REPUSLICA DE COLOMBIA 5 1 2 90 (73 JUL 2018) RESOLUCION NUMERO 10E 2018 EVERSION UNICA ] RadicaciOn 15-79619 EL DIRECTOR DE INVESTIGACIÔN DE PROTECCION DE DATOS PERSONALES En e,jercicia de sus facultades legales, en especial las conferidas por los artIculos 19 y 21 de la Ley 1581 de 2012 y el numeral 5 del articulo 17 del Decreto 4886 de 2011 y'
CONSIDERANDO
PRIMERO: Que la Direccion de lnvestigaciOn de Protección de Datos Perèonales de esta Superintendencia, en ejercicio de las facultades conferidas par las articulas 19 y 21 de la Ley 1581 de 2012, el dia 14 de abril de 2015 realizo una diligencia de inspecciOn a la UNIVERISDAD DE SAN BUENAVENTURA, identificada can Nit. 890.307.400-1, con el propôsito de comprobar el cumplimiento de los deberes y requisitos establecidos en la Ley 1581 de 2012 y Decreto Unico Reglamentario 1074 de 2015.
En desarrollo de la visita de inspeccion y una vez analizada la documentacion recolectada y aportada par la investigada, asi como el informe de inspeccion presentada a estaDirecci6n par los funcionarios que atendieron la diligencia 1, se pudo establecer Ia siguiente: 1.1. Que la institución educativa tiene una politica de Tratamiento de Datos personales, la cual fue actualizada el 16 de Julio de 2015, la misma que se encontraba vigente al momenta de la visita de inspecciOn. 1.2 Que la instituciôn educativa contaba con un aviso de privacidad implementad en el formulario de inscripciOn a los programas de posgrado y en el formato de recolecciOn de informaciOn para contacto, no obstante este mismo documenta se estaba utilizando para recplectar los datas personales de los titulares. 1.3 Que la instituciOn educativa cuenta con cámaras de videovigilancia pero no cuenta can avisos de privacidad en los lugares donde se tiene instaladas las cámaras. 1.4 Que la universidad recolecta los datos personales a traves del formulario fisico de contacto, los contratos laborales y de prestación de servicios y del formulario de inscripciOn que se encuentra dispuesto en la pagina web "www.usbcali.edu.co" el cual debe ser impresb, diligenciado y presentada en ]as oficinas de la universidad par los interesados en cursar pregradas y pasgrados con dicha institucian educativa. 1.5 Que en la palitica de proteccion de datos personales que tiene implementada la instituciOn educativa y dispuesta en la página web htt p: //www.usbcali.edu.co/node/2318,se establecen las derechos que le asisten a los titulares, el canal de atenciOn para consultas, quejàs y reclamos, asi camo la finalidad para la recoleccion de la informacion. 1.6 Igualmente se determinO que en el servidor de la universidad se alaja una base de datas de las PaRS, que es desarrallada mediante el sistema "S/C' y la cual puede ser exportada por el ingeniero encargado y descargada localmente a traves de excell. 1 Ver folios 1 al 4.
RESOLUCION NUMERO'i a. - DE V HOJA 2 Por la cual so imparten Ordenes administrativas 1.7 Que el canal habilitado por la instituciOn educativa para la atenciOn de peticiones relacionadas con la protecciOn de datos personales, es habeasdata(äusbca!Ledu.co. Dichas peticiones son recibidas y clasificadas por el area de calidad para posteriormente ser trasladadas al area encargada a traves de un software propio den6minado "SIC".
En el mismo sentido, la universidad tiene determinados los términos para la atencion interna de cada peticion, los cuales no pueden exceder de diez (10) dias intemo y quince (15) para dar respuesta efectiva. Por otra parte, las peticiones sobre eliminaciOn son tramitadas directamente por el coordinador de calidad quien procede a dar trâmite dentro del mismo dia; asi mismo, las peticiones sobre actualizacion de datos pueden ser tramitadas directamente por los estudiantes a traves de la plataforma de la universidad. 1.5 Que la instituciOn educativa no cuenta con un manual documentado para la atenciOn de quejas y reclamos, si tiene implementado unos protocolos para garantizar la atehciôn de las peticiones en material de protección de datos personales, dentro de los plazos previstos por la Ley 1581 de 2012, no obstante no existe un protocolo para la entrega de la informacion de los potenciales estudiantes al area de mercadeo. 1.6 Que en los formularios utilizados por la universidad como medio de recolecciOn de la informaciOn, se informa al titular sobre el uso y [as finalidades del tratamiento, asi como el canal de atención de solicitudes de eliminaciOn o actualizaciOn; no obstante, tambien se evidencio que los mismos formularios no cuentan con informacion alguna que indique el procedimiento mediante el cual sea posible acceder a la Political de Tratamiento de Datos Personales.
SEGUNDO: Que de la informacion recaudada en desarrollo de la etapa de averiguacion preliminary del anãlisis de la misma, la DirecciOn de lnvestigacion de Proteccion de Datos Personales mediante Resolucion No. 61950 del 29 de septiembre de 20172, resolviO iniciar investigaciOn administrativa en contra de la UNIVERSIDAD DE SAN BUENAVENTURA, por la presunta vulneraciOn al deber que el investigado ostenta en su calidad de Responsable de la informacion contemplado en: (i) el literal k) del artIculo 17 de la Ley 1581 de 2012 en concordancia con el articulo 25 de la misma norma, as[ como el articulo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015;
(ii) el inciso segundo del articulo 2.2.2.25.3.1 en concordancia con los articulo 2.2.2.25.3.2 y 2.2,2.25.3,5 del Decreto Unico Reglamentario 1074 de 2015; (di) el literal b) del articulo 17 de la Ley 1581 de 2012 en concordancia con el literal c) del articulo 4 y los articulos 5,6 y 9 de Ia misma disposiciOn, asi come el incise primero del articulo 2.2.2.25.2.2 y los articulos 2.2.2.25.2.3 y 2.2.2.25.2.9 del Decreto Unico Reglamentario 1074 de 2015;
(iv) el literal c) del articulo 17 de la Ley 1561 de 2012 en concordancia con el literal b) del articulo 4 y los articulos 6 y 12 de la misma disposiciOn, asi como el inciso primero del articulo 2.2.2.25.2.2 y el articulo 2.2.2.25.2.3 del Decreto Unico Reglamentario 1074 de 2015 y (v) el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con e literal g) del articulo 4 de la referida norma, otorgãndosele un término de quince (15) dias al investigado para que rindiera los respectivos descargos y aporta las pruebas que pretendia hacer valer dentro la presente actuación administrativa.
El anterior acto administrativo fue debidamente notificado al investigado, a través de aviso el 21 de marzo de 2018, conforme a la certificaciOn emitida por la Coordinadora del Grupo de Notificaciones y Certificaciones de esta Superintend encia, obrante a folio 86 del expediente.
TERCERO: Que vencido el plazo otorgado, mediante la Resolucion No. 61950 del 29 de septiembre de 2017 para presentar los descargos, la investigada guardo silencio.
CUARTO: Que mediante la ResoluciOn No. 29593 del 30 de abril de 2018 3 este Despacho incorporô ]as pruebas dentro de la presente actuaciOn (fls.1 al 91, cuademos pOblico y reservado), declaro agotada la etapa probatoria dentro de la presente investigaciOn administrativa y corrió traslado a la investigada para que presentara alegatos de conclusion.
QUINTO: Que dentro del término otorgado por la ResoluciOn No. 29593 del 30 de abril de 2018 para presentar alegatos de conclusion, la investigada guardO silencio. 2 Visto a Folios 75 a 85. Visto a Folios 95 y 96. WI - - DE RESOLUCION NUMERO HOJA 3 Por la aml se imparten Ordenes administrativas SEXTO: Competencia de la Superintendencia de Industria y Comercio El articulo 19 de la Ley 1581 do 2012, establece la funciOn S vigilancia que le cbrresponde a la personales se respeten los principios, derechos, garantias y procedimientos previstos en la ley.
SEPTIMO: Analisis del caso 7.1 Adecuación tipica La Carte Canstitucional mediante sentencia C-748 de 2O11, establecio Ia siguiente:en relaciOn con el principio de tipicidad en el derecho administrativo sancionataria: "En relaciOn con el principio de tipicidad, encuentra la Sala quo pese a la generalidad de Ia ley, as determinable ía infracciOn administrative en Ia medida on quo so sonata quo la constituye el incumplimiento de las disposiciones de la ley, esto es, en tArminos especificos, /a regula c/on qua hacen los articulos 17 y 18 del proyecto do ley, an los qua se seña!an los deberes de los responsables y encargados del tratamiento del dato".
Atendienda las parãmetros senalados par la citada jurisprudencia, para el casa especifico se tiene que: (i)El articula 17 de la Ley 1581 de 2012 establece los deberes que les asisten a lbs responsables del Tratamienta respecto del manejo de los datos personales de los Titulares. El incumplimiento de tales requisitos dara lugar a la aplicacion de las sanciones definidas especificamerte en el articulo 23 de la Ley 1581 de 2012.
(ii)De conformidad con el acervo probatoric Clue obra en el expediente, se puede establecer que la conducta desplegada par la investigada se concreta en la pasible vulneracion de: (I) el literal k) del artIcula 17 de la Ley 1581 de 2012 en concordancia con el articula 25 de la misma norma, asi coma el articulo 2.2.2,25.3.1 del Decreto Unico Regiamentaria 1074 de 2015;
(ii) el indiso segundo del articulo 2.2.2.25.3.1 en concordancia con los articulo 2.22.25.3.2 y 2.2.2.25.3.5 del Decreta Unico Reglamentaria 1074 de 2015; (iii) el literal b) del articula 17 de la Ley 1581 de 2012 en concardancia can el literal c) del articulo 4 y los articulas 5,6 y 9 de la misma disposicion, asi coma el inciso primero del articulo 2.2.2.25.2.2 y los articulas 2.2.2.25.2.3 y 2.2.2.25.2.9 de,I Decreto Unico Reglamentario 1074 de 2015;
(iv) el literal c) del articula 17 de la Ley 1581 de 2012 en concordancia con el literal b) del articulo 4 y los articulos 6 y 12 de la misma dispasicion, asi coma el incisa primera del articula 2.2.2.25.2.2 y el artIcula 2.2.2.25.2.3 del Decreto Unico Reglarientaria 1074 de 2015 y (v) el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con e literal g) del articula 4 de la referida norma.
En ese arden de ideas, este Despacho procedera a tener en cuenta: (i) los resultadas obtenidos en la visita de inspeccion; (U) el material probatoria que obra dentro del expediente; (iv) la Ley 1581 de 2012 y, finalmente, (v) la jurisprudencia que ha proferido la Carte Canstitucianal soIre la rnateria. 7.2 Valoracion probatoria y conclusiones 7.2.1 Res pecto al deber de contar con las politic informar a los Titulares la existencia de las mismas.
Conforme al principio de legalidad en material de datos personales, cualquier fo a de Tratamiento rm orientada par de infarmacion personal desde su recoleccion hasta su disposicion final se encuentra las normas cantenidas no salamente en la Ley 1581 de 2012 sino tambien en la normatividad que sabre la materia se ha expedido, la cual, para el caso en particular, corresponde 1 al Decreta Unico Reglamentaria 1074 de 2015;
Ia que traduce en el hecho de que las disposiciones del referido decreto tienen la misma obligatoriedad y carácter vinculante que la ley estatutaria. 4 Corte Constitucional, Magisfrado Ponente Jorge Ignacio Pretelt Chaijub, seis (6) de octubre de dos ciii once (2011). Por medio del cual se expide ci Decreto Unico Reglamentario del Sector Comercio, Industria y Turjsmo, norma que complló, entre otros, ci Decreto 1377 de 2013 que reglamentó parte del articulado de la Ley 1581 dé 2012.
RESOLUCION NUMERO - 'BE HOJA 4 Por Ia coal se imparteri ôrdenes administrativas De esta manera, y mediante el articulo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015, se establece el contenido minimo que debe reunir el documento que haga sus veces de politica de tratamiento de la informaciOn, el cual indica Ic siguiente: "a4rticulo 2.2.2.25.3.1.
Pollticas de Tratamiento de la informacion. Los responsables del tratamiento deberan desarrollar sus politicas pare el tratamiento de los dates personales y velar porque los Encargados del Tratamiento den cabal cumplirniento a las mismas. Las politicas de Tratamiento de la inforrnaciOn deberan constar an medic fisico 0 elect rOnico, en un Ian guaje clara y sencillo y ser puestas en conocimiento de los Titulares.
Dichas politicas deberan incluir, par lo menos, la siguiente informacion: 1. Nombre a razOn social, domicilio, direcciOn, correo electron/co y telefono del Responsable. 2. Tratamiento al coal serén sometidos los datos y finalidad del mismo cuando esta no Se haya informado med/ante el aviso de privacidad, 3. Derechos que le asisten coma Titular. 4.
Persona o area responsable de Ia atenciOn c/a peticiones, consultas y reclamos ante Ia coal el titular de la informaciOn puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el data y revocar la autorizacion. 5. Procedimiento pare que los titulares de la informaciOn puedan ejercer los derechos a conocer, actualizar, rectiticar y suprimir informacion y re vocar Ia autorizaciOn. 6.
Fecha de entrada an vigencia de Ia politica de tratamiento de Ia informacian y periodo de vigencia de Ia base de datos. Cualquier cambio sustancial en las politicas de tratamiento, an los terminos descritos en el articulo 5 0 del presente decreto, debera ser comunicado oportunamente a los titulares de los dabs personales de una manera eficiente, antes de implementar las nuevas politicas." La reunion de estos elementos permiten garantizar "a/ ambito de protecciOn del derecho de habeas data's pues resultan oponibles al sujeto obligado en los procesos de recolecciOn, tratamiento, circulacian y disposiciOn final de datos, asi como tambien permite garantizar a los Titulares el pleno y efectivo ejerciclo del derecho de Habeas Data a traves de ía implementaciOn y puesta en marcha, de los principios que rigen el Tratamiento de los datos personales mediante herramientas claramente definidas y los procedimientos para su implementacion.
En efecto, el Responsable tiene el deber de tratar la informaciOn que se encuentra almacenada en su base de datos bajo las medidas mInimas establecidas, por el regimen de proteccion de datos personales, pues asi lo dispuso la Ley 1581 de 2012 cuando senalO en su articulo 25 inciso tercero, que "[Ijas politicas de tratamiento en nm gUn caso podran ser infer/ores a los deberes contenidos en la presente ley", disposiciOn que, igualmente, refuerza la hipOtesis esgrimida entorno a que mediante la politica de tratamiento se pretende cimentar los pilares de la proteccion al derecho.
Sin perjuicio de 10 anterior, el Decreto Linico Reglamentario 1074 de 2015 otorgO la posibilidad para que en caso en que no sea posible poner a disposiciOn del Titular las politicas de tratamiento de la informacion, los responsables puedan informar por medio de un aviso de privacidad sobre la existencia de tales politicas y la forma de acceder a las mismas, de manera oportuna y en todo caso a más tardar al memento de la recoleccion de los dates personales, siempre y cuando se observen los requisitos del articulo 2.2.2.25.3.3 del decreto en cita;
Asi las cosas, en el presente caso particular, se tiene que en la diligencia de inspecciOn, la instituciOn investigada contaba con una Politica de Tratamiento de Pa lnformacion, el cual contiene los siguientes elementos (i) identificación del Responsable del Tratamiento; (H) Tratamiento y finalidad y; (H) Fecha de entrada en vigencia de Pa Politica.
Sin embargo y a pesar que la investigada cuenta con éste documento, al analizar el mismo se encuentra que no cumple con los requisites minimos que debe contener una Politica de Tratamiento de la Pnformacion, establecidos en el articulo 2.2.2.25.3.1 del Decreto Unico Reglamentarlo 1074 de 2015, toda vez que: (i) No incorpora los derechos Clue le asisten al titular del date;
(ii) No establece Cone Constitucional, sentencia C•748 de 2011. M.P. Maria Victoria Ca Ile Cornea RESOLUCION NUMERÔ - DE 1-IOJA 5 VERSION UWICA cual es la persona o area responsable de la atenciOn de peticiones, consultas y rieclamos ante la cual el titular de la informacion puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorizacion y;
(iii) No senala cual es el procedimiento para que los Titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y supriniir informaciOn y revocar la autorizaciôn y; (iv) No indica el periodo de vigencia de las bases de datos. Por lo anterior y con el objetivo de que el Responsable de la lnformaciOn de cabal cumplimiento con lo establecido en la Ley 1581 de 2012 y en el Decreto Unico Reglamentario 1074 de 2015, resulta indispensable que la instituciOn investigada, ajuste debidarnente su Politica de Tratamiento de la informacion, incorporando en el documento aspectos fundamentales, que le prOporcionen a los Titulares, la información necesaria que le permitan tener certeza acerca de 1 la diligencia y responsabilidad con la cual, van a tratar sus datos personales.
Como consecuencia de lo anterior, esta DirecciOn encuentra que la institución invesiigada no cuenta con una Politica de Tratamiento de la Informacion, que contenga los reqUisitos minimos establecidos en la norma ya citada, razOn por la cual se procederé a impartir la correspondiente orden administrativa con el fin de que la institucion efectue los debidos ajustes a su Politica de Tratamiento de la lnformacion. 7.2.2 Res pecto al deber de contar con Aviso de Privacidad para los datosl recolectados a través del sistema de videoviqilancia. Como bien lo preceptuO la Resolucion No. 61950 do 2017 "por la cual so in/cia 2ina investigaciOn administrative y so formulan cargos", respecto de los datos recolectados a través d& los sistemas de video vigilancia, el cual es necesario traer a colaciOn dicha conceptualización en el presente análisis, con elfin de determinar el cumplirniento o no del deber aqui estudiado.
En este entendido, la resolucion referida dispone: "Be conform/dad con la Real Academia de la Lengua Espanola - RAE - la video Ivigilancia es aqua/la forma cia vigilancia POT medo de tin sistema cia cámaras, f4as o mOviles. Esta definiciOn as ampliada a travOs de las guias do videovigilancia desarrolladas por esta Superintendencia de Industria y Comercio (sic) qua establecen qua las actividades do video vigilancia imp//can cualquier forma cia tratamiento cia imá genes de datos persona/es a traves de cameras IP o mint-cámaras, circuitos corrados de television (CC TV) entre otros.
Las actividades cia tratamiento do imágenes imp//can, entre otras, la captaciOi, grabaciOn, transmisión, almacenamiento, conservaciOn o su reproducciOn an tiempo real o posterior, por /0 qua al igual qua a) resto cia datos persona/es, se encuentran sujetas al Régime') General cia ProtecciOn de Datos persona/es. Al igual qua todos los datos persona/es, la recolecciOn cia las imégenes a través cia los sistemas de videovigi/ancia (sic) requiere previamente de Ia autorizaciOn suministrada poll pan'e cia su Titular bien sea por escrito, de forma oral o med/ante conductas inequivocas.
Por lo tanto, pare la ap/icaciOn de las garantias del margen legal (sic) antes senaladas (sic) se hace necesarlo adoptar los mecanismos necesarios suficientes para informer a los Titulares qua sus datosestan siencio recolectados por meciio cia un s/sterna do video vigilancia, ( )" Al tenor de lo anterior, respecto de la autorizacion previa e informada que dbe recolectar el Responsable, para el tratamiento de la informacion de los Titulares, la cual si bien se puede obtener de forma oral, escrita o mediante conductas inequivocas, para el asunto que nos o 9upa, la institucion investigada, debia contar con un aviso de privacidad que informara (i) el Responsable del Tratamiento, (ii) Cual será el tratamiento que se dará a su informacion, (Vi) los derechos que en su condicion de titular le asisten y;
(iv) en donde se encuentra publicada la politica p;ara el tratamiento de la informacion. Al respecto es oportuno citar lo dispuesto en el Decreto Unico Reglamentario 107'4 de 2015, el cual preve: "Articulo 2.2.2.25.3.2. Aviso de privacidad. En los casos an los qua no sea posible poner a disposiciOn del Titular las politicas de tratamiento de Ia informaciOn, los responsables deberan informer por medio S tin aviso de privacidad a/ titular sobre la existencia cia tales politicas y (a forma cia acceder a las mismas, de manera oportuna y an todo caso a mãs tardar al momento do la recolecciOn de los datos personales." RESOLUCION NCJMERÔ - DE HOJA 6 Por Ia cual so imparlen Ordones administrativas En este sentido y como quiera al momento de realizar la visita de inspeccion, so pudo constatar que la institución educativa investigada, contaba con un sistema de cãmaras de video en la cual se recolectan datos de naturaleza privada, sin contar con un aviso de privacidad visible, en la que informe a los titulares la existencia de las Politicas de Tratamiento de la InformaciOn y la forma de acceder a las mismas.
Como consecuencia de lo anterior, esta DirecciOn encuentra que la institucion investigada debe observar lo dispuesto en el inciso segundo del artIculo 2.2.2.25.3.1 en concordancia con los articulo 2.2.2.25.3.2 y 2.2.2.25.3.5 del Decreto Unico Reglamentario 1074 de 2015, razOn por la cual se impartira la correspondiente orden para que la UNIVERISDAD DE SAN BUENAVENTURA, implemente el aviso de privacidad informando a los titulares que esta recolectando datos personales a traves del sistema de videovigilancia. El articulo 15 de la Constitucian Politica establece que las personas, en desarrollo de sus derechos a la autodeterminacion informatica y el principio de libertad, son quienes de forma expresa deben autorizar Clue la informaciOn que sobre ellos sea recaudada pueda ser incluida en una base datos.
At respecto la Code Constitucional ha senalado lo siguiente: "Principio de libertad: El tratamiento solo puede ejercerse con el consentimiento, previo, expreso e /nformada del titular. Los datos personales no podran ser obtenidos a divulgados sin pro via autorizaciOn, o on ausenc/a do mandato legal o judicial que re/eve el consent/miento.
Este principio, pilar fundamental de la administration tie datos, perm/to at ciudadano elogir voluntariamente si 5U informaciOn personal puede ser utilizada o no an bases do datos. Tamb/en impide quo la informaciOn ya reg/strada do un usuario, la cual he s/do obtenida con su consentimiento, pueda pasar a otro organismo qua la utilice con fines distintos pare los quo fue autorizado inicialmente.
El literal c) del Proye cto de Loy Estatutaria no solo dosarrolla el objeto fundamental do Ia protocciOn del habeas data, sino quo se encuentra an Intima relaciOn con otros derechos fundamentales como el do intimidad y el 1/bre desarrollo do la personal/dad. En efecto, el ser humano gaza do la garantia do determiner qué datos quiere seen conocidos y tiene el derecho a determiner to qua podria donominarso su 'imagen inform6tica"7.
Los principios rectores, ademãs, deben confluir en cuanto a su aplicacion con los deberes y derechos contenidos en la Ley 1581 de 2012, especificamente en el presente caso, es relevante mencionar los deberes que tienen los Responsables de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data. Al respecto la Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realiza el análisis constitucional de la Ley estatutaria 1581 de 2012, manifesto: "Do con formidad con la jurisprudencia do osta CorporaciOn, dentro do las prorrogat/vas contonidos minimos- quo so desprenden do este derocho encontramos par to monos las sigu/ontes: (i) el derecho de las personas a conocer —acceso- la informaciOn quo sobre ellas ostén recogidas en bases do datos, /0 quo conllova el acceso a las bases do datos donde so encuentra dicha informaciOn;
(i/) 01 derecho a incluir nuovos datos con el fin de so provea una imagon complete del titular; (iii) el derecho a actualizar Ia informac/On, es docir, a poner at dia el contenido do dichas bases do datos; (iv) el dorecho a qua la /nformaciôn contonida an bases do datos sea rect/ficada a correg/da, do tat manera quo concuerde con Ia realidad;
(v) el derecho a oxcluir /nformaciOn do una base do datos, bien par quo so esta hacienda un uso indebido do ella, a par simple voluntad del titular —salvo las oxcepcionos pro vistas on la normativa. De esta manera, debe precisar este Despacho que, tal como lo manifiesta la Code Constitucional, el derecho de habeas data otorga la facultad al Titular de los datos personales de exigir el acceso, correcciOn, adiciOn, actualizaciOn y eliminaciOn de su información, por Jo que resulta apenas clara, Ver en: Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP.
Jorge Ignacio PrefeR Chaijub. B' RESOLUCION NUMER HOJA 7 DE Por la cual so imparten ordenes administrativas VERSION UNICA clue Los Responsables y Encargados de la informaciOn deben implementar mecanismos que le permita al Titular acceder en cualquier momenta a su informacion. Igualmente, es importante indicar que en virtud del principio de libertad, citado lineas atrás, el legislador impuso a los Responsables del Tratamiento de datos personales la exige 1ncia de requerir la autorizaciOn previa, expresa e informada del Titular, consagrada en el articulo 9 de la Ley 1581 de 20128 y, ademas, el deber de solicitar y conservar copia de la autorizacion:de Tratamiento otorgada por el mismo, dispuesto en el literal b) del articulo 17 del mismo compendia normativo9.
De lo anterior, Vale la pena precisar que la jurisprudencia constitucional, en sentecia mencionada lineas atras, se refiere a las caracteristicas de los datos personales al analizar la cønstitucionalidad del proyecto de ley de protecciOn de datos personales, a saber: ":) Estar refertidos a aspectos exciusivos y propios de una persona natural; ii) Permitir identificar a la persona, en mayor o manor medida, gracias a ía visiOn de conjunto que se logre con el mismo y con otro datos;Iiii) Su propiedad reside exclusivamente an el titular del rnismo, situaciOn qua no se altera por su obtenciOn por parte de un tercero de manera licita o ilicita; iv) su tratarriiento esta sometido a rOglas especiales (principios) en lo relativo a su captaciOn, administraciOn y divulgaciOn", caracteristicas que se adicionan al concepto de dato personal establecido en la Ley, consistente en on derecho de propiedad sobre este, qué se radica en cabeza del titular.
Sumado a lo anterior, el mismo Responsable debe conservar una copia de la autotización otorgada por el Titular de la informaciOn de forma tal que, en el momento en que sea solicitada para consulta, cuente con la misma. Para el caso que nos ocupa, se tiene quo la instituciOn inVestigada recolecta dates personales de los titulares a traves de: (i) formularios de inscripciôn clue tiene habilitados en su Øagina web 10;
( ii) formatos fisicos de contacto 11 (iii) suscripciôn do contratos laborale& 2 y de prestacion de servicios y; (iv) los datos de la historia clInica13. Asi las cosas este Despacho considera pertinente analizar el tipo de datos que son; recolectados por la instituciOn educativa a través de Los distintos mecanismos sobre los cuales obtiefle Ia informacion de los titulares.
Se tiene que en el Formulario de lnscripcion a Programas Do Pregrado, Ia UNIVERSIDAD DE SAN BUENAVENTURA, solicita datos personales tanto püblicos, como privados, tales thomo (i) nombres y apellidos; (H) tipo, numero de documento de identificacion y lugar de expedician del mismo; (Hi) fecha de nacimiento; (iv) género; (v) estado civil; (vi) E.P.S. a la que se encuentra filiado;
(vii) datos de ubicacion; (viii) información académica; (ix) datos de otros idiomas; (x) informáciOn familiar; (xi) datos de persona de contacto y; (xii) informacion laboral. No obstante lo anterior, llama la atención de este Despacho, que la instituciOn, educativa, en el mismo formulario, tambien solicita datos personales, tales como (i) grupo sanguijieo y;
(H) estrato social, que para el caso especifico del grupo sangumneo, informaciOn clue debe ser categorizada como sensible de conformidad consagrado en el titulo tercero de la Ley 1581 de 202. Ahora bien respecto al dato senalado como: estrato social, este Despacho precisa tiue, en este caso especifico esta informacion tambien debe considerarse como on dato personI sensible en el contexto en el que es solicitado y por lo tanto el titular debe tener claro el carácter que tiene este dato y por lo tanto debe conocer previamente la finalidad para la cual se re4oge y autorizar expresamente su tratamiento.
Ley 1581 cIa 2012. "Articulo 9. Autorizaciôn del Titular. Sin perjuicio do las excepciones previslas an ía fey, an a! Tratamiento se 7quiere la autodzaciOnprevia a informada del Titular, Is cast deberá ser obtenida pot cuatquier medlo quo pusS ser ob]etc do consulta posteflor, O Lay 1581 de 2012. "A,ticulo 17. Debates tie los Responsables del Tratarniento.
Los Rosponsables del Tratamienlo deberén cwnplir los siguienles debates, sin perjuicio do las dernbs disposiciones previslas an /a presente lay yen otras qua njan su actividad: ( ) b) Solicilar y conserver, on las condiciones previstas an ía prosenle lay, copia de ía respective autoflzacibn otoigada pore! Titular: (.4'. 10 Ver folio 3O. Ver folio 31 y 32.
Ver folio 54. Ver folio 33. RESOLUCION NUMERÔ - - DE HOJA 8 Por (a cual Se imp arten Ordenes administrativas Por otro lado, se establece que la instituciOn educativa tambien recolecta y trata datos personales de menores de edad, para los casos de los aspirantes de programa de pregrado y quienes en efecto, se matriculan a alguno de los programas ofrecidos por la UNIVERSIDAD DE SAN BUENAVENTURA, titulares que diligencian los formularios antes analizados.
Otro de los medios a traves de los cuales el Responsable recolecta datos personales de los Titulares es el Formulario Unico de Programas de Posgrado en el que solicita (I) fotografia, (U) nombres y apellidos; (Hi) tipo, numero de documento de identificaciOn y lugar de expediciOn del mismo; (vi) fecha de nacimiento; (v) genero; (vi) estado civil;
(vii) E.P.S. a la que se encuentra afiliado; (viii) datos de ubicacion; (ix) informaciOn academica; (x) informacion de otros idiomas; (xi) referencias personales (xii) information laboral y; (xiii) fuente de financiacion del aspirante. As[ mismo se aprecia en el formulario que la institution educativa, también solicita datos personales, tales como (I) grupo sanguineo y;
(ii) estrato social, que para el caso especifico y como se analizo anteriormente se consideran datos personales sensibles. Se evidencia tambien que el Responsable recolecta datos personales de los Titulares es el Formato de Pregrado y Posgrado Solicitud Movilidad Académica en el que solicita (i) nombres y apellidos; (ii) tipo, numero de documento de identification y lugar de expedicion del mismo;
(vi) fecha de nacimiento; (Hi) datos de ubicaciOn; (iv) informaciOn académica; (v) information de otros idiomas; (xi) datos de la movilidad academica (xH) plan de reconocimientos y; (xHi) plan de materias, datos considerados de naturaleza pUblica y privada. Igualmente obra en el plenario, un formulario de la Direction de Bienestar Institucional denominado "Historia Clinica", en el cual solicita los siguientes datos: (i) nombre;
(H) cOdigo; (Hi) facultad; (iv) programa; (v) edad;(vi) EPS/prepagada; (vii) direction: (viii) nUmeros telefOnicos de contacto; (ix) sexo; (x) estado civil; (xi) nUmero de identification, datos considerados de naturaleza püblica y privada. Por otro lado el mismo formulario tiene dispuestos unos campos que contienen fecha y notas de evoluciOn, information que se considera relativa a la salud y por lo tanto de carácter sensible, pero en el mismo no se aprecia que exista la nota en la que se informa al titular la finalidad para la recolecciOn de este tipo de informacion y por ende que autoriza su tratamiento.
Otra fuente de recoleccion de information es el consentimiento informado para la aplicacion de medicamentos por via parental, en el que solicita (i) nümero de documento y (H) nombre datos considerados de caracter pUblico. El Responsable tambien recolecta datos personales a través de los contratos laborales, en se aprecian los siguientes datos: (i) nombre;
(H) identificatiOn; (iii) direcciOn; (iii) telefono, datos considerados de naturaleza pQblica y privada, no obstante analizando el clausulado de los contratos no se aprecia que la institution educativa solicite la autorizaciOn para el tratamiento de datos personales ni informe la finalidad, para la recolecciOn de la information de los Titulares.
En este sentido y una vez analizadas las fuentes de recolecciOn de information utilizadas por el Responsable, se evidencia que la institution educativa, ademãs de solicitar datos personales privados, en algunos casos tambien recolecta datos sensibles y de menores de edad. A este respecto, se evidenciO en la visita de inspecciOn adelantada por este Despacho, que la institutiOn al recolectar esta information, a través del formulario antes referido, que tiene dispuesto en su sitio web: https://www.usbcali.edu.co/, contaba con una leyenda que senalaba 10 siguiente: "La Liniversidad do San Buenaventura Cali,so/ic/ta la presente information con fines tales como divulgar, comunicar y distribuir informacion, productos y servicios que ofrece, organizer y con vocar eventos, para en v/ar correos electrOnicos, boletines fisicos y online con information, productos y servicios que ofrece, y at usuario autoriza la utilizatiOn de dicha informaciOn, segUn to regulado an la Ley 1581 de 2012 y an el Decreto 1377 de 2013, informatiOn quo podra darse do baja del sistema (sic) si el usuario as! Jo solicita, indicando Ia calidad an la cual Ia suministrO, media rite solicitud dirigida at correo institucional: habeasdata.usbcali. edu.co.
Con la firma del presente formulario de inscripciOn manifiesto ser manor de edad y autorizo a la universidad de San Buenaventura Cali suministrar informatiOn acadOmica y financiora propia del DE RESOLUCION NUMERO Por Ia cual so imparten ordenes administrativas HOJA VERSION UNICA proceso do formaciOn a mis padres y/o acudientes registrados en a/ presente forrnulario.
Articulo 4 Reglamento Estudiantil Universidad San Buenaventura Cali." Dicho 10 anterior, resulta necesario precisar lo dispuesto en el articulo 5 de la Ley 1581 de 2012, sobre la definicion de dates sensibles; "Articulo 50 Dates sensibles. Para los propOsitos de la presente ley, se entiende kor datos sensibles aquellos quo afectan la mt/rn/dad del Titular o cuyo uso mndebido puede generar su discriminac/On, tales corno aquellos que revelen el origen racial o étnico, la okientacian politica, ]as con vicciones rel/giosas o filosOficas, Ia pertenencia a sindicatos, organizaciones soc/ales, de derechos hurnanos a que promueva intereses de cualquier part ida politico a qua garanticen los derechos y garantias de part/dos politicos do oposiciOn asi coma los datos relat/vos a la salud, a la Vida sexual y los datos b/ométricos/" En Ia sentencia que analizo la constitucionalidad del Proyecto de Ley que posteriormente se conociO cemo Ley 1266 de 2008, la Corte Constitucional explicO, respecto de los datos sensibles, que "()la naturaleza de esos datos pertenece al nOcleo esencial del derecho a la intimidad, entendido coma aquella esfera o espacio de vida privada no susceptible de la interferencia arbitratia de las demas personas, que al ser considerado un elemento esencial del ser, se concreta en el derecho a pode' actuar libremente en la mencionada esfera a nUc!eo, en ejercicio de la libertad personal y familiar, sin más limitaciones que los derechos de los demas y el ordenamientojurIdico"14.
Entonces el dato sensible no es una informaciOn que solamente este relacionadà con la garantia propia del ejercicio del derecho de habeas data, sine que va ligada tambien al der1cho fundamental a la intimidad, el cual, igualmente, es sujete de protecciOn constitucional. Obrando en consecuencia con la importancia constitucional y legal atribuida al date sensible, el legislador estatutario, en el articulo 6 de la Ley 1581 de 2012 prohibia, per eegla general, el tratamiento de informaciOn sensible de los titulares, do tal forma que s6lo1 consagrá unas excepciones taxativas a dicha exclusiOn, [as cuales responden a la necesidad de garantizar otros derechos constitucionales tales como la Vida, la educaciOn y el derecho de asociacktn.
Teniendo presente tal situaciOn, el legislador estatutario dispuso clue, para que el Responsable del Tratamiento pueda tratar dates sensibles debe realizarlo conforme a lo establecidb en el articulo 6 de la Ley 1581 de 201215 y ademas requiere que se le comunique al titular que lØs dates clue estã pretendiendo recoger son sensibles y que no está obligado a entregarlos.
Condktiones relevantes que garantizarán que el titular entregue o no su consentimiento de manera informada, circunstancia esencial para que proceda el tratamiento de los datos sensibles por parte del Responsable de acuerdo a la ley. Por otra parte, respecto de la categoria especial de datos se encuentran incluidos igualmente los dates personales de los nines, niñas y adolescentes y su especial protecciOn, p4ra lo cual la Ley 1581 de 2012, dispone Ia siguiente: "ArtIculo 7°.
Derechos do los niños, niñas y adolescentes. En el Tratamiento se asegurara el respeto a los derechos prevalentes de los niños, niflas y adolescentes. Queda proscrito a! Tratamiento de datos personales de niños, niñas y adolescontes, salvo aquellos datos quo sean do naturaleza pUblica. Es tarea del Estado y las ent/dades educativas de todo tipo proveer /nformaciOn ' capacitar a los representantes Iegales y tutores sobre los eventuales riesgos a los quo se enfrentan los n/ños, niñas y adolescentes respecto del Tratamiento indebido do sus datos iersonales, y proveer do conoc/mmento acerca del uso responsable y seguro par parte de nmnbs, nines y Senlencia C-loll del 16 de octubre de 2008.
M.P. Jaime Cordoba Tdviño 'Articulo 6°. Trg tamiento de datos serisibles. So proh/beel Tratamiento de dabs sensibtes, excepto cuando; a)El Titular haya dada cv autorizaciOn oxplicita a dicho Tratarniento, salvo en los casos quo pot by no sea requatido el oto'gamiento de dicha autoazaclOn; b) El Tratamiento sea necesario pare salvaguardar ci interOs vital del Titular y este se encuentre (Idea o jurklicamente incapacitado.
En estos eventos, los representantes legates deberàn otorgar cv autorizecion; c) El Tratamiento sea efecluado en ci cum de las actividades legitimacy con las debidas garantias por pale de una fundacion, ONG, asociaciOn o cualquier otto organismo sin ãnin,o do lucro, cuya finalidad sea politico, fliosOfica, religiose o sindical, siempre quo so refleran exciusivamente a su miembros a a las personas quo rnantengan contactos regulates por razOn de cv finalidad.
En estos eventos, los dabs nose podrén surninisttar a tereeros sin to autorizaciOn del Titular El Trabarniento cc retiora a datos quo sean necesarios pare ci reconocimionto, e)ercicio o defense de un derecho en un procesojudidial; a) El Tratamiento ten go una finalidad historica, ostadist ice o cientifica. En oslo ovonto deborAn adoptarse las nedidas conducentes a ía suprosiOn do identidad do los Titularos." 14 Corte Constitucional.
RESOLUCION NU HOJA 10 Por Ia cual se imparten Ordenes administrativas adolescentes de sus datos personales, su derecho a la privacidad y proteccion de su informacion personal y la de los demas. El Gobierno Nacional reglamentara Ia mater/a, dentro de los se/s (6) meses sigu/entes a la promulgaciOn de esta Icy. Entonces baja en anterior precepto, el legislador dispuso una especial protecciOn para los ninos, niñas y adolescentes, al tenor de los derechos fundamentales salvaguardados par la Constitucion Nacional, de suede que el Estado, la familia, [as instituciones educativas y Ia instituciOn en general deben intervenir en la protecciOn de estos derechos.
Esta diferencia que realiza el legislador, respecto de la categoria especial de datos y en especial el de los niños, niñas y adolescentes, no debe entenderse de manera restrictiva por cuanto los Responsables de la lnformacian pueden tratar los datos personales sometidos a esta categoria, siempre y cuando atiendan los requisitos especiales previstos en la ley, la cual dispone: "Articulo 2.2.2.25.2.9.
Requisitos especiales para el tratamiento de datos personales de ninos, nines y adolescentes. El Tratam/ento de datos personales de niños, niflas y adolescentes esta prohibido, excepto cuando se Irate de datos de naturaleza pub//ca, de conform/dad con to establec/do an el art/cub 7 de Ia Ley 1581 de 2012 y cuando dicho Tratamiento cumpla con los siguientes parametros y requisitos: 1.
Qua responda yrespete el interès superior de los niños, niñas yadolescentes. 2. Que se asegure el respeto de sus derechos fundamentales. Cumplidos los anter/ores requisitos, el representante legal del nine, n/na o adolescente otorgara la autorizaciOn previo ejercicio del menor de su derecho a ser escuchado, opinion qua será valorada len/endo an cuenta Is madurez, autonomia y capacidad pare entender el asunto.
Todo responsable y encargado involucrado an el Ira tamiento do los dates personales de niños, niñas y adolescentes, debera velar POT el use adecuado de los mismos. Para este fin deberan aplicarse los pr/nc/p/os y obligac/ones establecidos an la Lay 1581 de 2012 y el presente cap/lu/a. La fam/l/a y la sociedad deben velar porque los responsables y encargados del tratamiento de los datos persona/es de los menores de edad cumplan las obligac/ones establecidas en la Ley 1581 do 2012 y el presente cap/tub.16" En conclusion, el tratamiento de esta categoria especial de dabs, debe realizarse atendiendo 10 dispuesto en el anterior precepto, dada que es deber del Responsable de la lnformaciOn, adoptar todas las medidas necesarias, a fin de garantizar el correcto Tratamiento de este tipo de datos que se recolectan.
Par otra parte, el principia de finalidad que se traduce en el deber de informar al Titular lo que se pretende hacer con su informaciOn, se encuentra contenido en el articulo 12 de la Ley 1581 de 2012, as I: ArticuIo 12. Deber de in format al Titular. El Responsable del Tratamiento, al momento de so/ic/tar al Titular la autorizaciOn, debera informarle de manera clara y expresa /0 sigu/ente: a) El Tratamiento al cual serén somet/dos sus datos persona/es yla final/dad del mismo. b) El caracter facultativo de Ia respuesta a las preguntas qua Ie seen hechas, cuando estas (sic) versen sobre datos sons/b/es o sabre los dates de las niñas, niños y adolescentes. c) Los derechos quo le asisten como Titular. d) La ident/ficaciOn, d/recciOn f/s/ca o electrOn/ca y telefono del Responsable del Tratamiento.
PARAGRAFO. El Responsabbe del Tratamiento deberá conservar prueba del cump//m/ento de lo pro visto an el presente articulo y, cuando eb Titular be sob/cite, entregarle cop/a de esta'l Coma puede observarse, el principio de finalidad, que se encuentra intimamente ligado al principio de libertad, impone unos limites al tratamiento de los datos que están siendo administrados par el Responsable: dichos limites se derivan de la naturaleza de la informaciOn y del uso que se dara a los Decreto (inico Reglarnentarlo 1074 de 2015.
"Par media del cual se expide el Decreto (Mica Reglamentario del Sector Comercio, Industria y Turismo" %E RESOLUCION NUMERá HOJA 11 VERSION CJNICA datos recolectados. En palabras de la Code Constitucional "(..) [t]anto el acopio, el procesamiento y la divu/gaciOn de los datos persona/es, debe obedecer a una final/dad constitucionØlmente legItima, definida de manera Clara, suficiente y previa; de tal forma que queda prohibida IA recopilaciOn de datos sin la c/ara especificaciOn acerca de la final/dad de los mismos, asf como el Uso o divulgaciOn de datos para una fina/idad diferente a la inicia/rnente prevista (•)17 Dicho principio se hace efectivo al momento en que se solicita autorizacion al Titular, pues es aill en clue e 1sta se cumple el término maxima para informarle al Titular los fines de la recoleccion de su info rmacibn, ya que como Ia dispuso el artIculo 2.2.2.252.2 del Decreto Unico Reglamentario 1074 de 201518 tell Responsable del Tratamiento debera adoptar procedimientos para solicitar, a más tardar an e momento do la reco/ecciOn de sus datos, la autorizaciOn del Titular para el Tratamiento de los misnos e informar/e los datos persona/es que set-an reco/ectados asi como todas las fina/idades especificas del Tratamiento para las urn/es se obtiene e/ consentimiento".
Por to indicado, en el momento en que se solicita información al titular se le debS informar: (I) el Tratamiento al cual serán sometidos sus datos persanales y la finalidad del mismo (ii) el carécter facultativo de Ia respuesta a las preguntas que le sean hechas, cuando estas veflsen sabre datos sensibles a sabre [as datos de las niñas, niños y adolescentes (Hi) los derechos que le asisten coma titular y;
(iv) la identificacion, direcciOn fisica a electrônica y teléfono del Responsable del Tratamiento. Ahora bien, abordando estos aspectos la Code Constitucional en sentencia de con;titucionaIidad C748 de 2011 expuso Ia siguiente: "( ) La definiciOn establecida par el legislador estatutario responde a uno de los criterios establecidos par la CorporaciOn pare el manejo de las bases de datos.
Sin embargo, debe hacerse algunas precisiones. Par una parte, los datos personales deben ser procesados con un propOsito especifico y explicfto. En ese sentido, la finalidad no solo debe ser legitima sino quo là referida informacion se destinara a realizer los fines exciusivos para los cuales fue entregada pore! titular. Par ello, se debera informar al Titular del data de manera clara, suficiente y previa acerca de Ia finalidad de la informaciOn suministrada y par tanto, no podrA recopilàrse datos sin Ia clara especificaciOn acerca de la finalidad de los mismos.
Cualquier utilizaciOn diverse, debera set autorizada en forma expresa pot el Titular. Este precision es relevante an /8 medida que permite un Control par parte del titular del data, en tanto le es posible verificar si está siendo usado pare Ia finalidad par El autorizada. Es una herramienta Util pare eviler arbitrariedades en el manejo de la informaciOn par parte de quien trata el data.
Asi mismo, los datos personales deben ser procesados solo en la forma que lb persona afectada puede razonablemente prever. Si, con el tiempo, el uso de los datos personales cambia a formas que Ia persona razonablemente no espera, debe obtènerse S consentimiento previo del titular. Par otro lado, de acuerdo la jurisprudencia constitucional y los estandares interflacionales relacionados previamente, se observe que el principio de finalidad implica tambiEn: (i) un ambito temporal, es decir queel periodo de conservaciOn de los datos persbnales no exceda del necesario para alcanzar la necesidad con que se han registrado y (ii) jn ambito material, que exige qua los datos recaudados sean los estrictamente necesarios para las finalidades perseguidas (f".
Par Ia mencionado, es clara para este Despacho que la UNIVERSIDAD DE SAN BUENAVENTURA no ha observado los principios de finalidad y libertad consagradas en los literales b) y c) del articulo 4 de la Ley 1581 de 2012, de ]as cuales se desprenden los deberes de solicitar y cthnservar copia de la autorizaciôn previa, expresa e infarmar debidamente la finalidad de la recoleccin y los derechos que le asisten al titular; al igual que observar un especial tratamienta de informacion personal frente al tratamiento de datas sensibles, asi como de los niños, niñas y adolescentes, es decir informar al momenta de la recolecciOn de la autarizaciOn el carácter facultatiVo de las respifestas cuando las preguntas versen sabre datos sensibles a de niñas, ninas y adolescentes.
Asi, debe recordarse que el tratamiento de datas personales de menores estâ permitido siempre y cuando se acuda a una interpretaciOn restringida, segun la cual ese usa de la inf6rmaci6n se debe Code Constitucional,atsentencia C-748 de 2011. M.P. Maria Victoria CaVe Correa. Norma qua cornpilo Decreto 1377 de 2013 'Pore! cual se reg!amenta parcialmente la Ley 1581 de 2012'.
U RESOLUCION NUMERO 4.41 DE HOJA 12 Par la cual so imparten Ordenes administrativas sujetar a la interpretaciOn esbozada por la Code Constitucional cuando analizO la exequibilidad del articulo 7 de la Ley 1581 de 2012. Aun cuando el texto original de la norma estableciO en principio que quedaba "proscrito el Tratamiento de dates persona/es de nines, nines y ado/escentes, salvo aque//os datos que sean de natura/eza pub/ice", la Code en sentencia C-748 de 2011 aclarO que dicha disposition "no debe entenderse en el sentido de que existe una prohibicion absolute de/ tratamiento de /os datos de los menores de 18 enos, exceptuando /os de naturaleza pub/ice, pues e//o, dana /ugar a /a negaciOn de otros derechos superiores a esta pob/eciOn Siguiendo esa linea de interpretation, esa Corporation concluyO que "( ) en of tratamiento de /os datos persona/es de menores do 18 anos, at margen de su natura/eza, pueden ser objeto de tratamiento siempre y cuando el fin que se persiga con dicho tratamiento responda al interEs superior de los nines, niñas y ado/escentes y se esegure sin excepciOn alguna el respeto de sus derechos preva/entes'.
Tal interpretaciOn fue recogida por el Decreto LJnico Reglamentario 1074 de 2015, el cual estableciO que para el tratamiento de datos personales do niños, niñas y adolescentes, excepto cuando se trate de datos de naturaleza püblica, debera cumplirse con los siguientes parametros y requisitos: (i) que responda y respete el inheres superior de los niños, niñas y adolescentes y (ii) que se asegure el respeto de sus derechos fundarnentales.
Cumplidos los anteriores requisitos, el representante legal del niño, nina o adolescente otorgara la autorizaciOn previo ejercicio del menor de su derecho a ser escuchado, opinion que sera valorada teniendo en cuenta la madurez, autonomia y capacidad para entender el asunto. A su vez, la citada norma tambien establecio que "Todo responsable y encargedo invo/ucrado en e/ tratamiento de los datos persona/es de niños, nines y adolescentes, debera velar par el uso adecuado de los mismos.
Para este fin deberan aplicarse los principios y ob/igaciones establecidos en la Ley 1581 de 2012 y el presente decreto". De manera concordante con lo expuesto, en la recolecciOn de la autorizacion, hal y como lo expone el literal b) del articulo 12 de la Ley 1581 de 2012, "el Responsable del Tretamiento at momento de so/icitar at Titular la autorizaciOn, debera informerle de manera c/are y expresa lo siguiente: ( ) El caracter facu/tativo de /a respuesta a las preguntas qua Ia sean hechas, cuando versen sabre dates sensibles a sobre /os dates de nines, nines y ado/escentes".
Ahora bien en este punto es necesario referirse a la capacidad que tienen los menores de edad que suministran su informaciOn a Ia institucion educativa, bien sea como aspirantes o en los estudiantes que so matriculan en alguno de los programas ofrecidos por la UNIVERSIDAD DE SAN BUENAVENTURA, que para el caso particular los mismos, se clasifican como adolescentes, por cuanto se encuentran dentro del rango comprendido entre los 12 y los 18 años de edad.
Sobre el particular, vale la pena traer a colaciOn apartes del concepto radicado con el nümero 13232774 emitido por la Superintendencia de Industria y Comercio frente al tratamiento de datos personales par [as Instituciones Educativas: ' El articulo tercero del COdigo de la lnfancia y Ia Adolescencia establece quo seran menores de edad aquellos que se encuentran entre los 0 y 18 anos, y a su vez, estos so dividen en niños y ninas y adolescentes: 'Para todos los efectos de esta fey son sujetos titu/ares de derechos lodes las personas menores de 18 años.
Sin penjuicio de Ia establecido en el articulo 34 del COdigo Civil, entiende por nine o nina las personas entre los 0 y los 12 años, y pon adolescento las personas entre 12 y 18 años de edad.' HistOricamente, en nuestro ordenamiento junidico se habian establecido las categories do infantes - 0 a 7 años-, impObenes -7 a 12 a 14 anos- y menones adultos - 12 a 14 a 18 añosEn este sentido, una sorie do normas, en especial del COdigo Civil ban pro visto un regimen especial pare Ia categoria do menores adultos, la cual a la luz do /8 expediciôn del COdigo do la Infancia y /8 Adolescencia so deS encuadrar on la categorla de adolescentos, en especial en relaciOn con la capacidad do estos.
En este sentido, la Carte Constitucional manifesto: "Los menores adultos gown de capacidad relative, esto es quo pueden en forma libne y autOnoma realizer actos tales HOJA 13 RESOLUCION NUMERO - DE Por la cual so imparten Ordenes administrativas VERSION UNICA como tester, reconocer hffos extra-matrimonia/os, conceder y rec/amar pare el/os alimentos, otorgar consentimiento pare dar en adopciOn sus propios huos y colebrthr ciertos contratos financieros; pare otros actos, s/ bien so los reconoco capac/dad, su relizaciOn estã sujeta a /a autorizaciôn do sus represontantes, entre el/os, ce/obrar matrimonio, pactar capitu/aciones, set adoptado, celobrar contra to de trabajo.
Pare la rea/izaciOn do otros actos juridicos, en cambio, son considerados Inca paces absolutos, entre el/os set tutores, curadores, albacoas 0 peritos. More b/en, ese reconocim/ento de la capacidad de autodeterminaciOn de los individuos, quo como se he dicho as gradual, en el Estado Social de Derecho esta relacionado de manera estrecha con el concepto do libertad que subyace an dicho tipo deorgn/za c/On politica, Ia cual se traduce an actuar dontro deVia esfera do lo perm/t/do\", qe es, an definitive, V.. a qué/la an /a qua cada cual actUa sin constr/cciOn exterior, lo qua as tanto como decir qua actuar an esta esfera as actuar sin ester determinado más qua por uno mismo."( ) La capacidad del manor so reconoce an menor 0 mayor grado sogUn so encuentre en una u otra etapa do la vida, més o menos cerca del Ifmite establecido por Ia by a partit del cual ella so presume, y so re/aciona con la complojidad de Jos asuntos pare Jos cualos se requiere y con el grado do evoluc/On del sujeto individualmente considerado; pr ebb, a medida qua avanza el tiempo, se amp/ia a/ ospectro de asuntos en los cue/es puede y debo decidir por 51 mismo pare orientar, sin /a conducciOn u orientaciOn do otro Su prop/o destino." Asi mismo, con poster/oridad a Ia expedic/On del Cod/go de la Infancia y la Adolesbencia la Code Const/tucional he considerado: 'En v/dud de una interpretac/On s/stomát/qa de las disposiciones const/tucionales y de /o expresamente sonalado por Jos I tratados internac/onales de derechos humanos qua hacen parte del bloque do constituc!onalidad stricto sensu, esta CorporaciOn he sostenido qua el concepto manor de edad comprendo a la niñez (0 a 12 anos) y a la adolescencia (mayor de 12 y manor do 18 anos) y, por /0 tanto, gozan de una protecc/On igualitaria en aras do su dosarrollo armOn/co 0 integral y el ejercic/o piano de sus derechos. 5. 1.
De la lecture conjunta de los articu/os 44 y 45 do la ConstituciOn, la Code hA infer/do quo el empbeo do los vocablos "niños" y "adolescentes'ç respectivamente, no t/ene por objeto oxcluir a estos Ult/mos do la protecc/On especial otorgada a Ia niñez, sino 4frecerbes mayores espac/os de participaciOn en los organismos pOblicos y privados dado sü n/vol de desarrollo.
En la sentencia C-092 de 2002, esta Corpora c/On precisO quo "la Carta utilize el termino adolescentes' pare referirso a aquellos jovenes qua no han alcanzado aCm Ia mAyoria do edad, pero qua tienen capacidad y madurez pare participar an los organismos th3blicos y privados quo ten gan a cargo Ia protecc/on, oducaciOn y progreso do la juventud, Sin definir cuando comionza y a qué edad termina la adolesconcia. Lo quo se buscO con tel consagraciOn fue pues garantizar la protecciOn y Ia formaciOn fisica, psicolOgica, intoloctual y social, as! como Ia partic/paciOn active do los jOvones an la vida cultural, 1eport/va, politica, baboral y econOmica del pals, promoviendo su intevenciOn an las dec/sionos de Jos organ/smos quo tienon a su cargo politicas respecto do ose grupo do la poblaciOn.
Asi Ia distinciOn entro n/no y adoloscento, no so hizo pare efectos de Ia pro valencia do sus derechos, sino de la partic/pac/On". Con base on lo enter/or, la Code he sonalado quo "on Colombia, Jos adolescentoL poseen garantias prop/as do su edad y nivel de madurez, pero gozan de Jos mismos privibegios y dorechos fundamontales quo Jos niños, y son, por 10 tanto, "menoros" (siempre ' cuando no hayan cumplido los 18 anos)".
As! con un enfoque garantista, este Tribunal Constitucional he cons/derado que la protecciOn const/tuc/onal con fonda por at adI pubo 44 a favor de Jos n/ños y nines, /ncluyo a todo manor de dieciocho (18) anos." De acuerdo con lo cual, si b/on todos aquollos qua so encuontren entre Jos cero y diociocho años cuontan con los mismos privilegios y protocciOn especial, la categorip do los adoloscontes, en v/dud de Ia capacidad y madunez quo han dosarnollado so les h6 dado un mayor margon do acciOn, on especial/dad an relaciOn con la capacidad parà adopter docisiones por si mismos. 2.4 La autorizaciOn do los adolescentes pare obtonor informaciOn on re/ac/On con su educac/On.
El articulo 45 de la Constituc/On Pout/ca establece: "El adolescento tieno derécho a la protecciOn y a Ia formaciOn integral. El Estado y Ia sociedad garantizan la patticipaciOn RESOLUCION NUMERO I L v DE HOJA 14 Par Ia cual se imparten ôrdenes administrativas act/va do los jOvenes en los organismos pUblicos y privados qua tengan a cargo la protecciOn, educaciOn y pro greso de Ia juventud." Asi mismo, el art/cu/a 8 del COdigo do ía Infancia y ía Adolescencia consagra 0/ principio do interOs superior del nina, nine y adolescentes, el cual se debe usar coma criteria do interpretac/On an todas las situaciones qua involucren a dicho grupo do Ia poblaciOn: "So entiende por interes superior dol niño, nina y adolesconte, el imperativo quo oblige a todas las personas a garantizar la satisfacciOn integral y simultanea do todos sus Derochos 1-tumanos, que son universales, pro valentos e interdepondiente.s." Dontro do los derochos de los adolescontos so encuont ran los siguientes: • Derecho a Ia oducaciOn: "Los niños, las niñas y los adolescentos tienen dorocho a una educaciOn do calidad.
Este sore obligatoria POT parto del Estado en an aho do preoscolar y nuevo do educaciOn basica. La oducaciOn sera gratuita en las instituciones estatalos do acuerdo con los términos establocidos an la Constitucion Politica. lncurrira an multa haste do 20 salarios m!nimos quienes se abstengan de recibir a un nina an los ostablecimiontos pOblicos de educaciOn." • Derecho a la inforrnaciOn: "Sujeto a las rostricciones necesarias pare asegurar el respoto do sus dorechos y el do los demas y pare proteger Ia seguridad, la salud y la moral, los niños, las niñas y los adolescontos tienen derocho a buscar, recibir y difundir informaciOn e ideas a traves do los distintos medios de comunicaciOn de quo dispongan." (19) Asi mismo, at articulo 37 del Cod/go de la Infancia y la Adolescencia ostablece: "Los niños, las niñas y los adoboscentos gozan do las ilbertados consagradas an Is Constitucion Politico y an los tratados intornacionales do Derechos 1-lumanas.
Forman parte do ostas libortados el libre dosarrollo do la personal/dad y Ia autonomia personal; Ia libertad de conciencia y do crooncias; Ia libertad do cultos; la libertad do pensamionto; la libertad do locamociOn; y Ia libortad para oscogorprofesiOn u oficio." Adicianalmonto, so he pro visto la siguionte obligaciOn especial a cargo do las institucionos educativas: "Para camp/jr con su mis/On las institucionos educativas tendrén entre otras las siguientos obligacionos: 1.
Facilitar ol accoso do los n/ños, niñas y adolescentes al sistema educativo y garantizar su pormanencia. 2. Brindar uria educacion portinente y do cal/dad. ( )', En la consulta se plantea la situaciOn an la cual so haco necesario obtener do los adoloscontos sus datos do contacto a fin do brindarlo informaciOn sabre programas y planes do estudio.
La usual as quo dada Ia maduroz quo tienon los adoloscentos y tratandose do tin asunto quo concierne dire ctamente a su futuro acadOmico y pro fosional, éstos acudon dire ctamonto, y sin sus ropresentantos legales, a las instituciones oducativas, o los contactan par ojompbo a través do Ia pagina web. La oxigoncia do con tar con la autorizaciOn previa do /os adolescontos pare el tratamionto do sus datos porsonalos par parte do las ontidades oducativas a fin do brindarlos la informaciOn sabre los programas quo puodon cursar puode genorar dificultados practicas quo podr!an dorivar an quo no so surninistro a los adolescontes la informac/On quo requ/eron pare podor ingrosar a los programas do las instituciones educativas.
En osto sent/do, osta Oficina Juridica oncuentra quo do genera rso dicha situaciOn so podr!an afectar las derochas a las quo so he hecho monc/On y so gonerar!a gran dificultad pare (as institucionos educativas pam cumplir con (a citada abiigaciOn especial quo tionen a cargo, par /a cual, encontramas quo so puede presenter una colisiOn de derechos, par una pafle el derecho ab habeas data y par atra los dorochas a las quo so he hoc/ia monciOn.
En relaciOn con la armonizac/On do normas y Ia pandoraciOn ante una calisiOn do dorochas la Carte Canstitucional ha cansiderado: "Las cal/s/ones entre normas juridicas do igual jerarqu!a const/tucianal doben solucionarse do forma quo so lagro Ia Optima eficacia do las mismaa El principia de la unidad constitucional ox/ge la interprotaciOn do la CanstituciOn coma an todo armOnico y caherente, a/ cual se opono una interpretaciOn aislada a contradictaria do (as disposicionos quo la into gran. 10.
El ejercicio do los derochas plantoa con flictas cuya saluciOn hace necesaria la armanizaciOn concrete de las normas canstitucianalos onfrontadas. El pr/n cipio do armanizaciOn concrete imp/do quo so basque la efectividad de tin dorocho medianto el sacrificio a rostricciOn do otro. Do con formidad can osto principio, eI interp rote dobe resolver las colisiones ontro b/ones juridicos, do forma quo so maxim/co la ofoctividad do ULWU RESOLUCION NUMERO DE,4 HOJA 15 Por Jo cual se imparten Ordenes administrativas cada uno de el/os.
La co//sian de derechos no debe, por lo ta'nto, resolverse med/ante una ponderaciOn superficial o una prelacion abstracta de uno de los bienes juridicos an con flicto. Este ponderaciOn exige tener an cuenta los diversos bienes e intereses en ftiego y propender su armonización an Ia situacion concrete, como momento prey/a y necpsario a cualquierjerarquizaciOn o pie valencia de una norma constitucional sobre otra. 11.
El principio de armonizaciOn concrete imp/ica la mutuá delimitaciOn de los! bienes contrapuestos, med/ante la concordancia práctica de las respect/yes normas constitucionales, de modo que se asegure su maxima efectividad. En este proeso de armonizaciOn concrete de los derechos, el pr/nc/plo de proporcionalidad, que se deduce del deber de respetar los derechos ajenos y no abuser de los propios (C. P, art. 95- LU, juega un papal crucial.
Los limites trazados al ejercicio de los derechos, en at caso cOncreto, deben ser proporcionales, esto es, no deben ir més al/a de /0 indispensable pare permitir la maxima efectividad de los derechos an pugna. La proporcionalidad se refiere enton1ces a la comparaciOn de dos variables relatives, cuyos alcances se precisan an la situacion concrete, y no a la ponderaciOn entre una variable constante a absolute, y otras qbe no lo son.
La delimitaciOn proporcional de los bienes juridicos en con flicto, med/ante su armonizaciOn an la situacion concrete, se hace necesaria cuando se tome an serio la final/dad social del Estado de garantizar la efectividad de los principios, derechos y deberes consagrados en Ia ConstituciOn (C. P., art, 2), y se pretende impedir que, por ía via de ía restriccion injustificada de los derechos, termine par socavarse el contenido S uno o var/os de el/os.
De acuerdo con 10 anterior, y teniendo como criterio de interpèetacion el consignado en el citado articulo 8 del COdigo de ía Infancia y ía Adolescencia, se debe buscar simpre el interes superior de los adolescentes. Por 10 cual, y a fin de evitar qua la aplicac/On de un derecho derive an la map//ca c/On de otros, se debe considerar que, en el caso especifico analizado, es dec/c cuando, se trate del tratamiento de datos de adolescentes par porte de instituciones educativas a fin de brindarles informaciOn sobre los pro gramas qua ofrecen, y en general informaOiOn qua tenga coma final/dad garantizar el derecho a Ia educacion de los adolescentes, as posible qua la autorizaciOn pre y/a sea otorgada directamente por at estudiante.
Dicha interpretaciôn esta en consonancia con las normas pre vistas en nuestro ordenamiento juridico qua reconocen el grado de madurez de los menores adultcs y qua los otorgan capacidadpara llevara cabo porsi mismos ciertos actos (..)" En este orden de ideas, atendiendo los principios de armonizaciOn de las normas y ponderaciOn de derechos niencionados en el concepto transcrito lineas atrás, para ésta Dirección fesulta razonable obtener la autorizacion previa, expresa e informada directamente del adolecente, cuando se recolectan datos de éstos pare que se puedan inscribir como aspirantes a matricular en alguno de los programas ofrecidos por la UNIVERSIDAD DE SAN BUENAVENTURA.
A la Iuz de Ia dispuesto para el tratamiento de los datos personales, este Despach advierte que la UNIVERSIDAD DE SAN BUENAVENTURA, en la leyenda que tiene dispuesta en el formulario electronico habilitado en su sitio web, si bien contempla el hecho de quien suministra la informaciOn, es menor de edad, par otto lado no informa cuales de los datos recolectados, son datos personales sensibles, en los terminos del articulo 2.2.2.25.2.3 del Decreto Unico Reglamentario de 2015 que senala lo siguiente: ArtIculo 2.2.2.25.2.3.
De la autorizaciôn para el Tratamiento de datos personales sensibles. El Tratamiento de los datos sensibles a que se refiere el articulo 5 de Ia Ley 1581 de 2012 está prohibido, a excepciOn de los casos expresamente senalados en el ai3ticulo 6 de la citada ley. En el Tratamiento de datos persona/es sensibles, cuando dicho Tratamiento sea posible con forme a lo establecido en el articulo 6 de Ia Ley 1581 de 2012, deberán cur plirse las siguientes obligaciones: 1.
Informer al titular que par tratarse de datos sensibles no esté obligado a aqtorizar su Tratamiento. 2. Informer al titular do forme expllcita y previa, además de los requisitos gene4ales de la autorizaciOn pare la recolecciOn do cualquier tipo de dato personal, cue/es do los datos quo serán objeto c/a Tratamiento son sensibles y ía final/dad del Tratamiento, asi coma pbtener su consentimiento expreso.
RESOLUCION NCJMERä HOJA 16 Por la awl Se imparten ónlenes administrativas Ninguna actividad podrá condicionarse a que e! Titular suministre datos persona/es sensibles. En consecuencia de Ia anterior, analizando la leyenda que tiene dispuesta el Responsable en el formulario de inscripcion a programas de pregrado, en manera alguna puede ser tomada cômo la autorizaciOn previa, expresa e informada a la que se refiere la ley, más aün cuando quedo demostrado que recolectan datos sensibles y datos de menares de edad.
Par lo anterior Despacho concluye que la instituciôn investigada debe implementar las autorizaciones para la recolecciOn de datos personales en cada caso, esto es en los formularios de inscripcion que tienen dispuestos tanto fisicos, coma en su pagina web, en los que se recolectan datos de aspirantes a los programas, asi coma en el formato de movilidad academica y la historia clinica en el que se recolecta datos de estudiantes y en los contratos laborales en el que se recolectan datos de los empleados, especificando claramente las finalidades para ]as cuales se recolectan datos y particularmente cuanto se trata de datos sensibles. 7.2.4 Res pecto del deber de contar con un manual interno de polIticas y procedimientos.
El literal k) del articulo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de Ia lnformacion, el cual establece: "ArtIculo 17. Debores de los Responsables del Tratamiento. Los Responsables del Tratamiento deboran cumplir los siguientes deberes, sin perjuicio de las domes disposiciones previstas en Ia presente ley yen otras quo ryan su actividad: k) Adoptar un manual interno de politicas y procedimientos para garantizar of adecuado cumplimiento do Ia presente ley y an especial, pare ía atenciOn de consultas y reclamos (..y, Al respecto es necesario precisar que los aspectos analizados en el presente cargo, guardan relaciôn a los procedimientos internos que debe adoptar los Responsables de la lnformaciOn con el fin de garantizar la adecuada protecciOn de los datos personales que trata, en virtud del desarrollo de sus actividades; estas actividades van encaminadas a que los responsables, desarrollen politicas internas efectivas quo demuestren el cumplimiento de las obligaciones establecidas en la Ley 1581 de 2012 yen su Decreto Reglamentario.
Par Ia anterior, es preciso traer a colaciOn Ia dispuesto en el parrafo final del articulo 2.2.2.25.6.2 del Decreto Reglamentario 1074 de 2015, par cuanto prevé que "la verificaciOn por parte do la manejo adecuado do los datos personales que administra un Responsable sera tenida en cuenta al momento do evaluar la imposiciOn do sanciones por violaciOn a los deberes y obligacionos establocidos on la by y on el prosonte capitulo." En este punto y del resultado arrojado en la visita de inspeccion realizada en las instalaciones de la instituciOn investigada, la misma no cuenta con politicas y procedimientos intemos de seguridad, ni de atenciOn de consultas, quejas y reclamos, razOn par la cual esta DirecciOn encuentra que la UNIVERSIDAD DE SAN BUENAVENTURA, incumpliO con el deber establecido en el literal k) del articulo 17 de la Ley 1581 de 2012 en concordancia con e literal g) del articulo 4 de la referida norma.
Coma consecuencia de lo anterior al no demostrar la investigada, haber implementado los manuales internos respectivos, para garantizar el cumplimiento de la Ley 1581 de 2012, esta DirecciOn impartirá la orden correspondiente para adopte ]as medidas necesarias para su implementacion. Par tai razôn, esta Direcciãn precisa que la instituciOn investigada, debe adelantar el proceso para lograr politicas internas efectivas, asi coma de seguridad apropiadas y una estructura administrativa idOnea, con el proposito principal de garantizar en todo momenta el derecho fundamental de habeas data de los titulares.
OCTAVO: En este orden de ideas, una vez analizadas las pruebas obrantes en el expediente y en virtud del literal e) del articulo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el "( )lmpartir instrucciones sobre las medidas y procedimientos necesarios para la adocuaciOn do las opera ciones do los Rosponsables del Tratamiento y Encargados del Tratamiento a las disipacionos pro vistas on la prosente Loy (. 3", esta Instancia RESOLUCION NUMERJ £ OE - HOJA 17 Por ía cuaI so imparteri ordenos administrativas VERSION LJNICA procedera a impartir las siguientes instrucciones: 8.1 Ajustar la "po/Itica S tratamiento de datos persona/es" en los terminos establedØos en el articulo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015, de manera que pontenga (I) Los derechos que le asisten al titular del dato;
(h) La persona o area responsable de la atencion de peticiones, consultas y reclamos ante la cual el titular de la informacion piede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la ai1torizaci6n; (Hi) El procedimiento para que los Titulares de la inforrnaciOn puedan ejercer Los derechos a conocer, actualizar, rectificar y suprimir informaciOn y revocar la autorizacion y;
(iv) el p&iodo de vigencia de las bases de datos. 8.2 Implementar un aviso de privacidad visible, en la que informe a los titulares qie el Responsable recolecta datos personales a traves del sistema de videovigilancia y sobre 19 existencia de las Politicas de Tratamiento de la lnformaciOn y la forma de acceder a las mismas. 8.3 Implementar y obtener las autorizaciones para La recalecciOn de datos persoqales en cada caso, esto es en los formularios de inscripcian que tienen dispuestos tanto fisicos, porno en su pãgina web, en los que se recolectan datos de aspirantes a los programas, asi corto en el formato de movilidad academica y Ia historia clinica en el que se recolecta datos de etudiantes y en los contratos laborales en el que se recolectan datos de los empleados, especificando claramente las finalidades para las cuales se recolectan datos y particularrnente cuantb se trata de datos sensibles. 8.4 Implementar los manuales intemos de politicas y procedimientos, tales cOma la atencion de quejas, consultas y reclamos, asi como de seguridad apropiadas y una estriictura administrativa idOnea, con el propasito principal de garantizar en todo momento el dere&.ho fundamental de habeas data de los titulares.
En mérito de 10 expuesto este Despacho,
RESUELVE
ARTICULO PRIMERO: Ordenar a la UNIVERSIDAD DE SAN BUENAVENTURA, identificada con el Nit. 890.307.400-1, que ajuste la "politica de tratarniento de datos persona Ies" en los términos establecidos en el articulo 2.2.2.25.3.1 del Decreto Unico Reglamentario 1074 de 2015, de rnanera que contenga (I) Los derechos que le asisten al titular del dato;
(ü) La persoa a area responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de 1 la informaciOn puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revodar la autorizacion; (iii) El procedimiento para que los Titulares de la informacion puedan ejercer lo derechos a conocer, actualizar, rectificar y suprimir informacion y revocar la autorizaciOn y;
(iv) el $riodo de vigencia de las bases de datos.
ARTICULO SEGUNDO: Ordenar a la UNIVERSIDAD DE SAN BUENAVENtURA, identificada con el Nit. 890.307.400-1, que Implernente un aviso de privacidad visible, en la que informe a los titulares que el Responsable recolecta datos personales a través del sistema de videovigilancia y sobre La existencia de las Politicas de Tratamiento de la InformaciOn y la forma de accéder a las mismas.
ARTiCULO TERCERO: Ordenar a Ia UNIVERSIDAD DE SAN BUENAVEN ITURA, identificado con el Nit. 890.307.400-1, que Implemente y obtenga las autorizaciones para la recoleccion de datos personales en cada caso, esto es en los formularios de inscripciOn que tienen dispuestos tanto fisicos, cOma en su página web, en los que se recolectan datos de aspirantes a los programas, asi coma en el formato de movilidad académica y la historia clinica en el qué se recolecta datos de estudiantes y en los contratos laborales en el que se recolectan datos de los empleados, especificando claramente las finalidades para las cuales se recolectan 1atos y particularmente cuanto se trata de datos sensibles.
ARTICULO CUARTO: Ordenar a la UNIVERSIDAD DE SAN BUENAVENTURA, identificado con el Nit. 890.30.400-1, que Implemente los manuales internos de politicas y probedimientos, tales como la atenciOn de quejas, consultas y reclamos, asi coma de seguridad aprØpiadas y una estructura administrativa idonea, con el propôsito principal de garantizar en todb momento el derecho fundamental de habeas data de los titulares.
RESOLUCION NCJMERO' ' - HOJA 18 Por la twa! Se imparten ordenes administrativas ARTICULO QUINTO: la UNIVERSIDAD DE SAN BUENAVENTURA, debera cumplir Ia orden impartida dentro de los 90 dlas siguiente a la ejecutoria del presente acto administrativo, y acreditar el cumplimiento de 10 ordenado del presente acto administrativo ante esta Superintendencia dentro de los diez (10) dias habiles siguientes a la expiracion del plazo previsto para su acatamiento.
De no hacerlo se procederâ a iniciar la respectiva investigaciOn administrativa sancionatoria. ARTiCULO SEXTO: Notificar personalmente el contenido de la presente resoluciOn a la UNIVERSIDAD DE SAN BUENAVENTURA, identificado con el Nit. 890.307.400-1, a traves de su apoderado a representante legal, entregándoles copia de Pa misma e informandoles que contra ella procede recurso de reposicion ante el Director de Investigacion de Proteccion de Datas personales y el de apelacion ante el Superintendente Delegado para Ia Proteccion de Datos Personales, dentro de los diez (10) dias siguientes a Pa diligencia de notificaciOn.
NOTIFIQUESE Y CCJMPLASE Dada en Bogota D. C., 23 JUL 2018 El Director de lnvestigacion de Proteccion de Datos Personales, MUIOZ Proyecto: YLAC Reváso: CESM Aprobo: CESM NOTIFICACION: Entidad: la UNIVERSIDAD DE SAN BUENAVENTURA Identificacion: Nit. 890.307.400-1 Representante Legal: MARCO VENICIO MENDIETA NIAMPIRA Identificacion: C.C. No. 7.305.926 DirecciOn: Carrera 9 No. 123-76 Oficinas 602 - 603 Ciudad: Bogota D.C.