(12 de diciembre de 2024) “Por la cual se impone una sanción y se imparte una orden” Radicación: 21-107705 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, y los numerales (5) y (9) del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte del CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL, (en adelante “la investigada”), identificado con Nit. 900.037.644-8, por lo que decidió iniciar investigación administrativa, en consideración a los siguientes hechos narrados en una denuncia anónima, radicada en el correo electrónico del Senador de la República Iván Cepeda Castro, quien hizo el traslado de la misma a esta Superintendencia, informando lo siguiente1: “(…) Con el acostumbrado respeto, me permito dar traslado a la comunicación electrónica remitida a mi oficina de manera anónima, en la cual se menciona que la administradora del conjunto residencial Icata, señora Yolanda Castro Triana, ha incurrido en una serie de actuaciones que podrían constituir irregularidades en el tratamiento de datos de los residentes de esta propiedad horizontal.
(…)”
SEGUNDO: Que, con fundamento en la denuncia se adelantaron las siguientes averiguaciones preliminares: 2.1 Se realizó un requerimiento al CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL el 17 de marzo de 2021 con radicado 21-107705- -3. 2.2 El CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL respondió el requerimiento de este Despacho mediante comunicación del 31 de marzo de 2021 con radicado 21-107705- 00006. 2.3 El 21 de septiembre de 2020 se realizó un análisis técnico por parte de los ingenieros de la Delegatura de Protección de Datos Personales respecto a la respuesta aportada por la investigada y la base de datos “CENSO RESIDENTES” inscrita en el RNBD2.
TERCERO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales y, en particular, las disposiciones contenidas en: (i) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015;
(ii) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1 Expediente virtual, consecutivo 0 2 Expediente virtual, consecutivo 7, página “Por la cual se impone una sanción y se imparte una orden” 1074 de 2015;
(iii) El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; (iv) El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la misma Ley, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.2, 2.2.2.25.3.3 y 2.2.2.25.3.4 del Decreto Único Reglamentario 1074 de 2015;
(v) El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal k) del artículo 17 de la citada Ley, y los numerales 4 y 5 del artículo 2.2.2.25.3.1 y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015, El 10 de febrero de 2022, se inició la presente investigación administrativa mediante la expedición de la Resolución N.º 5094 por medio de la cual se formularon cinco (5) cargos al CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL – PROPIEDAD HORIZONTAL, identificado con Nit. 900.037.644-8.
La mencionada resolución le fue notificada a la investigada para que se pronunciara sobre los hechos materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.
CUARTO: Que mediante escrito radicado el día 14 de marzo de 2022 con radicado 21-107705- -00014 el representante legal del CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL – PROPIEDAD HORIZONTAL, dio respuesta a la formulación de cargos informando lo siguiente3: 4.1 Reconoce de forma expresa que frente a todos los cargos la investigada no cumplió con sus deberes como Responsable del tratamiento4. 4.2 Solicita lo siguiente5: “(…) Se solicita a la Dirección de Investigación de Protección de Datos Personales, de la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio, se abstenga de imponer sanción alguna en contra del CONJUNTO RESIDENClAL ICATA CLUB RESIDENCIAL PH, en virtud, al reconocimiento expreso de la infracción, y adicionalmente, a la INMEDIATA subsanación de los cargos, con la adopción e implementación de un Manual de Política y Procedimientos ajustados (sic) a la Ley.
(…)”
QUINTO: Que mediante Resolución N.º 23443 del 27 de abril de 20226, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 21-107705, consecutivos 1 al 14, con el valor legal que les corresponda, declarando agotada la etapa probatoria, corriendo traslado a la investigada para que rindiera los alegatos de conclusión respectivos.
SEXTO: Que, vencido el término otorgado para presentar alegatos de conclusión, la investigada guardó silencio.
SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio 3 Expediente digital, consecutivo 14 4 Expediente digital, consecutivo 14, página 6 5 Expediente digital, consecutivo 14, página 6, folio 6 6 Resolución N.ª 23443 del 27 de abril de 2022 obrante en el expediente 21-107705 “Por la cual se impone una sanción y se imparte una orden” El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.
OCTAVO: Análisis del caso 8.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20117, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.
(ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a: • El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; • El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015; • El literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015;
El literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la misma Ley, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.2, 2.2.2.25.3.3 y 2.2.2.25.3.4 del Decreto Único Reglamentario 1074 de 2015; • • El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal k) del artículo 17 de la citada Ley, y los numerales 4 y 5 del artículo 2.2.2.25.3.1 y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.
En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, así como las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos, así como el conjunto de pruebas allegadas al expediente. 7 Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).
“Por la cual se impone una sanción y se imparte una orden” 8.2 Valoración probatoria y conclusiones 8.2.1 Respecto del deber de solicitar y conservar autorización previa, expresa e informada del Titular para el Tratamiento de sus datos personales y el deber de informar debidamente a los Titulares sobre la finalidad de la recolección de sus datos y los derechos que les asisten por virtud de la autorización otorgada Estos deberes se encuentran consagrados en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015, y el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015; disposiciones normativas que establecen lo siguiente: Ley 1581 de 2012 “Artículo 17.
Deberes de los Responsables del Tratamiento: “Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular; c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada (…)” “Artículo 4.
Principios: “En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular; (…)” c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.
Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; (…) Artículo 9. Autorización del Titular: Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.
(…)” Artículo 12. Deber de informar al Titular: El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular;
“Por la cual se impone una sanción y se imparte una orden” d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. Parágrafo. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” Decreto Único Reglamentario 1074 de 2015 Artículo 2.2.2.25.2.2.
Autorización. “El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.
Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.
Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento.” Artículo 2.2.2.25.2.4. Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta.
Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca.
Artículo 2.2.2.25.2.5. Prueba de la autorización “Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos.” Sobre este principio, la Corte Constitucional en sentencia C-748 del 6 de octubre de 2011, por medio de la cual realizó el estudio de constitucionalidad del proyecto de Ley estatutaria que posteriormente se convirtió en la Ley 1581 de 2012, señaló lo siguiente: “Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular.
Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.
El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el “Por la cual se impone una sanción y se imparte una orden” libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su ‘imagen informática”.
Conforme a la denuncia realizada por una persona anónima, en la que se narra que la propiedad horizontal a través del personal de vigilancia hace un censo con los datos personales de los residentes, hace tratamiento de datos biométricos como la huella dactilar, reconocimiento facial e iris, así mismo asignó una tarjeta de lectura que tiene incorporada un chip con geolocalización, para registrar la entrada y salida del club residencial8.Este Despacho mediante oficio con radicado 21-107705-3 del 17 de marzo de 2021 requirió a la copropiedad CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL para que acreditara lo siguiente: “(…) 3.
Informar si la copropiedad ICATÁ CLUB RESIDENCIAL P.H. recolecta datos de carácter sensible. 4. ¿La copropiedad ICATÁ CLUB RESIDENCIAL P.H. recolecta información correspondiente a datos biométricos? (v.g. el registro de la huella dactilar, reconocimiento facial, entre otros.) De ser afirmativa su respuesta, indicar: 4.1. ¿Cuenta con la autorización previa, expresa e informada para su recolección y tratamiento? Acredite su respuesta. 4.2.
¿Se informó a los copropietarios acerca de la finalidad de la recolección y el tratamiento de este tipo de datos? 5. ¿Realiza Tratamiento de datos personales de menores de edad? De ser afirmativa su respuesta indicar: 5.1 ¿En cuáles casos realiza este Tratamiento? 5.2. ¿Cuenta con la autorización de los padres o representantes legales de los menores de edad para el Tratamiento de dichos datos? Acredite su respuesta. 6.
Indicar si la copropiedad ICATÁ CLUB RESIDENCIAL P.H. manifestó a los Titulares acerca del carácter facultativo de la respuesta a las preguntas que les sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes? 7. Manifestar si la copropiedad ICATÁ CLUB RESIDENCIAL P.H. cuenta con la autorización previa, expresa e informada por parte de los Titulares de información (residente, copropietarios y visitantes, entre otros) para el Tratamiento de sus datos personales.
En caso afirmativo, allegar los formatos y/o documentos establecidos para la recolección. 8. Manifestar si la copropiedad ICATÁ CLUB RESIDENCIAL P.H., al momento de solicitar la autorización para el Tratamiento de los datos de los Titulares de información, informó a estos acerca de las finalidades del Tratamiento al cual serían sometidos sus datos personales y acerca de los derechos que les asisten en virtud de la autorización otorgada.
(…)” Este requerimiento fue respondido por el CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL, por intermedio de su representante legal, a través de comunicación radicada bajo el No. 21-1077056 del 05 de abril de 2021, mediante la cual informó lo siguiente: “(…) AL PUNTO No. 7. Si. Estas autorizaciones están registradas en el CENSO DE RESIDENTES, con la debida autorización de manejo de la información. 8 Expediente digital, consecutivo o, página 3 “Por la cual se impone una sanción y se imparte una orden” Se adjunta el formato.
Este formato es diligenciado directamente por el residente. CENSO DE CITOFONIA VIRTUAL. Con este [SIC] datos se manejan los números telefónicos y celulares (debidamente registrados y autorizados por cada uno de ellos) con el fin de agilizar la autorización de domicilios, ingresos de empleadas de los servicios domésticos y sus visitantes).
Se adjunta formato. (…)” Que el CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL respondió el requerimiento de este Despacho mediante comunicación del 31 de marzo de 2021 con radicado 21-107705- 00006, y anexó dos archivos relacionados con el “CENSO DE RESIDENTES” al que hace referencia en su respuesta “AL PUNTO No. 7.”, sin embargo, no se encontró ningún documento relacionado con el “CENSO DE CITOFONIA VIRTUAL” que menciona.
Por otra parte, este Despacho evidenció que en los documentos aportados por la investigada como: “FORMATO CENSO RESIDENTES-ICATA CLUB RESIDENCIAL P.H.doc” 9 entre otros, no se puede evidenciar que el Responsable le solicite la autorización expresa al Titular para el tratamiento de sus datos personales, ni acreditó informarles a los titulares a más tardar al momento de recolectar sus datos personales, acerca de las finalidades del tratamiento, así como los derechos que les asisten como titulares de los datos personales tratados por la copropiedad.
Por otra parte, en el análisis técnico del 21 de septiembre de 2020, se concluye lo siguiente respecto al deber de contar con la autorización previa al tratamiento10: “c. La requerida no aporta a este despacho los documentos “Política de Tratamiento y Protección de Datos Personales” y “Autorización Habeas Data” para su debido análisis, se puede ver que estos se anexan a los correos remitidos a los copropietarios como se puede ver en las imágenes de la 8 a la 10 en las páginas 6 y 7.” Por lo anterior, a partir de los hechos narrados y las pruebas obrantes en el expediente, se tiene un presunto incumplimiento del deber de solicitar y conservar la autorización previa y el de informar las finalidades del Tratamiento de sus datos personales a los titulares, por parte del CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL Ahora bien, en el escrito de descargos del 14 de marzo de 2022 con radicado 21-107705- -00014 la investigada señaló que reconoce de forma expresa que frente a todos los cargos no cumplió con sus deberes como Responsable del tratamiento11.
Por otra parte, revisado el acervo probatorio que obra en el expediente se encuentra lo siguiente: • Oficio del 30 de enero de 2018 en el que el CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL solicita la autorización para el tratamiento de los datos personales a los residentes12: 9 Expediente digital, consecutivo 14, página 6 10 Expediente digital, consecutivo 14, página 6 11 Expediente digital, consecutivo 6, página 5 12 Expediente digital, consecutivo 0, página 9 “Por la cual se impone una sanción y se imparte una orden” • Aviso de privacidad y autorización expresa para el tratamiento de datos personales13: 13 Expediente digital, consecutivo 0, página 7 “Por la cual se impone una sanción y se imparte una orden” • Requerimiento realizado al CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL del 17 de marzo de 2021 con radicado 21-107705- -3, en el que se le solicitó entre otras cosas, lo siguiente14: “(…) 7.
Manifestar si la copropiedad ICATÁ CLUB RESIDENCIAL P.H. cuenta con la autorización previa, expresa e informada por parte de los Titulares de información (residente, copropietarios y visitantes, entre otros) para el Tratamiento de sus datos personales. En caso afirmativo, allegar los formatos y/o documentos establecidos para la recolección. 8.
Manifestar si la copropiedad ICATÁ CLUB RESIDENCIAL P.H., al momento de solicitar la autorización para el Tratamiento de los datos de los Titulares de información, informó a estos acerca de las finalidades del Tratamiento al cual serían sometidos sus datos personales y acerca de los derechos que les asisten en virtud de la autorización otorgada.
(…)” • Requerimiento realizado a la sociedad SEGURIDAD SUPERIOR LTDA. del 17 de marzo de 2021 con radicado 21-107705- -515, en el que se le requirió lo siguiente: “(…) 5. ¿La sociedad SEGURIDAD SUPERIOR LTDA. recolecta en la copropiedad ICATÁ CLUB RESIDENCIAL P.H. o en otras copropiedades información correspondiente a datos biométricos? (v.g. el registro de la huella dactilar, reconocimiento facial, entre otros.) De ser afirmativa su respuesta, indicar: 5.1.
¿La sociedad SEGURIDAD SUPERIOR LTDA. cuenta con la autorización previa, expresa e informada para su recolección y tratamiento? Acredite su respuesta. 5.2. ¿La sociedad SEGURIDAD SUPERIOR LTDA. informó a los titulares acerca de la finalidad de la recolección y el tratamiento de este tipo de datos? (…) 12. Sírvase indicar cuáles son los canales dispuestos por la sociedad SEGURIDAD SUPERIOR LTDA. para la atención de Consultas y Reclamos presentados por los Titulares de información. (…) 15.
Sírvase informar si la sociedad SEGURIDAD SUPERIOR LTDA. ha implementado un sistema de video vigilancia en la copropiedad ICATÁ CLUB RESIDENCIAL P.H. o en otras copropiedades para realizar el monitoreo de sus instalaciones. En caso afirmativo, indicar: (i) Cuántas cámaras de seguridad, de propiedad o gestión de la sociedad, están instaladas en el conjunto residencial, incluyendo zonas comunes y alrededores.
(ii) Precisar en qué ubicaciones de la copropiedad, incluyendo zonas comunes y alrededores, están instaladas las cámaras de seguridad. (iii) ¿Con qué medidas de seguridad la sociedad protege la información registrada en las cámaras de seguridad que tiene instaladas en el conjunto? (iv) ¿La información o datos personales registrados por las cámaras de seguridad son transmitidos a un Encargado del Tratamiento, según el Decreto Único Reglamentario 1074 de 2015 artículo 2.2.2.25.1.3 numeral 5 y el artículo 2.2.2.25.5.2 de la misma norma? En caso afirmativo, ¿han celebrado contratos de Transmisión de datos con el Encargado? Si ha celebrado ese tipo de contratos, allegar copia del mismo a esta Superintendencia. 14 Expediente digital, consecutivo 3 15 Expediente digital, consecutivo 5 “Por la cual se impone una sanción y se imparte una orden” (v) ¿De qué manera se obtiene la autorización para el Tratamiento de información y datos personales recolectados por las cámaras de seguridad? (…)” • Respuesta al requerimiento de esta Superintendencia radicada por el CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL del 31 de marzo de 2021 con radicado No. 21-107705- -00006: “AL PUNTO No. 7 Si.
Estas autorizaciones están registradas en el CENSO DE RESIDENTES, con la debida autorización de manejo de la información. Se adjunta el formato. Este formato es diligenciado directamente por el residente. (…) AL PUNTO No. 8 Si. Se describe para que son utilizados: o o o o Por seguridad de las personas, que viven y son residentes. Para salvaguardia y custodia de sus bienes por la Empresa de Seguridad Por la aplicación del SG-SST Igualmente los derechos que tienen para ser retirados en el momento en que soliciten.
(…)“ • Formato de Registro de residentes (CENSO)16 • Formato de Registro de Bicicletas (CENSO)17 16 Expediente digital, consecutivo 6, página 5 17 Expediente digital, consecutivo 6, página 7 “Por la cual se impone una sanción y se imparte una orden” • Correos electrónicos en los que se solicita la autorización del tratamiento a los residentes18: Adicionalmente, dentro del expediente se cuenta con el Análisis Técnico del 19 de octubre de 2021 en el que se evaluaron los documentos aportados por la investigada, entre ellos la autorización del tratamiento de datos personales, y se tuvieron en cuenta aspectos como la fecha de socialización de la misma con los residentes, frente a lo cual se llegaron a las siguientes conclusiones parte de los ingenieros del Grupo de Investigaciones Administrativas de Protección de Datos Personales 19: “(…) C. Si bien la requerida aporta los soportes de envío de correos electrónicos en el que socializa la Política de Tratamiento y Protección de Datos Personales y la Autorización para el tratamiento, se tienen las siguientes observaciones sobre estos: (…) b. Los correos fueron enviados el treinta (30) de enero del dos mil dieciocho (2018), sin embargo, este registro no representa una forma efectiva de comunicación de los documentos mencionados, ya que durante este lapso los documentos pudieron haber cambiado, además los residentes de la copropiedad pueden haber cambiado.
La copropiedad no adjunta ningún soporte adicional de la socialización de la Política de Tratamiento y Protección de Datos Personales. (…)” Por lo anterior, se concluye que el CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL no acreditó contar con la autorización previa, expresa e informada para el tratamiento de los datos personales de los titulares al momento de recolectar sus datos personales, por cuanto, el formato “Registro de residentes (CENSO)”20 y demás formatos no incluyen la autorización previa para el tratamiento, y tampoco informan: (i) el tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo, (ii) los derechos que les asisten como Titulares, (iii) ni la identificación, dirección física o electrónica y el teléfono del Responsable del Tratamiento, de conformidad con lo establecido en el artículo 9 de la Ley 1581 de 2012.
De igual manera, el documento denominado “Aviso de privacidad y autorización expresa para el tratamiento de datos personales”21, fue enviado en el año 2018 18 Expediente digital, consecutivo 6, página 15, 16, 17, 18, 19, 20, 21, 22, 23 19 Expediente digital, consecutivo 7, página 2, folio 11 y 12 20 Expediente digital, consecutivo 6, página 5 21 Expediente digital, consecutivo 6, página 10 “Por la cual se impone una sanción y se imparte una orden” a los residentes por correo electrónico, pero no existe prueba de que haya sido firmado por los titulares, ni de que se haya solicitado nuevamente dicha autorización a los nuevos residentes.
De igual manera, teniendo en cuenta lo informado por la investigada en el oficio del 31 de marzo de 2021 con radicado 21-107705- -00006 y el análisis técnico mencionado, se encuentra que la investigada realiza el tratamiento de datos personales biométricos como la huella dactilar, así mismo almacena información de menores de edad22, y hace tratamiento de datos por medio del circuito cerrado de televisión (en adelante CCTV), sin embargo, no se encontró ningún documento en el que se detallen las medidas de seguridad que ha implementado la investigada para proteger este tipo de datos personales.
Al respecto, dentro del análisis técnico se concluyó lo siguiente: “D. La requerida aporta las cláusulas de confidencialidad que tiene actualmente sobre los empleados que tienen acceso a la información obtenida por el CCTV, sin embargo, no se aporta información referente a las medidas de seguridad implementadas en las bases de datos donde se almacena esta información, controles de acceso a estas bases de datos, políticas y registros de Back Up y retención de la información debidamente documentados.” En virtud de lo anterior, y basado en los hechos analizados en el presente caso, este Despacho considera pertinente impartir una orden administrativa orientada a que el CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL implemente un modelo de autorización previa, expresa e informada, que cumpla con los requisitos establecidos en la Ley, para casos en los que se recolecten datos personales de menores de edad, y datos sensibles como la huella dactilar, asi como la implementación de un aviso de privacidad en los lugares donde se encuentren instaladas las cámara de videovigilancia -CCTV.
Respecto al Aviso de Privacidad, la investigada puede orientarse con la guía para “PROTECCIÓN DE DATOS PERSONALES EN SISTEMAS DE VIDEOVIGILANCIA”, en donde se señala que dicho aviso debe contar con los siguientes parámetros mínimos23: “• Incluir información sobre quién es el Responsable del Tratamiento y sus datos de contacto. • Indicar el Tratamiento que se dará a los datos y la finalidad del mismo. • Incluir los derechos de los Titulares. • Indicar dónde está publicada la Política de Tratamiento de la Información.” Por lo tanto, se concluye que el CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL no acreditó haber obtenido la autorización previa, expresa e informada para el tratamiento de los datos personales de los copropietarios y/o residentes al momento de la recolección, así como tampoco, informó las finalidades del tratamiento, lo anterior en virtud del literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; y el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.
Por consiguiente, impondrá una sanción pecuniaria. 8.2.2 Deber de conservar la información personal recolectada bajo condiciones de seguridad adecuadas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento 22 Expediente digital, consecutivo 6, página 2, folio 4 23 https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Guia_Vigilancia_sept16_2016.pdf “Por la cual se impone una sanción y se imparte una orden” Este deber se encuentra establecido Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, como se relaciona a continuación: Ley 1581 de 2012 “Artículo 17.
Deberes de los Responsables del Tratamiento: Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
(…)” Artículo 4. Principios: “En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;
(…) Decreto Único Reglamentario 1074 de 2015 “Artículo 2.2.2.25.6.1. Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas. (…)” (subrayado fuera de texto original) Frente a este deber la Corte Constitucional en sentencia C-748 de 2011 señaló́: “(…) En relación con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se establecen deberes que responden a los principios de la administración de datos y a los derechos –intimidad y habeas data- del titular del dato personal.
Específicamente se dispone que son deberes de esta parte de la relación: ( ) (iii) Adoptar las medidas para “Por la cual se impone una sanción y se imparte una orden” garantizar la seguridad del dato, a efectos de que no se pierda, no se adultere, no se utilice o acceda por fuera de la autorización, lo cual es desarrollado en el literal d) en concordancia con el principio de seguridad en la transferencia del dato.
Por tanto, el responsable está obligado a exigir y controlar las condiciones de seguridad que está empleando el encargado del tratamiento -literal a), como informar oportunamente a la autoridad encargada de la protección del dato sobre violaciones a los códigos de seguridad y la existencia de riesgos en la administración de la información de los titulares- literal n); siendo estos deberes, sin lugar a dudas, también desarrollo del principio de seguridad jurídica.
Así pues, en la presente investigación, se determinó de manera preliminar que CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL – PROPIEDAD HORIZONTAL realiza el tratamiento de datos personales biométricos a través de una terminal biométrica de la cual remite un archivo de dos páginas denominado “MA300 (1).pdf” en el que constan sus características y especificaciones, sin embargo, no demuestra a petición de la Superintendencia de Industria y Comercio, haber implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012, ya que como se resalta en las observaciones del análisis técnico con radicado 21107705-7 del 20 de octubre de 2021, no remite “las configuraciones, medidas de seguridad, diagramas de funcionamiento, entre otros, que permitan conocer detalladamente el funcionamiento técnico de las terminales biométricas instaladas”. 24 Por lo anterior, se advirtió, de acuerdo con la denuncia y las pruebas aportadas en el expediente, un presunto incumplimiento por parte de la sociedad copropiedad CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL – PROPIEDAD HORIZONTAL en calidad de Responsable del Tratamiento, al deber de conservar la información personal recolectada bajo condiciones de seguridad adecuadas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
Para analizar si la copropiedad cumplió con el deber que aquí se estudia, este Despacho entrará a analizar las pruebas obrantes en el expediente, analizando cada una tal y como se observa a continuación: • Requerimiento de información del 17 de marzo de 2021 con radicado 21-107705- -3, en el que se le solicitó lo siguiente: “(…) 4. ¿La copropiedad ICATÁ CLUB RESIDENCIAL P.H. recolecta información correspondiente a datos biométricos? (v.g. el registro de la huella dactilar, reconocimiento facial, entre otros.) De ser afirmativa su respuesta, indicar: 4.1.
¿Cuenta con la autorización previa, expresa e informada para su recolección y tratamiento? Acredite su respuesta. 4.2. ¿Se informó a los copropietarios acerca de la finalidad de la recolección y el tratamiento de este tipo de datos? (…) 9. • Sírvase informar si la copropiedad ICATÁ CLUB RESIDENCIAL P.H. ha implementado para el acceso al conjunto tarjetas de lectura o proximidad, chips RFDI/NFC, entre otros.
En caso afirmativo, describir detalladamente la forma técnica mediante la cual funciona el dispositivo e informar si a través del mismo es posible realizar algún tipo de geolocalización o GPS.” Respuesta al requerimiento por parte del CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL a través de 24 Expediente digital, consecutivo 7, página 2, folio 11 “Por la cual se impone una sanción y se imparte una orden” comunicación con radicado 21-107705-6 del 05 de abril de 2021 mediante la cual informó lo siguiente: “AL PUNTO No.4.
Para la recolección de datos del sistema biométrico: 4.1. Se cuenta con la autorización de la política la cual está inmersa en el Reglamento Interno de la copropiedad, debidamente aprobado por los propietarios y residentes en la Asamblea Ordinaria del año 2019. Actualización del Reglamento Interno y/o Manual de Convivencia registrado mediante Escritura Publica No. 00200 Notaria 48 del año 2011. 4.2.
Si. Las políticas enviadas están de acuerdo a la ley. Igualmente cada residente en el momento del Ingreso a Icatá Club residencial, es quien solicita directamente a la administración el ingreso de su huella. Este dato no es obligatorio, solamente quien desea la facilidad para ingresar más rápido, o residentes a quienes no les gusta cargar la Tarjeta Inteligente o Ping de ingreso.
(…) AL PUNTO No.9 Si. En la actualidad se tiene MA 300 TERMINA BIOMETRICA IP. SE ADJUNTA LAS CARACTERISTICAS DEL SISTEMA-VER ANEXO Tarjeta de proximidad Chips RFDI ACLARACION: En este sistema NO se maneja ningún tipo de Geolocalización o GPS.” Ahora bien, la información remitida por parte de la copropiedad en su respuesta con radicado 21-107705- 6 del 05 de abril de 2021, fue sometida a un Análisis Técnico por parte de los ingenieros del Grupo de Investigaciones Administrativas de Protección de Datos Personales, el cual fue presentado mediante radicado 21-107705-7 del 20 de octubre de 2021 e incluyó entre otras las siguientes observaciones25: “(…) A. Si bien la requerida aporta las características técnicas de las terminales biométricas MA300 actualmente instaladas en la Copropiedad Icatá, no se aportan documentos que contengan las configuraciones, medidas de seguridad, diagramas de funcionamiento, entre otros, que permitan conocer detalladamente el funcionamiento técnico de las terminales biométricas instaladas.
(…) a. Los correos fueron enviados a todos los resientes de cada torre con copia visible de los correos electrónicos de los demás residentes, se recomienda enviar los correos en copia oculta, ya que esto viola la privacidad de la información. (…) D. La requerida aporta las cláusulas de confidencialidad que tiene actualmente sobre los empleados que tienen acceso a la información obtenida por el CCTV, sin embargo, no se aporta información referente a las medidas de seguridad implementadas en las bases de datos donde se almacena esta información, controles de acceso 25 Expediente digital, consecutivo 7, página 2, folio 11 y 12 “Por la cual se impone una sanción y se imparte una orden” a estas bases de datos, políticas y registros de Back Up y retención de la información debidamente documentados.” • Matriz de riesgos aportada en el escrito de descargos por la investigada 26: • La investigada aporta el documento “FASE DE DIAGNÓSTICO VERIFICACIÓN DE REQUISITOS - LEY 1581 DE 20122” realizado por INFANTE LÓPEZ CONSULTORES S. A. S. sociedad contratada por el CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL, en el que se concluye entre otras cosas lo siguiente 27: 26 Expediente digital, consecutivo 14, página 10 27 Expediente digital, consecutivo 14, página 28 “Por la cual se impone una sanción y se imparte una orden” Frente a los cargos objeto de estudio la investigada, en el escrito de descargos del 14 de marzo de 2022 con radicado 21-107705- -00014 señaló que reconoce de forma expresa que frente a todos los cargos la investigada no cumplió con sus deberes como Responsable del tratamiento28.
Por lo anterior, se concluye que el CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL, no demostró contar con medidas de seguridad para el momento en el que se pusieron en conocimiento de este Despacho las irregularidades frente al tratamiento de datos personales, puesto que se evidenció que no había una implementación de medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012, ya que como se resalta en las observaciones del análisis técnico con radicado 21-107705-7 del 20 de octubre de 2021, no remite “las configuraciones, medidas de seguridad, diagramas de funcionamiento, entre otros, que permitan conocer detalladamente el funcionamiento técnico de las terminales biométricas instaladas”, entre otras cosas.
De igual manera, de acuerdo con los hallazgos obtenidos por la sociedad INFANTE LÓPEZ CONSULTORES S.A.S. contratada por la investigada, donde recomienda que es necesario que implemente ajustes de seguridad frente a los datos personales especialmente los de carácter sensible y biométricos, se observa que la investigada, no aportó ninguna clase de documento referente a que se hubieran adoptado e implementado con posterioridad dichas medidas.
Por lo anterior, se encuentra que el CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL en calidad de Responsable del Tratamiento, debe implementar medidas para conservar la información personal recolectada bajo condiciones de seguridad adecuadas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, puesto que se demostró un incumplimiento al deber establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.
En consecuencia, se impondrá una sanción pecuniaria. 8.2.3 Del deber de adoptar una Política de Tratamiento de Datos Personales La copropiedad en su calidad de Responsable del Tratamiento, tiene del deber de adoptar una Política de Tratamiento de Datos Personales, que se deriva del literal k) del artículo 17 de la Ley 1581 de 2012, en concordancia con el inciso 3 del artículo 25 de la misma Ley, y los artículos 2.2.2.25.3.1, 2.2.2.25.3.2, 2.2.2.25.3.3 y 2.2.2.25.3.4 del Decreto Único Reglamentario 1074 de 2015, que preceptúan lo siguiente: Ley 1581 de 2012 “Artículo 17.
Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos; 28 Expediente digital, consecutivo 14, página 6 “Por la cual se impone una sanción y se imparte una orden” (…) Artículo 25.
Definición. El Registro Nacional de Bases de Datos es el directorio público de las bases de datos sujetas a Tratamiento que operan en el país. (…) Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes.
Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley. (…)”. (Subrayado y negrita adicionados). Decreto Único Reglamentario 1074 de 2015 “Artículo 2.2.2.25.3.1. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas.
Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares. Dichas políticas deberán incluir, por lo menos, la siguiente información: 1. Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del Responsable. 2.
Tratamiento al cual serán sometidos los datos y finalidad del mismo cuando esta no se haya informado mediante el aviso de privacidad. 3. Derechos que le asisten como Titular. 4. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. 5.
Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. 6. Fecha de entrada en vigencia de la política de tratamiento de la información y período de vigencia de la base de datos. Cualquier cambio sustancial en las políticas de tratamiento, en los términos descritos en el artículo 2.2.2.25.2.2. del presente Decreto deberá ser comunicado oportunamente a los titulares de los datos personales de una manera eficiente, antes de implementar las nuevas políticas”.
Artículo 2.2.2.25.3.2. Aviso de privacidad. En los casos en los que no sea posible poner a disposición del Titular las políticas de tratamiento de la información, los responsables deberán informar por medio de un aviso de privacidad al titular sobre la existencia de tales políticas y la forma de acceder a las mismas, de manera oportuna y en todo caso a más tardar al momento de la recolección de los datos personales.
Artículo 2.2.2.25.3.3. Contenido mínimo del Aviso de Privacidad. El aviso de privacidad, como mínimo, deberá contener la siguiente información: 1. Nombre o razón social y datos de contacto del responsable del tratamiento. 2. El Tratamiento al cual serán sometidos los datos y la finalidad del mismo. 3. Los derechos que le asisten al titular. 4.
Los mecanismos dispuestos por el responsable para que el titular conozca la política de Tratamiento de la información y los cambios sustanciales que se produzcan en ella o en el Aviso de Privacidad correspondiente. En todos “Por la cual se impone una sanción y se imparte una orden” los casos, debe informar al Titular cómo acceder o consultar la política de Tratamiento de información. No obstante, lo anterior, cuando se recolecten datos personales sensibles, el aviso de privacidad deberá señalar expresamente el carácter facultativo de la respuesta a las preguntas que versen sobre este tipo de datos.
En todo caso, la divulgación del Aviso de Privacidad no eximirá al Responsable de la obligación de dar a conocer a los titulares la política de tratamiento de la información, de conformidad con lo establecido en este capítulo. Artículo 2.2.2.25.3.4. Deber de acreditar puesta a disposición del aviso de privacidad y las políticas de Tratamiento de la información. Los Responsables deberán conservar el modelo del Aviso de Privacidad que utilicen para cumplir con el deber que tienen de dar a conocer a los Titulares la existencia de políticas del tratamiento de la información y la forma de acceder a las mismas, mientras se traten datos personales conforme al mismo y perduren las obligaciones que de este se deriven.
Para el almacenamiento del modelo, el Responsable podrá emplear medios informáticos, electrónicos o cualquier otra tecnología que garantice el cumplimiento de lo previsto en la Ley 527 de 1999”. (Subrayado fuera del texto original) De manera preliminar, se encuentra que se radicó una denuncia anónima, al correo electrónico del Senador de la República Iván Cepeda Castro, quien hizo el traslado de la misma a esta Superintendencia, en la que se narra que la propiedad horizontal a través del personal de vigilancia hace un censo con los datos personales de los residentes, hace tratamiento de datos biométricos como la huella dactilar, reconocimiento facial e iris de los mismos, así como asignación de una tarjeta de lectura que tiene incorporado un chip con geolocalización, para registrar la entrada y salida del club residencial29.
Que con fundamento en la averiguaciones preliminares: • denuncia se adelantaron las siguientes Este Despacho realizó un requerimiento al CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL el 17 de marzo de 2021 con radicado 21-107705- -3, solicitando lo siguiente: “11. Allegar copia de la última versión implementada en la copropiedad ICATÁ CLUB RESIDENCIAL P.H. correspondiente a la Política de Protección de Datos Personales y al Aviso de Privacidad, de conformidad con lo establecido en el Decreto Único Reglamentario 1074 de 2015, Artículo 2.2.2.25.3.1. y Ss.” • Que el CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL respondió el requerimiento de este Despacho mediante comunicación del 31 de marzo de 2021 con radicado 21-107705- -00006, sin embargo, no aportó ningún documento que pueda ser considerado como una Política de Protección de Datos Personales, de conformidad con lo establecido en el Artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015 • Que el 21 de septiembre de 2020 se realizó un análisis técnico respecto a la respuesta aportada por la investigada y de la base de datos “CENSO RESIDENTES” inscrita en el RNB, por parte de los ingenieros de la Delegatura de Protección de Datos Personales en el que se concluyó lo siguiente: 30 “B. La requerida no aporta copia de la Política de Tratamiento de Datos, por lo que no se puede realizar su análisis, aporta una copia del Aviso de privacidad, sin embargo, este no cuenta con un sistema de identificación en el que se pueda verificar su versión, código y demás información relevante sobre el documento.” 29 Expediente digital, consecutivo o, página 3 30 Expediente virtual, consecutivo 7, página “Por la cual se impone una sanción y se imparte una orden” Por lo anterior, de acuerdo con la denuncia y las pruebas aportadas se concluyó que, la conducta de la copropiedad CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL, deriva en una presunta infracción del deber de adoptar una Política de Tratamiento de Datos Personales.
Por otra parte, frente a los cargos objeto de estudio la investigada, en el escrito de descargos señaló que reconoce de forma expresa que frente a todos los cargos la investigada no cumplió con sus deberes como Responsable del tratamiento31. Para analizar si la copropiedad cumplió con el deber que aquí se estudia, este Despacho entrará a analizar las pruebas obrantes en el expediente, estudiando cada una tal y como se observa a continuación: • Mediante oficio del radicado 21-107705-3 del 17 de marzo de 2021, se le requirió a la copropiedad CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL, lo siguiente: “(…) 11.
Allegar copia de la última versión implementada en la copropiedad ICATÁ CLUB RESIDENCIAL P.H. correspondiente a la Política de Protección de Datos Personales y al Aviso de Privacidad, de conformidad con lo establecido en el Decreto Único Reglamentario 1074 de 2015, Artículo 2.2.2.25.3.1. y Ss. (…)” • Respuesta del CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL contestó en su comunicación con radicado 21-107705-6 del 31 de marzo de 2021 lo siguiente: “[s]e envía copia de la política de implementada”, No obstante, al revisar los documentos remitidos por la investigada, en respuesta a requerimiento, no se pudo evidenciar ningún documento que pueda ser considerado como una Política de Protección de Datos Personales, de conformidad con lo establecido en el Artículo 2.2.2.25.3.1. del Decreto Único Reglamentario 1074 de 2015. • Ahora bien, dentro de las Conclusiones del análisis técnico del 21 de septiembre de 2020 con radicado 21-107705- -00007 se tiene que32: “B. La requerida no aporta copia de la Política de Tratamiento de Datos, por lo que no se puede realizar su análisis, aporta una copia del Aviso de privacidad, sin embargo, este no cuenta con un sistema de identificación en el que se pueda verificar su versión, código y demás información relevante sobre el documento.” • Así mismo, la investigada aporta en el escrito de descargos una “POLÍTICA INTEGRAL DE TRATAMIENTO DE DATOS PERSONALES DEL CONJUNTO HABITACIONAL ICATÁ CLUB RESIDENCIAL PH” por lo tanto, este Despacho considera pertinente analizarlo33: REQUISITO LEGAL 1.
¿La PTI consta en medio físico SI o electrónico? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). COMENTARIO La PTI fue aportada al expediente en medio electrónico 31 Expediente digital, consecutivo 14, página 6 32 Expediente digital, consecutivo 7, página 2, folio 11 33 Expediente digital, consecutivo 14, página 30 “Por la cual se impone una sanción y se imparte una orden” 2.
¿La PTI fue redactada con un SI lenguaje claro y sencillo? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). 3. ¿La PTI ha sido puesta en NO conocimiento de los Titulares? (Artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). 4. ¿La PTI contiene el nombre o SI razón social, domicilio, dirección, correo electrónico y teléfono del Responsable? (Numeral 1 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). 5.
¿La PTI señala el tipo de NO Tratamiento –manual o automatizado- al cual serán sometidos los Datos? (Numeral 2 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). 6. ¿La PTI informa la finalidad SI del Tratamiento de los Datos? (Numeral 2 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015). 7.
¿La PTI Menciona de manera SI completa los derechos del Titular del Dato? (Numeral 1 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y artículo 8 de la Ley 1581 de 2012). 8. ¿En la PTI se informa al Parcialmente Titular del dato que tiene derecho “conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento.
Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, ¿o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado”? (Literal a) del artículo 8 de la L. 1581 de 2012) 9. ¿En la PTI se informa al SI Titular del dato que tiene derecho a “solicitar prueba de la autorización otorgada al Responsable del Tratamiento La PTI fue redactada en un lenguaje claro y sencillo.
La investigada no aportó prueba de que la PTI haya sido puesta en conocimiento de los titulares. En la PTI está la razón social, la dirección, el domicilio, correo electrónico y el teléfono del Responsable. No se informa este aspecto La PTI informa la finalidad del tratamiento en el Capítulo IX La PTI lo menciona en el Capitulo VI. La PTI lo menciona de forma general pero le falta especificar que el derecho se ejerce ante el Responsable y el Encargado.
La PTI lo menciona en el Capítulo VI. “Por la cual se impone una sanción y se imparte una orden” salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10” de la Ley 1581 de 2012? (Literal –b- del artículo 8 de la L 1581 de 2012) 10. En la PTI se informa al Titular que tiene derecho a “ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus datos personales”? (Literal -c- del artículo 8 de la L 1581 de 2012) 11.
¿En la PTI se informa al Titular del dato que tiene derecho a “presentar ante la Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen”? (Literal -d- del artículo 8 de la L 1581 de 2012) 12. ¿En la PTI se informa al Titular del dato que tiene derecho a revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales? (Literal - e- del artículo 8 de la L 1581 de 2012) 13.
¿En la PTI se informa al Titular del dato que tiene derecho a “acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento”? (Literal -f- del artículo 8 de la L 1581 de 2012) 14. ¿En la PTI se señala quién es la persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el Dato y revocar la Autorización? (Numeral 4 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 y artículo 23 del Decreto 1377 de 2013). 15.
¿En la PTI se describe el procedimiento para que los ¿Titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y Parcialmente Se establece el derecho a ser informado de forma general pero no especifica respecto al Responsable o el Encargado SI La PTI menciona todos los derechos en el Capítulo VI. Si La PTI menciona todos los derechos en el Capítulo VI.
SI La PTI menciona todos los derechos en el Capítulo IV. SI La PTI indica el área encargada de recibir los reclamos y consultas en el Capítulo XIII SI La PTI lo menciona en el Capítulo XIII “Por la cual se impone una sanción y se imparte una orden” suprimir información y revocar la autorización? (Numeral 5 del artículo 13 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, artículo 18 del Decreto 1377 de 2013 incorporado en el artículo 2.2.2.25.3.6. del Decreto 1074 de 2015 y numeral 3 del artículo 27 del Decreto 1377 de 2013). 16.
¿La PTI indica la fecha de entrada en vigencia de la política de Tratamiento de la información? (Núm. 6, art 13 del Decreto 1377 de 2013 incorporado en el Artículo 2.2.2.25.3.1 Decreto 1074 de 2015). 17. ¿La PTI informa el período de vigencia de la Base de Datos? (Numeral 6 del artículo 13 del Decreto 1377 de 2013 incorporado en el Artículo 2.2.2.25.3.1 del Decreto 1074 de 2015).
NO La PTI no indica la fecha de entrada en vigencia de la misma. NO Esto lo indica el Manual de Procedimientos En resumen, durante la etapa preliminar la copropiedad no aportó la Política de Protección de Datos Personales, no obstante, y como quiera que el mismo fue aportado en los descargos, este Despacho lo tendrá en cuenta para efectos de acreditar cumplimiento del deber.
Sin embargo, este Despacho encuentra que la investigada debe implementar algunos cambios en las Políticas de Tratamiento de Datos Personas para cumplir de forma íntegra el deber establecido en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el inciso 3 del artículo 25 de la misma Ley y el artículo 2.2.2.25.3.1.del Decreto Único Reglamentario 1074 de 2015.
En consecuencia, se impartirá una orden. 8.2.4 Deber de adoptar un Manual para la atención de consultas y reclamos Este deber se deriva del literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal k) del artículo 17 de la citada Ley, y los numerales 4 y 5 del artículo 2.2.2.25.3.1 y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015, que preceptúan lo siguiente: Ley 1581 de 2012 “Artículo 17.
Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley; k) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos”.
Decreto 1074 de 2015 “Por la cual se impone una sanción y se imparte una orden” “Artículo 2.2.2.25.3.1. Políticas de Tratamiento de la información. Los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales y velar porque los Encargados del Tratamiento den cabal cumplimiento a las mismas.
Las políticas de tratamiento de la información deberán constar en medio físico o electrónico, en un lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares. Dichas políticas deberán incluir, por lo menos, la siguiente información: (…) 4. Persona o área responsable de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización. 5.
Procedimiento para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización. (…) Artículo 2.2.2.25.6.2. Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2.25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio.
Dichas políticas deberán garantizar: (…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento”. (Subrayado fuera del texto original).” De manera preliminar, se encuentra que se radicó una denuncia anónima en la que se pusieron en conocimiento algunas irregularidades frente al cumplimiento de la Ley de protección de datos personales, radicada en el correo electrónico del Senador de la República Iván Cepeda Castro, quien hizo el traslado de la misma a esta Superintendencia.34 Que con fundamento en la denuncia se adelantaron las siguientes averiguaciones preliminares: • Este Despacho realizó un requerimiento al CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL el 17 de marzo de 2021 con radicado 21-107705- -3, solicitando lo siguiente: “13.
Sírvase indicar cuáles son los canales dispuestos por la copropiedad ICATÁ CLUB RESIDENCIAL P.H. para la atención de Consultas y Reclamos presentados por los Titulares de información. 14. Sírvase informar si la copropiedad ICATÁ CLUB RESIDENCIAL P.H. tiene implementado un manual o cuenta con procedimientos establecidos para la atención de Consultas y Reclamos.
En caso afirmativo, remitir copia del mismo.” • Que el CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL respondió el requerimiento de este Despacho mediante comunicación del 31 de marzo de 2021 con radicado 21-107705- -00006, sin embargo, no se evidenció ningún documento en el que constara un manual o procedimiento establecido para la atención de consultas y reclamos. • Que el 21 de septiembre de 2020 se realizó un análisis técnico respecto a la respuesta aportada por la investigada y de la base de datos 34 Expediente virtual, consecutivo 0 “Por la cual se impone una sanción y se imparte una orden” “CENSO RESIDENTES” inscrita en el RNB, por parte de los ingenieros de la Delegatura de Protección de Datos Personales.35 Por lo tanto, se concluyó de acuerdo a la denuncia y pruebas aportadas al expediente que, la conducta de la copropiedad CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL, se encuadra típicamente en una presunta infracción del deber de adoptar un Manual para la atención de consultas y reclamos.
Por su parte, frente a todos los cargos objeto de estudio, la investigada en el escrito de descargos, reconoció de forma expresa el incumplimiento de los mismos.36 Para analizar si la copropiedad cumplió con el deber que aquí se estudia, este Despacho entrará a analizar las pruebas obrantes en el expediente, estudiando cada una tal y como se observa a continuación: • Este Despacho mediante oficio del 17 de marzo de 2021 bajo radicado 21-107705-3, solicitó lo siguiente a la investigada: “(…) 14.
Sírvase informar si la copropiedad ICATÁ CLUB RESIDENCIAL P.H. tiene implementado un manual o cuenta con procedimientos establecidos para la atención de Consultas y Reclamos. En caso afirmativo, remitir copia del mismo. (…)” • Respuesta del CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL con radicado 21107705-6 del 5 de abril de 2021 informando que: “En la actualidad se registra en la base de datos de la Citofonía Virtual.
Solamente se tiene la solicitud de un visitante”37. • La investigada en el escrito de descargos aporta el documento denominado “PROCEDIMIENTO ATENCIÓN DE SOLICITUDES TRATAMIENTO DE DATOS PERSONALES” Por lo anterior se concluye que, el CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL en etapa preliminar no aportó un manual o procedimiento establecidos para la atención de Consultas y Reclamos, no obstante, en los anexos del escrito de descargos aporta un documento denominado “PROCEDIMIENTO ATENCIÓN DE SOLICITUDES TRATAMIENTO DE DATOS PERSONALES” el cual hace parte del Manual de Procedimientos, por lo tanto, una vez revisado el documento, este Despacho concluye que el mismo cumple con los parámetros del Manual para la atención de consultas y reclamos, por lo cual, se encuentra que la investigada cumple con el deber establecido en 35 Expediente virtual, consecutivo 7, página 36 Expediente digital, consecutivo 14, página 6 37 Expediente digital, consecutivo 6, página 2, folio 8 38 Expediente digital, consecutivo 14, página 30, folio 64 a 70 “Por la cual se impone una sanción y se imparte una orden” el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal k) del artículo 17 de la citada Ley, y los numerales 4 y 5 del artículo 2.2.2.25.3.1 y el numeral 3 del artículo 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015.
En consecuencia, este cargo será desestimado.
NOVENO: Que el parágrafo del artículo 2 de la Ley 1581 de 201239 señala que los principios sobre protección de datos serán aplicables a todas las bases de datos incluidas las exceptuadas en el mismo artículo. De ahí que es procedente solicitar a la investigada que garantice el cumplimiento del principio de responsabilidad demostrada desarrollado en el artículo 2.2.2.25.6.1 y subsiguiente del Decreto Único Reglamentario 1074 de 201540.
Al respecto, es oportuno resaltar lo conceptuado en la Resolución No. 83882 del 15 de noviembre de 2018, emanada del Despacho del Superintendente Delegado Para la Protección de Datos Personales, respecto de la responsabilidad de los administradores, acto administrativo en el que se señaló lo siguiente: “(…) 6.1. Responsabilidad de los administradores en materia de tratamiento de datos personales.
El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”. Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.
La efectividad de los derechos humanos es un asunta de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.
Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección 39Ley 1581 de 2012, artículo 2: “Los principios y disposiciones contenidas en la presente ley serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada.
(…)
PARÁGRAFO. Los principios sobre protección de datos serán aplicables a todas las bases de datos, incluidas las exceptuadas en el presente artículo, con los límites dispuestos en la presente ley y sin reñir con los datos que tienen características de estar amparados por la reserva legal. En el evento que la normatividad especial que regule las bases de datos exceptuadas prevea principios que tengan en consideración la naturaleza especial de datos, los mismos aplicarán de manera concurrente a los previstos en la presente ley.” 40Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.6.1: Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este capítulo, en una manera que sea proporcional a lo siguiente: 1.
La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3. El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.
En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas. “Por la cual se impone una sanción y se imparte una orden” de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.
En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.
En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas.
Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la ley 222 de 1995 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.
Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias” (subrayamos) (…) Nótese que el artículo 24 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.
Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”.
En virtud de lo anterior, EXHORTAMOS a los Representantes Legales de la sociedad CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) Respetar y garantizar los derechos de los Titulares de los datos. 3) Dar estricto cumplimiento a las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales respecto de los principios que rigen el tratamiento de datos personales, especialmente los de libertad, finalidad, seguridad acceso y circulación restringida. 5) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data de los Titulares.
“Por la cual se impone una sanción y se imparte una orden”
DÉCIMO: En este orden de ideas, de acuerdo a los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones: • • • El CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL deberá implementar un procedimiento para solicitar la autorización previa, expresa e informada para el tratamiento de los datos personales de los titulares, sean residentes, visitantes, proveedores, empleados, etc.
Así mismo, deberá solicitar la autorización explícita para el tratamiento de los datos, específicamente para datos personales sensibles (biométricos) y de menores de edad. El CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL deberá informar al momento de la recolección de los datos personales de los titulares las finalidades específicas del tratamiento y los derechos de los mismos.
El CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL deberá hacer los siguientes ajustes en su Política de Tratamiento de Datos Personales: - • • Demostrar ante este Despacho que ha puesto en conocimiento de todos los titulares la Política de Tratamiento de Datos Personales. Deberá incluir en la Política de Tratamiento de Datos Personales dentro de los derechos de los titulares el de ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus datos personales.
Deberá informar al Titular del dato que tiene derecho a conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento. Señalar el tipo de Tratamiento –manual o automatizado- al cual serán sometidos los Datos personales. Deberá indicar la fecha de entrada en vigencia de la política de Tratamiento de la información Deberá indicar el período de vigencia de la Base de Datos.
El CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL deberá adoptar las medidas técnicas, humanas y administrativas con el fin de garantizar la seguridad de la información y aportar los documentos que contengan las configuraciones, medidas de seguridad, diagramas de funcionamiento, entre otros, que permitan conocer detalladamente el funcionamiento técnico de las terminales biométricas MA300 instaladas.
El CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL deberá adoptar las medidas de seguridad implementadas en las bases de datos obtenidas por el CCTV indicando: donde se almacena esta información, controles de acceso a estas bases de datos, políticas y registros de Back Up y retención de la información debidamente documentados.
De lo anteriormente ordenado el CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL. deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.
DÉCIMO PRIMERO: Imposición y graduación de la sanción 11.1 Facultad sancionatoria “Por la cual se impone una sanción y se imparte una orden” La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23.
SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
(…)”. Por su parte, la Corte Constitucional a través de sentencia C-557 de 2000, señaló que la Ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una Ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional41.
Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.
En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al ConsumidorIPC- sin alimentos ni regulados, certificado por el Departamento 41 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.
Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción y se imparte una orden” Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este. El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente.
El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.
PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.
PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.
PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.
PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB.
De otra parte, la Ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: “Por la cual se impone una sanción y se imparte una orden” De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional42 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.
Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”43 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.
Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros44. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 42 Artículo 29.
El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 43 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 44 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. “Por la cual se impone una sanción y se imparte una orden” Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad.
Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”45.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia46. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2347 de la misma ley.
Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 11.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley 45 Organización de las Naciones Unidas (1948).
Declaración Universal de los Derechos Humanos 46 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 47Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva..” “Por la cual se impone una sanción y se imparte una orden” De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”48 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados49.
También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que: • El CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL no acreditó haber obtenido la autorización previa, expresa e informada para el tratamiento de los datos personales de los copropietarios y/o residentes al momento de la recolección, deber consagrado en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.
Por consiguiente, impondrá una sanción pecuniaria de UN (1) SALARIO MÍNIMO LEGAL VIGENTE para el año 2023 – equivalentes CIENTO DIECISÉIS (116) 48 Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp. Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra. 49 Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” “Por la cual se impone una sanción y se imparte una orden” Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a UN MILLÓN DOSCIENTOS SETENTA MIL TRESCIENTOS DIECISÉIS PESOS M/CTE (1.270.316) 50. • El CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL no acreditó haber informado las finalidades del tratamiento, lo anterior en virtud del literal el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.
Por consiguiente, impondrá una sanción pecuniaria de UN (1) SALARIO MÍNIMO LEGAL VIGENTE para el año 2023 – equivalentes CIENTO DIECISÉIS (116) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a UN MILLÓN DOSCIENTOS SETENTA MIL TRESCIENTOS DIECISÉIS PESOS M/CTE (1.270.316) 51. • El CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL en calidad de Responsable del Tratamiento, al momento de los hechos de la denuncia no había implementado medidas para conservar la información personal recolectada, bajo condiciones de seguridad adecuadas para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, establecido en el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015.
En consecuencia, se impondrá una sanción pecuniaria equivalente a UN (1) SALARIO MÍNIMO LEGAL VIGENTE para el año 2023 – equivalentes CIENTO DIECISÉIS (116) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a UN MILLÓN DOSCIENTOS SETENTA MIL TRESCIENTOS DIECISÉIS PESOS M/CTE (1.270.316) 52. Asi pues, se procederá a imponer una sanción por incumplimiento del: i) literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; ii) el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015 y iii) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015;por un total equivalente a TRES (3) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes TRESCIENTOS CUARENTA Y OCHO (348) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a TRES MILLONES OCHOCIENTOS DIEZ MIL NOVECIENTOS CUARENTA Y OCHO PESOS M/CTE (3.810.948) 53. 11.1.2 El reconocimiento o aceptación de la comisión de una aceptación El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581de 2012 se aplicará toda vez que la investigada, en su comunicación del 14 de marzo de 2022 con radicado 21-107705- -00014, reconoció la comisión de infracción a los deberes contemplados en el: (i) literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015;
(ii) el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015; y el (iii) el literal d) del artículo 50 44 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 51 44 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 52 44 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 53 44 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción y se imparte una orden” 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015; indicando expresamente54: “(…) Se solicita a la Dirección de Investigación de Protección de Datos Personales, de la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio, se abstenga de imponer sanción alguna en contra del CONJUNTO RESIDENClAL ICATA CLUB RESIDENCIAL PH, en virtud, al reconocimiento expreso de la infracción, y adicionalmente, a la INMEDIATA subsanación de los cargos, con la adopción e implementación de un Manual de Política y Procedimientos ajustados (sic) a la Ley.
(…)” En virtud de lo expuesto y como quiera que la investigada reconoció expresamente la comisión de la infracción, se procederá a disminuir la sanción en la suma equivalente a UN (1) SALARIO MÍNIMO LEGAL VIGENTE para el año 2023 – equivalentes CIENTO DIECISÉIS (116) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a UN MILLÓN DOSCIENTOS SETENTA MIL TRESCIENTOS DIECISÉIS PESOS M/CTE (1.270.316) 55.
En consecuencia, se impondrá una sanción equivalente a DOS (2) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes DOSCIENTOS TREINTA Y DOS (232) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a DOS MILLONES QUINIENTOS CUARENTA MIL SEISCIENTOS TREINTA Y DOS PESOS M/CTE (2.540.632) 11.1.3 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.
Por tanto, se impondrá como sanción, dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012, una multa de DOS (2) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes DOSCIENTOS TREINTA Y DOS (232) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a DOS MILLONES QUINIENTOS CUARENTA MIL SEISCIENTOS TREINTA Y DOS PESOS M/CTE (2.540.632) por la vulneración a lo dispuesto en el: i) literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015; ii) el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015 y iii) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. 54 Expediente digital, consecutivo 14, página 6, folio 6 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción y se imparte una orden” La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023.
DÉCIMO SEGUNDO: CONCLUSIÓN Se procederá a imponer una sanción por las siguientes razones: i. Se comprobó que el CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL infringió abiertamente las normas sobre protección de datos personales consagradas en: (i) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015;
(ii) el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015; (iii) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015. ii.
El CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL no acreditó la implementación de un formato de solicitud de autorización previa, expresa e informada respecto a todas las finalidades del tratamiento. iii. El CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL no acreditó que cuenta con la autorización del tratamiento de datos personales sensibles, y de menores de edad. iv.
El CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL no acreditó que cuenta con medidas técnicas, humanas y administrativas con el fin de garantizar la seguridad de la información de los datos personales de los titulares, para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. v. El CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL deberá ajustar su Política de Tratamiento de Datos Personales e implementar un Manual para la atención de consultas y reclamos. vi.
El CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL reconoció que no cumple a cabalidad con sus deberes como Responsable del tratamiento de datos personales.
DÉCIMO TERCERO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente al CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL identificada con NIT. 900.037.644-8, con el correo electrónico de notificación judicial clubresidencialicataadmon@gmail.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 21-107705. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que “Por la cual se impone una sanción y se imparte una orden” sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL, identificada con Nit. 900.037.644-8, de DOS (2) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – equivalentes DOSCIENTOS TREINTA Y DOS (232) Unidades de Valor Básico – UVB Vigentes para el año 2024 – equivalentes a DOS MILLONES QUINIENTOS CUARENTA MIL SEISCIENTOS TREINTA Y DOS PESOS M/CTE (2.540.632) 57 por la violación a lo dispuesto en el: (i) literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, así como de los artículos 2.2.2.25.2.2, 2.2.2.25.2.4 y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015;
(ii) el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015; (iii) el literal d) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal g) del artículo 4 de la misma Ley, así como del artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015), según lo expuesto en la presente resolución. Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2.
El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria. Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO 2: ORDENAR al CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL, identificado con Nit. 900.037.644-8, cumplir las órdenes impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva. Para lo cual deberá dar cumplimiento dentro de DOS (2) meses siguientes a la ejecutoria del presente acto administrativo.
Las ordenes son las siguientes: • El CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL deberá implementar un procedimiento para solicitar la autorización informada para el tratamiento de los datos personales de los titulares, sean residentes, visitantes, proveedores, empleados, etc. Así mismo, deberá solicitar la autorización explícita para el tratamiento de los datos, específicamente para datos personales sensibles (biométricos) y de menores de edad. 57 44 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción y se imparte una orden” • • El CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL deberá informar al momento de la recolección de los datos personales de los titulares las finalidades específicas del tratamiento y los derechos de los mismos.
El CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL deberá hacer los siguientes ajustes en su Política de Tratamiento de Datos Personales: - • • Demostrar ante este Despacho que ha puesto en conocimiento de todos los titulares la Política de Tratamiento de Datos Personales. Deberá incluir en la Política de Tratamiento de Datos Personales dentro de los derechos de los titulares el de ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a sus datos personales.
Deberá informar al Titular del dato que tiene derecho a conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento. Señalar el tipo de Tratamiento –manual o automatizado- al cual serán sometidos los Datos personales. Deberá indicar la fecha de entrada en vigencia de la política de Tratamiento de la información Deberá indicar el período de vigencia de la Base de Datos.
El CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL deberá adoptar las medidas técnicas, humanas y administrativas con el fin de garantizar la seguridad de la información y aportar los documentos que contengan las configuraciones, medidas de seguridad, diagramas de funcionamiento, entre otros, que permitan conocer detalladamente el funcionamiento técnico de las terminales biométricas MA300 instaladas.
El CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL deberá adoptar las medidas de seguridad implementadas en las bases de datos obtenidas por el CCTV indicando: donde se almacena esta información, controles de acceso a estas bases de datos, políticas y registros de Back Up y retención de la información debidamente documentados.
Parágrafo Primero: CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL identificada con el Nit. 900.037.644-8, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento. Para ello deberá remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo.
Dicha certificación debe ser emitida por un auditor interno o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad. Parágrafo Segundo: El incumplimiento de lo ordenado en el presente acto administrativo, hará al CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL - PROPIEDAD HORIZONTAL identificada con el Nit. 900.037.644-8, acreedor de las sanciones previstas en la ley.
ARTÍCULO 3: NOTIFICAR personalmente el contenido de la presente resolución al CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL identificado con el Nit. 900.037.644-8 a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación. “Por la cual se impone una sanción y se imparte una orden”
ARTÍCULO 4: COMUNICAR al Senador de la República IVÁN CEPEDA CASTRO identificado con C.C. 79.262.397 el contenido de la presente decisión.
ARTÍCULO 5: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Alterna: Avenida Carrera 7 # 31ª - 36 pisos 3 y 3 A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 12 de diciembre de 2024 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2024.12.12 12:20:56 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Proyectó: DR Revisó: YA Aprobó: CG NOTIFICACIÓN: Investigada: Entidad: CONJUNTO HABITACIONAL ICATA CLUB RESIDENCIAL PROPIEDAD HORIZONTAL Identificación: Nit.: 900.037.644-8 Representante Legal: MARTHA PATRICIA WANUMEN CORREDOR Identificación: C.C. No. 51831678 Dirección: Calle 155 No. 9 - 45 Ciudad: Bogotá D. C. Correo electrónico: clubresidencialicataadmon@gmail.com COMUNICACIÓN: Señor: Senador IVÁN CEPEDA CASTRO Identificación: C.C. No. 79.262.397 Dirección: Carrera 7 No. 8-68, oficina 636B Ciudad: Bogotá D. C. Correo electrónico: ivancepedacongresista@gmail.com