MINISTERIO DE COMERCIO, INDUSTRIA Y TURISMO ‘SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO Resowucion numero 36 $0 DE 2014 (gan nne 24) Por ta cual se impone una sancidn y se imparten unas érdenes, Radicacién 13 - 211943 EL DIRECTOR DE INVESTIGACION DE PROTECCION DE DATOS PERSONALES En gjercicio de sus facultades legates, en especial las conferidas por los articulos 19 y 21 de la Loy 1581 de 2012, y los numeraies 5 y 9 del articulo 17 del Decreto 4886 de 2011 y CONSIDERANDO PRIMERO: Que e! 6 de septiembre de 2013 esta Superintendencia recibié la denuncia presentada por la sefiora Caroline Pérez en contra dela persona juridica Cosmocentro Ciudadela Comercia! Cal, en la que ponia de presente fo siguiente: 1.1. Que el 17 de agosto de 2013 la persona juridica COSMOCENTRO CIUDADELA COMERCIAL CALI, en virud de la actividad llamada "Taller da Cometas” del "Club Cosmitos" det centro comercial, recolecté informacién personal retacionada con veintidn {21) nifies que parliciparon en fa actividad, incluido el hijo de la sefiora Pérez de cinco (5) afios de edad, correspondiente al nombre, edad, direccién, teléfono, fecha de nacimiento, nombre del acudiente, nimero celular y correc electronico. 1.2 Que el 28 de agosto de 2013, la sefiora Pérez recibié un correo electrénico por parte de la persona juridica COSMOCENTRO CIUDADELA COMERCIAL CAL, en el cual solicitaba completar la informacion que faltaba en el formulario de inscripcién para la base de datos de! “Club Cosmitos" del centro comercial. 4.3 Que dicho corre electrénice inclufa los formularios con la informacién personal de cada uno de los veintidn (21) nifos que patticiparon de la actividad realizada por la ‘persona juridica COSMOCENTRO CIUDADELA COMERCIAL CALI el 17 de agosto de 2013. 1.4 Que mediante correo electrénico enviade ei 28 de agosto de 2013, la sefiora Pérez presenié reciamo a COSMOCENTRO CIUDADELA COMERCIAL CALI, indicando que no autorizaba el uso de sus datos personales ni los de su hijo menor de edad. ‘SEGUNDO: Que con base en los hechos anotados, a partir de los cuales se advierte la presunta Viclacion de las normas sobre proteccion de datos personales, y en particular las disposiciones contenidas en el articulo 7 y en los fiterales b) y d) del articulo 17 de la Ley 1581 de 2012", el + anrigu.a, peneewos ae Los takos mes v Ade. AScenrEs. En 0! Tratamiono se asegurard el espe alos derachos arevalentes delos rior, nas y adooseeries. Gueda proserte © Tratamiento de datos personales de mii, nifas y sdolescenles, salvo aquellos datos cue sean de naturaeza publics Es taree del Estaco y as entcades edtcatias de todo tipo proveerinformaclin y capactar a fos representantes lagsles y tutores sobre ns eventuales rieggos aloe que ce enfferianios fos, nas y adolescents respecta del Tratamen(o incetido te suv dates personales, y proves’ Ge conacimerto newea gel uso responsable y seguta por paite Je nifos, nihas y LdRESOLUCION NUMERO 2 Y ! ~ "DE 2014 HOJANo. 2 ss Por a cual se impone una sancién y se imparton unas érdenes 26 de noviembre de 2013, se inicié la presente investigacién administrativa mediante la expedicion de la Resolucién No. 72536 por medio de la cual se formularon cargos a la parte investigada con él fin de que se pronunciara sobre los hechos materia de investigacion. TERCERO: Que mediante escrito radicade el dia 27 de diciembre de 2013 el representante legal del Centro Comercial Cosmocentro Ciudadeia Comercial PH, dio respuesta a la formulacién de cargos informanda lo siguiente: 3.1 Que Cosmocentro Ciucadela Comercial PH es una copropiedad comercial regida por las disposiciones de la Ley 675 de 2007?, por fo que es considerada una persona juridica sin animo de lucro, desarrollando actividades permanentes como sorteos y eventos promocionales para incentivar ef uso de las instalaciones del complejo comercial, mas no desarrollan actividades comerciales “conforme a la enumeracién no taxativa de los actos de Comercio que sefata of articulo 20 de C. de Comercio de Colombia’. 3.2 Que dentro de las actividades ludicas que offece ef centro comercial se encuentra fa actividad denominada “Club Cosmitos’, cuya programacién “es informada a través de los datos de contacto (datos publicos) suministrados por los padres y/o acudientes de estos, asi como al interior del centro comercial. Ninguna informacion para contacto (pcblica) ‘supone @/ uso 0 empleo de informacién sensible, transferencia o trasmisién”. 3.3 Que desde el mes de julio de 203 Cosmoventro Ciudadela Comercial implementé su polftica de tratamiento de datos y aviso de privacidad, lo cual puede verificarse en la pagina web “www.cosmocentro.com’. 3.4 Que el 28 de agosto de 2013 “fa Administracisn de! centro comercfal envid @ fos usuarios inscritos voluntariamente en ef denominado “Club Cosmitos", un correo en ef que se les solicitaba complementar la informacién (publica), que verbal y voluntarlamente ‘suministraron para insoribir a sus hijos menores en las actividades lidicas a desarroliar (..)", no obstante, “por error involuntario, an los correos dirigides a las responsables de ios menores inserites, se les envié el fistado de fos 21 menores cuyos padres decidieron voluntariamente que ellos participaran en el taller. No obstante, también es preciso informar y corroborar que el listado remitido no contuvo detos sensibles ni supuso transferencia 0 trasmisién de informacién diferente a los datos poblicos previamente suministrados por ellos mismos". 3.8 Sobre la queja presentada por la sefora Carolina Pérez, manifiesta que fue atendida de manera oportuna mediante comunicacién del 3 de septiembre de 2013, en la cual se le ‘dclescentes de sus datos personales, su drecho als privacidad y pratecion de su nfomacién personaly lade os demas. £1 Gobiemo Netonel reglamentard fa mall, dnt de los ees (2) meses squares ala premulgacion de esta ly" wa Asioive 17, Desens# 0108 ResPonstnias.e Taranto. Los Responsaties del Tratamiento deberén cumpir los siguientes ebeces, tn parce de las ems dispostloes prevists en la presente ey y en ols que jen su achidad: a 2) Soicary consarvar en las condiciones prevsia en la prasone ley, copia dele reepectiva sutorizacién atorgada-por el “Tula, wa 9} Conserve fa nformerién halo Ins canciones de seguitiad necessrias pasa imped su aduteraclén, perdi, consulta, lise o abzeeo no auloriaada © audulents, os. 1 -Pormecio de ta cul 0 expide €!régimen se propiedad horzontar4asuln se RESOLUCION NUMERO DE 2014 HOJANo. > Por la cuat se impone una sancién y se imparten unas 6rdenes informé, entre otras cosas, que Cosmocentro Ciudadela Comercial PH contaba con una politica de tratamiento de datos personales !a cual puede ser consultada en su portal web y que en virtud de su queja, Ia informacién personal publica suministrada por ella habia sido eliminada. 2.8 Finalmente, invocan le sean aplicados tos principios de favorabilidad y de benevolencia, toda vez que, frente al primero, consideran que es pertinente en el caso en concreto considerando que su organizacion es una enfidad de naturaleza civil, sin énimo de iuoro, que no desarrolla actividades comerciales y que ademas cumple con las disposiciones de fa ley 1581 de 2012. Frente al segundo, consideran debe tenerse en cuenta que la queja se fundd en un error involuntario "que fue epreciado por la quejosa con caracteristicas de intencionalidad y vulneracién de derechos que de ninguna manera corresponden al interés do servicio que ofrece ef centro comercial (...)" CUARTO: Que mediante Resoiticion No, 12936 del 28 de febrero de 2014, se decreté la practica de pruebas ordenando a la sociedad investigada que informara (i Ia fecha en que recolecté los datos personales y remitiera la copia de ta autotizacion previa, expresa e informada clorgada por los representantes legales de ios veintitn (21) menores registrados en la actividad "Taller de Cometas” del "Club Cosmitos", para realizar tratamiento de los datos personaies de los menores y de comunicar dicha informacién a terceros; (i) si al momento de realizar la recoleccién de los datos personales de los vaintidn (21) menores comunicé a los padres o representantes legales de los mismos, el tratamiento al cual serian sometidcs los datos personales de los nifios vinculados a la actividad “Taller de Cometas" del “Club Cosmitos’, y si se les informé la finalidad pata ia cual fueron recolactados fos mismos. Adicionalmente, se le solicité a ia quejosa que informara si al momento de realizar la recoleccién Ge los datos de su hijo de cinco (5} afios, Cosmocentro Ciudadela Comercial le solicité: () autorizacién para el tratamiento de los datos de su hijo menor de edad; (ji) si se le informé la finalidad para la cual fueron recolectados tales datos; (ii) ls derechos que le asisten come titular, {Wv) la identificacion, direocion fisica o electrénica y telefono del responsable del tratamiento de {a informacién, y {v) la politica de tratamiento de los datos personales de Cosmocentro Ciudadela Comercial PH. QUINTO: Que ol 26 de marzo de 2014, Cosmocentro Giudadela Comercial PH dio respuesta a la solicitud de informacién decretada mediante la Resolucién No. 12938 del 28 de febrero de 2014, manifestando lo siguiente: ‘1. Fecha de recoleccién de los datos personales de los treinta y cinco (35) menores registrados en la activklad Taller de Cometas- Club Cosmnitos': El dia 17 de agosto de 2013 se realizé en Casmocentra Cludadela Comercial, le actividad ‘Taller De Cometas’, ‘en el cval se invité @ los nifios que se encontraban en el centro comercial @ participar ‘en un taller didactico gratuito para la elaboracién de cometas. 2. Inforrnacién suministrada a ios padres o representantes legales de los_menoros Parlicinantes en el ‘Taller De Cometas’ del ‘Club Cosmitos’: es importante sefialar que; 2) Se recelectaron datos de 36 nifios suministrados de manera verbal por sus padres © representantes legales; b) Todos lor (sic} padres y/o representantes legaies de ios menores marifestaton su interés en parlicipar en la actividad y de igual manera, accedieron de manera voluntaria a permitir fa vinculacian de sus hjos al denominado “Club Cosmitos” |...) c) La recoleccion de Ios datas se ltevé a cabo en los siguientes términos: ti, a. De manera verbal, recepsionandose los datos con cada padre yo represertante legal; li. b. En un formato simple, elaborado con casilias en las que figuraban los datos de nombre del menor interesado en participar, edad y datos del padre 0 acudiente; fi, c. A cada padre se le informé la politica de tratamiento de datos ‘que disponta el contra comercial (ewrwicasmocentra.com.co); il. d. A's vez, la politica de tratamiento de datos, incluida (sic) la autorizacién para envio de informacion a cadaRESOLUCION NUMERO 39 U1 DE 2014 HOJANo, 4 eH — Por la cual se impone una sancién y se imparten unas érdenes usuario, se hizo figurar en el formato de recoleccién de les datos, como se observa en los documentos a continuackén (...). 3. Informacion adicional: El cia 28 de agosto de 2013 se envi e-mail a 13 personas de las 35 cuyos hijos participaron en el evento "Taller de Cometas. Dicho e-mall se envio on el fin de compiementar ios datos que faltaban para poder Ser Inscrites en la base: de datos (..) por error en el sistema, 13 de estos datos fueron enviados en el mismo ‘orre0, lo cual motivé la queja de ia usuaria Carclina Pérez. También es importante precisar que en el correo mencionado, solo habla informacion de 13 nifos y no de 21 ‘como menciona la queja de !a usuaria (...)". ‘SEXTO: Que el 27 de marzo de 2074, la sefiora Carolina Pérez dio respuesta a la solicitud de informacion decretada mediante la Resclucién No. 12936 del 28 de febrero de 2014, manifestando lo siguiente: 6.1. Que "af momento de realizar fa recolaccién de los datos de mi hijo de 5 aftos, (...) ef dia 17 de agosto def aio 2013, Cosmocentro Ciudadela Comerciat NO SOLICITO (sic} autarizacion para el tratamiento de jos datos de mi hijo menor de edac”. 6.2 Que *Cosmocentro Ciudadela Comercial distribuyo (si¢) el formato can Ia solicitud de los datos como registro de asistencia a /a actividad, esto fue la justificacién expresade por la sefiorita que distribuy6 el formato” 6.3 Que Casmocentro Ciudadela Comercial "NO informé los derechos que le asisten como tulares (...) NO informs do la identificacién, direccién fisica 0 electrénica y teléfono del responsable del tratamiento de la informacién (...) NO informs la politica de tratamiento de Jos datos personales que reaiiza ta Ciudadela Comercial’, 6.4 Adicional a lo preguntado, manifesté que tue contactada por fa administracion del centro ‘comercial para adelantar una reunion en la cual fa fue presentada la persona que enwié el corres en donde se distribuyd la informacion de los menores, quien ofrecié discuipas aceptando el ercor comelido. Adicionalmente manifestaron su voluntad de adelantar un acuerdo alegando gue la Gnica perjudicada seria ia funcionaria en mencién, quien seria despedica, Conscientes del error cometido con los datos de los menores, le fue puesto en conocimiento que Cosmocentro Ciudadela Comercial PH habia contratado a un experio en sistemas para borrar la informacién distribuida, pero que no habia sido posible. 8.6 Finalmente, pese a que Cosmocentro Cludadela Comercial PH mediante comunicacién del 3 de septiembre de 2013 manifesté que procedié a eliminar la informacién que tenia de los datos dal menor de edad, siguieron enviando comunicaciones a nombre de su hijo menor de edad, siendo la ultima recibida hacia el 19 de marzo de 2014. SEPTIMO: Mediante comunicacién del 24 de abril de 2074, la Superintendencia de industria y Comercio declaré finalizada la etapa probatoria y dio traslado a Cosmoventio Ciudadeia Comercial PH por al términa de diez (10) dias para que presentara alegatos de conclusi6n. OCTAVO: Que vencido el término procesal Cosmocentro Ciudadela Comercial PH guardé silencio, NOVENO: Compotencia de la Superintendencia de industria y Comercio El articulo 19 de fa Ley 1581 de 2012, establecié que ia Superintendencia de Industria y Comercio, a través de la Delegatura para la Protecci6n de Datos Personales, ejercerd laresowucion numero 309 01 ““pezote HOJANo, § Pore cual se Impone una sancién y se imparten unas érdenes vvigilancia con el fin de garantizar que en el Tratamiento de Datos personales se respeten los Principfos, derechos, garantias y procedimientos previstos en fa Ley 1581 de 2012, DECIMO: Anilisis del caso 40.1 Tratamiento de datos personales de menores de edad y autorizacion. El objeto de la Ley 1581 de 2012, por medio de la cual se dictan disposiciones generales para ta proteccién de datos personales, es "desarrollar ef derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre elias en bases de datos 6 archivos ¢...)°° Tal derecho constitucional a conocer, actualizar y rectificar la informacion recopilada en bases de datos es lo que se conoce con él nombre de derecho a la protaccion de datos personales y se encuentra establecido en ef articulo 15 de la Consfitucion Nacional que sefiaia lo siguiente: “arricuLo 15. Todas las personas tienen derecho a su intimidad personal y familiar ya su buen nombre. y et Estade debe respetarios y hacerlos respetar. De igual med, tienen derecho a conocer, actualizar y rectificar las iaformacienes que se haya recogido sobre ellas en bancos de datos y en archives de entidacies puibiicas y privadas", Asu vez, el literal e) det articulo 3 de la Ley 1581 de 2012 definié at Responsable del Tratamiento como aquella "/persona natural 0 jurfoica, pablica o privada, que por si misma o @n asocio con otras, decida sabre la base de datos y/o el Tratamiento ce los datos’. En adicion, el articulo 7 de la Ley 1681 de 2012 consagré clara y expresamente que “queda prosenito @/ Tratamiento de datos personales de nifios, nifias y adolescentes, salvo aquellos datos que sean de naturaleze publica". Asi to analizé la Corte Constitucional en la sentencia C- 748 de 2011 en la cval se adelanté el estudio de constitucionalidad y se deciaré la exequibilidad de la Ley 1581 de 2012, basada en la calidad de sujetos de especial proteccién constitucional que tiene en el ordenamiento juridico colombiano los nifios, las nifias y adolescentes. Tal proteccién esta fundada en el articulo 44 Superior que establece que sus derechos prevalecen sobre ios derechos de los demds, dicho articulo establecié Io siguiente: “ARTICULO 44, Son DERECHOS FUNDAMENTALES € LOS NIROS: a Vida, ta integridad fisica, la salud yla seguridad social, a allmentacién equilibrada, su nombre y nacionalidad, tener una familia yno ser separades de ella, el cuidado y amor, la ecucacion y la cultura, la recreacién y la libre expresién de su opinién. Seran pretegides contra toda forma de abandono, violencia fisica 0 moral, secuestro, venta, ebusc sexual, explotacion laboral o econdmica y trabajos riesgosos. Gozaran también de los demas derechos consagrados en la Constitucién, en las leyes y en {9s tratados Intemacionales ratificados por Colombia, La familia, la sociedad y et Estado tienen Ia cbligacién de asistir y proteger al nifie para garantizar su desarrollo arménice @ integral y el ejescicio ptano de sus derechos. Cualquier persona puede exigir de la autoridad competente su cumplimiento y la sancién de los infractores. Los derechos de los nifios orevalecen sobre igs derechos de tos demas". (Subrayado fuera de texto) Adicionaimente, y en coneordancia con el citado articulo 44 de la Constitucién Politica colombiana, en el marco intemacional se consagra el principio del interés superior de los menores de dieciocho afies. Frente al alcance y aplicacién de este principio, ta Corte Constitucionat hize referencia a los convenios y tratados internacionales acogidos por Colombia 2aticule 1 de ld Ley 1581 de 2012 LoRESOLUCIONNUMERO___ 30% U1 - DE 2014 HOJA No. & Por la cual se impcne una sancién y se imparten unas érdenes que constituyen el marco egal internacional sobre el cuidado de las menores de dieciocho (18) ajios, en la Sentencia C-748 de 2011 sobre el particular manifesté lo siguiente: “El principio del {nterés superior del menor de diecioche fies, consagrado en distintos onvenios de derechos humanos, se encuentra establecido expresamente en el articulo 8° del Cédigo de la Infancia y la Adolescencla, asi...) Se entiande por interés superior de nifo, nifie y adolescent, el imperative que obliga @ todes las persones 4 garantizar fa satisfaceién integral y simulténea de lodos sus Derechos Humarios, quo son universales, prevalentes @ intercependientes’. Por otra parte, el articule 25 de este mismo Cédigo, siguiendo el precapto superior de le prevalencia da los derechos de los mencres de 18 afios sobre ios demas, establecia: (...) En todo acto, decision a medida administrative, judicial o de cualquier naturaleza que deba adopterse en relacién con ios nifos, las nifas y ios adolescentes, prevalecerdn fos derechos de estos, en especial si exisle conficto entre sus derechos fundamentaies con fos de cualquier otra persona’... Por jo anterior, y de acuerdo con reiterada jurisprudencia, en Colombia los nifios, nifias y adolescentes son sujetes de especial proteccién, y sobre los cuaies tanto la sociedad como el Estado deben garantizar el amparo y proteccién de sus derechos. La Corte continud su analisis haciendo énfasis en lo siguiente: “La calidad de sujetos de especial proteccién constitucionl de los menores de dieciocho aftos tiene su fundamento en la situacién de vulnerabilidad @ indefensién en ia que se encuentran, ues su desarrollo fisico, mental y emocional esté en procese de alcanzar la madurez requerida para la toma de decisiones y participacién auténoma dentro de la sociedad. El grado de vulnerabilidad ¢ indefensién tiene ciferentes grados y se da a parlir de todos los procesos de Jnteraccion que los menores de 18 afios deben realizar con su entorno fisico y social para ei desarrollo de su personalidad. Por la anterior, 2! Estado, la sociedad y la familia deben brindar ‘una proteccién especiat en todos los ambitos de la vida de los nies, nifias y adolescentas, en aras de garantizar su desarrollo armérico ¢ integral Por su parte los literales b) y d) del articulo 17 de la Ley 1581 de 2012 o Ley de proteccién de datos Personales consagraron los deberes de los Responsables de! Tratamiento, entre otros los deberes de “Solicitar y consorvar, en las condiciones previstas en ia presente ley, copia de la respectiva autorizacién otorgada por ef Titular" asi como de *Conservar fa informacién bajo tas condiciones de seguridad necesarias para impedir su adulteracién, pérdida, consulta, uso 0 acceso ne autarizado o freudulento” Alrespecto la Corte Constitucional, a través de la sentencia C-748 de 2011 por medio de ta cual tealizé el estudio de constitucionalidad del proyecto que posteriormente se denomind Ley 1581 de 2012, se manifesté sobre el particular sevialando lo siguiente: “En el proyecto de ley estalutaria 6l legisledor enlisto en preceptos separados los deberes de les responsables y de los encargados del tratamiento, deberes que, en términos generales, buscan garantizar el pleno ejercicio del derecho at habeas data por parte de los tivlares, asi como los principios de la administracion de datos personales. Estos debares en cabeza del responsable y del encargada del tratamiento, permiten garantizar, prima facie, el ambito de proteccion dei derecho de habeas data, per cuanto, como fo precisé esta Corporacién en ia Sentencia C-1011 de 2008, todos los principios de adiministracién de datos cersonales Identificados por la urisprudencia constitucional, son oponibles a todos los sujetos involucrados fen los procesos de reccleccién, tratamiento y circulacién de datos, independientemente de le posicién que ccupen en el tratamiento det dato’ La citada sentencia continua precisando al respecto: Ver seniencia 6-318 de 2003. MLP. Jaime Aratjo Renter Vor sontones T-408 de 2006. MLP. Maruel Jose Cupeda Espinosa. cc Clresouucion numero 38% 81 "pe zor HOJANo. 7 Por la cual se impone una sancién y se intparten unas érdenes “En relacién con el responsable del tratamiento, es decir, aquel que define los fines y medios esenciales para el tratamiento del dato, incluidos quienes fungen como fuente y usuario, se esteblecen deberes quo responden 3 los principios de la administracién de datos y a los derechos ntimidad y habeas data- dal titular dei dato personal. Especificamente se dispone que son deberes de esta parte de Ia relacion: {) Solickar y conservar la autorizacién para el tratamiente dal dato ~en los términos descrites previamente, lo que se ajusta plenamente al principio de libertad y consentimienta expreso del titular dei dato, (ii) Informar al titular Ja finalidad de es2 autorizacién y actuar en consecuencia; por tanto, el fesponsable no puede conducirse por fuera de los linearnientos de la autorizaciOn, fo que significa que, por ejemplo, no puede suministrar al encargado del tratamiento mas datos gue los Gus fueron objeto de autorizacién, ni puede someterios a un tratamiento con finalidades diferentes a las informadias (...) ) Adoptar las medidas para garantizar fa seguridad del dato, a efectos de que no se pierda, no se adultere, no se utlice 0 acceda por fuera de la autorizacion, lo cual es desarrollade en e! literal d) en concordancia con el principio de seguridad en a trensferencia del dato". ‘As’ las cosas y teniendo en cuenta que Cosmocentro Ciudadela Comercial PH, es la entidad que procedié @ recoger, decidir y hacer tratamiento sobre ios datos personales de los menores, 5& constituyé en el responsable del tratamiento de los datos personales, en los términos que [a establece el fteral e} del articulo 3 de fa Ley 1581 de 2012, por lo que le son imputables los deberes que se derivan de su actividad, los cuales se entran @ analizar en la presente Investigacion administrativa, De acuerdo con las manifestaciones hechas por el representante fegal de la entidad investigada 1 17 de agosto de 2013, Cosmocentro Ciudadeta Comercial PH realizé una actividad recreativa dentro de las instalaciones de la cludadela, para fo cual procedié a solicitar la siguiente informacién relativa a fos menores de edad: (i} nombre, (i) edad, (il) fecha de cumpleafios y {iv) teléfono de los menores. luaimente solicté (i) ef nombre, (i) correo electrénico ¥ (il) teléfono celular del acudiente de ios mismos. Dicha informacion manifiestan que fue solicitada de manera verbal y consignada en una planilta denominada “PLANILLA DE ASISTENTES TALLER DE COMETAS AGOSTOS 17 DE 2013" tai y como se observa en la copia remitida por la investigada y que reposa a folios 83 y B4 del expediente. Frente a este documento manifiesta la investigada que en el respaldc de la planilla en mencion se habia consignado la siguiente leyenda: + Lexpacoten does amen m gun cine rit, weit Coumaceta aii, pny ee in oot ya 2 ate te centre bn mage yt da sun os que ar eauongeermventos ake acfuad ag en We fon famedac uaa hp eves, feta pace ere avid tptesna eascén meseatan rev wie 6 ear mec dea shes gee 9 ny cane ¢ Samat 1 ee Sage formoccnar ca toms svond sn mone us tora bin i a parker yo cert ator cesta e teeters a oe Cosme wea bs dle pr pepo epi y ome career eee nvros« Cesmorenta't wcopomt a Sacstn te carze crea #0 acta Kd Ge srt OS Tastavada)peimrwame'cormescere te letsce mat 9 coeese : + aera taints pe yconprnte qe Gaorente ney © red yn de pean do Eipaclge nsec, see ar comer Caemacare ok chen ere Bces, pete man Eiporeopents papa caia,dloeary mariana a Coro Car ea ne ee euvchcotonoarony gu atte avards sre xan Gn vin no te Sin embargo, fe quejosa en su comunicacion del 27 de marzo de 2014, manifests que "Cosmocentro Ciudedela Comercial NO SOLICITG autorizacién para tratamiento de fos dates deRESOLUCIONNUMERO 3° 9 Ul - HE 2014 HOJANo. © or Ia cual se impone una sancién y se imparten unas érdenes ‘int hijo menor de edad" y solamente distribuy6 un formato para el registro de la asistencia al evento, tal y como io informé verbalmente la persona a cargo del registro (fl, 90}. Adicionalmente ‘segura no haber sido informada sobre un uso de fa informacién personal de su hijo menor de edad diferente al de asistencia al evento, ni los datos de Kdentificacién y contacto da la entidad que se harla Responsable de la informacién, ni de los derechos que le asistian frente al {tratamiento de la informacién personal del manor y suya propias, nila politica de tratamiento que poseia ol Responsable Alrespecto, advierte este Despacho que durante el desarrollo de la investigacién, Cosmocentro Ciudadela Comercial PH no reconoce poseer las autorizaciones de fos titulares de los datos personales, simplemente se limita a manifester que los padres decidieron voluntariamente registrar su participacién en el taller ludico. Ast las cosas, revisadas las pruebas aportadas por la investigada en su comunicacién del 25 de marzo de 2013, esta Direccién advierte que la planilla presentada como prueba de ia recoleccién de los datos se limita a enunclarse como ‘PLANILLA DE ASISTENTES TALLER DE COMETAS AGOSTO i7 DE 2013", y pese que al respaldo de la misma trae consignadas unas condiciones que al parecer estaban al momento en que se recabaron los dates, el citado escrito carece de los requisitos estableciées pot la norma para obtener la autorizacién de Ios titulares para el tratamiento de los datos personales, en los términos del artfaulo 9 y 12 de la Ley 1581 de 2012¢ y del articulo 5 del Decreto Reglamentario 1377 del 27 de junio de 2013” La anterior aseveracién tiene sustento al revisar la citada planilla, en la cual el texto incorporado -al respaldo- no brinda toda Ia informacién requerida para que el fitular de manera informeda decida si otorga autorizaciin para el Tratamiento de su informacién. E! literal a) del articulo 3 de la Ley 1581 de 2012 define que ei consentimiento debe ser previo, expreso e informado, esto es, obliga Responsable de! tratamiento a (i) recager 2 mas tardar al momento de la recaleccién del dato, ta autorizacién; (i) a recoger tal autorizacién de manera expiicita, es decir, debe estar la manifestacién expresa del titular a consentir el tratamiento de su informacién, situacion que no se observa en las pruebas allegadas, y (il) a informar al titular sobre quién es el responsable del © amsouoo ayroazscionce. Tmucas. Sin pesca de las excepciones prevsls ef a iey, on el Talamionta se require [a autenzaci previa infrmada del Tua, la cual deberd ser obtenica por cuaiquar macie que pucda ser abjuto de const posta. a Arvicw.o 12. Orne ce neorwaa AL Tuan. 1 Responsable de! Tratamiento, al momento de solar al Tiular Ia auerzecn, ‘opera Informare ds marera clara y expres lo cigulento. 2) El Tratarcfono al eval gordn sores sus datos parsonales y a fralidad eet smo; 5) El caractar ‘cctv dala vespuesia alas pregunins que le sean Fecha, cuando estas versen sobre datos sensibins © sobre les datos de las niaas fos y adolescoris, ©) Los dereohas que fe asisten como Tila ©) La Hentiicacin, drecién fol 9 slecGcay leone de! Responsable del Tralamianst 7 “agriewo s Avromexct. El Responsable del Tralemianto deberh adoptar proceaimlentos paca soictr, a ms tardar en at rmomonto dea tealeccion de sus datas, la autrizacin del Titular para e Tratamiento de los mismose inforarte los datos [personales ge serdn reesietados 8s] come lod 98 fnallaces especticas dol Tratamiento para las cuales ee ool¢re e eonsensinienta Los datos personales que se encuentren en fventes de acceso pic, con Independencia del macio por o cual se tenga fates, entanciéndece por falas aquallae daiceo bases de dalos que se ercusriven a cisnosicion cel publica, pueden See tralades por evaiqulor persona siemarey cuando, por su naturalza, sean datos pablens. En caso de hab carb tamiento a quo so refer ol Caputo Hl de sustandlios one! contongo do as policas teste docrete, referdos aa idenficacion dol Rosponcabley¢ a inabdad ce Tralamianto de as datos persenaie, fs cuales ‘duedan afecar @ contenido de la aulotzacién of Responsable del Tratamients dee comuntear estos cambios al ular bie do.o'a mas tartar al memento ce lem lee eva pliicas. ‘Addemés, deberd obtener dal Tular une nueva 2utoreaelén cusndo et cambio se rere zl alii et Tratoriento’.an i yoo 9 RESOLUCION NUMERO DE 2014 HOJA No. Por la cuat se impone una sancion y se imparten unas érdenes dato, cudles con sus datos de contacto, el uso y finalidades de os datos personales, asi como los canales para ejercer el derecho de habeas data, Observe este Despacho que el texto que presenta Ia investigada como prueba de que informé altitular sobre los usos que pretendian dara los datos recogidos, es insuficiente ya que no brindd toda fa informacién requerida antes citada, por lo que dicho texto no es ni constituye el ‘otorgamiento de una autorizacién para el tratamiento de dates personales. Ahora bien, es relevante resaltar que en este caso particular donde el analisis de ta condusta de la investigada se centra en la recoleccién y uso de informacién de menores de edad, la valoracion de dicho Tratamiento se debe realizar aiondiendo a las normas especiales que regulan el uso de esta categoria de datos. Asi, debe recordarse que el Tratamiento de datos personales de menores esté permitido siempre y cuando se acuda a una interpretacién restringida, segiin la cual ese uso de la informacion se debe sujetar a la interpretacién esbozada por la Corte Constitucionat cuando analizé ta exequibiidad del articulo 7 de la Ley 1581 de 2012. Aun cuando oi texto original de la norma establecié en principio que quedaba "prosorito 6! Tratamiento de datos personales de nifos, niffas y adolescentes, salvo aquellos datos que sean de naturaleza publica’, la Conte en sentencia C-748 de 2011 aclar6 que dicha disposicién “no debe entenderse en ef sentido de que existe una profibicién absotuta del tratamiento de fos datos de fos menores de 18 afios, exceptuando ios de naturalexe publica, pues elo, daria lugar a la negacion de otros derechos superiores ¢ esta poblacién (...). Siguiendo esa linea de interpretacion, esa Corporacién concluyé que ‘(..) en el tratamiento de os datos personales de menores de 78 afios, al margan de su naturaleza, pueden ser objeto de tratamiento siempre y cuando el fin que se persiga con dicho tratamiento responda al interés superior de los nifios, nifas y adolescentes y se asogure sin excepcisn alguna ef respeto de sus derechas prevatentes” Tal interpretacién ue recogida por el Deoreto Reglamentario 1377 de 2013, el cual estabiecio que pars el tratamiento de datos personales de nifios, nas y adolescentes, excepto cuando se trate de datos de naturaleza pilblica, deberé cumplirse con tos siguientes parémetros y requisitos: (i) que responca y respete el interés superior de los niffos, nifias y adolescentes y (i) que se asegure el respeto de sus derechos fundamentales. Cumplidos los anteriores requisitos, el representante legal del sito, nifla o adolescente otorgaré la autorizacién previo ejercicio del menor de su deracho a ser escuchado, opinién que serd valorada teniendo en cuenta la madurez, autonomia y capacidad para entender el asunto. A su vez, la citada norma también establecié que “Todo responsable y encargado involucrado e716! tratamiento de los datos personaies de nifios, niflas y adolescentes, deberd velar por of uso adecuado de los mismos. Para este fin deberén aplicarse fos principios y obligaciones establecidos en la Ley 1581 de 2012 y el presente decreto’, De manera concordante con lo expuesto, en la recoleccién de ta autorizacién, tal y como lo ‘expone e! iteral b) del articulo 12 de la Ley 1581 de 2012, ‘ef Responsable de! Tratamiento al momento de solicitar al Titular la autorizacién, deberd informarle de manera clara y expresa lo siguiente: (...) &/ ceracter facuttativo de la respuesta a las preguntas que le sean hechas, cuando versen sobre datos sensibles o sobre los datos de nifos, nifias y adolescentes' A ‘a luz de lo dispuesto para el tratamiento de los datos personales de los menores, este Despacho advierte que Cosmocentra Ciudadela Comercial PH no informé a los representantes legaies de los ninos que estaban facultados a entregar 0 no la informacion del mener,RESOLUCION NUMERO. JD? 01 =~ DE 2016 HOJANo. 1° = Por la cual se impone una sancién y se imparten unas érdenes ido con el deber de solicitar Ja autorizacién en jas condiciones que prevé la ley, y vulnerando el derecho a la proteocién de datos de los menores de edad. Aqui es importante recatoarle a la investigada que, de acuerdo con fa Ley 1581 de 2012 y su Desreto 1377 de 2013, los datos personales piblicos son aquelios que no son semiprivados, privados 0 sensibles, As! mismo la norma plantea de manera no taxativa que datos como los relativos al estado civil de las personas, su profesion u oficio, la calidad de comerciante y servidor piblice pueden ser considerados datos personales de cardcter piiblico, Por lo anterior, la informacin relativa a la direccion y teléfono de su domiciio y ef correspondiente a su nimero celular, asi como el correo electrénico personal, son datos que pertenecen al 4mbita privaco del titular, por lo que su tratamiento debe adelantarse previa autorizacion expresa e informada y para el uso 0 tratamiento que se haya autorizado. 10.2 Deber de conservar la informacién bajo condiciones de seguridad Por otra parte, al revisar ef material probatorio frente al cumplimiento del deber que tienen los. Responsables del tratamiento de conservar la informacién hajo condiciones de seguridad que impidan su adulteracién, pérdida, consulta © uso © acceso no autorizado 0 fraudulento, este Despacho encuentra plenamente probado, tal y como lo confirma fa investigada, que se realiz6 ‘un envio masivo de corteos con la informacién personal de por lo menos quince (15) menores de edad, Por fo anterior, a8 claro que la falta de diligencia por parte de Cosmocentro Ciudadela ‘Comercial vulneré el derecho a la proteccién de datos de los tilulares al no conservar bajo fas condiciones de seguridad requerida la informacién de éstos, situaoién que es de mayor trascendencia al tratarse de informacién relativa a menores de ediad, maxime cuando se trata de datos privados como quiera que hacen referencia a informacién de contacto y ubicadién, que como ya se dijo, no son datos pitblicos, como erradamente pratende hacer ver fa investigada. Vale la pena resaltar que no se observa dentro de los documentos remitidos por la investigada, ni tampoco en su portal de intemet, ni dentro de su politica de tratamiento que cuerte con protocolos de seguridad para el tratamiento de informacion personal que prevea y/o minimice el Fesgo en el tratamiento de fos mismos. Mucho menos cuando se trata de! envio de informacion personal a través de comunicaciones eleotrénicas, Por lo anterior, con la divulgacién masiva, mas alld de considerarse producto de un error humano, este Despacho se percata que son al producto de una falta de protocolos de seguridad y de capacitacién en materia de proteccién de datos por parte de Cosmocentro Ciudadela Comerciai PH, que garanticen de manera efective y fehaciente el adecuado tratamiento de los datos personales que poseen. En este orden de ideas este Despacho encuentra que con su actuar ei Responsable realize tratamiento de datos personales de menores de edad, sin contat con la autorizacién de los representantes legales de los mismos. Igualmente encuentra probado que con su condueta la investigada no garantizé la seguridad en ef tratamiento de los datos personales, facilitando, mediante a divulgaciin a terceros no autorizados, el acceso y ol uso no autorizado, por lo que se procederé a ordenar fa eliminacién de los datos personales de los menores de edad y demas fiviares que se hayan recogido sin la debida autorizacién, asi como a imponer la respectiva sancién por la wineracion de los deberes contemplados en el articulo 7 y los lterales 9) y d) det articulo 17 de la Ley 1581 de 2012, DECIMO PRIMERO: Imposicién y graduacién dela sancién 14.1 Facultad sancionatoria La Ley 1881 de 2012 Ie confiris @ fe Superintandencia de Industria y Comercio una potestad sancionatoria que se conoreta en el articulo 23 de la Ley 1581 de 2072, estableciendo algunos criterias de graduacién que se encuentran sefialados en el articule 24 ibidem, por lo tanto, ndresowucton numero 38% 917" pe aot HOJANo, ‘ Por fa cual se impone una sancién y se imparten unas érdenes: atendiendo dichos criterios, este Despacho entrara a determinar cudles deberd tener en cuenta el caso concreto, asi: 11.1.1 Le dimension del dafto o peligro a los intereses juridicas tutelados por fa lay De fa lectura de la norma citada, resulta claro que para que haya lugar a la imposicion de una sancion por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses juridicos tutelados por la Ley 1581 de 2012. Al respecto este Despacho encuentra demostrado que el Responsable hizo tratamiento de datos personales de menores de eda¢ y titulares sin contar con la autorizacion de estos, con cual puso en peligro el bien juridico tutelado en por la Ley 1581 de 2012, es decir, vulneré el derecho de habeas data de ios titulares y el principio constitucional de! interés superior de los nifios, nifias y adolescentes, segiin el cual todas las personas estén obligadas a gerantizar la satisfaccion integral y simultanea de todos su derechos. Igualmente se encuentra que no conservé la informacién con fas medidas de seguridad por fo que con su actuar facilté el uso y acceso no autorizado de las mismas, situacion que resuta més gravosa al tratarse de una divulgacion masiva de datos personales de menores de edad. poniendo en peligro e! bien juridico tutelado como lo es fa seguridad en el tratamiento de los datos personales, De esta manera, esta Superintendencia considera que respecto a las conductas descritas, en el presente caso se impondré una sancién de cincuenta (50) salarios minimes legales mensuales Vigentes, por la vulneracién a lo dispuesto en e! articulo 7 y en tos literales b) y d} del articulo 47 de la Ley 1581 de 2012. Otros enterios de araduacién Por tiltimo se actara que los crterios de graduacion de Is sancién sefialados en Jos literales b), ©), 4d) ye) del articulo 24 de la Ley 1581 de 2008 no serén tenidos en cuenta debido a que (1) dentro de fa Investigacion realizada no se encontré que la investigada hubiera obtenido beneficio ‘econémice alguno por la comisién de la infraccién, (i) no hubo reincidencia en ta comision de la infraccion, (ii) no hubo resistencia u obstrucci6n a le accin investigativa de la Superintendencia y, Gv) no hube renuencia o desacate a cumplir las drdenes e instrucciones del Despacho. Eloriterio de atenuacién seftalado en e! literal f) del articulo citado no se aplica toda vez que la investigada no reconocid o acepté la comision de la infraccién. En métito de fo expuesto este Despacho, RESUELVE ARTICULO PRIMERO: Imponer una sancién pecuniaria a Cosmocentro Ciudadeks Comercial PH identificade con el Nit. 890.320.980 de TREINTA MILLONES OCHOCIENTOS MIL PESOS MICTE ($30.800.000), equivalente 2 cincuenta (50) salarios minimos legales mensuaies vigentes, por la violacién a lo dispuesto en los literales b) y d) del articulo 17 de le Ley 1581 de 2012 en concordancia con el aiticulo 7 de ia norma en mencién. PARAGRAFO: El valor de a sancién pecuniaria que por esta resolucién se impone, deberé consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, nombre de Direccién de! Tesoro Nacional - Fondos Comunes, Cédigo Rentistico No. 350300, Nit. 886998090-2, EI pago debera efectuarse dentro de los cinco (5) dias habiles siguientes a iavuoy RESOLUCION NUMERO 1 => beat HOJANo. |? Por fa cual se impone una sancién y se imparten unas érdenes ejecutoria de esta resolucion y acrecitarse en la ventarilla de Tosoreria de esta Superintendencia ‘con el original de ta consignacion, donde fe expediran al recibe de caja aplicado a la resalucién sancionatoria, Vencido este plazo se cobraran intereses por cada dia de retraso, liquidados a la tasa del 12% efectivo anual. ARTICULO SEGUNDO: Advertir a Cosmocentro Ciudadela Comercial PH identificada con el Nit. 890.320.980 que, en su condicion de Responsable de! Tratamiento, debe cumplir con las obligaciones establecidas por la Ley 1581 de 2012, y especificamente con los deberes de (i) sollcitar y conservar copia de la autorizecion otorgada por los titulares, y (i) conservar a informacién baje las condiciones de seguridad necesarias para impedir su adulteracién, pérdida, consulta, uso 0 acceso no autorizado 6 fraudulent. De manera especial y enfatica se le recuerda a Cosmocentro Cludadela Comercial PH que el tratamiento da los datos personales de menores de edad esta autorizado dnicamente bajo el entendido que dicho tratamiento responda al interés superior de los nifios, nifias y adolescentes, y se asegure el respeto de tos derechos prevalentes de éstos, es decir, que se asegure la pena vigencia de tos derechos fundamentales, incluido ei derecho de habeas data. ARTICULO TERCERO: Ordenar a Gosmocentro Ciucadela Comercial PH identificada con el Nit 890.920.980, que dentro del término de seis (6) meses contado a partir de la ejecutoria de ta presente decision, documente e implemente las politicas de seguridad para la recoleccién, tratamiento, almacenamiento y disposicién final de los datos personales, en su calidad de Responsable del Tratamiento, incluyendo un programa de capacitacién en proteccién de datos y seguridad de la informacién a las personas que tengan a cargo el tratamiento de datos personales al interior de su organizacién, PARAGRAFO PRIMERO: Cosmocentro Ciudadela Comercial PH debera acreditar el cumplimiente de lo ordenado en el presente articulo ante esta Superintendencia dentro de fos cinco (5) dias habiles siguientes a 12 expiracion del plaze previsto para su acatamiento PARAGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hard a Cosmocentro Ciudadela Comercial PH acreedora de las sanciones previstas en la ley. ARTICULO CUARTO; Ordenar a Cosmocsniro Ciudadela Comercial PH eliminar de manera inmediata la informacién retativa al hijo menor de edad de la sefiora Carolina Pérez de sus bases de datos, asi como de todos ios menores y personas de los cuales no posean la debida autorizacién para el tratamiento de sus datos personales, en los términos establecidos en Is Ley 4581 de 2012 y su Decreto Reglamentaria 1377 de 2013. PARAGRAFO PRIMERO; Cosmocentro Ciudadela Comercial PH debera acreditar ef cumplimiento de lo ordenado en el presente artioulo ante esta Superintendencia dentro de los, cinco (6) dias habiles siguientes a la expiracién del piazo previsto para su acatamiento, PARAGRAFO SEGUNDO: El incumplimiento de fo ordenado en el presente acto administrative, hara a Cosmocentro Ciudadela Comercial PH acreedora de las sanciones previstas on la loy ARTICULO QUINTO: Notificar personalmente el contenido de ta presente resolucién a Gosmocentro Ciudadela Comercial PH identificada con ¢! Nit, 690,320.980 a través de su representante legal, en calidad de investigada, entregandole copia de la misma e informéndole que contra ella procede recurso de seposicién, ante el Director de Investigacion de Proteccién de Datos Personales y de apelacion ante el Superintendente Delegado para la Proteccin de Datos Personales dentro de los diez (10} dias siguientes a su notificacién.jboyul RESOLUCION NUMERO DE 2014 HOJANo, 1 Por la cual se impone una sancion y se imparten unas érdenes ARTICULO SEXTO: Comunicar a la sefiora Carolina Pérez la presente decisién. NOTIFIQUESE, COMUNIQUESE Y CUMPLASE Dada en Bogota, D.C., “30 ayo 2004 El Director de Investigacion de Proteccién de Datos Personales, ENRIQUE SAL) Hscuicecy NOTIFICACION: Investigada: Entidad: Cosmocentro Ciudadela Comercial PH. Identificacién: Nit: 880.320.980 Representante Legal: Ricardo Bonilla Sanchez Direccién: Calle 5 No. 50-103 Ciudad: Cali — Valle de! Cauca COMUNICACION: Reclamante: Sefiora: Garolina Pérez Loaiza Identificacién: C.C. No, 66.984.472 Correo Electrénico: krolp@gmail.com Ciudad: Cali- Valle del Cauca.