REPUBLICA DecoLoHBR MINISTERIO DE COMERCIO, INDUSTRIA Y TURISMO. SUPERINTENDENCIA DE er COMERCIO RESOLUCION NUMERO DE 2015 ( 2B DI wy Por la cual se impone una sancién y se imparte unas orden Radicacion 13-254726 EL DIRECTOR DE INVESTIGACION DE PROTECCION DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los articulos 19 y 21 de la Ley 1581 de 2012 y los numerales 4 y 5 del articulo 17 del Decreto 4886 de 2011, CONSIDERANDO PRIMERO: Que mediante denuncia del 28 de octubre de 2013, el sefior OSCAR FERNANDO LOSADA NARVAEZ interpuso denuncia administrativa contra la sociedad GESTION COMPETITIVA S.A.S. (en adelante GESCOM S.A.‘S.), con fundamento en los siguientes hechos: 1.1 Sefiala que en la pagina web de la sociedad denunciada se mostraba la oferta para el cargo de analista de seguridad de la informacién. En esa medida, indica que procedi6 a enviar la hoja de vida “para el debido proceso” Manifiesta que “[yJa al no tener ningun tipo de respuesta el 3 de octubre de 2013, y sabiendo que el recabar hojas de vida los hace responsables de mis datos, les envié un correo solicitandoles ‘cual seria el tratamiento de mis datos para ese proceso (...)”. Sin embargo, denuncia que “hasta la fecha no ha tenido respuesta’. 1.3 Indica que “[s]e podria suponer que no tienen una politica de proteccién de datos de acuerdo a lo especificado en la ley 1581/2012 y su decreto regiamentario 1377/2013". SEGUNDO: Que mediante Resolucién No. 62252 del 31 de agosto de 2015, la Direccién de Investigacion de Proteccién de Datos Personales resolvié iniciar investigacion administrativa contra la sociedad GESCOM S.A.S., con base en el reclamo formulado por el sefior OSCAR FERNANDO LOSADA NARVAEZ, por la presunta vulneracién de los literales b), c), j) y m) del articulo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del articulo 8, asi como el articulo 12 de la misma norma estatutaria TERCERO: Que por conducto de apoderado, mediante escrito del 23 de septiembre de 2016, visible a folios 31 a 72, la sociedad GESCOM S.A.S. rindid sus descargos, de conformidad con lo siguiente: 3.1 Sefiala que ‘[ajl momento de comunicar a GESTION COMPETITIVA S.A.S. la resolucion de cargos, el fundamento de hecho de los cargos habia desaparecido, toda vez que desde el dia 4 de marzo de 2014 se le informé al Sr. Oscar Losada cual (sic)RESOLUCION NUMERO.! 1 63 3 DE 2015 HOJA No.2 “Por la cual se impone una sancién y se imparte unas orden” fue el tratamiento de los datos personales incluidos en su Hoja de Vida, para lo cual se le dio a conocer que: (i) su hoja de vida hacia parte del proceso de seleccién iniciado por la empresa a través de COMPUTRABANO; (i) que su hoja de vida no habia sido seleccionada; (ii) que GESTION COMPETITIVA cuenta con una Politica de Proteccin de Datos Personales y en virtud de dicha politica, al no quedar seleccionada la Hoja de Vida al Sr. Losada, no se utilizé para ningun otro proceso de seleccién y se procedié con su eliminacién de la base de datos de la empresa. Prueba de lo anierior es la comunicacién de respuesta que consta en el expediente, y que fue remitida a ustedes mediante escrito radicado el pasado 7 de marzo de 2014 Manifiesta que “[pJara la fecha en que se envid a GESTION COMPETITIVA ef requerimiento de la SIC para determinar si existian méritos para adelantar el proceso sancionatorio, la empresa que represento contaba con la respectiva Politica de Protecciin de Datos y habia implementado el proceso interno necesario para dar cumplimiento a la Ley 1581 de 2012 y su decreto reglamentario’. Igualmente, indica que “se prepararon una serie de documentos con los cuales se obtendrian las respectivas autorizaciones de los titulares de los datos personales. Dentro de estos, destacamos el formato de autorizacién que se remitié a los clientes y proveedores de los cuales habiamos recolectado datos con anterioridad a la entrada en vigencia de la Ley 1581 de 2012 y el Decreto 1377 de 2013, y el formato de autorizacién que suscriben los candidatos que participan en procesos de seleccién y de evaluacién desarrollados por nuestra empresa’ Ademas, pone de presente que “[eJn cumplimiento de la normatividad vigente, se designs al area de Servicio al Cliente como la encargada de la funcién de proteccién de datos dentro de nuestra empresa. Por otra parte, se regulé un capitulo para la atencién de quejas y reclamos y se implementaron unos procedimientos interios, asi como unos formatos que nos permiten atender oportunamente estos asuntos’ De igual manera, sefiala que esa entidad “establecié una serie de mecanismos juridicos y tecnolégicos para proteger los datos personales". De ahi que concluya que esa entidad “implementé todo un esquema de proteccién de datos personales de acuerdo con lo exigido en la legislacién vigente. Dichos procedimientos se encontraban implementados con anterioridad a la realizaci6n de las averiguaciones preliminares realizadas en el mes de febrero de 2014" Por otra parte, resefia que “el pasado mes de setiembre de 2013, se abrié una convocatoria a través de COMPUTRABAJO y otras empresas y paginas web de empleo, con el fin de ubicar y contactar candidatos para el cargo de ‘Analista Seguridad de Ia Informacién’. Las hojas de vida de los interesados se enviaban a través de estos portales de empleo, sin embargo, se dejé habilitado un email directo de la empresa’. Explica que ‘[el! 30 de septiembre de 2013, nuestra empresa recibié de manera directa un correo electrénico enviado por el Sr. Oscar (sic) Losada quien manifesté su interés en particular en el proceso de seleccién antes descrito. Con el envio de su correo electrénico, el Sr. Losada manifest6 su voluntad y autorizacién para que su vida3 RESOLUCION NoMERO- 8 1695 DE 2015 HOJA No. “Por la cual se impone una sancién y se imparte unas orden" fuera tenida en cuenta dentro del proceso de seleccién. Con dicho correo, la empresa consideré que se contaba con la suficiente consideracién del titular para revisar su Hoja de Vida y tenerfa en cuenta en el proceso de seleccién’. Agrega que esa entidad “procedié con la evaluacién de los candidatos, sin embargo, la Hoja de Vida del Sr. Losada no qued6 preseleccionada y, por tanto, no continué en el proceso de seleccién’. Sefiala que “[dJe acuerdo con lo establecié en Ia Politica de Privacidad y Proteccion de Datos Personales de GESTION COMPETITIVA S.A.S., las hojas dé vida recibidas para participar en un proceso de seleccién y evaluacién se conservan por un tiempo maximo de 18 meses. Ahora bien, si el candidato no supera el proceso de preseleccién, la Hoja de Vida se elimina. Como el sefior Losada no superé el dicho proceso de preseleccién, se procedié con la eliminacion de su Hoja de Vida de nuestros registros, garantizando asi la proteccién de sus datos, evitando que fueran utilizados para actividades o procesos de selecci6n en los cuales el Sr. Losada no manifesté su interés en particular, es decir, en los cuales no habla dado su autorizacién" Por ultimo, dice que “[fJal y como obra en el expediente, el pasado 4 de marzo de 2014, se le informé al Sr. Losada que su Hoja de Vida habia sido eliminada al no quedar preseleccionado. Si bien la respuesta se dio varios meses después a la solicitud de informacién dada por el Sr. Losada, teniendo en cuenta las explicaciones dadas las averiquaciones preliminares’. Aunado a lo anterior, aclara que “la eliminacién de la hoja de vida y de los datos del Sr. Losada se hizo tan pronto como éste no qued6 preseleccionado; adicionalmente, su hoja de vida s6lo se tuvo en cuenta para el proceso de seleccién en que él decidié participar’: En ese orden de ideas, solicita a este Despacho que proceda a desvincularlo del presente tramite administrativo. CUARTO: Que mediante Resolucién No. 84055 del 27 de octubre de 2015, la Direccién de Investigacion de Proteccién de Datos Personales resolvi6 tener como prueba los documentos allegados a este Despacho. Adicionalmente, se decreté de oficio las siguientes pruebas: 4.1 Requerir a la sociedad GESCOM S.A.S. para que se sirva aportar a este Despacho la constancia de la supresion de la informacion personal de OSCAR FERNANDO LOSADA NARVAEZ de su base de datos, a través de los mecanismos técnicos necesarios para acreditar que efectivamente realizé tal procedimiento. Requerir a la sociedad GESCOM S.AS. para que se sirva aportar a este Despacho una copia del consentimiento previo, expreso e informado del sefior OSCAR FERNANDO LOSADA NARVAEZ para llevar a cabo el tratamiento de su informacién personal Requerir a la sociedad GESCOM S.A.S. para que se sirva aportar a este Despacho la constancia donde esta entidad comercial le informé previamente al sefior OSCARTiRg5 ; RESOLUCION NUMERO A DE 2015 HOJA No. “Por la cual se impone una sancién y se imparte unas orden" FERNANDO LOSADA NARVAEZ sobre el tratamiento al cual seran sometidos sus datos personales y la finalidad de la recoleccién, el caracter facultative de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre los datos sensibles, los derechos que le asisten por virtud de la autorizacién otorgada, la identificacién, direccién fisica o electronica y telefénica de esa entidad. QUINTO: Que mediante escrito del 10 de noviembre de 2015, visible a folios 79 a 82, la sociedad GESCOM S.A.S. se pronuncié en los siguientes términos: 51 Adjunta constancia de supresién de la informacién personal del Sr. Oscar (sic) Fernando Losada. De igual manera, pone de presente que “[eJsta constancia consta en dos documentos. Por una parte, una SOLICITUD DE ELIMINACION DE DOCUMENTACION, firmada por la suscrita, en la que se requiere al érea encargada dentro de la empresa GESTION COMPETITIVA S.A.S. a eliminar la Hoja de Vida del candidato. Por otra parte, se encuentra el Acta de Eliminacién de Documentacion firmado por Daniela Rincén Garzén, responsable del proceso de eliminacién". Sefiala que “[rjespecto de! consentimiento previo y expreso de! Sr. Oscar (sic) Femando Losada, es importante tener en cuenta que esta persona, de manera libre y voluntaria remitié su Hoja de Vida directamente al correo de nuestra empresa, segun oferta publicada en el portal de COMPUTRABAJO. De acuerdo con el material probatorio que consta en el expediente, y que fue relacionado por esta entidad en la Resolucién 840055 de! 27 de octubre de 2015, el correo electrénico remitido por el Sr. Losada, donde se incluye envia la hoja de Vida a nuestra empresa contiene la siguiente nota: ‘La informacién aqui contenida y transmitida es CONFIDENCIAL. Es para uso exclusivo del destinatario arriba citado, y para su utilizacién especifica. Si usted no es el destinatario, sepa disculpar la molestia. Se le notifica por el presente que esta prohibida su revisin, retransmisién, difusién, y/o cualquier otro tipo de uso de Ia informacién contenida por extrafias al destinatario original (...)" De ahi que considera que “[eJsta mencién del Sr. Losada, claramente demuestra su consentimiento y autorizacién para el uso de la informacion remitida a GESTION COMPETITIVA. Y el tratamiento que le dio nuestra empresa fue precisamente en este sentido. La Hoja de Vida s6lo se valoré par el proceso de seleccién al que él participo” Por ultimo, indica que “[rJespecto de la constancia en la que se le informa previamente al Sr Losada sobre el tratamiento de los datos personales remitidos (Hoja de Vida), es necesario aclarar que a esta entidad que como tal no existe una constancia previa, sin embargo, no se puede dejar a un lado la nota de confidencialidad dada por el mismo Sr. Losada sobre el uso de sus datos personales’ SEXTO: Que mediante memorial del 23 de noviembre de 2015, la Direcci6n de Investigacion de Proteccién de Datos Personales le corrié trasiado a la sociedad GESCOM S.A.S., por un término de diez (10) dias, para que presentara los alegatos de conclusion SEPTIMO: Que mediante escrito del 7 de diciembre de 2015, visible a folios 85 al 88, la sociedad GESCOM S.A.S. presenta las siguientes consideraciones:RESOLUCIONNOMERO hOLE95 pe 2015 HOJANo. 5 “Por la cual se impone una sanci6n y se imparte unas orden" Explica que “es una empresa que presta servicios de asesoria y consultoria en procesos de gestin humana, organizacional y logistica a compafiias privadas a nivel nacional, Dentro de sus lineas de negocios, se encuentra la de realizar procesos de selecci6n y evaluacién de ejecutivos y personal para sus clientes”. En esa medida, indica que “el pasado mes de septiembre de 2013, se abrié una convocatoria a través de COMPUTRABAJO, con el fin de ubicar y contactar candidatos para el cargo de ‘Analista Seguridad de la Informaci6n’. Las hojas de vida de los interesados se enviaban a través de este portal de empleo, sin embargo, se dejé habilitado un email directo de la empresa” Resalta que “la convocatoria inici a través de la plataforma COMPUTRABAJO y no como equivocadamente lo menciona el denunciante al indicar que la misma se hizo en el portal de GESTION COMPETITIVA’. ‘Ademés, pone de presente que el portal de COMPUTRABAJO “cuenta con una Politica de proteccién de datos (...)’. De ahi que considere que en la medida en que el denunciante “al acceder a esta red tenia plena intencién de participar en el proceso de seleccién y que su hoja de vida fuera tenida en cuenta para estos efectos’. Resefia que “ell 30 de septiembre de 2013, nuestra empresa recibié de manera directa un correo electronico enviado por el Sr. Oscar (sic) Losada quien manifest6 su interés en participar en el proceso de seleccién antes descrito. Con el envid de su correo electrénico, el Sr. Losada manifesté su voluntad y autorizacién para que su hoja de vida fuera tenida en cuenta dentro del proceso de seleccion (...)". En esa medida, sefiala que “[cJon dicho correo, claramente demuestra su consentimiento y autorizacién para el uso de la informacién remitida, la empresa consideré que se contaba con la suficiente autorizacién del titular para revisar su Hoja de Vida y tenerla en cuenta con a suficiente autorizacién del titular para revisar su Hoja de Vida y tenerla en cuenta en el proceso de seleccién’. Pone de manifiesto que esa entidad “procedié con la evaluacién de los candidatos, sin embargo, la Hoja de Vida del Sr. Losada no qued6 preseleccionada y, por tanto, no continud en el proceso de seleccién". Reitera que “las hojas de vida recibas para participar en un proceso de seleccién y evaluacién se conservan por un tiempo maximo de 18 meses’. No obstante, aclara que “si el candidato no supera el proceso de preseleccién, la Hoja de Vida se elimina’. Asi pues, indica que “[oJomo el sefior Losada ni superé el proceso de preseleccién, se procedié con Ia eliminacion de su Hoja de Vida de nuestros registros, garantizando asi la protecci6n de sus datos, evitando que fueran utilizados para actividades o procesos de selecci6n en los cuales el Sr. Losada no manifesto su interés en participar (...)". Indica que el 4 de marzo de 2014, esa entidad le brindé una informacion clara y precisa respecto del tratamiento que sé le dio a los datos del denunciante.RESOLUCION NUMERO 7 301698 DE 2015 HOJANo. © “Por la cual se impone una sanci6n y se imparte unas orden’ Finalmente, asegura que esa entidad cuenta con una politica de proteccién de datos personales, entre otros mecanismos de proteccién de datos personales OCTAVO: Que en el tramite de la presente actuacién administrativa se aportaron las 84 8.1.1 8.24 siguientes pruebas documentales: Pruebas aportadas por el denunciante A folios 4 a 5, copia de un mensaje electrénico dirigido a la direccién electronica drincon@gestioncompetitiva.com remitido desde la direccién de correo electrénico oscarflosada@yahoo.com, con fecha de 3 de octubre de 2012, 12:18 p.m. Pruebas aportadas por la parte investigada A folio 38, copia de una respuesta dirigida al sefior OSCAR LOSADA NARVAEZ, con fecha de 4 de marzo de 2014. A folio 40, copia. ~s de_~=—sun_—smensaje _electrénico de. servicioalcliente@gestioncompetitivacom al sefior OSCAR FERNANDO LOSADA NARVAEZ, con copia a |fcastro@gestioncompetitiva.com y nfernandez@integra- cons.com, con asunto: “RESPUESTA SOLICITUD TRATAMIENTO DE DATOS PERSONALES, con adjuntos: Respuesta al Sr. Oscar Femando Losada Narvéez. Solicitud estado proceso de seleccién Analista de Seguridad de la Informacién.jpg’. A folios 42 a 46, copia del documento denominado “POLITICA DE PRIVACIDAD Y PROTECCION DE DATOS PERSONALES’. A folio 48, copia del documento denominado “FORMULARIO DE RECEPCION DE QUEJAS"”. 8.2.5 A folio 50, copia del documento denominado “FORMATO SEGUIMIENTO A QUEJAS Y 8.26 8.27 8.2.8 8.2.9 RECLAMOS”. A folio 52, copia del documento denominado “FORMATO RESPUESTA QUEJAS”. A folios 54 a 57, copia del documento denominado “ACUERDO DE CONFIDENCIALIDAD". A folio 59, copia del documento denominado “AUTORIZACION PARA EL TRATAMIENTO DE DATOS Y HABEAS DATA". A folios 61 a 62, copia del documento denominado “MODELO COMUNICACION AUTORIZACION USO DATOS PERSONALES ENVIADA A CLIENTES Y PROVEEDORES', con fecha de octubre de 2013, 8.2.10A folios 64 a 72, copia de los estados financieros de la sociedad GESCOM S.A‘S. 2012, 2013 y 2014.REsoLUCION NUMERO S01695 — pe2o1s HOJANo,__7 “Por la cual se impone una sanci6n y se imparte unas orden" 8.2.11A folios 81 a 82, copia de dos (2) documentos denominados “SOLICITUD DE ELIMINACION DE DOCUMENTACION' y “ACTA DE ELIMINACION DE DOCUMENTACION". NOVENO: Competencia de la Superintendencia de Industria y Comercio La Direccién de Investigacién de Proteccién de Datos Personales — Superintendencia de Industria y Comercio es competente para investigar e imponer las sanciones pertinentes a las personas que han incumplido las disposiciones en materia de proteccién de datos, con base en los articulos 19 y 21 de la Ley 1581 de 2012, en concordancia con los numerales 5 y 9 del articulo 17 del Decreto 4886 de 2011 DECIMO: Analisis del caso y valoracién probatori 10.1 Adecuacién tipica La Corte Constitucional ha precisado que para que pueda predicarse el cumplimiento del Principio de tipicidad en el derecho sancionador se debe acreditar los siguientes tres elementos: ‘Que la conducta sancionable esté descrita de manera especifica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable a partir de la aplicacién de otras normas juridicas; Que exista una sancién cuyo contenido material esté definido en la ley; Que exista correlacién entre la conducta y la sancién; En virtud de los anteriores parémetros jurisprudenciales, este Despacho observa la siguiente informacion: () La Direccién de Investigacion de Proteccién de Datos Personales encuentra que la Ley 1581 de 2012 establece los siguientes deberes: “ARTICULO 80. DERECHOS DE LOS TITULARES.E! Titular de los datos personales tendra los siguientes derechos: () Revocar la autorizacién y/o solicitar la supresién del dato cuando en el Tratamiento no se respeten los principios, derechos y garantias constitucionales y legales. La revocatoria y/o ‘supresion procederé cuando la Superintendencia de Industria y Comercio fr. Corte Constitucional, Sentencia C-1011 de 2008. M.P. Jaime Cérdoba Trivifo,RESOLUCION NUMERO AQ 695 DE 2015 HOJANo.__® “Por la cual se impone una sancién y se imparte unas orden’ haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitucién. “ARTICULO 12. DEBER DE INFORMAR AL TITULAR.El Responsable del Tratamiento, al momento de solicitar al Titular la autorizacién, deberd informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual seran sometidos sus datos personales y la finalidad del mismo; b) El cardcter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las nifias, nifios y adolescentes; ¢) Los derechos que le asisten como Titular, 4d) La identificacién, direccién fisica 0 electrénica y teléfono del Responsable del Tratamiento. PARAGRAFO. El Responsable del Tratamiento debera conservar prueba del cumplimiento de lo previsto en el presente articulo y, cuando el Titular lo solicite, entregarle copia de esta. Articulo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberan cumplir los siguientes deberes, sin perjuicio de las demas disposiciones previstas en la presente ley y en otras que rijan su actividad: () b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorizacién otorgada por el Titular; ) Informar debidamente al Titular sobre la finalidad de la recoleccion y los derechos que le asisten por virtud de la autorizacién otorgada; Go) |) Tramitar las consultas y reclamos formulados en los términos sefialados en la presente ley: () m) Informar a solicitud del Titular sobre el uso dado a sus datos; Oy (i) La Direccién de Proteccién de Investigacién de Datos Personales también encuentra que en caso de incumplimiento de la legislacién en materia de proteccién de datos personales, el articulo 23 de la Ley 1581 de 2012 establece las siguientes sanciones:RESOLUCION NUMERO_ 101695 dEz015 HOJANo.__° Por la cual se impone una sancién y se imparte unas orden" “articulo 23. Sanciones. La Superintendencia de Industria y Comercio podra imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de caracter personal e institucional hasta por el equivalente de dos mil (2.000) salarios minimos mensuales legales vigentes al momento de la imposicidn de la sancién, Las multas podran ser sucesivas mientras subsista el incumplimiento que las origin6; Gy" De conformidad con los hechos alegados por el denunciante y el material probatorio que obra dentro del expediente, se puede establecer que la conducta desplegada por la sociedad GESCOM S.A.S. se concreta en un posible incumplimiento de los literales b), c), j) y m) del articulo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del articulo 8, asi como el articulo 12 de la misma norma estatutaria. En ese orden de ideas, este Despacho procederd a tener en cuenta: (i) los hechos narrados por el denunciante, (ii) las razones de hecho y de derecho aducidas por la investigada al momento de dar respuesta a la solicitud de explicaciones; (ii) el material probatorio que obra dentro del expediente; (iv) la Ley 1581 de 2012; y, (v) finalmente la jurisprudencia que ha proferido la Corte Constitucional sobre la materia 10.2 Valoracién probatoria y conclusiones 10.2.1 El deber de la sociedad GESCOM S.A.S de contar con la autorizacién expresa, previa e informada del titular para el procesamiento de sus datos personales EI titular de la informacion, OSCAR FERNANDO LOSADA NARVAEZ, sefiala que en la pagina web de la sociedad GESCOM S.A.S. se mostraba la oferta para el cargo de analista de seguridad de la informacion. En esa medida, indica que procedié a enviar la hoja de vida “para el debido proceso’ Igualmente, manifiesta que “[yja al no tener ningun tipo de respuesta el 3 de octubre de 2013, y sabiendo que el recabar hojas de vida los hace responsable de mis datos, les envié un correo solicitsndoles ‘cual seria el tratamiento de mis datos para ese proceso (...)". Sin ‘embargo, denuncia que “hasta la fecha no ha tenido respuesta”. Por su parte, la sociedad GESCOM S.A.S indica que “el pasado mes de setiembre de 2013, se abrié una convocatoria a través de COMPUTRABAVO y otras empresas y paginas web de empleo, con el fin de ubicar y contactar candidatos para el cargo de ‘Analista Seguridad de la Informacién’. Las hojas de vida de los interesados se enviaban a través de estos portales de empleo, sin embargo, se dejé habilitado un email directo de la empresa’ Explica que “[e]I 30 de septiembre de 2013, nuestra empresa recibié de manera directa un correo electrénico enviado por el Sr. Oscar (sic) Losada quien manifesto su interés en particular en el proceso de seleccién antes descrito. Con el envio de su correo electronico, el Sr. Losada manifest6 su voluntad y autorizacién para que su vida fuera tenida en cuenta dentro del proceso de seleccién. Con dicho correo, la empresa consider que se contaba con Ja suficiente consideracién del titular para revisar su Hoja de Vida y tenerla en cuenta en el proceso de seleccién".RESOLUCION NUMERO LI 1695 — pE2015 HOJANo,__10_ “Por la cual se impone una sancién y se imparte unas orden" Por ultimo, agrega que esa entidad “procedié con la evaluacién de los candidatos, sin embargo, la Hoja de Vida del Sr. Losada no qued6 preseleccionada y, por tanto, no continud en el proceso de seleccién’ En este punto, este Despacho entra a preguntarse si la sociedad GESCOM S.A.S. requeria contar con el consentimiento expreso, previo y, especialmente, informado del sefior OSCAR FERNANDO LOSADA NARVAEZ para tratar sus datos personales, con el fin, segun el denunciante y la investigada, de aplicar a la oferta laboral de “ANALISTA SEGURIDAD DE LA INFORMACION’. Para esta instancia la respuesta es positiva. De hecho, se trata de una situacién juridica resuelta por el literal c) del articulo 4 de la Ley 1581 de 2012, que establece lo siguiente: “Articulo 4°. Principios para el Tratamiento de datos personales. En el desarrollo, interpretacién y aplicacién de la presente ley, se aplicaran, de manera arménica e integral, los siguientes principios: () ) Principio de libertad: El Tratamiento s6lo puede ejercerse con el consentimiento, previo, ‘expreso e informado del Titular. Los datos personales no podran ser obtenidos o divulgados sin previa autorizacién, o en ausencia de mandato legal o judicial que releve el consentimiento: (). Esta norma fue declarada exequible mediante Sentencia C-748 de 2011 en el siguiente entendido: “Este principio, pitar fundamental de la administracién de datos, permite al ciudadano elegir voluntariamente si su informacién personal puede ser utiizada o no en bases de datos. También impide que la informacién ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente. Go) De todo lo anterior, puede entonces deducirse: (i) los datos personales sélo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular. Es decir, no esté permitido el consentimiento tacito del Titular del dato y solo podra prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicacién especifica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales. Por ello, el silencio del Titular nunca podria inferirse como autorizacién del uso de su informacion y (ii) el principio de libertad no sélo implica el consentimiento previo a la recoleccién del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez” (Negrilla del texto original)* Bajo este contexto, se encuentra, sin lugar a dudas, que la voluntad del titular — entendida como la aceptacién libre y expresa — es un requisito sine qua non que autoriza a las ? Chr. Corte Constitucional, Sentencia C-748 de 2011. M.P. Jorge Ignacio Pretelt Chalub.RESOLUCION NUMERO 1 0! B95 ans HOJA No.1! “Por la cual se impone una sancién y se imparte unas orden’ entidades para disponer de su informacién personal. Lo cual también comprende que esa voluntad sea informada, esto con el fin de permitirle al titular, por ejemplo, ejercer efectivamente su garantia al habeas data, la cual se traduce en la posibilidad de ejercer sus derechos al conocimiento, rectificacién y actualizacién de los datos, cuando a ello hubiere lugar. Al respecto, la Sala Plena de la Corte Constitucional precis6 lo siguiente: “(...) se deberd informar al Titular del dato de manera clara, suficiente y previa acerca de la finalidad de la informacién suministrada y por tanto, no podra recopilarse datos sin la clara especificacién acerca de la finalidad de los mismos. Cualquier utilizacion diversa, debera ser autorizada en forma expresa por el Titular. En relacién con el caracter informado, el titular no sdlo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorizacién. En este mismo sentido, en la Sentencia T-592 de 2003, la Corte sefialé que la autorizacién debe ser cualificada y debia contener una explicacién de los efectos de la misma’. (Negrillas fuera del texto original)” ‘Ademas, obsérvese que para la Corte Constitucional, en Sentencia T-1017 de 2008, el deber de informar acerca de las condiciones en que se efectuara el tratamiento de los datos es una garantia del principio de libertad al interior de los procesos de gestion de la informacion Personal. En sus propias palabras: “La condicién necesaria para la eficacia de la libertad en los procesos de administracién de datos personales, en los términos del articulo 15 Superior, es el consentimiento del titular de la informacién en la incorporacién del dato. En efecto, la existencia de la autorizacién expresa, libre y suficiente del sujeto concemnido es un presupuesto para el ejercicio del control del dato personal, puesto que la vigencia de la libertad en la gestién de la informacion implica que el individuo conozca las finalidades del tratamiento del dato, las personas que podran tener acceso al mismo y, en general, las condiciones en que se efectuaran las actividades de acopio, recopilacién y ulacién del mismo’ (Negrillas fuera del texto original)’. Del mismo modo, la Sentencia T-307 de 1999 fij6 algunos criterios relevantes al momento en que el Responsable del tratamiento solicita el consentimiento al titular. En esa direccion indicé: “(...) el receptor de la autorizacién esta en el deber de informarle cémo, ante quien, desde cuando y por cuanto tiempo su autorizacién sera utilizada, porque una aquiescencia genérica no subsume el total contenido de la autodeterminaci6n informatica, prevista en la Carta Politica para que a los asociados les sea respetada su facultad de ° Ctr. Corte Constitucional, Sentencia C-748 de 2011, M.P. Jorge Ignacio Pretelt Chaljub. “ Cfr. Corte Constitucional, Sentencia T-1017 de 2008. MP. Jaime Cérdoba Trivifio, Citese ademas que el Alto Tribunal insistié en que “el consentimiento de la titular de la informacion es un presupuesto para la legitimidad constitucional de los procesos de administracion de datos personales destinados al cdiculo del riesgo financiero, sino que también se cualificé esa autorizacién, exigiéndose que ésta fuera previa, explicita y concreta. Ello con el fin que la gestion de la informacién personal respondiera a propésitos definidos y respecto de los cuales existiera conciencia plena por parte del titular del dato. (Negrilas fuera del texto original). Cf. Corte Constitucional, Sentencia C-1011 de 2008. MP. Jaime Cérdoba TriviforesoLuciOn numero 1.01695 pe 205 HOJANo,__!2 “Por la cual se impone una sancién y se imparte unas orden’ intervenir activamente y sin restricciones, durante las diversas etapas del proceso informatico” (Negrillas fuera del texto original)*. Lo anterior significa que, para los casos como el que ahora nos ocupa, a los titulares a los que se les recolecte datos personales deben ser previamente informados de modo expreso, preciso e inequivoco sobre la finalidad de la recoleccién, los derechos que le asisten como titulares y quién va a poseer su informacién, con el fin de que éstos conozcan con anterioridad al tratamiento la existencia del mismo, las finalidades especificas del tratamiento para las cuales se esta otorgando el consentimiento y ante quien pueden ejercer los derechos de actualizacién, rectificacién, cancelacién y oposicién, entre otros derechos, pues, de lo contrario, el tratamiento seria ilegal. Igualmente, se concluye, para el presente caso, que el deber de informacién no es posterior a la recolecci6n de los datos, sino previo, debiendo cumplirse a mas tardar en el momento en que el dato va a ser recogido, sin que sea admisible considerar su acatamiento con posterioridad a su recoleccidn, pues sdlo asi quedaria garantizado el derecho de la persona a tener una apropiada informacion antes de otorgar su consentimiento. Por ello mismo, es que en el articulo 2.2.2.25.2.2, seccidn 2, capitulo 25, del Decreto 1074 de 2015°, que reglamenté la Ley 1581 de 2012, se establece lo siguiente: “Articulo 5°. Autorizacién. El Responsable del Tratamiento debera adoptar procedimientos para solicitar, a mas tardar en el momento de la recoleccién de sus datos, la autorizacion del Titular para el Tratamiento de los mismos e informarle los datos personales que seran recolectados asi como todas las finalidades especificas del Tratamiento para las cuales se obtiene el consentimiento. y De igual manera, cabe sefialar que ese deber de informar podra ser cumplido a través de cualquier mecanismo idéneo que garantice el pleno conocimiento del interesado sobre el tratamiento de sus datos. Asi, por ejemplo, a modo simplemente enunciativo, mediante la inclusion de una clausula informativa en un aviso que sea visible y, especialmente, accesible de los usuarios, garantizando, en todo caso, su posterior consulta Descendiendo al caso particular, de las pruebas obrantes en el expediente, la Direccién de Investigacion de Proteccién de Datos Personales encuentra la siguiente informacion: (i) Mensaje electronico del 30 de septiembre de 2013, 8:25 a.m., visible a folios 4 a 5, mediante el cual el sefior OSCAR FERNANDO LOSADA NARVAEZ, con direccién de correo electronico: oscarflosada@yahoo.com, con asunto: “ANALISTA DE SEGURIDAD DE LA INFORMACION’, le remitid su hoja de vida a la direccion de correo electronico drincon@gestioncompetitiva.com, con la siguiente informacion: “Sefiores 5 Cfr. Corte Constitucional, Sentencia T-307 de 1999. M.P. Alvaro Tafur Galvis. °*Por medio del cual se expide el Decreto Unico Reglamentario del Sector Comercio, Industria y Turismo"RESOLUCION NUMERO_101 695 pe2nts HOJANo.__ 9 “Por la cual se impone una sancién y se imparte unas orden” De acuerdo al sitio web de Computrabajo, en donde ustedes requieren de un Analista Seguridad de la Informacion, les adjunto mi CV para postularme a este cargo. Me he desempefiado en actividades administrativas dentro del sector gobierno y en el tema de TI, como analistalinterventor de pruebas y co-auditor de sistemas en el sector privado. Soy economista y auditor de sistemas especializado, ademas de lo anterior tengo las certificaciones de SCJP, COBIT, ISO 27K1 A1 y me estoy preparando para la certificacién CISM. Me gustaria tener la oportunidad de entrevistarme con ustedes y poderles dar mas detalles acerca de mi perfil profesional. A la espera de una respuesta. OSCAR FERNANDO LOSADA NARVAEZ (sic) AVISO_DE COFIDENCIALIDAD: La informacién aqui contenida y transmitida es COFIDENCIAL. Es para uso exclusivo det destinatario arriba indicado, y para su utlizacion specifica. Si usted no es el destinatario, sepa disculpar la molestia, Se le notifica por el presente que esté prohibida su revision, retransmision, difusién, y/o cualquier oto tipo de uso de {a informacion contenida por personas extrafias al destinatario original. Si Ud. ha recibido por error esta informacion, por favor contacte al remitente y elimine la informacion aqui contenida de toda computadora donde resida’ (ii) Mensaje electronico del 3 de octubre de 2013, 12:18 p.m., visible a folio 4, mediante el cual el sefior OSCAR FERNANDO LOSADA NARVAEZ, con direccién de correo electronico: oscarflosada@yahoo.com, con asunto: “Re: ANALISTA DE SEGURIDAD DE LA INFORMACION’, remitid un reclamo a la direccién de correo electronico drincon@gestioncompetitiva.com, con el siguiente mensaje: “Buenas tardes Sefiores(as) GESTION COMPETITIVA, Teniendo en cuenta la ley 1581/1581 (sic) y su decreto 1377/2013, le solicit de manera atenta se me diga que sucedié con el proceso de seleccién de un ANALISTA DE SEGURIDAD DE LA INFORMACION publicado en el sitio de COMPUTRABAJO.COM.CO. El procedimiento de recabar informacién, tal ‘como hojas de vida, los hace responsables por la informacién que se les envié (sic) y deben implementar politicas de privacidad. Teniendo en cuenta que no se me aviso como (sic) van a ser tratados mis datos y si solo van a utilizar para la finalidad de un proceso de seleccién, les recuerdo que tienen unos periodos para responderme a lo que les estoy solicitando, Quedo a la espera de su respuesta Cordialmente OSCAR FERNANDO LOSADA NARVAEZ (sic) AVISO_DE COFIDENCIALIDAD: La informacién aqui contenida y transmitida es COFIDENCIAL. Es para uso exclusivo del destinatario arriba indicado, y para su utiizacién specifica. Si usted no es el destinatario, sepa disculpar la molestia. Se le notifca por el presente que esta prohibida su revision, retransmision,difusién, ylo cualquier otro tipo de uso de la informacion contenida por personas extrafias al destinatario original. Si Ud. ha recibido porresowucionwimero-L01695 og 2015 HOJANo. ‘4 “Por la cual se impone una sancién y se imparte unas orden" terror esta informacion, por favor contacte al remitente y elimine la informacién aqui contenida de toda computadora donde reside’ (iii) Mediante informe del 10 de noviembre de 2015, visible a folios 79 a 82, en cumplimiento al requerimiento efectuado mediante Resolucién No. 84055 del 27 de octubre de 2015, la sociedad GESCOM S.A.S. indicé lo siguiente: “{[flespecto de la constancia en la que se le informa previamente al Sr Losada sobre el tratamiento de los datos personales remitidos (Hoja de Vida), es necesario aclarar que a esta entidad que como tal no existe una constancia previa, sin embargo, no se puede dejar a un lado la nota de confidencialidad dada por el mismo Sr. Losada sobre el uso de sus datos personales” De acuerdo con las pruebas antes referidas, considera el Despacho que es un hecho evidente, claro, incontrovertible e inequivoco que el sefior OSCAR FERNANDO LOSADA NARVAEZ, al momento en que aplicé a la oferta laboral de “ANALISTA DE SEGURIDAD DE LA INFORMACION y remitié su curriculum vitae, manifest6 su voluntad — entendida como la aceptacién libre y expresa - para que la sociedad GESCOM S.A.S. usara su informacion personal para el proceso de seleccién y, en esa medida, ésta, en principio, se encontraba legitimada para tratar los datos para ese fin Ahora bien; esto no significa que la sociedad GESCOM S.A.S. se exonere de su responsabilidad de no haberle informado de modo expreso, claro, previo e inequivocamente al sefior OSCAR FERNANDO LOSADA NARVAEZ acerca del tratamiento al cual serian sometidos los datos personales y la finalidad de! mismo, los derechos que le asisten al titular, la identificacién, direccion fisica o electronica y teléfono de la empresa donde, por ejemplo, la persona puede ejercer esos derechos, a saber, actualizacién, rectificacién, correccién y supresion’. De ahi que, para el presente asunto, se considere que el consentimiento otorgado por el denunciante no fue informado. De igual manera, no es admisible para este Despacho que la denunciada trate de subsanar la omisién de su obligacién estatutaria, la cual debié cumplir de manera expresa al momento en que esa entidad recolectd los datos al denunciante, mediante, como lo sefiala en su escrito de descargos, “el aviso de confidencialidad’, pues, como se ha reiterado a lo largo de este escrito, no debe caber duda alguna que el titular tuvo plena claridad acerca no solo sobre el uso de sus datos, sino también sobre la finalidad para la que se pretende realizar el tratamiento, la identidad de! Responsable del Tratamiento y, en especial, los derechos que le asisten como titular. En este sentido, ese documento no reune los requisitos minimos que debe estar a disposicién del titular de los datos en forma previa a prestar su consentimiento y, por consiguiente, éste no puede ser tenido en cuenta para efectos de cumplimiento de lo dispuesto en la ley 7 Ley 1581 de 2012, articulo 12. *Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorizacién, debera informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serén sometidos sus datos personales y la finalidad del mismo; b) El cardcter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles 0 sobre los datos de las nifias, nifios y adolescentes; c) Los derechos que le asisten como Titular, d) La identificacién, direccién fisica 0 electronica y teléfono del Responsable de! Tratamiento.RESOLUCION NUMERO-L.O | 635 DE 2015 HOJANo,__'9_ “Por la cual se impone una sancién y se imparte unas orden’ Concluye asi este Despacho que, de acuerdo a los medios de prueba vertidos en el tramite y analizados en la presente resolucién, la sociedad GESCOM S.A.S. no contaba con el consentimiento cualificado para llevar a cabo el tratamiento de los datos personales del sefior OSCAR FERNANDO LOSADA NARVAEZ. Esto significa, en la practica, que la autorizaci6n del denunciante no cumplié con la totalidad de las condiciones para que el tratamiento de sus datos fuera legitimo, es decir, que esta fuera expresa, previa y, especialmente, informada. En esa medida, se trata, para el presente caso, de un tratamiento contrario al Régimen General de Proteccién de Datos Personales. Reitera este Despacho que si bien la persona esta implicitamente otorgando su consentimiento mediante conductas inequivocas, tal como lo sefiala el articulo 2.2.2.25.2.4 del Decreto 1074 de 2015°, para el tratamiento de su informacién, esto no exime al responsable de su deber de informar pues, como se observa en el presente caso, tan clara es la ausencia del cumplimiento de ese deber, que el titular cuando remitié su comunicacion preguntando por el uso dado a sus datos, lo hizo a la misma direccién a través de la cual se recolecté su hoja de vida, lo cual implica que él no tenia conocimiento de los datos de contacto de la entidad para ejercer sus derecho de acceso, actualizacion, correccin y supresi6n; datos que debian ser puestos en conocimiento al momento en que se recolecté la informacion. Asi pues, este Despacho considera que la sociedad GESCOM S.A.S. incumplié lo dispuesto en los literales b) y c) del articulo 17 de la Ley 1581 de 2012, en concordancia con el articulo 12 Ibidem, razén por la cual, se hace acreedora de las sanciones previstas en dicho estatuto legal Resta sefialar que en la medida en que posiblemente la entidad investigada ha recolectado datos personales sin contar con el consentimiento informado de los titulares, este ente de vigilancia y control le ordenara a la sociedad GESCOM S.A.S. que proceda a eliminar de sus bases de datos cualquier tipo de informacion personal cuya recoleccién se haya efectuado sin cumplir con lo dispuesto en el articulo 12 de la Ley 1581 de 2012, por las razones expuestas en la parte motiva de esta providencia. 10.2.2EI deber de la sociedad GESCOM S.A. de informarle al titular respecto de! uso que le ha dado a sus datos personales EI titular de la informacién, OSCAR FERNANDO LOSADA NARVAEZ, sefiala que en la pagina web de la sociedad GESCOM S.AS. se mostraba la oferta para el cargo de analista de seguridad de la informacién. En esa medida, indica que procedié a enviar la hoja de vida “para el debido proceso’ 8 Decreto 1074 de 2015, articulo 22.2.252.4 ‘Modo do obtener ta autorizacién. Para efectos de dar ‘cumplimiento a lo dispuesto en el articulo 9° de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerén mecanismos para obtener la autorizacién de los titulares 0 de quien se encuentre legitimado de conformidad con lo establecido en el articulo 20 del presente decreto, que garanticen ‘su consulta. Estos mecanismos podran ser predeterminados a través de medios técnicos que faciiten al Titular ‘su manifestacion automatizada. Se entendera que la autorizacién cumple con estos requisitos cuando se manifeste (i) por escrito, (ji) de forma oral o (i) mediante conductas inequivocas del titular que permitan oncluir de forma razonable que ctorgé la autorizacion. En ningun caso el silencio podra asimilarse a una conducta inequivoca’RESOLUCION NUMERO 40188 5 DE 2015 HOJANo,__'6 > fa cual se impone una sancién y se imparte unas orden” Manifiesta que “[yJa al no tener ningun tipo de respuesta el 3 de octubre de 2013, y sabiendo que el recabar hojas de vida los hace responsables de mis datos, les envié un correo solicitandoles ‘cual seria el tratamiento de mis datos para ese proceso”. Sin embargo, denuncia que “hasta la fecha no ha tenido respuesta’. La sociedad GESCOM S.A.S., por su parte, indica que “[ifal y como obra en el expediente, ef pasado 4 de marzo de 2014, se le informé al Sr. Losada que su Hoja de Vida habia sido eliminada al no quedar preseleccionado. Si bien la respuesta se dio varios meses después a la solicitud de informacién dada por el Sr. Losada, teniendo en cuenta las explicaciones dadas las averiquaciones preliminares’. Ademas, aclara que “la SIC que /a eliminacién de la hoja de vida y de los datos del Sr. Losada se hizo tan pronto como éste no quedé preseleccionado; adicionalmente, su hoja de vida s6lo se tuvo en cuenta para el proceso de seleccién en que él decidié participar’. Asi las cosas, este Despacho entrar a establecer si la sociedad GESCOM S.A.S. le permitio al sefior OSCAR FERNANDO LOSADA NARVAEZ tener conocimiento oportunamente sobre el uso dado a sus datos personales. Para resolver el problema juridico planteado, la Direccién advierte que la Corte Constitucional ha sefialado: “(..) la relacién de los derechos al buen nombre y habeas data con el derecho fundamental de peticién resulta inescindible en la medida que este Ultimo se transforma en el mecanismo idéneo para la materializacion de los dos primeros™. Mas adelante, precis6: “(...) el derecho fundamental de peticién garantiza que cualquier persona pueda elevar ante una autoridad publica o privada una solicitud, que debera resolverse de fondo en un término especifico y de manera congruente con lo que se solicita, sin importar si la informacién resulta 0 no favorable a lo pedido” (Negrillas fuera del texto original)". Aunado a lo anterior, en Sentencia T-419 de 2013, la Sala Novena de Revisin de ese mismo Alto Tribunal indicé: (...) el niicleo esencial del derecho de peticién reside en la resolucién pronta y oportuna de la cuestion, pues de nada serviria la posibilidad de dirigirse a la autoridad si ésta no resuelve o se reserva para si el sentido de lo decidido”" En esa medida, se tiene que el derecho al habeas data se concreta en la facultad del titular de conocer, actualizar y rectificar la informacién que de si mismo ha sido recopilada en una base de datos. Esta garantia se instrumenta a través de una peticién, una consulta, un teclamo o una solicitud de informacién, que constituyen formas de expresién del derecho fundamental de peticién. * Chr. Corte Constitucional, Sentencia T-129 de 2010. M.P. Juan Carlos Henao Pérez. idem, * Cir. Corte Constitucional, Sentencia T-419 de 2013. M.P. Luis Emesto Vargas Silva.ResoLucionnémero AU16S9 peas HOJA No. __17 @ “Por la cual se impone una sancién y se imparte unas orden’ De ahi que la Ley 1581 de 2012 contemple un amplio catdlogo de mecanismos que garantizan una eficaz proteccién del derecho de peticién de los titulares de los datos frente a Responsables y/o Encargados del Tratamiento. Asi, por ejemplo, el articulo 14 de la norma citada expresamente dispone lo siguiente: “Articulo 14. Consultas.Los Titulares 0 sus causahabientes podran consultar la informacion personal del Titular que repose en cualquier base de datos, sea esta del sector publico o privado. El Responsable del Tratamiento o Encargado del Tratamiento deberén suministrar a estos toda la informacién contenida en el registro individual o que esté vinculada con la identificacién del Titular. La consulta se formularé por el medio habilitado por el Responsable del Tratamiento 0 Encargado del Tratamiento, siempre y cuando se pueda mantener prueba de esta. La consulta sera atendida en un término maximo de diez (10) dias habiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informara al interesado, expresando los motivos de la demora y sefalando la fecha en que se atenderd su consulta, la cual en ningun caso podra Superar los cinco (5) dias habiles siguientes al vencimiento del primer término. Paragrafo. Las disposiciones contenidas en leyes especiales o los reglamentos expedidos por el Gobierno Nacional podran establecer términos inferiores, atendiendo a la naturaleza del dato personal. La simple lectura literal de la norma permite aclarar que el término estatutario que tiene un Responsable del Tratamiento para resolver una consulta, para casos como el presente, es de diez (10) dias habiles contados a partir del dia siguiente a la fecha de su recibo. Hechas las anteriores consideraciones y verificadas las circunstancias del caso, la Delegatura encuentra la siguiente informacion: Mensaje electrénico del 3 de octubre de 2013, 12:18 p.m., visible a folio 4, mediante el cual sefior OSCAR FERNANDO LOSADA NARVAEZ, con direccién de correo electronico: oscarflosada@yahoo.com, con asunto: “Re: ANALISTA DE SEGURIDAD DE LA INFORMACION”, remitié un reclamo a la direccién de correo electrénico drincon@gestioncompetitiva.com, con el siguiente mensaje: “Buenas tardes Sefiores(as) GESTION COMPETITIVA Teniendo en cuenta la ley 1581/1581 (sic) y su decreto 1377/2013, le solicits de manera atenta se me diga que sucedié con el proceso de seleccién de un ANALISTA DE SEGURIDAD DE LA INFORMACION pubiicado en el sitio de COMPUTRABAJO.COM.CO. El procedimiento de recabar informacién, tal como hojas de vida, los hace responsables por la informacién que se les envié y deben implementar politicas de privacidad. Teniendo en cuenta que no se me aviso (sic) como van a ser tratados mis datos y si solo van a utilizar para la finalidad de un proceso de seleccién, les recuerdo que tienen unos periodosee Q1bG5 RESOLUCION NUMERO 4 183s DE 2015 HOJANo, __'8 “Por la cual se impone una sancién y se imparte unas orden’ para responderme a lo que les estoy solicitando. Quedo a la espera de su respuesta Cordialmente OSCAR FERNANDO LOSADA NARVAEZ (sic) AVISO_DE COFIDENCIALIDAD: La informacién aqui contenida y transmitida es COFIDENCIAL. Es para uso exclusivo del destinatario arriba indicado, y para su utiizacién specifica. Si usted no es el destinatario, sepa disculpar la molestia. Se le rotifica por el presente que esta prohibida su revision, retransmision,difusion, io cualquier otro tipo de uso de la informacion contenida por personas extrarias al destinatario original, Si Ud. ha recibido por error esta informacién, por favor contacte al remitente y elimine la informacién aqui contenida de toda computadora donde resid’. (i) Escrito del 4 de marzo de 2014, la sociedad GESCOM SAS., visible a folio 11, le informé al seflor OSCAR FERNANDO LOSADA NARVAEZ lo siguiente: “) ‘Acusamos recibo de su comunicaci6n de! pasado 03 de octubre de 2013, mediante la cual solicita le sea informado el estado del proceso de seleccion para el cargo de ANALISTA DE SEGURIDAD DE LA INFORMACION, el cual se comunicé a través del portal www.computrabajo.com. De antemano queremos presentarle nuestras mas sinceras disculpas por no haberle dado respuesta con anterioridad; desafortunadamente por unas situaciones internas administrativas dentro de nuestra organizacién, el area encargada no le envié fa respuesta a su solicitud. Sin embargo, mediante esta comunicacién le informamos que dicho proceso de seleccién ya culminé y se seleccioné otro candidato. Le informamos que GESTION COMPETITIVA S.AS., con el fin de respetar el derecho de las personas, tanto naturales como juridicas de conocer, actualizar, rectificar 0 suprimir la informacién personal que haya sido recogida sobre ella en cualquier base de datos 0 archivo, cuenta con una Politica de Tratamiento de Datos personales de conformidad con lo dispuesto en la Ley 1581 de 2012 y el Decreto 1377 de 2013, De acuerdo con lo dispuesto en dicha politica, las Hojas de Vida que no hayan sido preseleccionadas son eliminadas de la base de datos de GESTION COMPETITIVA SAS. Para este caso en particular, procedimos con la eliminacién de su hoja de vida de nuestra base de datos. Cualquier informacién adicional que requiera podra solicitarla a través de: Correo: servicioalcliente@aestioncompetitiva.com Teléfonos: (1) 310 68 52- (1) 310 68 93 Celular: 310 852 42 46 - 314 218 36 77 (AYresoLuciONNomeRo 101639 og 2015 HOJANo.__'9 “Por la cual se impone una sancién y se imparte unas orden" La comunicacién, segun se observa a folio 12, fue remitida a la direccién de correo electrénico “oscar (sic) Fernando losada narvaez (sic)", con fecha 5 de marzo de 2014, 20:52, de la cuenta de la direccién de correo __ electronica servicioalcliente@gestioncompetitiva.com, con asunto “RESPUESTA SOLICITUD TRATAMIENTO DE DATOS PERSONALES’, con adjunto “Respuesta al Sr. Oscar Femando Losada Narvaez (sic). Solicitud estado proceso de seleccién Analista de Seguridad de la Informacién.jpg’, como se muestra a continuacion (arn See De seinen pcre et ame 40RD ‘cartes int re “Geno emda Cain Gorn Marin getompibn ce Mos Fernie in yerneaiegersce) TA ST MAN TED SOL ‘gaz eo ene Sled a pt tenn epi sean owes om Rendgiecretaet erase Bajo todo este material probatorio, este Despacho considera, como un hecho indiscutible, que la sociedad GESCOM S.A‘S. dio respuesta de manera clara, precisa y de fondo a la solicitud del sefior OSCAR FERNANDO LOSADA NARVAEZ, para efectos del derecho al habeas data, sobre el uso dado a sus datos personales, asi como el objetivo del tratamiento de los mismos. No obstante lo anterior, este Despacho encuentra que la sociedad GESCOM S.AS. no contesté la consulta dentro del plazo estatutario que tienen los Responsables del Tratamiento para resolver los requerimientos formulados por los titulares de la informacién ante esas entidades. En efecto, se tiene que la fecha en la que la investigada debia suministrar respuesta efectiva al titular vencia el 18 de octubre de 2013, dia en el cual se vencia los 10 dias habiles. Sin embargo, esta probado que el documento fue enviado al denunciante el 5 de marzo de 2014, lo que implica que la respuesta se produjo cuatro (4) meses después del término legalmente dispuesto para ello. De ahi que quede claro, para el presente caso, que la sociedad GESCOM S.A.S. omitié tener en cuenta los plazos previstos en el articulo 14 de la Ley 1581 de 2012 y, por consiguiente, le impidié al denunciante conocer oportunamente acerca del uso y el objeto del tratamiento de los datos que sobre él se recogieron en la base de datos administrada por esa entidad En virtud de lo anterior, este Despacho llega a la conclusién que la sociedad GESCOM S.A.S. incumplié lo dispuesto en los literales j) y m) del articulo 17 de la Ley 1581 de 2012, raz6n por la cual, se hace acreedora de las sanciones previstas en dicho estatuto legal. Por Ultimo, resta sefialar que aunque la sociedad GESCOM S.A.S. no aporté una prueba conducente que demuestre mediante medios técnicos la supresién de la informacién del denunciante de sus bases de datos, este Despacho dara por ciertoeste hecho.4pi8as) RESOLUCION NUMERO DE 2015, HOJANo, 2° “Por la cual se impone una sancién y se imparte unas orden’ Adicionalmente, en la medida en que el denunciante no solicité la supresién de sus datos personales en el escrito del 3 de octubre de 2013, este Despacho estima que, en este caso, no se le puede endilgar a la sociedad GESCOM S.A.S. responsabilidad alguna por no suprimir la informacion del sefior OSCAR FERNANDO LOSADA NARVAEZ, tal como lo contempla el literal e) del articulo 8 de la Ley 1581 de 2012, no sin antes exhortar a la entidad investigada para que una vez ella alcance los objetivos que justifiquen la recoleccién de la informacién de los candidatos a una determinada oferta laboral, proceda a la supresin de la misma de su base de datos, salvo que su titular disponga lo contrario. DECIMO PRIMERO: Imposicién y graduacién de la sancién 14.1. Facultad sancionatoria Comoquiera que, por un lado, (i) no se halla acreditada la existencia del consentimiento cualificado para llevar a cabo el tratamiento de los datos del sefior OSCAR FERNANDO LOSADA NARVAEZ y, de otro lado, (i) la sociedad GESCOM SAS. le denegé al denunciante el derecho a conocer oportunamente sobre el uso dado a su informacion personal y la finalidad del tratamiento, esta Superintendencia, al tenor del inciso primero del articulo 23 trascrito, impondré una multa, de veinte (20) salarios minimos legales mensuales vigentes, por el incumplimiento de lo dispuesto en los literales b), c), ) ym) del articulo 17 de la Ley 1581 de 2012, en concordancia con el articulo 12 Ibidem. De igual manera, a efectos de graduar la anterior sancién, este Despacho entrara a determinar los criterios de graduacién de que trata el articulo 24 de la Ley 1581 de 2012", que podran consistir en atenuantes o agravantes de la misma, asi (i) La dimensi6n del dafio o peligro a los intereses juridicos tutelados por la le Para este Despacho es claro que, para el presente caso, poner en conocimiento una respuesta fuera del plazo reglamentado en la Ley 1581 de 2012, sin que para ello exista justificacion objetiva y razonable, configura una violacién a los derechos de peticién y al habeas data del titular y, de facto, un quebramiento de la norma. En concreto, respecto del principio de transparencia’®. Sobre el mismo, preciso el Alto Tribunal “No existe reparo de constitucionalidad sobre este principio, y por el contrario, establece el derecho del titular de acceder, en cualquier momento a la informacién que sobre él reposa fen una base de datos. Sin embargo, debe precisarse que la informacion que debe " Ley 1581 de 2012, articulo 24, “CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el articulo anterior, se graduaran atendiendo los siguientes eriterios, en cuanto resulten aplicables: a) La dimension del dafio o peligro a los intereses juridicos tutelados por la presente ley; b) El beneficio econémico obtenido por el infractor o terceros, en virud de la comisién de la infraccién, c) La reincidencia en la comisién de la infraccién; d) La resistencia, negativa u obstruccion a la accién investigadora o de vigilancia de la Superintendencia de Industria y Comercio, e) La renuencia o desacato a cumplir las ordenes impartidas por la Superintendencia de Industria y Comercio, f) El reconocimiento o aceptacién expresos que haga el investigado sobre la comision de la infraccién antes de la imposicién de la sancién a que hubiere lugar" ™ Ley 1581 de 2012, articulo 4, literal e). “Principio de transparencia: En el Tratamiento debe garantizarse el derecho del Titular a obtener del Responsable del Tratamiento o del Encargado del Tratamiento, en cualquier ‘momento y sin restricciones, informacion acerca de la existencia de datos que le conciernan- = RESOLUCION NUMERO I0%895 peas HOJA No, __*! “Por la cual se impone una sancién y se imparte unas order” ofrecerse al Titular de los datos debe ser cualificada y por tanto cuando procese datos personales, el Responsable o Encargado del Tratamiento de datos debe ofrecer, como minimo, la siguiente informacién a la persona afectada: (i) informacion sobre la identidad del controlador de datos, (i) el propésito del procesamiento de los datos personales, (ii) a quien se podran revelar os datos, (ivJcémo la persona afectada puede ejercer cualquier derecho que le otorgue la legislacién sobre proteccion de datos, y (v) toda otra informacién necesaria para el justo procesamiento de los datos"’*. Aunado a lo anterior, la Ley 1581 de 2012 prevé que el tratamiento sélo puede ejercerse con el consentimiento cualificado del titular; conocimiento que requiere ser “previo a la recoleccién’, ‘claro’, ‘preciso’ e “inequivoco’, de tal forma que le permita al titular tener una apropiada claridad y a consentir 0 no el tratamiento de sus datos, en funcion de aquelia. Lo contrario, seria impedir que la recoleccién de los datos se efectue de cara a su titular, de manera que no se le garantizaria el derecho a controlar y disponer de su informacion personal, elemento esencial de la autonomia personal de los titulares"® Por esa razén, este Despacho estima que, aun cuando no se encuentre probado que al denunciante se le pudo causar algun dafio con ocasién de la conducta de la entidad investigada, es claro que esa entidad puso en peligro los intereses juridicos tutelados en la Ley 1581 de 2012. En concreto, los principios de legalidad"®, libertad” y transparencia en materia de tratamiento de datos'*; principios que buscan impedir el uso abusivo y arbitrario de la facultad informatica’? Por ello mismo, en el caso concreto, esta Superintendencia procederé a elevar la sancién pecuniaria a cincuenta (50) salarios minimos legales mensuales vigentes. (ii) Otros criterios de graduacién "Chr. Corte Constitucional, Sentencia C-748 de 2011. M.P. Jorge Ignacio Pretelt Chaljub. * Dijo la Corte Constitucional “la autodeterminacién informatica es una medida constitucionalmente prevista para preservar la intimidad personal y familar de todas las personas, y el debido proceso debe estar presente €n los proceso informaticos, de conformidad con lo previsto en los articulos 15 y 29 constitucional’. Cfr. T-592 de 2003, M.P. Alvaro Tafur Gahis. " Gf. Ley 1881 de 2012, articulo 4, literal a. “Principio de legalidad on materia de Tratamiento de datos: El Tratamiento a que se refiere la presente ley es una actividad reglada que debe sujetarse a lo establecido en ella yen las demas disposiciones que la desarrollen’ ” Chr. Ley 1581 de 2012, articulo 4, literal c. “Principio de libertad: E! Tratamiento sélo puede ejercerse con el Consentimiento, previo, expreso e informado del Titular. Los datos personales no podran ser oblenidos 0 divulgados sin previa autorizacion, 0 en ausencia de mandato legal o judicial que releve el consentimiento” ™ Cfr. Ley 1581 de 2012, articulo 4, literal e). “Principio de transparencia: En el Tratamiento debe garantizarse el derecho del Titular a obtener del Responsable del Tratamiento o del Encargado del Tratamiento, en cualquier momento y sin restricciones, informacion acerca de la existencia de datos que le conciernan’. ® Dijo la Corte Constitucional: "(...) el articulo 4 de la Ley Estatutaria define el contexto axiolégico dentro det cual debe moverse, el proceso informatico. Segun este marco general, existen unos parametros generales que deben ser respetados para poder afirmar que el proceso de acopio, uso y difusion de datos personales sea constitucionalmente legitimo". Cfr. Corte Constitucional, Sentencia C-748 de 2011. M.P. Jorge Ignacio Pretelt Chaljub.AMER DE 2015 HOJA No, 22 RESOLUCION NUMERO “Por la cual se impone una sancién y se imparte unas orden" Por ultimo, este Despacho no tendrd en cuenta los criterios de graduacién de la sancién sefialados en los literales b), c), d) y e). En efecto, para el presente caso, se encontré que: (i) dentro de la presente investigacién no se probé que el investigado hubiera obtenido beneficio econémico alguno por la comisién de la infraccién, (ji) no hubo reincidencia en la comision de la infraccién; (ii) no hubo resistencia u obstruccién a la accién investigativa de este ente de control y vigilancia; y, finalmente, (iv) no hubo renuncia o desacato a cumplir las ordenes e instrucciones del Despacho. Resta sefialar que el criterio de atenuacién sefialado en el literal f) del articulo citado tampoco se aplicara toda vez que la sociedad investigada no reconocié 0 acepté la comisién de las infracciones. DECIMO SEGUNDO: Orden administrativa. 12.1. Teniendo en cuenta que la sociedad no observé el cumplimiento de los requisitos estatutarios al momento en que esa entidad recolecto los datos personales de sus clientes, este Despacho ordenara a esa entidad comercial que proceda a eliminar de sus bases de datos cualquier tipo de informacién personal cuya recoleccién se haya efectuado sin cumplir con lo dispuesto en el articulo 12 de la Ley 1581 de 2012 En mérito de lo expuesto este Despacho, RESUELVE ARTICULO PRIMERO: Imponer una sancién pecuniaria a la sociedad GESTION COMPETITIVA S A S - GESCOM SAS., identificada con el Nit. 830.500.689-0, de TREINTA Y DOS MILLONES DOSCIENTOS DIECISIETE MIL QUINIENTOS PESOS (832.217.500) Micte., equivalentes a cincuenta (50) salarios minimos legales mensuales vigentes, por el incumplimiento de lo dispuesto en los literales b), c), j) y m) del articulo 17 de la Ley 1581 de 2012, en concordancia con el articulo 12 Ibidem. PARAGRAFO: El valor de la sancién pecuniaria que por esta resolucién se impone, debera consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Direccién del Tesoro Nacional - Fondos Comunes, Cédigo Rentistico No. 350300, Nit. 899999090-2. En el recibo debera indicarse el numero del expediente y el numero de la presente resolucién. El pago debera acreditarse ante la pagaduria de esta Superintendencia, con el original de la consignacién, dentro de los cinco (5) dias habiles siguientes a la ejecutoria de esta resolucién. ARTICULO SEGUNDO: Ordenar a la sociedad GESTION COMPETITIVA S A S - GESCOM S.AS., identificada con el Nit. 830.500.689-0, que en el término de diez (10) dias siguientes a la ejecutoria de la presente resolucién, proceda a eliminar de sus bases de datos cualquier tipo de informacién personal cuya recoleccién se haya efectuado sin cumplir con lo dispuesto en el articulo 12 de la Ley 1581 de 2012, por las razones expuestas en la parte motiva de esta providencia. PARAGRAFO PRIMERO: La sociedad GESTION COMPETITIVA S A S - GESCOM S.AS., identificada con el Nit. 830.500.689-0, debera acreditar el cumplimiento de lo ordenado en elo 101695 DE 2015 HOJANo.__ 2 RESOLUCION NUMER “Por la cual se impone una sancién y se imparte unas orden’ presente articulo ante esta Superintendencia dentro de los quince (15) dias hdbiles siguientes a la expiracién del plazo previsto para su acatamiento. PARAGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, har la sociedad GESTION COMPETITIVA S A S - GESCOM SAS., identificada con el Nit. 830.500.689-0, acreedora de las sanciones previstas en la ley. ARTICULO TERCERO: Exhortar a la sociedad GESTION COMPETITIVA S A S - GESCOM S.AS., identificada con el Nit. 830.500.689-0, para que en lo sucesivo y atendiendo a las consideraciones consignadas en esta resolucién, suprima de sus bases de datos aquella informacion personal de los candidatos a una determinada oferta laboral de sus bases de datos una vez se cumpla la finalidad que justifique su recoleccién, salvo que su titular disponga lo contrario, ARTICULO CUARTO: Notificar personalmente el contenido de la presente resolucién a la sociedad GESTION COMPETITIVA S A S - GESCOM S.AS., identificada con el Nit 830.500.689-0, por conducto de su representante legal o quien haga sus veces, entregandole copia de la misma e informandole que contra ella procede recurso de reposicién ante el Director de Investigacin de Proteccién de Datos Personales y de apelacién ante el Superintendente Delegado para la Proteccién de Datos Personales dentro de los diez (10) dias siguientes a su notificacién. ARTICULO QUINTO: Comunicar la presente decision al sefior OSCAR FERNANDO LOSADA NARVAEZ. NOTIFIQUESE COMUNIQUESE Y CUMPLASE Dada en Bogota D.C. 9 8 DIC 2015 El Director de Investigacion de Proteccién de Datos Personales HSGMILAM. H169s RESOLUCION NUMERO _* DE 2015 HOJA No. 4 “Por la cual se impone una sancién y se imparte unas orden" NOTIFICACION: Investigada: Entidad: GESTION COMPETITIVA S A S - GESCOM S.A. Representante Legal: Luisa Fernanda Castro Gomez Identificacién: Nit. 830.500.689-0 Direccién: Carrera 11 No. 71-41 Oficina 308 Direccién electronica: servicioalcliente@gestioncompetitiva.com Ciudad: Bogota D.C. COMUNICACION Denunciante: Sefior: Oscar Fernando Losada Narvaez Identificacion: C.C. No. 7.696.671 Direccién electrénica: oscarflosada@yahoo.com Ciudad: Bogota D.C.