(17 NOVIEMBRE 2021) “Por la cual se resuelve un recurso de reposición” Radicación 18-272578 VERSIÓN ÚNICA EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y
CONSIDERANDO
PRIMERO: Que, mediante Resolución N°.47226 del 28 de julio de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió imponer una sanción pecuniaria a la sociedad BIMBO DE COLOMBIA S.A. identificada con el NIT. 830.002.366-0, de CIENTO OCHO MILLONES NOVECIENTOS VEINTICUATRO MIL PESOS M/CTE. ($108.924.000) equivalente a TRES MIL UNIDADES DE VALOR TRIBUTARIO VIGENTES (3000 UVT), por el incumplimiento de los deberos establecidos en el literal j) del artículo 17 de la Ley 1581 de 2012.
SEGUNDO: Que con ocasión a las quejas presentadas por los señores JOSE ORLANDO HERRERA CARRERO y WILSON ZAMUDIO GONZÁLEZ este Despacho decidió iniciar investigación administrativa mediante Resolución N°.29637 del 22 de julio de 2019, contra la sociedad BIMBO DE COLOMBIA S.A. con NIT. 830.002.366-0 por la presunta contravención de: (i) El literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015 (ii) El literal j) del artículo 17 de la Ley 1681 de 2012 en concordancia con el artículo 15 de la ley en cita, y, (iii) El literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal a) y c) del artículo 4 de la Ley en cita, los artículos 2.2.2.25.3.2 y 2.2.2.25.3.3 del Decreto único Reglamentario 1074 de 2015.
TERCERO: Que la Resolución N°. 47226 del 28 de julio de 2021 fue notificada a la sociedad por medio de aviso N°. 18216 el 09 de agosto de 2021, así mismo, se comunicó a los titulares el 29 de julio de 2021, según consta en certificación de la Secretaria General Ad-hoc, visible en el expediente con radicado N°18-272578-34 de 09 de agosto de 2021.
CUARTO: Que mediante comunicación recibida el 23 de agosto de 2021, con número de radicado 18-272578-00035-0001, la sociedad BIMBO DE COLOMBIA S.A., interpuso recurso de reposición y en subsidio de apelación contra la resolución aludida, manifestando lo siguiente: 4.1. Manifestó que, de acuerdo con la Resolución de apertura, el cargo tercero formulado se relaciona con la presunta vulneración al deber que la investigada ostenta en su condición de responsable del tratamiento de datos, de garantizar al titular en todo tiempo el pleno y efectivo derecho de habeas data, sin perjuicio de lo anterior, la Superintendencia de Industria y Comercio mediante Resolución 47226 del 28 de julio de 2021, impuso una orden administrativa en relación con los avisos de privacidad dispuestos en las instalaciones físicas de la Compañía, ordenando a la sociedad BIMBO DE COLOMBIA S.A que implementara los requisitos mínimos establecidos en el artículo 2.2.2.25.3.3 del Decreto 1074 de 2015. 4.2.
Señaló que la conclusión de tercer cargo impuesto carece de fundamentación en la medida en que el hecho de que el aviso, no cuente con los requisitos mínimos del artículo “Por la cual se resuelve un recurso de reposición ” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” 2.2.2.25.3.3 del Decreto 1074 de 2015, no implica que la sociedad BIMBO DE COLOMBIA S.A infringiera su deber de garantizar el ejercicio del derecho de habeas data. 4.3.
Adicionalmente indicó que la orden, no está relacionada con la garantía del derecho de habeas data, sino como un elemento supletivo a la disposición de la política de datos. 4.4. Argumentó que el aviso es una medida supletiva y no obligatoria para la sociedad investigada, y, en consecuencia, no se debe reprochar a quienes libremente decidan optar por poner en conocimiento la política de tratamiento, en vez de publicar un aviso de privacidad, y que la sociedad informó la Política de Protección de Datos personales, a través de mecanismos idóneos implementados en el curso ordinario de interacción con los titulares, tal como expresó en la respuesta al requerimiento de información, radicada ante la Superintendencia de Industria y Comercio el 12 de abril de 2019. 4.5.
De igual forma indicó, que desplegó diferentes avisos y comunicaciones en sus instalaciones y distintos comunicados informando la existencia de políticas de tratamiento de la información en su pagina web www.bimbo,com,co; y dio a conocer los avisos y las políticas de privacidad del Grupo Bimbo a través de la pagina web www.bimbo.com, en ese sentido, Bimbo sí puso en conocimiento la política de tratamiento de datos personales, y como responsable del tratamiento, que tiene las dos alternativas presentadas por la ley, acreditó ante esta Superintendencia que la política de tratamiento de datos había sido dada a conocer a los titulares de distintos mecanismos. 4.6.
Insistió que, a pesar de la inconformidad de la sociedad investigada con la orden administrativa, BIMBO DE COLOMBIA S.A seguirá tomando las medidas que sean necesarias para promover y seguir cumpliendo el régimen de protección de datos e iniciará los procedimientos para realizar las modificaciones de los avisos correspondientes para incluir lo mencionado en el artículo 2.2.2.25.3.3 del Decreto 1074 de 2015. 4.7.
Reiteró que BIMBO DE COLOMBIA S.A tiene compromiso permanente, tanto directa como a través de sus subsidiaria, matrices y partes relacionadas, de cumplir completamente con las leyes y regulaciones de las autoridades colombianas y que ha cooperado totalmente con la Superintendencia de Industria y Comercio al proporcionar toda la información disponible y responder a todas las consultas y que ha tomado medidas internas adicionales para continuar cumplimiento con el régimen de protección de datos. 4.8.
Informó que la compañía ha reforzado y tomado las medidas correctivas necesarias para que todo el personal de BIMBO DE COLOMBIA S.A, esté en la capacidad de redireccionar las quejas, peticiones y reclamos, independientemente del canal a través del cual se reciban para que así sean debidamente atendidas por las personas designadas por la compañía, también indica que la sociedad sancionada continua cumpliendo y reforzando el proceso interno de dichos tramites, para que se garantice a los titulares de los datos que pueden solicitar información sobre el tratamiento de sus datos, quién es el responsable, sobre las autorizaciones que han otorgado, así como la modificación, corrección o supresión de sus datos. 4.9.
Solicita que se reconsidere la decisión frente a la orden administrativa impuesta mediante Resolución 47226 de 2021.
QUINTO: ANÁLISIS DEL CASO Previa verificación del cumplimiento de los requisitos contemplados en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, procede este Despacho a estudiar los argumentos de la sociedad BIMBO DE COLOMBIA S.A expuestos mediante recurso de reposición y en subsidio apelación, bajo las siguientes consideraciones: 5.1.
Respecto del Derecho de Habeas Data de los Titulares y la orden impartida. En relación con el recurso presentado, la sociedad sancionada manifestó que, de acuerdo con la Resolución de apertura, el cargo tercero formulado se relaciona con la presunta vulneración al deber que la investigada ostenta en su condición de responsable del tratamiento de datos, de garantizar al titular en todo tiempo el pleno y efectivo derecho de habeas data, sin perjuicio de lo “Por la cual se resuelve un recurso de reposición ” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” anterior, la Superintendencia de Industria y Comercio mediante Resolución 47226 del 28 de julio de 2021, impuso una orden administrativa en relación con los avisos de privacidad dispuestos en las instalaciones físicas de la Compañía, ordenando a la sociedad BIMBO DE COLOMBIA S.A que implementara los requisitos mínimos establecidos en el artículo 2.2.2.25.3.3 del Decreto 1074 de 2015; por lo tanto solicita que se reconsidere la decisión frente a la orden administrativa impuesta mediante Resolución No. 47226 de 2021.
En primer lugar, considera este Despacho importante aclarar que en la resolución N° 29637 del 22 de julio de 2019, mediante la cual se resolvió iniciar investigación administrativa contra la sociedad BIMBO DE COLOMBIA S.A., se explicó claramente el motivo por el cual se encontró una presunta violación al deber contemplado en el a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal a) y c) del artículo 4 de la Ley 1581 de 2012 y con los artículos 2.2.2.25.3.2 y 2.2.2.25.3.3 del Decreto Único Reglamentario 1074 de 2015 que señalan lo siguiente: “Por la cual se resuelve un recurso de reposición ” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” Toda vez que, en la explicación del cargo, se indicó claramente que la presunta conducta violatoria al deber de Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data, era por las falencias encontradas en los avisos de privacidad, que alertan el sistema de videovigilancia adoptado por la investigada.
De acuerdo con lo expuesto, esta Dirección no comparte el argumento presentado por la sociedad investigada respecto a que la orden de ajustar los avisos de privacidad, “( ) no está relacionada con la garantía del derecho de hábeas data, sino con un elemento supletivo a la puesta a disposición de la política de protección de datos ( )”, pues como bien se indicó en la construcción del cargo, dicha conducta fue la que se encontró infringida y desde que se le notificó la apertura de la investigación a BIMBO DE COLOMBIA S.A. conoció perfectamente los motivos que dieron origen a la investigación. Ahora bien, superada la discusión anterior, es pertinente reiterar el porqué el derecho de habeas data se puede ver afectado si los Responsables y Encargados del Tratamiento, no implementando las medidas y procedimientos correctos, que le permitan a los titulares conocer las finalidades del tratamiento de sus datos personales.
De esta manera, se trae nuevamente a colación los pronunciamientos de la Corte Constitucional respecto a las prerrogativas de del de derecho de habeas data: “De conformidad con la jurisprudencia de esta Corporación, dentro de las prerrogativas – contenidos mínimos- que se desprenden de este derecho encontramos por lo menos las siguientes: (i) el derecho de las personas a conocer –acceso- la información que sobre ellas están recogidas en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información;
(ii) el derecho a incluir nuevos datos con el fin de se provea una imagen completa del titular; (iii) el derecho a actualizar la información, es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada o corregida, de tal manera que concuerde con la realidad;
(v) el derecho a excluir información de una base de datos, bien por que se está haciendo un uso indebido de ella, o por simple voluntad del titular –salvo las excepciones previstas en la normativa.” En este sentido, y teniendo claro los derechos que le asisten a los titulares de la información, y por los cuales se expidieron todas las normas y principios que reúnen el Régimen General de Protección de Datos Personales, es que cada una de las prerrogativas contempladas en el Capítulo 25 del Decreto Reglamentario 1074 de 2015, van encaminadas a la protección efectiva del derecho, motivo por el cual no se puede desligar el objetivo principal de la implementación de las políticas de tratamiento de la información como un hecho aislado del sentido general de la toda la normatividad.
Así las cosas y tal como el mismo deber lo contempla, el garantizar al titular en todo tiempo, el pleno y efectivo derecho de habeas data, no solo hace referencia a que no se presente una violación directa y flagrante a su derecho, como lo es no contar con el consentimiento o no atender su solicitud de supresión o de conocer que información se encuentra en una base de datos, pues también se entiende que las medidas y procedimientos implementados por los Responsables y Encargados del Tratamiento, deben garantizar al Titular de la información, el libre acceso y conocimiento de la finalidad, uso y derechos con los que cuenta respecto al tratamiento realizado de sus datos personales, por lo cual el contar con una política de tratamiento de la información y con los avisos de privacidad que cumplan con los mínimos exigidos, si tiene una relación directa con el deber contemplado en el literal a) del artículo 17 de la Ley 1581 de 2012.
“Por la cual se resuelve un recurso de reposición ” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” De otra parte, le asiste la razón al recurrente cuando afirma que el aviso de privacidad es una medida supletiva, no obstante, si el Responsable del Tratamiento decide implementarlo deberá cumplir los mínimos legales exigidos por el Decreto, pues como bien lo indica la norma “En los casos en los que no sea posible poner a disposición del Titular las políticas de tratamiento de la información ( )”, se deberá implementar un aviso de privacidad, en el cual; no solo porque los requisitos mínimos lo indiquen, sino porque es la razón principal de su adopción, que se deberá informar donde se puede tener acceso a la política de tratamiento, requisito que tal como se demostró en la Resolución N°.47226 del 28 de julio de 2021, no se evidenció en las imágenes del aviso dispuesto por la sociedad BIMBO DE COLOMBIA S.A. Sumado a lo anterior, si bien es cierto que el aviso de privacidad no es obligatorio en la medida en que la Política de Tratamiento de la Información esté dispuesta para la consulta de cada uno de los titulares, en independientemente de que esta haya sido “( ) debidamente informada a los titulares de los Datos a través de mecanismos idóneos implementados en el curso ordinario de interacción con los titulares como la solicitud de información a través de formularios durante los procesos de contratación de colaboradores y procesos de conocimiento de clientes y proveedores, así como los diferentes contratos suscritos por Bimbo ( )”, la investigada no puede demostrar que todas las personas que son captadas por su sistema de video vigilancia, hayan suscrito un contrato o un formulario en el cual se le ponga de presente las Políticas de Tratamiento de la Información y se les haya indicado el lugar donde están disponibles.
Es por ello que reviste de tal importancia el indicar el lugar donde pueden ser consultadas sus políticas en cada uno de los avisos de privacidad implementados. Así las cosas, este Despacho no reconsiderara los motivos que dieron origen a la orden impuesta mediante la Resolución N°.47226 del 28 de julio de 2021. No obstante, se procederá a revisar las pruebas allegadas en la sede de este recurso para determinar si se entiende cumplida la orden impartida. 5.2 Acreditación de la orden impartida mediante la Resolución 47226 del 28 de julio de 2021.
Al respecto la Sociedad BIMBO DE COLOMBIA S.A. mediante comunicación recibida el 23 de agosto de 2021, indicó lo siguiente: “A pesar de la inconformidad de Bimbo con la orden administrativa, Bimbo seguirá tomando las medidas que sean necesarias para promover y seguir cumpliendo el régimen de protección de datos. En este sentido, a continuación, se muestra el aviso original, así como la transcripción del texto del nuevo aviso, que cumple con todos los elementos mínimos requeridos conforme al artículo 2.2.2.25.3.3 del Decreto 1074 de 2015.
( ) El nuevo aviso tendrá el siguiente texto: Autorización de Registro de Datos Personales para Ingreso Bimbo Colombia S.A. (“Bimbo”) [como responsable del tratamiento de los datos personales] informa que por razones de seguridad y vigilancia, una vez ingrese a las instalaciones de Bimbo su imagen, nombre, cédula y huella digital serán registrados por nuestros sistemas de control de acceso y seguridad, para su posterior archivo, monitoreo y transmisión a terceros en Colombia o en el exterior, tales como compañías afiliadas y proveedores de servicios de seguridad.
El propósito de esta recolección y tratamiento es garantizar la seguridad de nuestras instalaciones y de las personas que las visitan, mediante la identificación de aquellas personas que ingresan a las mismas. La anterior información solo será divulgada a las autoridades médicas o policiales en caso de siniestro y en ningún caso serán usadas o compartidas con otro propósito.
Mediante su ingreso a la sede de Bimbo CEDI Tenjo, usted manifiesta que ha leído y que entiende el alcance de este documento, y que autoriza a Bimbo de manera inequívoca para que realice el mencionado tratamiento de sus datos personales. En relación con sus datos personales que son objeto de esta autorización, usted tendrá derecho a: (i) Conocer, actualizar y rectificar sus datos personales.
“Por la cual se resuelve un recurso de reposición ” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” (ii) Solicitar prueba de su autorización. (iii) Obtener información sobre el uso que se ha dado a sus datos personales. (iv) Presentar quejas ante la autoridad competente por violaciones al régimen de protección de datos personales.
(v) Solicitar la supresión de sus datos personales o la revocación de su autorización. (vi) Acceder de forma gratuita sus datos personales. Cualquier consulta, reclamo o queja relativa al tratamiento de sus datos personales, favor comunicarla al correo electrónico silvia.rueda@grupobimbo.com. [Bimbo pone a su disposición la Política de Tratamiento de datos personales a través de su página web.
Consulte nuestra política de protección de datos en: https://www.bimbo.com.co/es/politicasdeprivacidad#:~:text=De%20acuerdo%20con%20la%20Ley,la%20Compa%C3 %B1%C3%ADa%20o%20los%20Encargados.&text=Solicitar%20acceso%20 y%20acceder%20en,hayan%20sido%20objeto%20de%20Tratamiento.] Dado que se trata de una propiedad de carácter privado, Bimbo se reserva el derecho de admisión a quien no está de acuerdo con la autorización aquí contemplada.
En todo caso, Bimbo iniciará los procedimientos para realizar las modificaciones de los avisos correspondientes para incluir lo mencionado en el artículo 2.2.2.25.3.3 del Decreto 1074 de 2015” Luego de la revisión del aviso de privacidad antes señalado, este Despacho considera que si bien cuenta con los requisitos mínimos contemplados en el 2.2.2.25.3.3 del Decreto 1074 de 2015, como bien lo indica la investigada, el avisó aún no se ha implementado y por tal motivo esta dirección no puede determinar que la sociedad BIMBO DE COLOMBIA S.A., dio cumplimiento a la orden impartida en el artículo segundo de la parte resolutiva de la Resolución N°. 47226 del 28 de julio de 2021.
No obstante, es pertinente indicar que el tiempo establecido para acreditar en debida forma el cumplimiento de la orden impartida son quince (15) días hábiles siguientes, contados a partir de la ejecutoria de la Resolución N°. 47226 del 28 de julio de 2021, por lo cual la investigada aun cuenta con el plazo para dar el respectivo cumplimiento.
SEXTO: CONCLUSIONES Sin perjuicio de lo ya expresado no se accederá a las pretensiones de la recurrente por las siguientes razones: 1) El recurrente no logró desvirtuar el motivo por el cual esta Dirección impartió la orden de “implementar los requisitos mínimos establecidos en el artículo 2.2.2.25.3.3 del Decreto 1074 de 2015 en los avisos de privacidad dispuesto en las instalaciones físicas del a sociedad”. 2) Pese a que allegó el nuevo texto del aviso de privacidad, la sociedad BIMBO DE COLOMBIA S.A., no acreditó la implementación del mismo, ni aportó las pruebas necesarias que demuestren la adopción e implementación.
SÉPTIMO: Que, analizadas todas las cuestiones planteadas, se encuentra que no fueron desvirtuados los argumentos que fundamentaron la resolución impugnada y teniendo en cuenta lo dispuesto por el artículo 80 del Código de procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho revocará parcialmente la decisión contenida en la Resolución Nº. 47226 del 28 de julio de 2021 y en consecuencia se procederá a confirmar el monto de la sanción con base a lo expuesto en la parte motiva de la presente resolución.
DÉCIMO: Que como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.
“Por la cual se resuelve un recurso de reposición ” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad BIMBO DE COLOMBIA S.A. identificada con el NIT. 830.002.366-0, esta Dirección ha concedido el acceso al presente Expediente digital por intermedio de su apoderado, vinculado al correo electrónico de notificación judicial de la sociedad jlaverde@bu.com.co, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.
Finalmente, indicando que la totalidad del Expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad investigada considera estrictamente necesario el acceso del Expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.
Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. En mérito de lo anterior, esta Dirección
RESUELVE
ARTÍCULO PRIMERO: CONFIRMAR íntegramente la Resolución N°. 47226 del 28 de julio de 2021 por las razones expuestas en la parte motiva de este acto administrativo.
ARTÍCULO SEGUNDO: CONCEDER el recurso de apelación interpuesto subsidiariamente por el recurrente y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.
ARTÍCULO TERCERO: NOTIFICAR personalmente la presente decisión a la sociedad BIMBO DE COLOMBIA S.A. identificada con el NIT. 830.002.366-0 en calidad de recurrente, a través de su representante legal y/o apoderado, entregándole copia de este acto administrativo.
ARTICULO CUARTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co -Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 17 NOVIEMBRE 2021 El Director de Investigación de Protección de Datos Personales, Firmado digitalmente por ENRIQUE SALAZAR CARLOS ENRIQUE CARLOS MUÑOZ SALAZAR MUÑOZ Fecha: 2021.11.17 11:27:19 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: YLAC Revisó: AMCC Aprobó: CESM “Por la cual se resuelve un recurso de reposición ” incorporan pruebas dentro de una investigación y se decreta de oficio la práctica de otras ” NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: BIMBO DE COLOMBIA S.A. NIT. 830.002.366-0 FRANCISCO JAVIER FUENTE CASTAÑEDA C.E. 1205153 Calle 22 A # 68 -97 Bogotá D.C notificacionesjudicialescolombia@grupobimbo.com Apoderado: Identificación: Dirección: Ciudad: Correo electrónico: JUAN NICOLÁS LAVERDE GARZÓN1 C.C. 80.088.300 Calle 70 Bis n.° 4-47 Bogotá D,C. jlaverde@bu.com.co; 1 18-272578-00017 Pag. 23 y 24