datos – RNBD dentro del término señalado en el literal b) del artículo del artículo 2.2.2.26.3.1. del Decreto Único Reglamentario 1074 de 2015, modificado por el artículo 2 del Decreto 90 de 2018, es decir a más tardar el 30 de noviembre de 2018 por tener activos a corte del 31 de diciembre de 2017 y de 2018 entre 100.000 y 610.000 UVT, y efectuó la inscripción de la bases de datos en el RNB hasta julio y agosto de 2020.

Por ello, se impondrá una sanción pecuniaria equivalente a CIENTO DIECISIETE (117) UNIDADES DE VALOR TRIBUTARIO - UVT por el desconocimiento del deber previsto en el literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012, la cual será atenuada por el reconocimiento expreso de la infracción acorde con el literal f) del artículo 24 de la Ley 1581 de 2012. 12.1.2 El reconocimiento o aceptación de la comisión de una aceptación El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581de 2012 se aplicará únicamente para el cuarto cargo, correspondiente al deber previsto en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 25 ibídem y el Decreto 090 de 2018, toda vez que la investigada en descargos, obrante en el expediente digital en la comunicación con radicado 19-120638-00010 del 11 de agosto de 2020, página 15, reconoció la comisión de infracción del antedicho deber al indicar expresamente: “Dando cumplimiento a lo definido en el “Manual de Usurario del Registro Nacional de Bases de Datos - RNBD” se ha realizado el Registro de las bases de Datos, no obstante en determinado momento hubo una confusión sobre la correcta interpretación de los lineamientos definidos para tal fin por parte de los responsables del proceso, donde no era claro el registro de las bases de datos de la Institución, sin embargo la Institución ha seguido de manera responsable toda la información registrada en este manual que suministra la (…) Si bien es cierto la implementación de la totalidad de las medidas fue posterior a las fechas indicadas en las normas citadas anteriormente, también es cierto que el instituto desde antes de la implementación normativa (…)”.

En virtud de lo expuesto, se procederá a reducir la sanción impuesta en el cargo cuarto por la vulneración al deber establecido en el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 25 ibídem y el Decreto 090 de 2018, en VEINTE (20) UNIDADES DE VALOR TRIBUTARIO – UVT. 12.1.3 Otros criterios de graduación Por último, se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y: (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” El criterio de atenuación señalado en el literal f) del artículo citado no se aplica para los tres primeros cargos, ya que la investigada no reconoció o aceptó la comisión de las infracciones respecto de ellos.

DÉCIMO CUARTO: CONCLUSIÓN Se procederá a imponer una sanción e impartir unas órdenes administrativas con fundamento en: (i) Se evidenció que la investigada desconoció abiertamente el cumplimiento de los deberes previstos en: (i) el literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y los artículos 2.2.2.25.2.3 y 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015;

(ii) el literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; (iii) el literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012 y;

(iv) el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 25 ibídem y el Decreto 090 de 2018. (ii) Se probó que para la época en la que se llevó a cabo la visita administrativa por parte de esta entidad, la investigada en el formato de “ficha de inscripción y matrícula”, tanto del INSTITUTO TRIÁNGULO como del COLEGIO TRIÁNGULO, no solicitaba la autorización previa y expresa de los aspirantes a estudiantes ni para el Tratamiento de los datos diligenciados en la ficha ni para el Tratamiento de los documentos anexos a dicha ficha.

(iii) Se comprobó que la sociedad INSTITUTO TRIÁNGULO S.A., para el 4 y 5 de junio de 2019, no solo no solicitaba autorización para el Tratamiento de datos personales de naturaleza privada y semiprivada sino también respecto de datos sensibles, ya que se encontró que recolectaba y procesaba documentos sobre la salud de una Titular y al respecto la investigada, a través de la declaración del Director Administrativo en la visita administrativa, confesó que recolectaban información sobre la salud de los aspirantes si ellos lo entregaban sin ser solicitado, evidenciando este Despacho que la recolección de dicha información no estaba relacionada estrictamente con las finalidades del Tratamiento de la investigada.

(iv) Se evidenció que la sociedad INSTITUTO TRIÁNGULO S.A., para las fechas en las que se llevó a cabo de la visita administrativa, no informaba a los aspirantes a estudiantes las finalidades del Tratamiento de sus datos en el formulario “ficha de inscripción y matrícula”. (v) Se demostró que la investigada para la época de la visita administrativa no contaba con las medidas de seguridad necesarias, útiles y pertinentes en el almacenamiento de la información de archivos físicos y digitales, en los cuales se conservan hojas de vida de empleados y aspirantes para un puesto de trabajo, así como documentos y datos de estudiantes, aspirantes a estudiantes y estudiantes retirados.

(vi) Se halló que la sociedad INSTITUTO TRIÁNGULO S.A. no cuenta con bloqueos en los puertos para USB en sus equipos de cómputo, que eviten el acceso, consulta o uso no autorizado o fraudulento. (vii) Se encontró demostrado que la investigada no inscribió sus bases de datos en el Registro Nacional de Bases de Datos – RNBD a más tardar el 30 de noviembre de 2018, a pesar que sus activos totales a 31 de diciembre de 2017 y a 31 de diciembre de 2018 estaban dentro del rango de 100.000 y 610.000 UVT, efectuando las correspondientes inscripciones solo hasta julio y agosto de 2020.

Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer la sanción correspondiente a DIECISIETE MILLONES VEINTICINCO MIL SETECIENTOS NOVENTA Y DOS PESOS M/CTE ($ 17.025.792), equivalente a CUATROCIENTAS CUARENTA Y OCHO (448) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación de (i) el literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y los artículos 2.2.2.25.2.3 y 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015;

(ii) el literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; (iii) el literal d) del artículo 17 en concordancia con el literal g) HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” del artículo 4 de la Ley 1581 de 2012 y;

(iv) el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 25 ibídem y el Decreto 090 de 2018, a la sociedad INSTITUTO TRIANGULO S.A., identificada con NIT 800.002.695-1.

DÉCIMO QUINTO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad INSTITUTO TRIANGULO S.A., identificada con NIT 800.002.695-1, esta Dirección ha concedido el acceso al presente expediente digital a esta 42, por intermedio de su representante legal principal vinculado al correo electrónico de notificación judicial de la sociedad, fpareja05@gmail.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Finalmente, indicando que si la sociedad INSTITUTO TRIANGULO S.A. consideran estrictamente necesario el acceso del expediente en físico, deberán enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.

Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (571) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad INSTITUTO TRIANGULO S.A., identificada con NIT 800.002.695-1, de DIECISIETE MILLONES VEINTICINCO MIL SETECIENTOS NOVENTA Y DOS PESOS M/CTE ($ 17.025.792), equivalente a CUATROCIENTAS CUARENTA Y OCHO (448) UNIDADES DE VALOR TRIBUTARIO – UVT, por la violación de (i) el literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 y los artículos 2.2.2.25.2.3 y 2.2.2.25.2.4 del Decreto Único Reglamentario 1074 de 2015;

(ii) el literal c) del artículo 17, en concordancia con el literal b) del artículo 4, el literal a) del artículo 12 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015; (iii) el literal d) del artículo 17 en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012 y;

(iv) el literal o) del artículo 17 de la Ley 1581 de 2012, en concordancia con lo establecido en el artículo 25 ibídem y el Decreto 090 de 2018.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual. 42 El acceso al expediente digital se informó mediante la comunicación con radicado 19-120638-00020 del 11 de mayo de 2021. HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ”

ARTÍCULO SEGUNDO: ORDENAR a la sociedad INSTITUTO TRIANGULO S.A., identificada con NIT 800.002.695-1, que dentro del término de los CUATRO (4) MESES siguientes a la ejecutoria de la presente decisión, dé cumplimiento a las siguientes instrucciones: • La sociedad INSTITUTO TRIANGULO S.A. deberá revisar que en todos sus establecimientos de comercio se solicite, para la recolección de datos, la autorización previa, autorización expresa e informada a los Titulares, ya sean aspirantes a estudiantes, estudiantes, proveedores, candidatos para un cargo, empleados, etc., para el Tratamiento de sus datos personales, así como deberá conservar soporte o documento que evidencie que el consentimiento del Titular fue otorgado previo al Tratamiento. • La sociedad INSTITUTO TRIANGULO S.A. deberá garantizar que los Titulares al otorgar su autorización previa, expresa e informada para el Tratamiento de sus datos personales, efectivamente cuenten con la opción de manifestar o seleccionar su consentimiento en el mecanismo adoptado por la sociedad INSTITUTO TRIÁNGULO S.A. para solicitar la autorización de los Titulares.

Adicionalmente, en particular, respecto de los datos sensibles o de los datos de niños, niñas y adolescentes, deberá informar a los Titulares que es facultativo responder a las preguntas que sean formuladas sobre esta clase de datos. • La sociedad INSTITUTO TRIANGULO S.A. deberá revisar que las finalidades del Tratamiento que informa a los Titulares sean exclusivamente para finalidades específicas y en caso de que no sea así, deberá actualizar en los documentos correspondientes, las finalidades del Tratamiento para que cumplan con este objetivo de se específicas. • La sociedad INSTITUTO TRIANGULO S.A. deberá abstenerse de recolectar datos personales que no sean estrictamente necesarios para las finalidades del Tratamiento informadas a los Titulares, a fin de evitar la vulneración de derechos de los Titulares al recolectar datos adicionales que sean innecesarios para las finalidades establecidas. • La sociedad INSTITUTO TRIANGULO S.A. deberá adoptar las medidas necesarias, útiles y efectivas para garantizar que en el Tratamiento de la información de los Titulares se garanticen los principios de acceso y circulación restringida y de seguridad, de los literales f) y g) del artículo 4 de la Ley 1581 de 2012. • La sociedad INSTITUTO TRIANGULO S.A. deberá revisar y garantizar que en todos sus establecimientos de comercio se dé cumplimiento al régimen general de protección de datos personal previsto en la Ley 1581 de 2012 y las normas que la complementan, adicionan o modifican.

PARÁGRAFO PRIMERO: La sociedad INSTITUTO TRIANGULO S.A., identificada con NIT 800.002.695-1, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los CINCO (5) DÍAS hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.

Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la entidad sin ánimo de lucro.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad INSTITUTO TRIANGULO S.A., identificada con NIT 800.002.695-1, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad INSTITUTO TRIANGULO S.A., identificada con NIT 800.002.695-1, a través de su representante legal, entregándole copia de esta e informándole que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO CUARTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co HOJA Nº “Por la cual se impone una sanción y se imparten unas órdenes ” - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá, de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 29 ABRIL 2022 El Director de Investigación de Protección de Datos Personales, Firmado digitalmente CARLOS ENRIQUE por CARLOS ENRIQUE SALAZAR MUNOZ SALAZAR Fecha: 2022.04.29 MUNOZ 18:47:13 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LACA Revisó: AMVJ Aprobó: CESM NOTIFICACIÓN: Empresa: INSTITUTO TRIANGULO S.A. Identificación: NIT 800.002.695-1 Representante Legal: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Identificación: C.C. No. xxxxxxxxxxx Dirección: Calle 67 No. 14A – 29 Ciudad: Bogotá Correo electrónico: fpareja05@gmail.com