Sanción 47226 de 2021 — SIC

(28 JULIO 2021) “Por la cual se impone una sanción y se imparte una orden administrativa” Radicación 18-272578 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad BIMBO DE COLOMBIA S.A. identificada con el NIT. 830.002.366-0, por lo que decidió iniciar investigación administrativa en consideración a los siguientes hechos: 1.1 Que mediante denuncia presentada en 23 de octubre de 2018 el señor XXXX XXXXXXX XXXXXXX XXXXXXX manifestó que el “(…) El día 13 de agosto del presente año, radiqué a la empresa Bimbo de Colombia S.A, (…) pidiendo nos den contestación de forma clara, definitiva, sin dilación alguna y ajustándose a la norma lo siguiente: 1 ¿Qué finalidad tiene cada una de las cámara instaladas en Bimbo Colombia S.A. S. ¿Quién es el responsable del tratamiento de los datos personales que la Ley 1581 del 2012 ? 3.

Porque si debe haber confidencialidad de los datos señores jefes de planta tienen acceso a las imágenes de estas cámaras sin previo consentimiento del titular? (…). 1.2 De igual manera, el denunciante manifestó que (…) La empresa mencionada anteriormente no se ha dignado a responder este derecho de petición, el cual ya vencieron los términos legales para que dieran contestación (…)”. 1.3 Así mismo, el día 24 de octubre de 2018, fue radicada ante esta Superintendencia la denuncia impuesta por el señor XXXXXX XXXXXXX XXXXXXXX mediante la cual manifestó que “(…) el pasado 14 de agosto radique (sic) un derecho de petición a la empresa BIMBO de COLOMBIA S.A. la cual a la fecha no he recibido ninguna respuesta, en el derecho de petición (…) pue viendo la forma tan abrupta y salvaje como instalan cámaras de video y vigilancia en la planta uno de Tenjo de la Empresa (…) y que hasta la fecha no sabemos quién es el responsable del tratamiento de nuestros datos personales (…)”.

SEGUNDO: Que en desarrollo de la etapa preliminar mediante el oficio radicado bajo el n.°18272578- 6, este Despacho requirió a la sociedad BIMBO DE COLOMBIA S.A., para que se manifestara de los hechos de las denuncias, y para que informara como implementó las disposiciones de la Ley 1581 de 2012 en la compañía.

TERCERO: Que, con base en los hechos anotados, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, mediante Resolución n.° 29637 del 22 de julio de 2019, la Dirección de Investigación de Protección de Datos Personales resolvió iniciar investigación administrativa contra la BIMBO DE COLOMBIA S.A. identificada con el NIT. 830.002.366-0, por presuntas infracciones a las normas de protección de datos personales contenidas en la Ley 1581 de 2012, específicamente a los deberes establecidos en: (i) El literal b) del artículo 17 en concordancia con el literal c) del artículo 4 y del artículo 9 de la Ley 1581 de 2012 así como el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015;

HOJA, “Por la cual se impone una sanción y se imparte una ordene administrativa ” (ii) El literal j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 de la Ley 1581 de 2012. (iii) El literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal a) y c) del artículo 4 de la Ley 1581 de 2012., con el fin de que se pronunciara sobre los hechos materia de investigación. La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

CUARTO: Que mediante escrito radicado n.°18-272578 - 00017 el 16 de agosto del 2019, la sociedad BIMBO DE COLOMBIA S.A., presentó descargos, mediante los cuales aportó pruebas y manifestó lo siguiente: 4.1 Respecto al primer cargo la sociedad investigada citó nuevamente apartes de la respuesta emitida a este Despacho dentro de la etapa preliminar de esta investigación allegada el día 12 de abril de 2019 que señala lo siguiente: De igual manera señaló, que este Despacho incurrió en imprecisiones y falta de claridad, puesto que dentro de la Resolución n.° 29637 del 22 de julio de 2019, no se explicaron las razones por las cuales se consideró que los “(…) los mecanismos utilizados por la Compañía, (…) no sienta con validez suficiente para entender que no se está ante una transgresión de la obligación contenida en el artículo 9 de la Ley 1581 de 2012 (…)”, por tal motivo aseguró, que no puede ejercer su derecho de defensa toda vez que “(…) no es posible extraer la motivación de la SIC para formularlo (…)” “(…) 1.

Las imputaciones en contra de Bimbo contenidas en el Cargo Primero adolecen de insuficiente motivación que afecta el derecho de la defensa y el debido proceso que le asiste a la compañía. (…) 2. La aplicación del mecanismo previsto en el artículo 2.2.2.25.2.7 si era procedente en el caso del Tratamiento de los datos personales de los señores xxxxxxx xxxxxxx x xxxxxxx xxxxx (…)1”.

No obstante, la investigada manifiesta que en su momento se acogió al mecanismo de transición dispuesto en el artículo 2.2.2.25.2.7 del Decreto 1074 de 2015, y por ende adoptó un mecanismo alterno para adquirir la autorización de los datos alojados en sus bases de datos antes de la entrada en vigencia de la Ley 1581 de 2012. Así las cosas, la sociedad BIMBO DE COLOMBIA S.A., el 26 de julio de 2013 realizó una publicación en el Diario la República, en el cual informaba la finalidad del tratamiento de la información personal de los Titulares. 4.2 Que, respecto al cargo segundo, la investigada afirmó que este Despacho no hizo un análisis para determinar si se trataba de un reclamo dirigido a garantizar el derecho de habeas data.

Además, señala que las peticiones no fueron presentadas por los señores XXXXXXX XXXXXXX X XXXXXXX XXXX, y no se les dio trámite porque se presentó a un correo distinto al adecuado para atender asuntos en materia de Política de Tratamiento de Datos Personales. Justamente, se puede inferir que quieren pasar el derecho de petición como reclamo. 1 Disponible en: Radicado 18272578 – 00017.

Páginas. 1 al 5. HOJA, “Por la cual se impone una sanción y se imparte una ordene administrativa ” 4.3 Que las preguntas que fueron formuladas en las peticiones presentadas no buscaban la corrección, actualización o supresión de los datos personales. Además agrega, que las peticiones fueron presentadas en virtud del artículo 23 de la constitución, por lo que este Despacho debe tener en cuenta que las misivas no fueron presentada en aras de ejercer su derecho de habeas data, sino en ejercicio del derecho fundamental de petición. 4.4 Que las peticiones de los titulares no fueron los suficientemente claras motivo por el cual señaló lo siguiente: Por otro lado, la investigada señaló que el 15 de agosto de 2019, posteriormente, atendió las peticiones presentadas por los denunciantes.

Finalmente indicó, que: 4.5 Respecto al cargo tercero, manifestó que “(…) El primer error en que incurre la SIC para formular el cargo tercero consiste en su percepción sobre el avance del Aviso de Privacidad (…) De ninguna manera, la Ley 1581 o su reglamentación obligan a los Responsables del Tratamiento como Bimbo a implementar un Aviso de Privacidad (…) otro error en el que incurre la SIC para la formulación de su cargo es asumir de plano que los cinco (5) avisos adicionales ubicados en cada una de las plantas informando del sistema de videovigilancia sean Avisos de Privacidad en los términos del Decreto 1074, puesto que la sociedad instaló un aviso en el punto de ingreso a las plantas Tenjo 1 y Tenjo 2, los cuales cumplían con los requisitos exigidos en el Decreto 1074 de 2015. 4.6 De igual manera señaló que: HOJA, “Por la cual se impone una sanción y se imparte una ordene administrativa ” 4.7 Finalmente, solicita que se exonere de toda responsabilidad a BIMBO COLOMBIA S.A. o, subsidiariamente, se le imponga la sanción más baja posible.

QUINTO: Que, mediante la Resolución 49163 del 25 de septiembre de 2019, Se decretaron las pruebas que se consideraron necesarias para el perfeccionamiento del a investigación y se incorporaron las siguientes pruebas: Incorporadas: 5.1 Denuncia de Titular junto con anexos, de fecha 23 de octubre de 20182 5.2 Complemento de denuncia de Titular junto con anexos, de fechas de 23 de octubre de 2018 3 5.3 Memorial de impulso procesal, de fecha 20 de diciembre de 20184 5.4 Documento “derecho de petición aclaración de datos personales SIC radicado N°. 18 273686- 000 el día 24 de octubre de 2018 acumulado en la presente actuación administrativa5. 5.5 Comunicación a Titular Denunciante, de fecha 28 de marzo de 20196 5.6 Escrito de descargos presentado por parte de la sociedad BIMBO DE COLOMBIA S.A. radicado el día 16 de agosto de 20197 5.7 Respuesta de requerimiento a terceros bajo el radicado N°. 18272578 – 00007-00018 5.8 Anexo 1.

Poder y Certificado de Existencia y Representación Legal de la sociedad investigada. 20199 2 Disponible en: Radicado 18272578 - 00001. Páginas. 1 a 3. 3 Disponible en: Radicado 18272578 - 0000100002. Pág. 1. 4Disponible en: Radicado 18272578 - 0000200001. Pág. 1 5Disponible en: Radicado 18-272578 - 00004 0001. Pág. 1 6 Disponible en: Radicado 18272578 - 0000500001.

Pág. 1 7 Disponible en: Radicado 18272578 - 00017. Páginas. 1 al 20. 8 Disponible en: Radicado 18272578 – 00007 – 00001. Páginas 1 al 7. 9 Disponible en: Radicado 18272578 – 00007 – 00001. Páginas 8 al 20. HOJA, “Por la cual se impone una sanción y se imparte una ordene administrativa ” 5.9 Anexo 2. Copia de Respuesta a requerimiento de información otorgada por parte de la sociedad investigada10 5.10 Anexo 3.

Copia de publicación de la sociedad investigada en diario sin fecha y sin nombre11. 5.11 Anexo 4. Copia de documento “informe sobre implementación de mecanismo alternos, de conformidad con el artículo 10 del Decreto 1377 de 201312. 5.12 Anexo 5. Copias de derecho de petición sobre finalidad de las cámaras de video suscritos por los titulares, recibidos los días 16 de agosto de 2018 y 13 de agosto de 2018 13 5.13 Anexo 6.

Impresión de documento de fecha 12 de abril de 2019 14. 5.14 Anexo 7. Copia de documento “Autorización de Registro de Datos Personales para ingreso15. 5.15 Anexo 8. Constancia Publicación en el Diario La República de la Política de Tratamiento de Información16. 5.16 Anexo 9. Certificación del Área de Recurso Humanos sobre el Texto de la Cláusula de Confidencialidad 17.

Decretadas: 5.17 Que la sociedad Bimbo deberá acreditar que los datos de los denunciantes fueron recolectados con anterioridad al 27 de junio de 2013. 5.18 Deberá informar y acreditar la fecha de implementación de los avisos de privacidad dispuestos por la compañía.

SEXTO: Que la sociedad investigada por medio del comunicado radicado bajo el número 18272578-0024 del 10 de octubre de 2019, allegó las pruebas solicitadas mediante la Resolución 49163 del 25 de septiembre de 2019 las cuales se enumeran a continuación: 6.1 Certificado de vinculación de los denunciantes fechado el 8 de octubre de 2019, firmado por el gerente general y gerente de personal de la investigada. 6.2 las facturas de los proveedores que elaboraron los avisos de privacidad.

SÉPTIMO: Que por medio del oficio radicado bajo el número 18-272578-0026 del 25 de noviembre de 2019, esta Dirección corrió traslado del expediente a la investigada para que presentara alegatos de conclusión, sin embargo, la sociedad BIMBO COLOMBIA S.A. guardó silencio frente a la oportunidad procesal.

OCTAVO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley. 10 Disponible en: Radicado 18272578 – 00007 – 00001. Páginas 21 al 25. 11 Disponible en: Radicado 18272578 – 00007 – 00001.

Páginas 26 al 46. 12 Disponible en: Radicado 18272578 – 00007 – 00001. Páginas 46 al 216. 13 Disponible en: Radicado 18272578 Archivo electrónico. 14 Disponible en: Radicado 18272578 – 00007 – 00001. Páginas 106 al 204. 15 Disponible en: Radicado 18272578 – 00007 – 00001. Páginas 205 al 222. 16 Disponible en: Radicado 18272578 – 00007 – 00001.

Páginas 212 al 213. 17 Disponible en: Radicado 18272578 – 00007 – 00001. Páginas 212 al 213. HOJA, “Por la cual se impone una sanción y se imparte una ordene administrativa ”

NOVENO: Análisis del caso 9.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 201118, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El en el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9 de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, (ii) El literal j) del artículo del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 de la ley en cita, y, (iii) El literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal a) y c) del artículo 4 de la Ley en cita los artículos 2.2.2.25.3.2. y 2.2.2.25.3.3 del Decreto Único Reglamentario 1074 de 2015, de conformidad con lo establecido en la parte motiva de la presente resolución. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por los denunciantes, así como el conjunto de pruebas allegadas al expediente. 9.2 Valoración probatoria A continuación, se analizarán los cargos formulados a la sociedad investigada, así como el acervo probatorio que obra en el expediente, para establecer si se presentó, o no, una infracción al Régimen de Protección de Datos Personales. 9.2.1.

Respecto al deber de solicitar y conservar copia de la autorización para el Tratamiento de los datos personales de los Titulares En primer lugar, frente al primer cargo, sobre el particular, este Despacho considera pertinente señalar que la Constitución Política reconoce el derecho de las personas a decidir libremente frente al uso de la información que sobre ellas se haya recogido en banco de datos o archivos de entidades públicas o privadas.

El artículo en cuestión señala lo siguiente: “ARTÍCULO 15. Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas.

En la recolección, Tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución” (Subrayado fuera del texto original). La Corte Constitucional ha tenido la oportunidad de definir el derecho al habeas data o autodeterminación informativa de la siguiente manera: “[e]l derecho fundamental al habeas data, es aquel que otorga la facultad al Titular de datos personales, de exigir a las administradoras de datos personales el acceso, inclusión, exclusión, 18 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

HOJA, “Por la cual se impone una sanción y se imparte una ordene administrativa ” corrección, adición, actualización, y certificación de los datos, así como la limitación en las posibilidades de divulgación, publicación o cesión de los mismos, conforme a los principios que informan el proceso de administración de bases de datos personales”19.

De igual manera, en Sentencia T-987 de 2012, la Sala Novena de Revisión de la Corte Constitucional agregó: “la autorización será compatible con el derecho al hábeas data cuando la misma es idónea para garantizar las facultades de conocimiento, actualización y rectificación, al igual que la cláusula general de libertad. Esto significa que el sujeto concernido manifiesta su consentimiento de tratamiento del dato personal (i) para que sea consignado en una base o registro de datos particular e identificable; y (ii) para unas finalidades y usos que son expresos y puestos a consideración del Titular del dato, como condición previa para el otorgamiento de la autorización. Este requisito, por ende, implica que son violatorias del derecho hábeas data aquellas formas de recopilación de información personal que sean secretas o que se fundamenten en desnaturalizar o falsear la voluntad del sujeto concernido para la incorporación del dato personal” (Subrayado fuera del texto original)20.

Como se indicó, se tiene entonces que el derecho al habeas data se concreta en la facultad del Titular de la información de decidir, voluntariamente, que la información sobre sí mismo sea sometida a Tratamiento por parte de terceros. Por ello mismo es que en el literal c) del artículo 4 de la Ley 1581 de 2012 se señala que “[e]l tratamiento sólo puede ejercerse con consentimiento, previo, expreso, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que revele el consentimiento” (Subrayado fuera del texto original). En desarrollo de tal principio, el literal b) del artículo 17 del mismo precepto normativo, establece como un deber de los Responsables del Tratamiento el de “[s]olicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”.

Por consiguiente, en el caso objeto de estudio se encuentra que mediante la Resolución n.° 29637 del 22 de julio de 2019 este Despacho determinó preliminarmente que la sociedad investigada no contaba con la autorización previa expresa e informada de los señores XXXXXX XXXXXXX XXXXXXXX y XXXX XXXXXXX XXXXXXX XXXXXXX, toda vez que no fueron allegadas las pruebas necesarias para determinar que la investigada contaba con el consentimiento de los titulares.

Por otra parte, mediante comunicado allegado por la investigada el 10 de octubre de 2019, manifestó que la información personal de los señores XXXXXX XXXXXXX XXXXXXXX y XXXX XXXXXXX XXXXXXX XXXXXXX, fue recolectada en virtud de la vinculación laboral de dichos titulares con el Responsable del Tratamiento, de esta manera señaló que las fechas de vinculación fueron las siguientes: XXXXXX XXXXXXX XXXXXXXX XXXX XXXXXXX XXXXXXX XXXXXXX 14 de marzo de 1997 12 de enero de 2012 Para el efecto, anexó una certificación del representante legal y el Gerente de Personal de la Compañía que señala lo siguiente: 19 Cfr. Corte Constitucional, Sentencia T-729 de 2002.

M.P. Eduardo Montealegre Lynett. 20 Cfr. Corte Constitucional, Sentencia T-987 de 2012. M.P. Luis Ernesto Vargas Silva. HOJA, “Por la cual se impone una sanción y se imparte una ordene administrativa ” En virtud de lo anterior, esta Dirección encuentra que los datos de los señores XXXXXX XXXXXXX XXXXXXXX y XXXX XXXXXXX XXXXXXX XXXXXXX fueron recolectados antes del 19 de abril de 2013, fecha en la cual entró en vigencia la Ley 1581 de 201221, por lo cual, al realizar el tratamiento de los datos personales, no era necesario contar con el consentimiento previo, expreso e informado del titular, pues solo hasta que entró en vigencia el régimen general para la protección de datos personales (Ley 1581 de 2012), se exigió legalmente que para el tratamiento de dicha información debe contarse con una autorización. Sin embargo, no puede afirmarse que la información recolectada antes de la entrada en vigencia de la ley mencionada no pueda sujetarse a los requisitos impuestos por esta, toda vez que el Decreto 1377 de 201322 en su artículo 1023 estableció que los responsables de la información 21 La Ley 1581 de 2012, fue promulgada el 17 de octubre de 2012 y publicada en el diario oficial el 18 de octubre de 2012, sin embargo, en su artículo 28 se establece un régimen de transición mediante el cual se dio un plazo de hasta seis (6) meses para adecuarse a las disposiciones contempladas en esta ley.

“Por el cual se reglamenta parcialmente la Ley 1581 de 2012 el cual fue compilado por el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo,”. 23 “ARTÍCULO 10. datos recolectados antes de la expedición del presente decreto. Para los datos recolectados antes de la expedición del presente decreto, se tendrá en cuenta lo siguiente: 1.

Los responsables deberán solicitar la autorización de los titulares para continuar con el Tratamiento de sus datos personales del modo previsto en el artículo 7° anterior, a través de mecanismos eficientes de comunicación, así como poner en conocimiento de estos sus políticas de Tratamiento de la información y el modo de ejercer sus derechos. 2.

Para efectos de lo dispuesto en el numeral 1, se considerarán como mecanismos eficientes de comunicación aquellos que el responsable o encargado usan en el curso ordinario de su interacción con los Titulares registrados en sus bases de datos. 3. Si los mecanismos citados en el numeral 1 imponen al responsable una carga desproporcionada o es imposible solicitar a cada Titular el consentimiento para el Tratamiento de sus datos personales y poner en su conocimiento las políticas de Tratamiento de la información y el modo de ejercer sus derechos, el Responsable podrá implementar mecanismos alternos para los efectos dispuestos en el numeral 1, tales como diarios de amplia circulación nacional, diarios locales o revistas, páginas de Internet del responsable, carteles informativos, entre otros, e informar al respecto a la Superintendencia de Industria y Comercio, dentro de los cinco (5) días siguientes a su implementación. Con el fin de establecer cuándo existe una carga desproporcionada para el responsable se tendrá en cuenta su capacidad económica, el número de titulares, la antigüedad de los datos, el ámbito territorial y sectorial de operación del responsable y el mecanismo alterno do comunicación a utilizar, de manera que el hecho de solicitar el HOJA, “Por la cual se impone una sanción y se imparte una ordene administrativa ” podían utilizar los mecanismos dispuestos por la norma para obtener la autorización de los titulares de los datos personales recolectados antes de la entrada en vigencia del decreto.

Es así como, en el acervo probatorio se observa la publicación realizada por la sociedad BIMBO COLOMBIA S.A. el día 26 de julio de 2013, en el Periódico la Republica, la cual señala lo siguiente: De lo anterior se infiere que la investigada, en principio, podía tratar los datos personales de los titulares, toda vez que al realizarse la publicación antes citada dentro del término establecido por el parágrafo del artículo 10 del Decreto 1377 de 2013, y al no haberse solicitado la eliminación de los datos por parte de estos dentro de los treinta (30) días siguientes, la sociedad BIMBO consentimiento a cada uno de los Titulares implique un costo excesivo y que ello comprometa la estabilidad financiera del responsable, la realización de actividades propias de su negocio o la viabilidad de su presupuesto programado.

A su vez, se considerará que existe una imposibilidad de solicitar a cada titular el consentimiento para el Tratamiento de sus datos personales y poner en su conocimiento las políticas de Tratamiento de la información y el modo de ejercer sus derechos cuando el responsable no cuente con datos de contacto de los titulares, ya sea porque los mismos no obran en sus archivos, registros o bases de datos, o bien, porque estos se encuentran desactualizados, incorrectos, incompletos o inexactos. 4.

Si en el término de treinta (30) días hábiles, contado a partir de la implementación de cualesquiera de los mecanismos de comunicación descritos en los numerales 1, 2 y 3, el Titular no ha contactado al Responsable o Encargado para solicitar la supresión de sus datos personales en los términos del presente decreto, el responsable y encargado podrán continuar realizando el Tratamiento de los datos contenidos en sus bases de datos para la finalidad o finalidades indicadas en la política de Tratamiento de la información, puesta en conocimiento de los titulares mediante tales mecanismos, sin perjuicio de la facultad que tiene el Titular de ejercer en cualquier momento su derecho y pedir la eliminación del dato. 5.

En todo caso el Responsable y el Encargado deben cumplir con todas las disposiciones aplicables de la Ley 1581 de 2012 y el presente decreto. Así mismo, será necesario que la finalidad o finalidades del Tratamiento vigentes sean iguales, análogas o compatibles con aquella o aquellas para las cuales se recabaron los datos personales inicialmente.

Parágrafo. La implementación de los mecanismos alternos de comunicación previstos en esta norma deberá realizarse a más tardar dentro del mes siguiente de la publicación del presente decreto”. HOJA 10, “Por la cual se impone una sanción y se imparte una ordene administrativa ” COLOMBIA S.A., puede hacer uso de los mismos, siempre y cuando el tratamiento efectuado esté dentro de los parámetros establecidos por el aviso publicado.

Así las cosas, se observa que la sociedad investigada contaba con la autorización previa, expresa e informada de los titulares, y en consecuencia, este Despacho encuentra que la sociedad investigada cumplió con el deber contemplado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y del artículo 9 de la norma en mención, así como con el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015. 9.2.2.

Respecto del deber de tramitar las consultas y reclamos formulados por los titulares El artículo 15 de Ley 1581 de 2012, establece el término máximo con el que cuentan los Responsables y Encargados del tratamiento para atender los reclamos que ante éstos se presentan y la forma cómo deben hacerlo.

ARTÍCULO 15. RECLAMOS. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1.

El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.

Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.

Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.

Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término. Tal precepto señala que los titulares o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión pueden presentar un reclamo ante el Responsable y/o Encargado del tratamiento, quienes contarán con el término de quince (15) días hábiles para atenderlo, contados a partir de la fecha de recibo del mismo y plazo que podrá prorrogarlo por el término de ocho (8) días hábiles más, previa comunicación al reclamante.

Adicionalmente y sobre el particular, vale la pena hacer referencia al pronunciamiento realizado por la Corte Constitucional en la sentencia C-748 de 2011, cuando al realizar el estudio de constitucionalidad de la Ley 1581 de 2012, se manifestó acerca de las consultas y reclamos que los titulares de la información pueden realizar frente a los Responsables y Encargados del tratamiento, señalando lo siguiente: “Este articulo regula un procedimiento similar al que contempla el artículo 16, II, numerales 1,2 y 3 de la Ley 1266 de 2008, hallado exequible por la Corte en la sentencia C-1011 de 2008.

Sobre este mecanismo de reclamos que se consagra ante los responsables y encargados del dato, se puede advertir que los términos que se dieron para que el obligado conteste los requerimientos hechos son los mismos que se consagran para el derecho de petición en el HOJA 11, “Por la cual se impone una sanción y se imparte una ordene administrativa ” Código Contencioso Administrativo, razón por la que se pueden transpolar los comentarios que se dejaron consignados sobre el carácter instrumental del derecho de petición, en aras de permitir al titular del dato ejercer las facultades que se derivan del habeas data”.

De esta manera, los mecanismos de consultas y reclamos frente a los Responsables y Encargados del tratamiento, constituye un desarrollo del artículo 23 de la Constitución Política, es decir, la reglamentación del derecho de petición frente a particulares que va específicamente orientado a la salvaguarda del derecho de habeas data. Por tanto, es deber de los Responsables y Encargados del tratamiento garantizar el ejercicio del derecho de habeas data, así como garantizar el pleno y efectivo derecho de petición, consulta o reclamación, es decir, atender cada una de las preguntas y solicitudes de los titulares, sin dilaciones ni atrasos y especialmente, de manera completa y de fondo.

En el presente caso, se encuentra que los días 13 y 16 de agosto de 2018 los señores XXXX XXXXXXX XXXXXXX XXXXXXX y XXXXXX XXXXXXX XXXXXXXX radicaron ante la sociedad investigada un escrito, en el cual solicitaron (i) ¿Qué finalidad tiene cada una de las Cámaras de video instaladas en la Empresa Bimbo de Colombia S.A.? (ii) ¿Quién es el Responsable del tratamiento de los datos personales que habla la ley 1581 de 2012? (iii) ¿Por qué sí debe haber confidencialidad de datos, los señores jefes de planta tienen acceso a las imágenes de estas cámaras sin previo consentimiento del titular? Ahora bien, por su parte la sociedad investigada afirma que las preguntas que fueron formuladas en las peticiones presentadas no buscaban la corrección, actualización o supresión de los datos personales.

Además, agrega, que las peticiones fueron presentadas en virtud del artículo 23 de la constitución, por lo que este Despacho debe tener en cuenta que las misivas no fueron presentadas en aras de ejercer su derecho de habeas data, su derecho fundamental de petición. Al respecto y previo al análisis de los argumentos aducidos por la investigada es pertinente traer a colación apartes de la sentencia C- 748 de 2011, mediante la cual la Corte Constitucional realizó el control previo de constitucionalidad de la ley 1581 de 2012.

“(…) 2.1.1.2 El contenido del derecho al habeas data De conformidad con la jurisprudencia de esta Corporación, dentro de las prerrogativas – contenidos mínimos- que se desprenden de este derecho encontramos por lo menos las siguientes: (i) el derecho de las personas a conocer –acceso- la información que sobre ellas está recogida en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información;

(ii) el derecho a incluir nuevos datos con el fin de se provea una imagen completa del titular; (iii) el derecho a actualizar la información, es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada o corregida, de tal manera que concuerde con la realidad;

(v) el derecho a excluir información de una base de datos, bien porque se está haciendo un uso indebido de ella, o por simple voluntad del titular –salvo las excepciones previstas en la normativa. (…)” De esta manera es claro, que una de las prerrogativas del derecho de habeas data es el de conocer la información que con lleva la recolección de los datos de los titulares y que se estén alojando en una base de datos, prerrogativa que fue omitida en la defesen desplegada por la investigada.

Ahora bien, es importante mencionar que la Ley 1581 de 2012, trae consigo, derechos, principios y deberes que deben ser respetados por los Responsables y Encargados del Tratamiento, pues del buen manejo de estos, depende la garantía del derecho fundamental de habeas data, que por su puesto va más allá de la literalidad del derecho a conocer, actualizar y rectificar los datos personales que hayan sido alojados en una base de datos.

Pues el desarrollo legal del derecho de habeas data no se limita a que el titular solo tenga derecho a conocer sus datos, sino también a conocer, quién, el por qué, el para qué, el cuándo y el cómo, fueron recolectados sus datos personales. además, los titulares pueden hacer reclamaciones cuando estos adviertan un HOJA 12, “Por la cual se impone una sanción y se imparte una ordene administrativa ” presunto incumplimiento de los deberes o principios contenidos en ley por-parte de los Responsables y Encargados del tratamiento De acuerdo con lo expuesto, cobra mayor sentido los principios dispuestos en el artículo 4 de la Ley 1581 de 2012, pues así lo menciona el legislador cuando señala que “en el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios”, entre los cuales encontramos el principio de finalidad, el cual indica que el tratamiento de los datos personales debe obedecer a una finalidad legítima, principio que es traducido a un derecho tal como lo señala el literal c) de su artículo 8 que reza: el titular tiene derecho a ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus datos personales”, y dicho principio también es un deber, el cual lo podemos evidenciar en el literal c) y m) del artículo 17 que disponen: los Responsables del Tratamiento deberán cumplir los siguientes deberes c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada; y m) Informar a solicitud del Titular sobre el uso dado a sus datos.

Así las cosas, no son de recibo las afirmaciones de la investigada al indicar que los denunciantes en sus peticiones no pretendían ejercer su derecho de habeas data, pues en relación con lo expuesto, estos sí tienen derecho de conocer la finalidad de la recolección de sus datos personales y quien es el Responsable de su información personal, preguntas que no presentaron ningún tipo de ambigüedad, siendo muy claras y precisas, y sin embargo la investigad se negó a atenderlas dentro del tiempo señalado por la Ley.

De otra parte, este Despacho tampoco comparte los argumentos de la investigada al indicar que las peticiones no pueden ser observadas como “( ) reclamo o siquiera de consulta en términos de la Ley 1581 a algo que no lo es. En este caso, lo que existió fue la presentación de dos derechos de petición de información en los términos del artículo 23 de la Constitución Política y de la Ley 1755 de 2015 (…)”.

Al respecto, es necesario traer citar apartes de la sentencia C-748 de 2011, la cual indica lo siguiente: En el segundo inciso del mencionado artículo 23 señala que el legislador podrá reglamentar su ejercicio ante organizaciones privadas para garantizar los derechos fundamentales. Es precisamente esta regulación la que hace el artículo 14, al estipular que los responsables y/o encargados del tratamiento de datos, en este caso los privados, deben atender en los precisos términos las consultas que eleven ante ellos los titulares del derecho al habeas data, como una forma de hacer exigibles el derecho consagrado en el literal a) del articulo 8 del proyecto en revisión, específicamente el de conocer.

En este orden de ideas, el derecho de petición que se regula en la norma objeto de análisis se convierte en un instrumento con el que cuenta el titular del dato para hacer exigible o realizable el derecho autónomo de habeas data. Es por ello que la jurisprudencia constitucional ha definido el derecho de petición como un derecho instrumental a través del cual el ciudadano se acerca a la administración o a aquellos privados que en razón de la actividad que desarrollan ostentan una posición de privilegio sobre el resto de particulares, que obliga al Estado a regular mecanismos que le permitan a estos últimos tener una herramienta que los obligue a responder a las inquietudes e inconformidades que se puedan generar por razón de la actividad que éstos desplieguen, en procura de lograr la satisfacción de otros derechos fundamentales.

En atención a los anterior, es claro para este Despacho que los derechos de habeas data y de petición no pueden observarse desde ópticas distintas, pues en palabras textuales de la Corte el derecho de petición es un derecho instrumental, mediante el cual los titulares ejercen su derecho de habeas data, e independientemente de que la sociedad BIMBO DE COLOMBIA S.A., quiera darles una connotación distinta, no puede pretender que como se invocó el derecho de petición consagrado en el artículo 23 de la constitución política, no estaba en la obligación de atender las peticiones presentadas por los titulares, pues dicha Corporación en indefinidos pronunciamientos, ha determinado que por regla general el derecho de petición se aplica a entidades estatales, pero la Constitución lo extendió a las organizaciones privadas, entre otras situaciones, cuando el derecho de petición se constituye en un medio para obtener la efectividad de otro derecho fundamental, para el cual se requiere que su respuesta sea pronta, de fondo clara y precisa, que tendrá que ser contestada dentro del término establecido, y ante la imposibilidad de dar una HOJA 13, “Por la cual se impone una sanción y se imparte una ordene administrativa ” respuesta en dicho lapso, la autoridad o el particular deberá explicar los motivos y señalar el término en el cual se realizará la contestación antes de que se cumpla con el tiempo ya dispuesto.

Por otro lado, la investigada tampoco puede ampararse en el hecho de que los denunciantes ya eran conocedores de la información solicitada, pues tal y como se mencionó en el párrafo anterior no puede evadirse el objeto de la petición y debe contestarse cada una de las pretensiones, independientemente de que estas tengan un desenlace favorable para el mismo, así, para el caso concreto, la sociedad Responsable del Tratamiento ni siquiera le contestó a los titulares que la información requerida no podía ser suministrada.

En consecuencia, este Despacho encuentra que la sociedad investigada incumplió con los deberes contemplado en el literal j) del artículo 17 de la Ley 1581 de 2012, puesto que no atendió dentro del término legal las peticiones presentadas por los señores XXXXXX XXXXXXX XXXXXXXX y XXXX XXXXXXX XXXXXXX XXXXXXX, esperando cerca de doce (12) meses para dar una respuesta de fondo y congruente con los solicitado por los titulares, razón por la cual se impondrá la sanción correspondiente. 9.2.3 Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

El literal a) del artículo 17 de la Ley 1581 de 2012, establece uno de los deberes que deberán cumplir los Responsables de la Información en los siguientes términos: “(…) a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.” En relación, la Corte Constitucional ha definido el derecho de habeas data en los siguientes términos: “El derecho fundamental al habeas data, es aquel que otorga la facultad al titular de datos personales, de exigir a las administradoras de datos personales el acceso, inclusión, exclusión, corrección, adición, actualización, y certificación de los datos, así como la limitación en la posibilidades de divulgación, publicación o cesión de los mismos, conforme a los principios que informan el proceso de administración de bases de datos personales”.24 (Negrilla fuera de texto).

En este sentido, los deberes y derechos contenidos en la Ley 1581 de 2012, específicamente en el presente caso, es relevante mencionar los deberes que tienen los Responsables de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data. La Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realiza el análisis constitucional de la Ley estatutaria 1581 de 2012, manifestó: “De conformidad con la jurisprudencia de esta Corporación, dentro de las prerrogativas – contenidos mínimos- que se desprenden de este derecho encontramos por lo menos las siguientes: (i) el derecho de las personas a conocer –acceso- la información que sobre ellas están recogidas en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información;

(v) el derecho a excluir información de una base de datos, bien por que se está haciendo un uso indebido de ella, o por simple voluntad del titular –salvo las excepciones previstas en la normativa.” (Negrilla fuera de texto). Al respecto, debe precisar este Despacho, que tal como lo manifiesta la Corte Constitucional, el derecho de hábeas data otorga la facultad al Titular de los datos personales de exigir el acceso, corrección, adición, actualización y eliminación de su información, por lo que resulta apenas claro, que los Responsables y Encargados de la información, deben proceder de conformidad, implementando las medidas y procedimientos correctos, dirigidos a la protección de los datos 24 Sentencia C-748 de 2011;

MP: Jorge Ignacio Pretelt Chaljub HOJA 14, “Por la cual se impone una sanción y se imparte una ordene administrativa ” personales y su adecuado Tratamiento, garantizando al Titular de la información el libre acceso y el cumplimiento de las solicitudes que el mismo haga respecto de su información. En relación con lo anterior, y frente a la posibilidad que tienen los Titulares de conocer las finalidades del tratamiento, los derechos que le asisten y quién es el responsable del tratamiento, el Decreto 1074 de 2015 en sus artículos 2.2.2.25.3.2 y 2.2.2.25.3.3, dispuso lo siguiente: “Artículo 2.2.2.25.3.2.

Aviso de privacidad.En los casos en los que no sea posible poner a disposición del Titular las políticas de tratamiento de la información, los responsables deberán informar por medio de un aviso de privacidad al titular sobre la existencia de tales políticas y la forma de acceder a las mismas, de manera oportuna y en todo caso a más tardar al momento de la recolección de los datos personales.

Artículo 2.2.2.25.3.3. Contenido mínimo del Aviso de Privacidad. El aviso de privacidad, como mínimo, deberá contener la siguiente información: 1. Nombre o razón social y datos de contacto del responsable del tratamiento. 2. El Tratamiento al cual serán sometidos los datos y la finalidad del mismo. 3. Los derechos que le asisten al titular. 4.

Los mecanismos dispuestos por el responsable para que el titular conozca la política de Tratamiento de la información y los cambios sustanciales que se produzcan en ella o en el Aviso de Privacidad correspondiente. En todos los casos, debe informar al Titular cómo acceder o consultar la política de Tratamiento de información. No obstante lo anterior, cuando se recolecten datos personales sensibles, el aviso de privacidad deberá señalar expresamente el carácter facultativo de la respuesta a las preguntas que versen sobre este tipo de datos.

En todo caso, la divulgación del Aviso de Privacidad no eximirá al Responsable de la obligación de dar a conocer a los titulares la política de tratamiento de la información, de conformidad con lo establecido en este capítulo”. Ahora bien, retomando el caso particular, este Despacho luego de la indagación preliminar encontró que la sociedad BIMBO DE COLOMBIA S.A. presuntamente, no había adoptado en debida forma los avisos de seguridad para el sistema de videovigilancia implementado en sus plantas.

Por su parte, la investigada señaló que “(…) El primer error en que incurre la SIC para formular el cargo tercero consiste en su percepción sobre el avance del Aviso de Privacidad (…) De ninguna manera, la Ley 1581 o su reglamentación obligan a los Responsables del Tratamiento como Bimbo a implementar un Aviso de Privacidad (…) otro error en el que incurre la SIC para la formulación de su cargo es asumir de plano que los cinco (5) avisos adicionales ubicados en cada una de las plantas informando del sistema de videovigilancia sean Avisos de Privacidad en los términos del Decreto 1074, puesto que la sociedad instaló un aviso en el punto de ingreso a las plantas Tenjo 1 y Tenjo 2, los cuales cumplían con los requisitos exigidos en el Decreto 1074 de 2015.

Así mismo, adjuntó fotografía del aviso de privacidad dispuesto en la entrada de las plantas en el cual se observa lo siguiente: HOJA 15, “Por la cual se impone una sanción y se imparte una ordene administrativa ” De igual manera, y mediante comunicado radicado bajo el número 18-272578-0024 del 10 de octubre de 2019, la investigada le informó a este Despacho que los avisos de privacidad dispuestos en la entrada de las platas Tenjo 1 y Tenjo 2 fueron implementados el 5 de febrero de 2014.

Ahora bien, una vez revisado el contenido del aviso de privacidad implementado por la investigada, este Despacho encuentra que se indica (i) el tratamiento al cual serán sometidos los datos personales y su finalidad y (ii) los derechos que le asisten a los titulares. Sin embargo, no se evidencian los mecanismos dispuestos por el responsable para que el titular conozca la política de Tratamiento de la información, ni tampoco se deja claridad del nombre o razón social del responsable del tratamiento.

Así las cosas, y en vista que los avisos de privacidad dispuestos por la investigada no cumplen con los requisitos mínimos impuestos en el artículo Artículo 2.2.2.25.3.3 del Decreto 1074 de 2015, se impartirán las ordenes correspondientes.

DÉCIMO: ÓRDENES ADMINISTRATIVAS En este orden de ideas, de acuerdo con los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir la siguiente orden administrativa: HOJA 16, “Por la cual se impone una sanción y se imparte una ordene administrativa ” • La sociedad BIMBO DE COLOMBIA S.A., deberá implementar los requisitos mínimos establecidos en el artículo 2.2.2.25.3.3 del Decreto 1074 de 2015 en los avisos de privacidad dispuesto en las instalaciones físicas del a sociedad.

Para demostrar lo anterior, La sociedad BIMBO DE COLOMBIA S.A. deberá: Acreditar ante esta entidad y dentro de los quince (15) días hábiles siguientes, contados a partir de la ejecutoria de la presente decisión, mediante una certificación de cumplimiento de la orden impartida por esta entidad. Junto con las pruebas necesarias que demuestren la adopción e implementación de la orden aquí impuesta. 9 DÉCIMO PRIMERO: Que el parágrafo del artículo 2 de la Ley 1581 de 2012 25 señala que los principios sobre protección de datos serán aplicables a todas las bases de datos incluidas las exceptuadas en el mismo artículo.

De ahí que es procedente solicitar a la investigada que garantice el cumplimiento del principio de responsabilidad demostrada desarrollado en el artículo 2.2.2.25.6.1 y subsiguiente del Decreto Único Reglamentario 1074 de 201526. “(…) 6.1. Responsabilidad de los administradores en materia de tratamiento de datos personales. El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”.

Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política. La efectividad de los derechos humanos es un asunta de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico.

Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”. Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.

Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa. En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.

Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial 25Ley 1581 de 2012, artículo 2: “Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.

(…)

PARÁGRAFO. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal. En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley.” 26Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.6.1: Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas. HOJA 17, “Por la cual se impone una sanción y se imparte una ordene administrativa ” no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.

En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas.

Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la ley 222 de 1995 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias” (subrayamos) (…) Nótese que el artículo 24 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.

Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”.

En virtud de lo anterior, EXHORTAMOS a los Representantes Legales de la sociedad BIMBO DE COLOMBIA S.A. para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales, especialmente los de acceso y circulación restringida y seguridad. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

DÉCIMO SEGUNDO: Imposición y graduación de la sanción 12.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: HOJA 18, “Por la cual se impone una sanción y se imparte una ordene administrativa ” a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional27.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2021 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 27 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. HOJA 19, “Por la cual se impone una sanción y se imparte una ordene administrativa ” De hecho, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional28 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”29 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Sobre todo, es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros30. Específicamente, la imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y 28 Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. 29 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 30 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. HOJA 20, “Por la cual se impone una sanción y se imparte una ordene administrativa ” que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2331 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 12.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Para el caso que no ocupa, este Despacho encontró que la sociedad BIMBO DE COLOMBIA S.A. no Resolvió las peticiones presentadas por los denunciantes dentro del tiempo previsto en la ley, puesto que esperó cerca de doce (12) meses para dar respuesta a las solicitudes violando claramente el derecho fundamental de petición, y por consiguiente el derecho de Habeas data de los señores XXXXXX XXXXXXX XXXXXXXX y XXXX XXXXXXX XXXXXXX XXXXXXX, ya que mediante las peticiones presentadas, la titular estaba ejerciendo su derecho a conocer quién era el responsable del tratamiento de los datos personales recolectados por medio del sistema de videovigilancia implementado en la compañía y la finalidad de dicha recolección. 31Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva..” HOJA 21, “Por la cual se impone una sanción y se imparte una ordene administrativa ” En armonía con lo anterior, este Despacho encuentra que para el caso en concreto hubo una afectación efectiva al Derecho de Habeas Data de los Titulares, la cual no puede considerarse irrelevante en tanto se está ante la vulneración de: (i) un derecho fundamental autónomo (ii) cuya garantía depende de otros derechos, como lo es el derecho de petición consagrado en el artículo 23 de la Constitución política.

Por tanto, se impondrá una multa de TRES MIL UNIDADES DE VALOR TRIBUTARIO VIGENTES (3000 UVT) por la vulneración del deber establecido en el literal j) del artículo 17 de la Ley 1581 de 2012. 12.1.2 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d), e) y f) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho, y (v) no hubo reconocimiento o aceptación expresa sobre la comisión de la infracción. DECIMO TERCERO CONCLUSIONES 13.1 Se encuentra probado dentro del expediente que la sociedad BIMBO DE COLOMBIA S.A. utilizó los medios alternos para obtener la autorización de los datos personales recolectados antes de la entrada en vigencia de la Ley 1581 de 2012, toda vez que realizó una publicación en el Diario la Relucida mediante la cual informó la finalidad del tratamiento de los datos recolectados. 13.2 Dentro de análisis realizado, se encuentra probado que la sociedad investigada no atendió dentro del término legal establecido, las peticiones presentadas por los señores XXXXXX XXXXXXX XXXXXXXX y XXXX XXXXXXX XXXXXXX XXXXXXX el 13 y 16 de agosto de 2018, esperando cerca de un año para responder de fondo las pretensiones presentadas por los titulares, violando el deber de tramitar las consultas y reclamos dentro del término estableció por la Ley. 13.3 Luego de Revisar detenidamente los avisos de privacidad implementados por la sociedad se evidenció que que se indica (i) el tratamiento al cual serán sometidos los datos personales y su finalidad y (ii) los derechos que le asisten a los titulares.

Sin embargo, no se evidencian los mecanismos dispuestos por el responsable para que el titular conozca la política de Tratamiento de la información, ni tampoco se deja claridad del nombre o razón social del responsable del tratamiento.

DÉCIMO CUARTO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad BIMBO DE COLOMBIA S.A. identificada con el NIT. 830.002.366, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de sus apoderados vinculados a los correos electrónicos jlaverde@bu.com.co. y abonnet@bu.com.co. quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Finalmente, precisando que la totalidad del Expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad investigada considera estrictamente necesario el acceso del HOJA 22, “Por la cual se impone una sanción y se imparte una ordene administrativa ” Expediente en físico, deberá enviar un correo electrónico a la dirección de correo contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando su número de radicado.

Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.

DÉCIMO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co -Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m En mérito de lo expuesto este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad BIMBO DE COLOMBIA S.A., identificada con el Nit. 830.002.366-0, de CIENTO OCHO MILLONES NOVECIENTOS VEINTICUATRO MIL PESOS M/CTE ($108.924.000), correspondiente a TRES MIL UNIDADES DE VALOR TRIBUTARIO VIGENTES (3000 UVT), por la violación a lo dispuesto en literal j) del artículo 17 de la Ley 1581 de 2012.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR a la sociedad BIMBO DE COLOMBIA S.A. identificada con el Nit. 830.002.366-0, implementar los requisitos mínimos establecidos en el artículo 2.2.2.25.3.3 del Decreto 1074 de 2015 en los avisos de privacidad dispuesto en las instalaciones físicas del a sociedad.: Para demostrar lo anterior, La sociedad BIMBO DE COLOMBIA S.A. deberá: Acreditar ante esta entidad y dentro de los quince (15) días hábiles siguientes, contados a partir de la ejecutoria de la presente decisión, mediante una certificación de cumplimiento de la orden impartida por esta entidad.

Junto con las pruebas necesarias que demuestren la adopción e implementación de la orden aquí impuesta.

PARÁGRAFO: La entidad BIMBO DE COLOMBIA S.A. identificada con el Nit. 830.002.366-0, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la entidad BIMBO DE COLOMBIA S.A. identificada con el Nit. 830.002.366-0 a través de su representante legal y/o apoderado, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO CUARTO: COMUNICAR el contenido del presente acto administrativo al señor XXXXXX XXXXXXX XXXXXXXX, identificado con Cédula de Ciudadanía número xxxxxxxxxx y al HOJA 23, “Por la cual se impone una sanción y se imparte una ordene administrativa ” señor XXXX XXXXXXX XXXXXXX XXXXXXX, identificado con Cédula de Ciudadanía número xxxxxxxxxxxxx

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 28 JULIO 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR SALAZAR MUÑOZ MUÑOZ Fecha: 2021.07.28 15:16:16 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: BFPL Revisó: AMCC Aprobó: CESM NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identificación: Dirección: Ciudad: Correo electrónico: BIMBO DE COLOMBIA S.A. NIT. 830.002.366-0 FRANCISCO JAVIER FUENTE CASTAÑEDA C.E. 1205153 Calle 22 A # 68 -97 Bogotá D.C notificacionesjudicialescolombia@grupobimbo.com Apoderado: Identificación: Dirección: Ciudad: Correo electrónico: JUAN NICOLÁS LAVERDE GARZÓN32 C.C. 80.088.300 Calle 70 Bis n.° 4-47 Bogotá D,C. jlaverde@bu.com.co; abonnet@bu.com.co Apoderado: Identificación: Dirección: Ciudad: Correo electrónico: ANDREA CRISTINA BONNET LÓPEZ33 C.C. 52.700.689.

Calle 70 Bis n.° 4-47 Bogotá D,C. jlaverde@bu.com.co; abonnet@bu.com.co COMUNICACIÓN: Señor: Identificación: Dirección: Ciudad: Email: XXXXXX XXXXXXX XXXXXXXX 34 C.C. No. xxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxx Señor: Identificación: Dirección: Ciudad: Email: XXXXXX XXXXXXX XXXXXXXX 35 C.C. No. xxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxx 32 18-272578-00017 Pag. 23 y 24 33 18-272578-00017 Pag. 23 y 24 34 18-273686-0000 pag. 5 35 18-272578-0000 pag 1

Resolución sancionatoria N° 47226 de 2021

CONSIDERANDO

RESUELVE