Sanción 22295 de 2021 — SIC

(20 ABRIL 2021) ―Por la cual se impone una sanción y se imparte una orden‖ Radicación: 19-14447 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que mediante escrito con radicado 19•014447• •00000•000 del 23 de enero de 2019 1, el señor presentó queja en contra de la sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S., identificada con el NIT. 901.170.035-4, con base en los siguiente: ―(…) 1. El señor señala que solicitó a la empresa PIKAP S.A.S., hoy GOELEGIDO S.A.S., que eliminaran sus datos personales y los datos de su tarjeta de crédito de sus bases de datos, pues él no utilizó sus servicios. 2.

Asegura que contactó a la sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S. mediante correo electrónico del día 24 de diciembre de 2018 con el fin de que le indicaran cómo eliminar sus datos y cuenta de Pikap, hoy Goeledigo, ya que la aplicación no le daba la opción de hacerlo. 3. Afirma que en respuesta a solicitud, del día 25 de diciembre de 2018, PIKAP S.A.S., hoy GOELEGIDO S.A.S., le manifestó que: i) la aplicación no funcionaba si no tenía una tarjeta inscrita por lo tanto para eliminar una tarjeta de la cuenta, debía agregar otra y ii) para eliminar su cuenta únicamente debía eliminar la aplicación de su sistema operativo. 4.

Indica que mediante correo electrónico del 25 de diciembre de 2018, invocó su derecho de habeas data solicitando nuevamente que sus datos personales y de tarjeta de crédito sean excluidos completamente de las bases de datos de PIKAP S.A.S., hoy GOELEGIDO S.A.S. 5. Menciona que mediante correo electrónico del 27 de diciembre de 2018, PIKAP S.A.S., hoy GOELEGIDO S.A.S., le dio respuesta nuevamente a su solicitud, brindándole las siguientes opciones: (i) enviarle una certificación de la eliminación de sus datos personales en el sistema de la compañía, o (ii) esperar un par de semanas mientras se habilitaba la opción de ―Eliminar Cuenta‖ en una nueva versión de la Aplicación que se actualizaría entre quince (15) a veinte (20) días siguientes. 6.

Asevera que a pesar de haber dado respuesta al correo antes mencionado, mediante correo electrónico del 27 de diciembre de 2018, indicando que escogía la opción i), esto es, que le enviaran una certificación con la eliminación de sus datos personales de las bases de datos PIKAP S.A.S., hoy GOELEGIDO S.A.S., estos no le hicieron llegar la certificación, así como tampoco volvieron a comunicarse con él. (…)‖ SEGUNDO: Que, con el propósito de tener más elementos de juicio acerca de los hechos narrados, esta Dirección, a través del Grupo de Trabajo de Investigaciones Administrativas, adelantó las siguientes averiguaciones preliminares: 2.1 Esta Dirección, a través del Grupo de Trabajo de Investigaciones Administrativas, solicitó al Laboratorio de Informática Forense- LIF-, que realizara la revisión y preservación del sitio 1 Obra en el expediente digital No. 19 – 14447.

Pág. 1. “Por la cual se impone una sanción y se imparte una orden‖ web “https://pikap.com.co/” con el propósito de recaudar y preservar las pruebas que puedan llegar a ser indicios de prácticas contrarias al Régimen de Protección de Datos Personales. Al respecto, el LIF emitió el Acta Informe LIF No. 026-19 con radicado No. 19014447- - 3 del 05 de junio de 2019, en el cual se documentaron los siguientes hallazgos: ―En los subdominios https://pikap.com.co/usuario/,https://pikap.com.co/conductor/, se encontraron dos formularios REGISTRATE COMO USARUIO (sic) Y REGISTRATE PARA CONDUCIR, no se encuentra alguna autorización expresa o previa para la recolección de los datos, esos son datos públicos (Nombre, Apellidos) y semiprivados (Correo electrónico y Celular).

La información recolectada puede ser de personas naturales o Jurídicas, no se encuentra algún control para identificarlos. No se encuentra control sobre la edad del titular. • Desde los subdominios en la parte inferior se encuentra el enlace de la política de privacidad. • Dentro de la página web no se evidencia algún aviso de privacidad. • En el caso de la App Pikap Usuario, para terminar el registro es necesario la aceptación de los términos de uso (https://pikap.com.co/usuario/terms-andconditions/) y la política de privacidad (https://pikap.com.co/usuario/privacypolicy/) los cuales son dirigidos a las URL’s de los TÉRMINOS Y CODICIONES y POLÍTICA DE PRIVACIDAD respectivamente. • Al realizar el registro en la APP Pikap Usuario, se solicitan datos públicos (Nombre, apellidos), semiprivados (EMAIL, Núm. Celular), y Privados (Contraseña y Confirmar Contraseña), la información recolectada puede ser de personas naturales o Jurídicas, no se encuentra algún control para identificarlos, no se encuentra control sobre la edad del titular. • Dentro de la APP Pikap Usuario, después de realizar el registro y el ingreso se encuentra la opción de Eliminar Cuenta, la cual permite desde la aplicación borrar el usuario creado.

Después de realizar esta operación, no es posible ingresar nuevamente a la App Pikap Usuario. Es necesario hacer el proceso de registro nuevamente. • Dentro de la aplicación, después de realizar el registro y el ingreso se puede acceder al aviso de privacidad. • Se encuentra que la APP Pikap Usuario, solicita los permisos potencialmente peligrosos;

Acceso a la Ubicación Aproximada (Basada en la Red) Acceso a Ubicación Precisa (GPS y Basado en Red) Camara (sic) Tomar Fotos y Videos Lee el Contenido de tu Tarjeta SD Modificar O Eliminar los Contenidos de tu Tarjeta SD‖ 2.2 Mediante comunicación con radicado 19-014447- - 4 del 22 de mayo de 2020, esta Dirección requirió la sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S. para que informara lo siguiente: “1.

Informe y acredite qué datos personales (v. gr. número telefónico, dirección de residencia, número de identificación, correo electrónico, entre otros) del Titular se encuentran almacenados en su(s) base(s) de dato(s). 2. Remita copia del manual para la atención de peticiones, consultas y reclamos desarrollado e implementado por la Sociedad. 3.

Informe y acredite el trámite que dio la sociedad GOELEGIDO S.A.S. a la solicitud de supresión de datos personales, realizada por el Titular, el 27 de diciembre de 2018. 4. Remita copia de la respuesta emitida por la sociedad GOELEGIDO S.A.S. a la solicitud de supresión de datos personales realizada por el Titular, el día 27 de diciembre de 2018.

Aporte la copia de la guía de envío o certificado de entrega de la misma. 5. Indique a este Despacho si es obligación para los usuarios registrar en la aplicación ―Pikap‖ los datos relacionados con su tarjeta de crédito para cotizar un viaje y/o servicio.‖ “Por la cual se impone una sanción y se imparte una orden‖ 2.3 Que, mediante comunicación presentada ante esta Superintendencia, radicada bajo el No. 19-014447- - 3 del 05 de junio de 2020, la sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S., suministró respuesta al requerimiento enunciado en el numeral anterior, informando lo siguiente: ―De acuerdo con la solicitud realizada nos permitimos informar que la fecha, en nuestra base de datos no reposa ningún dato asociado al señor 1.

Nos permitimos adjuntar una copia de nuestro manual interno para la atención de PQRS. Así mismo, adjuntamos nuestra política de tratamiento de datos para usuarios, la cual se encuentra también disponible en el siguiente link www.goelegido.com/politica-privacidad y en la APP GOelegido. - Manual para la atención de PQRS (anexo 1) - Política de tratamiento de datos para usuarios (anexo 2) 2.

En referencia al trámite que dio GOelegido S.A.S. a la solicitud realizada por el señor, nos permitimos informar que inicialmente él envió su solicitud a través de un correo electrónico el día 24 de diciembre de 2018, en el cual solicitaba información para eliminar su cuenta y la tarjeta de crédito de la aplicación Pikap (desde junio de 2019 Pikap es GOelegido, por cambio de marca y denominación social), a dicho correo nuestra área encargada le dio respuesta el día 25 de diciembre; el mismo día el señor nos responde explicándonos mejor su solicitud e invocando su ―derecho de habeas data‖; el día 27 de diciembre le respondimos claramente sobre las posibilidades que tenía para la solicitud de eliminación de su cuenta, una de ellas era hacerlo nosotros de forma manual y remitirle una certificación de dicho proceso y la segunda que esperara una actualización de la aplicación para que el mismo realizara el procedimiento.

Finalmente, el señor nos instruyó en el sentido de proceder a la eliminación de su información y así lo hicimos. Por un error omitimos certificar la supresión de su información. Al respecto hemos tomado nota de esta falla y procederemos a reforzar nuestros procesos internos con el fin de evitar que este tipo de situaciones se repitan. 3.

Adjuntamos copia en pdf de los correos electrónicos con las interacciones con el señor (anexo 3). Correo electrónico del 24 de diciembre de 2018. Remitente señor Correo electrónico del 25 de diciembre de 2018. Remitente GOelegido. Correo electrónico del 25 de diciembre de 2018. Remitente señor Correo electrónico del 27 de diciembre de 2018.

Remitente GOelegido. Correo electrónico del 27 de diciembre de 2018. Remitente señor Como se indicó en el apartado anterior, GOelegido procedió a la supresión de toda la información del señor en nuestras bases de datos, sin embargo, involuntariamente omitimos notificarle de dicha gestión. 5. Sea lo primero ilustrar la forma cómo opera GOelegido.

Nuestra aplicación hace parte de los esquemas de economía colaborativa, intermediando entre la demanda y oferta de servicios de conductor elegido. De esta forma, GOelegido ofrece una solución que conecta usuarios, en su mayoría que han consumido bebidas alcohólicas y que necesitan el servicio de conductor elegido, con conductores previamente habilitados en nuestra plataforma.

Es preciso aclarar que los usuarios que descargan la plataforma y desean registrarse solo deben ingresar los siguientes datos básicos: - Nombre completo - Correo electrónico - Número celular Posteriormente y solo si el usuario quiere solicitar un servicio a través de la plataforma, esta le requiere: - Placas del vehículo - Datos de la tarjeta de crédito - Lugar de ubicación y destino Una vez registrada esta información el usuario puede dar click para que la plataforma inicie la búsqueda de conductores.

“Por la cual se impone una sanción y se imparte una orden‖ Al respecto quisiéramos enfatizar en: (i) La tarjeta de crédito es el único medio de pago habilitado en nuestra plataforma. Por lo tanto, el registro de la misma se solicita para efectos del pago, no estimación o cotización de los servicios. (ii) GOelegido por razones de seguridad no almacena ni tiene acceso a la información de la tarjeta de crédito.

El enrolamiento del medio de pago se efectúa directamente en nuestra pasarela de pagos, KUSHKY, quien encripta la información de la tarjeta y solo conserva los registros de los logs de las transacciones que eventualmente se realicen. En todo caso, la pasarela tampoco tiene acceso a la información de la tarjeta de crédito‖.

TERCERO: Que, con base en los hechos anotados, a partir de los cuales se advirtió la presunta violación de las normas sobre protección de datos personales, el 13 de agosto de 2020 se inició la presente investigación administrativa mediante la expedición de la Resolución No. 47177 por medio de la cual se formuló cargos por violación a los dispuestos en las siguientes normas: i) Literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem. ii) Literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9, de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2, y el artículo 2.2.2.25.2.5, del Decreto Único Reglamentario 1074 de 2015.

CUARTO: Que acorde con la certificación de la Secretaría General Ad-Hoc de esta Superintendencia del 14 de septiembre de 2020 con radicado 19-14447- -14, la sociedad investigada fue notificada, a través de su representante legal, por aviso No. 19951, el 28 de agosto de 2020 de la Resolución No. 47177 de 13 de agosto del 2020.

QUINTO: Que mediante escrito con radicado 19-14447-15 con fecha de 17 de septiembre del 2020, el representante legal de la sociedad GOELEGIDO S.A.S., dio respuesta a la formulación de cargos informando lo siguiente: 5.1 ―En primer lugar, GOelegido se permite por este medio en los términos previstos en el literal (f) del artículo 24 de la Ley 1581 de 2012 aceptar los cargos formulados por la SIC en su contra‖. 5.2 ―Teniendo en cuenta que GOelegido fue constituida el 6 de abril de 2018, se adjuntan a la presente comunicación la copia del balance general y el estado de pérdidas y ganancias de la sociedad correspondientes a los cierres de los años 2018 y 2019, debidamente suscritos por su representante legal y contador público‖. 5.3 ―Sin perjuicio de lo anterior, quisiéramos aprovechar esta oportunidad para poner en consideración de la SIC algunas aclaraciones que son relevantes para efectos de la presente actuación administrativa: a) Captura de la autorización del titular del dato para su correspondiente tratamiento Sea lo primero indicar que el proceso definido por GOelegido para la captura de los datos personales de nuestros usuarios y conductores se concibió para llevarse a cabo en nuestras aplicaciones móviles y no en nuestra página web.

Nuestra idea siempre ha sido desplegar en la página web información general sobre nuestra plataforma y permitir al público la consulta de las Políticas de Tratamiento de Datos Personales y los Términos y Condiciones sin que allí se habilitara el proceso de captura de información personal. Sin embargo, somos conscientes que por un error la página web anterior www.pikap.com.co habilitó temporalmente y de forma irregular la captura de algunos datos.

Nuestro equipo, una vez verificada esta situación, procedió a efectuar las correcciones correspondientes las cuales fueron efectivamente implementadas desde el momento en que nuestra página web actual https://goelegido.com/ fue puesta en producción, esto desde el mes de julio de 2019. A partir de ese momento, en nuestra página web no se lleva a cabo el proceso de registro ni se captura información de usuarios y conductores.

En dicha página se encuentran disponibles las Políticas de Tratamiento de Datos Personales con los procesos y procedimientos internos referentes al tratamiento, uso y “Por la cual se impone una sanción y se imparte una orden‖ administración de tales datos personales, al igual que los Términos y Condiciones tanto para los usuarios como los conductores‖. ―Teniendo en cuenta lo anterior, las personas que quieran registrarse en la plataforma ya sea como usuario o conductor, deben en primer lugar descargar la aplicación en la cual pueden adelantar el proceso.

La APP se encuentra disponible así: - Conductores: ―GOelegido para conductores‖. Disponible únicamente para Android. - Usuarios: ―GOelegido‖. Disponible tanto para Android como para IOS. Una vez la persona descarga la APP, se le solicitan sus datos personales, se solicita al titular su autorización para el tratamiento de los mismos y se le presentan las Políticas de Tratamiento de Datos Personales y los Términos y Condiciones, de modo que la captura de información se hace con el consentimiento expreso, previo e informado de los titulares en estricto cumplimiento de lo establecido por la regulación vigente (Ver proceso en Anexo 1) b) Proceso de autenticación El proceso de autenticación desplegado por GOelegido, en línea a otros procesos de autenticación que se encuentran disponibles en el mercado por parte de otras aplicaciones, radica en el envío de un mensaje de texto al celular registrado, con un código de autenticación que se debe ingresar a la aplicación para que el usuario quede registrado, y en el caso del conductor, quede en lista de espera para ser contactado y seguir el procedimiento para la habilitación definitiva como conductores, al cual nos referimos más adelante. c) Control a la mayoría de edad Quisiéramos señalar que GOelegido no realiza tratamiento de datos personales de menores de edad en calidad de responsable ni en calidad de encargado.

Adicionalmente nuestras políticas internas de uso y manejo de información personal están claramente enfocadas en la realización de tratamiento de datos personales de titulares mayores de edad, lo anterior en concordancia con nuestra visión de negocio. Vale aclarar que, GOelegido en cabal cumplimiento de la Ley 1581 de 2012 y su Decreto Reglamentario 1377 de 2013 tiene conocimiento claro de la calidad especial y protección reforzada de la que gozan los datos de menores de edad.

Sobre este punto consideramos que es necesario hacer las siguientes consideraciones: - Conductores Los conductores al momento de registrarse en la APP deben ingresar su nombre, correo electrónico, celular, número de cédula, fecha de expedición del documento de identidad, número de la licencia de conducción, fecha de expedición de dicha licencia, lugar de residencia y una foto, en ese momento quedan registrados en la APP, pero no habilitados.

Una vez registrada la persona en la APP como conductor y antes de habilitarla dentro de nuestra comunidad de conductores elegidos, la persona debe surtir un proceso de validación que tiene por propósito verificar su idoneidad en pro de la seguridad de nuestros usuarios y público en general. En dicho proceso, las personas candidatas a operar como conductor elegido deben remitir, a través de su correo electrónico, la documentación a continuación relacionada, así como cumplir con los siguientes protocolos: Inicialmente se contacta telefónicamente, en esta llamada se le habla de la plataforma y se valida su interés en pertenecer al grupo de conductores de GOELEGIDO; en caso de estar interesado se le solicita enviar al correo electrónico de la empresa, su RUT, cédula de ciudadanía, pase, certificado de revisión tecnomecánica y SOAT; posteriormente se cita a una entrevista presencial en la que se validan los documentos enviados y se indaga sobre aspectos familiares y personales, paso seguido, se realiza una prueba de suficiencia con una academia de conducción, si esas pruebas son satisfactorias se procede a revisar los antecedentes penales en bases de datos públicas, la cual se realiza a través de una empresa privada especializada en el tema.

Si lo anterior es satisfactorio para el candidato a conductor, se cita a una inducción y se habilita como conductor GOELEGIDO; en total son 5 filtros de validación que se hacen a cada candidato, antes de ser habilitado como conductor‖. ―De esta forma, y como puede observar la SIC, lo anterior permite a GOelegido verificar, entre otros aspectos, la mayoría de edad de los conductores.

“Por la cual se impone una sanción y se imparte una orden‖ - Usuarios En GOelegido creemos en el postulado de la buena fe contractual que debe regir las relaciones entre particulares. Por tal razón, nuestros Términos y Condiciones señalan como obligación de nuestros usuarios y conductores declarar que estos son mayores de edad. Respecto de los usuarios, consideramos no es necesario realizar una gestión adicional tendiente a corroborar una declaración que libre y voluntariamente otorga la persona.

Respetuosamente consideramos que mal haría la SIC en trasladar en cabeza de una plataforma la carga de la prueba respecto de confirmación de la mayoría de edad de una persona que se está registrando y cuyas reglas expresamente asignan esta responsabilidad en cabeza del usuario. Ahora bien, si se observa el caso de otras aplicaciones encontramos que en términos generales estas no incorporan controles para corroborar la mayoría de edad, algunas de ellas, por ejemplo, piden diligenciar la fecha de nacimiento, dato que en GOelegido no recolectamos ni esperamos hacer porque no nos agrega valor y porque en últimas es un dato que tampoco se puede corroborar.

En caso de que pidiéramos la cédula de ciudadanía, como hacen otras aplicaciones, tampoco habría forma de validar que el dato sea real y tampoco es un método que permita validar la mayoría de edad. Esperamos de esta forma haber dado la suficiente claridad en el presente asunto y rogamos a la SIC tener en cuenta las aclaraciones que hemos brindado en el presente documento.

Finalmente, estamos dispuestos a brindar cualquier información adicional que la SIC estime conveniente para efectos de la actuación administrativa‖.

SEXTO: Que mediante Resolución No. 75417 del 25 de noviembre de 2020, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 19-14447 del 19-14447-0 al 19-14447-15, con el valor legal que les corresponda.

SÉPTIMO: Que, encontrándose dentro del término establecido para el efecto, la sociedad investigada, a través de su representante legal, mediante escrito radicado bajo el número 1914447- -00019-0001 del 11 de diciembre de 2020, presentó el escrito de alegatos reiterando la aceptación de los cargos en los términos previstos en el literal (f) del artículo 24 de la Ley 1581 de 2012.

OCTAVO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la personales se respeten los principios, derechos, garantías y procedimientos previstos en la ley.

NOVENO: Análisis del caso 9.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20112, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: ―En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato‖.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: I. El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

Corte Constitucional, sentencia C-748/11, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). “Por la cual se impone una sanción y se imparte una orden‖ II. De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a: el Literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem; y el Literal c) del artículo 4 y el artículo 9, de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2, y el artículo 2.2.2.25.2.5, del Decreto Único Reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por los investigados dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, así como las razones de hecho y de derecho aducidas por los investigados en los descargos y en los alegatos de conclusión, y el conjunto de pruebas allegadas al expediente. 9.2 Valoración probatoria y conclusiones A continuación, se realizará un análisis de cada uno de los cargos imputados a la investigada en la presente actuación, así como el acervo probatorio recaudado, para en cada caso establecer si se presentó una infracción al Régimen de Protección de Datos Personales. 9.2.1 Respecto del deber garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data El artículo 17 en el numeral a) de la ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares así: ―a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.‖ En relación con el deber de Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

Señaló la Corte mediante sentencia C – 748 de 2011: ―…. se debe entender que cuando los literales a) de los artículos 17 y 18 imponen como deberes tanto del responsable como del encargado del tratamiento, garantizar al titular en todo tiempo, el pleno y efectivo derecho de habeas data, ello incluye que se cumplan los principios para la administración de datos y los derechos de los titulares‖ En ese sentido, es deber del Responsable garantizar que si un Titular quiere hacer uso del derecho de supresión de los datos de cualquier medio que los contenga, debe proceder de conformidad.

Este punto es reiterado por el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, el cual establece que: "Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos. Mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.

La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos. El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.

Si vencido el término legal respectivo, el responsable y/o el encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la y/o la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012" “Por la cual se impone una sanción y se imparte una orden‖ En el caso objeto de estudio, se encuentra que el señor puso en conocimiento de esta Superintendencia, a través de denuncia, la cual quedó radicada bajo el número 19•014447• •00000•000 del 23 de enero de 2019, que la sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S., estaba incumpliendo presuntamente las normas sobre protección de datos personales.

Con fundamento en lo anterior, este Despacho observó preliminarmente que, mediante el requerimiento realizado bajo el radicado número No. 19-014447- - 4 del 22 de mayo de 20203, a la investigada para que acreditara si procedió a la supresión de los datos personales correspondientes al Titular, así: ―(…)3. Informe y acredite el trámite que dio la sociedad GOELEGIDO S.A.S. a la solicitud de supresión de datos personales, realizada por el Titular, el 27 de diciembre de 2018)‖ La investigada limitó sus explicaciones mediante el radicado número No. 19-014447- - 3 del 05 de junio de 20204, argumentado que por un error habían omitido certificar la supresión de dichos datos personales, y en atención a dicho requerimiento no logró acreditar que efectivamente procedió a la supresión de los datos personales del Titular.

Sin embargo, dentro de la oportunidad para rendir los descargos en relación con el acto administrativo No. 47177 del 13 de agosto 2020, la investigada manifestó mediante escrito radicado el día 17 de septiembre de 2020, bajo el número 19-14447- -00015-00015, que acepta los cargos formulados. Veamos: ―(…) En atención a la resolución de la referencia por medio de la cual la Superintendencia de Industria y Comercio – SIC – notificó a la apertura de la investigación y la consecuente formulación de cargos contra la sociedad GOelegido por la presunta contravención de lo dispuesto en: (i) el literal (a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal (e) del artículo 8 de la misma ley y (ii) el literal (b) del artículo 17, en concordancia con el literal (c) del artículo 4 y artículo 9, de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5, del Decreto Único Reglamentario 1074 de 2015, nos permitimos dentro del término informado por la SIC, dar respuesta en los siguientes términos:

1. ACEPTACIÓN DE LOS CARGOS FORMULADOS En primer lugar, GOelegido se permite por este medio en los términos previstos en el literal (f) del artículo 24 de la Ley 1581 de 2012 aceptar los cargos formulados por la SIC en su contra (…)‖ Esta Dirección logró constatar que el Titular solicitó a la sociedad investigada el día 25 de diciembre de 2018 lo siguiente, entre varias cosas la supresión total de sus datos personales de las bases de datos, tal como se resalta a continuación: 3 Obra en el expediente digital No. 19 – 14447 (consecutivo 4 – pág. 4). 4 Obra en el expediente digital No. 19 – 14447 (consecutivo 3 – pág.6). 5 Obra en el expediente digital No. 19 – 14447 (consecutivo 15 -pág. 6).

“Por la cual se impone una sanción y se imparte una orden‖ Razón por la cual, en este cargo, solo procederemos a analizar el trámite efectuado a la solicitud de supresión de datos instaurada el 25 de diciembre de 2018, fecha en la cual el titular expresamente le indica a la investigada que solicita sus datos sean excluidos de las bases de datos de la sociedad.

Al respecto encontramos que la sociedad le responde el 27 de diciembre de 2018 indicándole al titular dos opciones: Al revisar las opciones otorgadas por la sociedad encontramos que, en vez de atender la solicitud de supresión le solicitan elegir entre si desea el envío de una certificación de la eliminación de los datos o esperar ―un par de semanas mientras se habilita la opción de eliminar cuenta´”, al respecto es importante que la sociedad entienda que la opción dos, es un tipo de respuesta que no atiende de modo alguno la solicitud de supresión y que por el contrario obstaculiza al titular para ejercer plenamente su derecho de habeas data, de otro lado, al recibir una solicitud de supresión, es claro que lo que pretende el titular es que supriman sus datos, por lo tanto indicarle que la primera opción es enviarle una certificación de supresión de los datos es dilatoria a la solicitud, en vez de proceder a suprimir los datos y certificarle la supresión sin tener que solicitarle nuevamente que se pronuncia sobre que desea, pues como se reitera la solicitud y el deseo de supresión de los datos es claro.

No obstante lo anterior, se continuará analizando el trámite otorgado a la solicitud de supresión, encontrando que el titular otorgó respuesta al correo enviado el 27 de diciembre de 2018, 6 Imagen parcial de documento obrante radicado 19-14447-1 página 2 folio 2 7 Imagen parcial de documento obrante radicado 19-14447-1 página 2 folio 1 “Por la cual se impone una sanción y se imparte una orden‖ indicando que elegia la opción 18, es decir, que la sociedad le enviara una certificación de la supresión de sus datos personales de las bases de datos de la sociedad.

Al revisar el material probatorio obrante en el expediente esta Dirección encuentra que no obra prueba alguna que acredite que la sociedad suprimió los datos del titular, así como tampoco obra la certificación de supresión de los datos personales, puesto que la sociedad argumenta que debido a un error omitió proferir dicha certificación9.

Ahora bien, la sociedad en sus descargos afirmó que ―De acuerdo con la solicitud realizada nos permitimos informar que la fecha [5 de junio de 2020], en nuestra base de datos no reposa ningún dato asociado al señor.‖10. sin embargo, no aportó prueba alguna que acredite o soporte la supresión de los datos personales del titular, con el fin de verificar que los datos del titular no obran en las bases de datos de la sociedad y la fecha exacta de supresión de los mismos.

En virtud de lo expuesto, para esta Dirección se encuentra demostrado el actuar negligente de la investigada respecto de la atención a la solicitud de supresión de los datos personales del titular de sus bases de datos del 25 de diciembre de 2018 en ejercicio de su derecho de habeas data, en la medida en que no se atiende la solicitud dentro del término establecido, y por el contrario se dilata la solicitud de supresión. Finalmente se tiene que para la fecha, no obra prueba alguna que acredite la supresión de los datos personales del titular de las bases de datos de la investigada.

Por otro lado, indicó la investigada que su equipo procedió a realizar las correspondientes correcciones las cuales fueron implementadas en la página web https://goelegido.com/ desde el momento de su creación, es decir, en el mes de julio de 2019, lo que demuestra que fue tiempo después de haberse cometido la vulneración al derecho fundamental de habeas data del Titular, razón por la cual esto no se toma en cuenta para desvirtuar la conducta vulneratoria así como tampoco para aplicar el principio de responsabilidad demostrada, en la medida en que son correcciones y adecuaciones posteriores a la fecha de ocurrencia de los hechos vulneratorios.

Por otro lado, dentro de la oportunidad para alegar de conclusión, bajo el número de radicado 1914447- -00019-0001 del 10 de diciembre de 202011, la investigada manifestó lo siguiente: ―(…) En atención a la resolución de la referencia por medio de la cual la Superintendencia de Industria y Comercio – SIC – corrió traslado a la sociedad GOelegido para rendir los alegatos respectivos, quisiéramos respetuosamente recordar que dicha sociedad, mediante radicado No. 19-14447-15 del 17 de septiembre de 2020, en los términos previstos en el literal (f) del artículo 24 de la Ley 1581 de 2012, aceptó expresamente los cargos formulados por la SIC en su contra.

Es importante hacer mención de la norma objeto de reproche por la Dirección, así, el legislador estatutario estableció en el literal a artículo 17 de la ley 1581 de 2012 el deber que corresponde a los Responsables del Tratamiento de garantizar, en todo tiempo el pleno y efectivo goce del derecho fundamental de habeas data a los titulares de la información dicha normativa se relaciona a su vez con lo expresado en el artículo 8º, contentivo de los derechos que les a asiste a estos últimos. ―ARTÍCULO 8o.

DERECHOS DE LOS TITULARES. El Titular de los datos personales tendrá los siguientes derechos: 8 Radicado 19-14447-1 página 2 folio 1. 9 Escrito de descargos folio 2 página 2 consecutivo 6. 10 Escrito de descargos folio 1 página 2 consecutivo 6. 11 Obra en el expediente digital No. 19-14447 (consecutivo 19 – Pág. 4). “Por la cual se impone una sanción y se imparte una orden‖ (…) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.

La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución;

ARTÍCULO 17 DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data; (…) En conclusión, se encuentra demostrado el actuar negligente de la sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S., en la medida en que no garantizó el pleno y efectivo ejercicio del derecho de habeas data del señor, al no suprimir sus datos personales de acuerdo a la solicitud instaurada por el titular el 25 de diciembre de 2018, por lo cual, se encuentra plenamente demostrado la vulneración del deber establecido en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem.

Teniendo en cuenta que la investigada aceptó los cargos, y dicha manifestación se realizó en los términos del literal f) del artículo 24 de la ley 1581 de 2012, se tendrá en cuenta al momento de tasar la respectiva sanción pecuniaria. 9.2.2 Respecto del deber de solicitar y conservar la copia de la autorización otorgada por el Titular para el Tratamiento de sus datos personales En primer lugar, el literal b) del artículo 17 de la Ley 1581 de 2012, indica lo siguiente: “Ley 1581 de 2012, artículo 17: ―Los responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) b) Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular;

(…)‖ Por su parte, el literal c) del artículo 4 de la ley 1581 de señala cómo para salvaguardar el principio de libertad se requiere que el tratamiento de los datos se haga contando con la autorización previa, expresa e informada del Titular: “Ley 1581 de 2012, articulo 4: En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento; (…)‖. En armonía con lo anterior, el artículo 9 de la ley 1581 de 2012 reitera que para el Tratamiento se requiere autorización previa e informada del Titular, así: ―Ley 1581 de 2012, artículo 9: ―Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.‖ “Por la cual se impone una sanción y se imparte una orden‖ Asimismo, el inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015, indica particularmente en relación con la autorización lo siguiente: “Decreto Único Reglamentario 1074 de 2015, artículo 2.2.2.25.2.2: ―El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos personales que serán recolectados así como todas las finalidades especificas del Tratamiento para las cuales se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tengan acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos.

En caso de haber cambios sustanciales en el contenido de las políticas de Tratamiento a que se refiere a la sección 3 de este capítulo, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas.

Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento.‖ (Subrayado fuera de texto). Por su parte, la Corte Constitucional, en la sentencia C- 748 de 201112 señaló lo que se transcribe en relación con el deber bajo estudio: ―(…) De lo anterior, puede entonces deducirse: (i) Los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular.

Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de el por expreso mandato legal o por orden de autoridad judicial (ii) el consentimiento que brinde la persona debe ser definido como una indicación especifica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

En consecuencia, los datos personales sólo pueden ser registrado y divulgados con el consentimiento libre, previo, expreso e informado del titular. Las únicas excepciones posibles serán las establecidas en el artículo 10 del proyecto de ley bajo examen. (…) El artículo 10 desarrolla los casos en que no es necesaria su autorización, específicamente cuando la información es requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial, los datos de naturaleza pública, los casos de urgencia médica o sanitaria, tratamiento autorizado por la Ley para fines históricos, estadísticos o científicos y datos relacionados con el registro civil de las personas.

El consentimiento del titular de la información es un presupuesto para la legitimidad constitucional de los procesos de administración de datos personales. En concordancia con lo expuesto frente al ―principio de libertad‖, en le manejo de los datos no podrá existir una autorización tácita. En relación con la posibilidad de excepcionar el consentimiento, en estos casos existen importantes intereses constitucionales que justifican tal limitación. 12 Corte Constitucional, sentencia C- 748 de 2011, M.P. Jorge Ignacio Pretelt Chaljub.

“Por la cual se impone una sanción y se imparte una orden‖ (…) En lo que se relaciona con los plazos y el registro civil de las personas, su naturaleza hace que no estén sujetos al principio de autorización. La información pública es aquella que puede ser obtenida sin reserva alguna, entre ella los documentos públicos, habida cuenta el mandato previsto en el artículo 74 de la Constitución Política.

Esta información puede ser adquirida por cualquier persona, sin necesidad de autorización alguna para ello. (…) Finalmente, cabe señalar que la Defensoría del Pueblo solicita la inexequibilidad del último párrafo del artículo 10 por cuanto se traduciría en una autorización general para el acceso a los datos personales, sin consentimiento del titular.

Sin embargo, una lectura de la norma permite interpretar que lo que busca el legislador estatutario es que en los casos taxativos permitidos por el artículo 10, en los que no es necesario el consentimiento del Titular, el uso del dato también debe sujetarse a todos los principios y limitaciones consagrados en la Ley. Por el contrario, jamás podría interpretarse como una autorización abierta para que se accedan a datos personales sin consentimiento de su titular.

(…)‖. Con fundamento en lo anterior, este Despacho observó preliminarmente que, mediante la preservación realizada por el laboratorio de informática forense de esta Superintendencia, observando los subdominios https://pikap.com.co/usuario/ y https://pikap.com.co/conductor /, se implementaron los formularios ―Regístrate como usuario‖ y ―Regístrate para conductor‖, que contienen los espacios para diligenciar datos tales como son el nombre, apellidos, correo electrónico y celular, los cuales son obligatorios para llevar acabo el correspondiente registro.

Sin embargo, se observó que los mencionados formularios no contienen mecanismos para solicitar al Titular la autorización para el Tratamiento de sus datos personales, en forma previa al diligenciamiento de los mismos. Así las cosas, también se evidencia que no cuenta con los controles sobre la edad de las personas que llevan a cabo el registro, y que para el caso de los menores de edad, deberían existir mecanismos para que la autorización sea otorgada por los respectivos representantes legales y/o padres de los menores.

Sin embargo, dentro de la oportunidad para rendir los descargos en relación con el acto administrativo No. 47177 del 13 de agosto 2020, la investigada manifestó mediante escrito radicado el día 10 de diciembre de 2020, bajo el número 19-14447- -00019-0001 que acepta los cargos formulados. Veamos: ―(…) En atención a la resolución de la referencia por medio de la cual la investigación y la consecuente formulación de cargos contra la sociedad GOelegido por la presunta contravención de lo dispuesto en: (i) el literal (a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal (e) del artículo 8 de la misma ley y (ii) el literal (b) del artículo 17, en concordancia con el literal (c) del artículo 4 y artículo 9, de la Ley 1581 de 2012, así como el inciso primero del artículo 2.2.2.25.2.2. y el artículo 2.2.2.25.2.5, del Decreto Único Reglamentario 1074 de 2015, nos permitimos dentro del término informado por la SIC, dar respuesta en los siguientes términos:

1. ACEPTACIÓN DE LOS CARGOS FORMULADOS En primer lugar, GOelegido se permite por este medio en los términos previstos en el literal (f) del artículo 24 de la Ley 1581 de 2012 aceptar los cargos formulados por la SIC en su contra (…)‖ Ahora bien, dentro de los argumentos expuestos, la investigada manifiesta que acepta los cargos, pero procede a sustentar una serie de aclaraciones y entre ellas, reconoce que el procedimiento para la captura de datos personales es a través de sus aplicaciones móviles y no a través del sitio web destinado para tal efecto, por lo tanto, reconoce la vulneración al deber contemplado en la norma estatutaria, al habilitar en forma irregular la captura de algunos datos mediante el sitio web www.pikap.com.co.

“Por la cual se impone una sanción y se imparte una orden‖ Por lo anterior, dentro de las aclaraciones presentadas manifiesta que su equipo procedió a realizar las correspondientes correcciones las cuales fueron implementadas en la página web https://goelegido.com/ desde el momento de su creación, es decir, en el mes de julio de 2019, entre la cuales se encuentran las siguientes: a) Captura de la autorización del titular del dato para su correspondiente tratamiento; b) Proceso de autenticación; c) Control a la mayoría de edad.

Tal como se señaló en el acápite anterior, dichas implementaciones llevadas a cabo en el sitio web https://goelegido.com/ hacen parte de las medidas que en forma diligente tomará la investigada para que en lo sucesivo se atienda a cabalidad con los deberes establecidos en la norma estatutaria en relación con la autorización previa emitida por el Titular para el manejo de sus datos personales, sin embargo, no son tenidas en cuenta para desvirtuar el cargo segundo en la medida en que son medidas implementadas posteriormente a la fecha de la visita.

Por otro lado, dentro de la oportunidad para alegar de conclusión, bajo el radicado 19-14447- 00019-0001 del 10 de diciembre de 202013, la investigada manifestó lo siguiente: ―(…) En atención a la resolución de la referencia por medio de la cual la Superintendencia de Industria y Comercio – SIC – corrió traslado a la sociedad GOelegido para rendir los alegatos respectivos, quisiéramos respetuosamente recordar que dicha sociedad, mediante radicado No. 19-14447-15 del 17 de septiembre de 2020, en los términos previstos en el literal (f) del artículo 24 de la Ley 1581 de 2012, aceptó expresamente los cargos formulados por la SIC en su contra.

No obstante lo anterior, en dicho comunicado nos permitimos presentar algunas aclaraciones que consideramos relevantes poner en conocimiento de la SIC en la presente actuación administrativa, frente a la cual reiteramos nuestra firme intención de colaboración.(…)‖ En virtud de lo expuesto se encontró demostrado que, para la fecha de la visita el día 14 de febrero de 2019, la sociedad recolectaba los siguientes datos personales: 1) Nombre; 2) Apellidos; 3) Correo electrónico, a través de los subdominios https://pikap.com.co/usuario/ y https://pikap.com.co/conductor/, sin solicitar de manera previa al tratamiento, la autorización o consentimiento expreso e informado de los titulares, razón por la cual realizaba tratamiento de datos de manera ilegal, transgrediendo el principio de libertad: “i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular.

Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.

Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez.” (Corte Constitucional, sentencia C- 748 de 2011, M.P. Jorge Ignacio Pretelt Chaljub.) En conclusión, y de conformidad con lo anteriormente expuesto se encuentra demostrado el actuar negligente de la sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S., para la fecha de la visita de inspección, recolectaba datos personales (nombre, apellidos y correo electrónico) a través de los subdominios https://pikap.com.co/usuario/ y https://pikap.com.co/conductor/ sin solicitar y conservar copia de la autorización previa de los titulares de la información de conformidad con lo exigido en el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9, de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2, y el artículo 2.2.2.25.2.5, del Decreto Único Reglamentario 1074 de 2015, Se tendrá en cuenta que la investigada aceptó los cargos, dicha manifestación se realizó en los términos del literal f) del artículo 24 de la ley 1581 de 2012, por lo tanto, se tendrá en cuenta al momento de tasar la respectiva sanción pecuniaria.

DÉCIMO: Analizando el material probatorio, encontramos que respecto al derecho de petición presentado por el titular no fue atendido de fondo, es decir, aunque la sociedad otorgó una 13 Obra en el expediente digital No. 19 - 14447 (consecutivo 19 – Pág. 4). “Por la cual se impone una sanción y se imparte una orden‖ respuesta dentro del término legal establecido, la misma no atiende de fondo a lo solicitado por el titular.

Es importante recordar lo que señala la Corte al respecto: ―La jurisprudencia constitucional ha perfilado unas características que debe tener la respuesta para que se entienda satisfecho el derecho de petición, que en el caso de los responsables como de los encargados del tratamiento están obligados a observar, que se pueden resumir de la siguiente manera: (i) la respuesta debe ser de fondo, es decir, no puede evadirse el objeto de la petición, (ii) que de forma completa y clara se respondan a los interrogantes planteados por el solicitante, (iii) oportuna, asunto que obliga a respetar los términos fijados en la norma.

Así, el derecho de petición que se regula en la norma objeto de análisis se convierte en un instrumento con el que cuenta el titular del dato para hacer exigible o realizable el derecho autónomo de habeas data, siendo definido el derecho de petición como un derecho instrumental a través del cual el ciudadano se acerca a la administración o a aquellos privados que en razón de la actividad que desarrollan ostentan una posición de privilegio sobre el resto de particulares, que obliga al Estado a regular mecanismos que le permitan a estos últimos tener una herramienta que los obligue a responder a las inquietudes e inconformidades que se puedan generar por razón de la actividad que éstos desplieguen, en procura de lograr la satisfacción de otros derechos fundamentales.‖14 (resaltado fuera del texto) Ahora bien, al no haber sido objeto de formulación no se impondrá una sanción pecuniaria, no obstante, en virtud de lo establecido en el literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el ―(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)‖, esta Instancia procederá a impartir las siguientes instrucciones: • La sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S deberá documentar un procedimiento de ciclo del dato (almacenamiento, uso, circulación y supresión de información) de acuerdo a lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.2.1.

Decreto Único Reglamentario 1074 de 2015. • La sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S deberá incluir en las Políticas de Tratamiento de Datos Personales el contenido mínimo señalado en el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015, especialmente, el procedimiento establecido por la sociedad para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización, de acuerdo a lo establecido en el literal k) del artículo 17 de la Ley 1581, en concordancia con el artículo 25 de la norma en mención y los artículos 2.2.2.25.3.1 del DUR 1074 de 2015. • La sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S deberá implementar un plan de supervisión y revisión periódica con el fin de evaluar la efectiva adopción e implementación de las disposiciones de la Ley 1581 de 2012.

De lo anteriormente ordenado la sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S. deberá remitir a este Despacho las acciones correctivas adoptadas, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO PRIMERO: Imposición y graduación de la sanción 10.1 Faculad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: 14 Corte Constitucional, sentencia C- 748 de 2011, M.P. Jorge Ignacio Pretelt Chaljub.

“Por la cual se impone una sanción y se imparte una orden‖ ―ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)‖. Por su parte, la Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: ―Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual ―(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes‖, y que ―sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores‖, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)‖ El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: “Por la cual se impone una sanción y se imparte una orden‖ De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibídem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional15 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: ―En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad‖16. Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 15 ―Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. Nadie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa, ante juez o tribunal competente y con observancia de la plenitud de las formas propias de cada juicio. En materia penal, la ley permisiva o favorable, aun cuando sea posterior, se aplicará de preferencia a la restrictiva o desfavorable.

Toda persona se presume inocente mientras no se la haya declarado judicialmente culpable. Quien sea sindicado tiene derecho a la defensa y a la asistencia de un abogado escogido por él, o de oficio, durante la investigación y el juzgamiento; a un debido proceso público sin dilaciones injustificadas; a presentar pruebas y a controvertir las que se alleguen en su contra; a impugnar la sentencia condenatoria, y a no ser juzgado dos veces por el mismo hecho.

Es nula, de pleno derecho, la prueba obtenida con violación del debido proceso.‖ 16 Ver en: Corte Constitucional Sentencia C-125 del 18 de febrero de 2003. MP. Marco Gerado Monroy Cabra. “Por la cual se impone una sanción y se imparte una orden‖ Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad.

Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, ―el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”17.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”18. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el arriba transcrito artículo 23 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: ―ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.‖ Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 10.1.2 Literal a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la sociedad investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad‖.19 17 Párrafo segundo del Preámbulo de la Declaración Universal de Derechos Humanos. Párrafo tercero del Preámbulo de la Declaración Universal de Derechos Humanos. Ver en: Corte Constitucional, Sentencia C-125 del 18 de febrero de 2003.

M.P. Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción y se imparte una orden‖ De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados20.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que: • • Se encontró demostrado que la sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S. no garantizó el pleno y efectivo ejercicio del derecho de habeas data del señor, al no suprimir sus datos personales de acuerdo a la solicitud instaurada por el titular el 25 de diciembre de 2018, vulneración que se mantiene en el tiempo hasta la fecha, en la medida en que la sociedad no acreditó la supresión de los datos personales.

Por lo cual, se encuentra plenamente demostrado la vulneración del deber establecido en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem. Razón por la cual se impondrá una multa equivalente a (615) unidades de valor tributario vigentes – UVT Se encontró demostrado el actuar negligente de la sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S., en la medida en que, para la fecha de la visita de inspección, recolectaba datos personales (nombre, apellidos y correo electrónico) a través de los subdominios https://pikap.com.co/usuario/ y https://pikap.com.co/conductor/ sin solicitar y conservar copia de la autorización previa de los titulares de la información de conformidad con lo exigido en el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9, de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2, y el artículo 2.2.2.25.2.5, del Decreto Único Reglamentario 1074 de 2015.

Razón por la cual se impondrá una multa equivalente a (615) unidades de valor tributario vigentes – UVT. En armonía con lo anterior, este Despacho encuentra que para el caso en concreto hubo una afectación efectiva al Derecho de Habeas Data del Titular la cual no puede considerarse irrelevante en tanto se está ante la vulneración de: (i) un derecho fundamental autónomo;

(ii) cuya protección deriva en la garantía de otros derechos como el de intimidad, buen nombre, libre desarrollo de la personalidad, entre otros; (iii) un derecho que debe ser efectivamente salvaguardado en tanto se está en un contexto en el que el poder informático es creciente. Por tanto, se impondrá como sanción: (i) Una multa de VENTIDOS MILLONES TRESCIENTOS VEINTINUEVE MIL CUATROCIENTOS VEINTE PESOS M/CTE ($ 22.329.420) equivalente a (615) unidades de valor tributario vigentes – UVT21 por la vulneración del deber establecido en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem.

(ii) Una multa de VENTIDOS MILLONES TRESCIENTOS VEINTINUEVE MIL CUATROCIENTOS VEINTE PESOS M/CTE ($ 22.329.420) equivalente a (615) unidades de valor tributario vigentes – Ley 1266 de 2008 “Artículo 19. Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” 21 Mediante la resolución 000111 del 11 de Diciembre de 2020, la la Unidad Administrativa Especial Dirección de Impuestos y Aduanas Nacionales (DIAN), dio a conocer el valor de la UVT aplicable en 2021, la cual quedó en $36.308.

“Por la cual se impone una sanción y se imparte una orden‖ UVT22 por la vulneración del deber establecido en el literal c) del artículo 4 y el artículo 9, de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2, y el artículo 2.2.2.25.2.5, del Decreto Único Reglamentario 1074 de 2015; 10.1.3 El reconocimiento o aceptación de la comisión de la infracción El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581de 2012 se aplicará toda vez que la investigada, en su comunicación del día 17 de septiembre de 2002 y del día 11 de diciembre de 2020, reconoció la comisión de infracción al deber contemplado en literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal (e) del artículo 8 de la misma ley, y lo dispuesto el literal (b) del artículo 17, en concordancia con el literal (c) del artículo 4 y artículo 9, de la Ley 1581 de 2012, así como el inciso primero del artículo 2..2.2.25.2.2. y el artículo 2.2.2.25.2.5, del Decreto Único Reglamentario 1074 de 2015, indicando expresamente: ―1.

ACEPTACIÓN DE LOS CARGOS FORMULADOS En primer lugar, GOelegido se permite por este medio en los términos previstos en el literal (f) del artículo 24 de la Ley 1581 de 2012 aceptar los cargos formulados por la SIC en su contra‖. Posteriormente reiteró dicha aceptación de los cargos formulados en los siguientes términos: ―En atención a la resolución de la referencia por medio de la cual la Superintendencia de Industria y Comercio – SIC – corrió traslado a la sociedad GOelegido para rendir los alegatos respectivos, quisiéramos respetuosamente recordar que dicha sociedad, mediante radicado No. 19-14447-15 del 17 de septiembre de 2020, en los términos previstos en el literal (f) del artículo 24 de la Ley 1581 de 2012, aceptó expresamente los cargos formulados por la SIC en su contra.

No obstante lo anterior, en dicho comunicado nos permitimos presentar algunas aclaraciones que consideramos relevantes poner en conocimiento de la SIC en la presente actuación administrativa, frente a la cual reiteramos nuestra firme intención de colaboración. Finalmente, recibiremos luis.miguel@goelegido.com” notificaciones en el correo electrónico En virtud de lo expuesto, se procederá a reducir la sanción impuesta en los cargos 1º y 2º por la vulneración al deber establecido en: (i) el literal (a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal (e) del artículo 8 de la misma ley en 615 UVT, razón por la cual la sanción por el cargo primero queda en VENTIDOS MILLONES TRESCIENTOS VEINTINUEVE MIL CUATROCIENTOS VEINTE PESOS M/CTE ($ 22.329.420) equivalente a 615 unidades de valor tributario vigentes - UVT.

(ii) el literal (b) del artículo 17, en concordancia con el literal (c) del artículo 4 y artículo 9, de la Ley 1581 de 2012, en 615 UVT, razón por la cual la sanción por el cargo segundo queda en VENTIDOS MILLONES TRESCIENTOS VEINTINUEVE MIL CUATROCIENTOS VEINTE PESOS M/CTE ($ 22.329.420) equivalente a 615 unidades de valor tributario vigentes – UVT. 10.1.4 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c) d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iii) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

DÉCIMO SEGUNDO: CONCLUSIONES Se procederá a imponer una sanción por las siguientes razones: 22 Mediante la resolución 000111 del 11 de Diciembre de 2020, la la Unidad Administrativa Especial Dirección de Impuestos y Aduanas Nacionales (DIAN), dio a conocer el valor de la UVT aplicable en 2021, la cual quedó en $36.308. “Por la cual se impone una sanción y se imparte una orden‖ (i) Se demostró que la sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S infringió abiertamente las normas sobre protección de datos personales consagradas en: i) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y ii) el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9, de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2, y el artículo 2.2.2.25.2.5, del Decreto Único Reglamentario 1074 de 2015.

(ii) La sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S., no garantizó el pleno y efectivo ejercicio del derecho de habeas data del señor, al no suprimir sus datos personales de acuerdo a la solicitud instaurada por el titular el 25 de diciembre de 2018, por lo cual, se encuentra plenamente demostrado la vulneración del deber establecido en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem.

A la fecha no se ha acreditado la supresión efectiva de los datos personales del titular. (iii) Se comprobó el actuar negligente de la investigada en la presente actuación administrativa, al demostrarse para la fecha de la visita de inspección, recolectaba datos personales (nombre, apellidos y correo electrónico) a través de los subdominios https://pikap.com.co/usuario/ y https://pikap.com.co/conductor/ sin solicitar y conservar copia de la autorización previa de los titulares de la información de conformidad con lo exigido en el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9, de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2, y el artículo 2.2.2.25.2.5, del Decreto Único Reglamentario 1074 de 2015.

(iv) La sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S, dentro de la oportunidad para rendir descargos en relación con el acto administrativo No. 47177 del 13 de agosto de 2020, y dentro del término legal para alegar de conclusión, manifestó en forma clara y expresa que aceptaba los cargos en relación a las normas infringidas de conformidad con lo dispuesto en el literal f) del artículo 24 de la ley 1581 de 2012, razón por la cual se procedió a disminuir las sanciones impuestas por los cargos primero y segundo en 130 UVT respectivamente.

(v) Se comprobó que la respuesta de la PIKAP S.A.S., hoy GOELEGIDO S.A.S. a la petición del 25 de diciembre de 2018, mediante la cual el Titular invocó su derecho fundamental al habeas data, no fue atendida de fondo, razón por la cual al, no haber sido objeto de formulación, se impartió una orden para que la sociedad implemente medidas tendientes a proteger el derecho fundamental de habeas data de los titulares.

Así las cosas, una vez analizada toda la actuación administrativa, la información y documentos que conforman el expediente, encuentra este Despacho procedente imponer a la sociedad GOELEGIDO S.A.S, la sanción correspondiente a CUARENTA Y CUATRO MILLONES SEISCIENTOS CINCUENTA Y OCHO MIL OCHOCIENTOS CUARENTA PESOS M/CTE ($ 44.658.840), equivalente a (1.230) unidades de valor tributario vigentes – UVT, por la vulneración del deber previsto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y el literal c) del artículo 4 y el artículo 9, de la Ley 1581 de 2012,así como con el inciso primero del artículo 2.2.2.25.2.2, y el artículo 2.2.2.25.2.5, del Decreto Único Reglamentario 1074 de 2015.

DÉCIMO TERCERO: Que, en virtud de la situación actual, teniendo en cuenta la declaratoria de Emergencia Sanitaria decretada por el Ministerio de Salud, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que la sociedad debe: (i) (ii) Enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando: número de radicado, nombre completo de la persona que va a consultar el expediente, número de identificación y correo electrónico autorizado;

Una vez reciba respuesta positiva respecto de la solicitud de acceso, la sociedad debe registrarse en servicios en línea link https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del “Por la cual se impone una sanción y se imparte una orden‖ mismo link posteriormente al registro puede consultar el expediente de manera digital.

No obstante, en aras de garantizar los derechos de defensa y contradicción de la sociedad, en el caso en que la misma considere necesario el acceso del expediente en físico, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá. Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.

En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a la sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S.., identificada el NIT 901.170.035 -4, de CUARENTA Y CUATRO MILLONES SEISCIENTOS CINCUENTA Y OCHO MIL OCHOCIENTOS CUARENTA PESOS M/CTE ($ 44.658.840), equivalente a (1.230) unidades de valor tributario vigentes – UVT, por la vulneración del deber previsto en i) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y ii) el literal b) del artículo 17, en concordancia con el literal c) del artículo 4 y el artículo 9, de la Ley 1581 de 2012, así como con el inciso primero del artículo 2.2.2.25.2.2, y el artículo 2.2.2.25.2.5, del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR a la sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S identificada con Nit. 901.170.035-4, cumplir las órdenes impartidas por esta Dirección en el presente acto administrativo, según lo expuesto en su parte motiva. Para lo cual deberá dar cumplimiento dentro de los dos (2) meses siguientes a la ejecutoria del presente acto administrativo.

Las ordenes impartidas son: • La sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S deberá documentar un procedimiento de ciclo del dato (almacenamiento, uso, circulación y supresión de información) de acuerdo a lo establecido en el literal k) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.2.1. Decreto Único Reglamentario 1074 de 2015. • La sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S deberá incluir en las Políticas de Tratamiento de Datos Personales el contenido mínimo señalado en el artículo 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015, especialmente, el procedimiento establecido por la sociedad para que los titulares de la información puedan ejercer los derechos a conocer, actualizar, rectificar y suprimir información y revocar la autorización, de acuerdo a lo establecido en el literal k) del artículo 17 de la Ley 1581, en concordancia con el artículo 25 de la norma en mención y los artículos 2.2.2.25.3.1 del Decreto Único Reglamentario 1074 de 2015. • La sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S deberá implementar un plan de supervisión y revisión periódica con el fin de evaluar la efectiva adopción e implementación de las disposiciones de la Ley 1581 de 2012.

“Por la cual se impone una sanción y se imparte una orden‖ PARAGRAFO PRIMERO: La sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S, identificada con Nit. 901.170.035-4, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.

Para ello debe remitir a esta entidad una certificación de cumplimiento de las órdenes impartidas por mandato de este acto administrativo. Dicha certificación debe ser emitida por un auditor o externo con conocimientos o especializado en los temas que involucra la implementación de cada orden, y suscrita por el representante legal de la sociedad.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad PIKAP S.A.S., hoy GOELEGIDO S.A.S., identificada con NIT. 901.170.035-4, a través de su representante legal, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO CUARTO: COMUNICAR el contenido de la presente resolución al señor, identificado con cédula de ciudadanía

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 20 ABRIL 2021 El Director de Investigación de Protección de Datos Personales, Firmado digitalmente por ENRIQUE SALAZAR CARLOS ENRIQUE CARLOS MUÑOZ SALAZAR MUÑOZ Fecha: 2021.04.20 18:30:04 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JACHP Revisó: AMVJ Aprobó: CESM “Por la cual se impone una sanción y se imparte una orden‖ NOTIFICACIÓN: Investigada: Sociedad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: GOELEGIDO S.A.S. Nit. 901.170.035-4 LUIS MIGUEL ZAPATA HERRERA C.C. 1.037.579.339 Calle 17 No. 43F -287 Medellín, Antioquia luis.miguel@goelegido.com COMUNICACIÓN: Señor: Identificación: Dirección: Ciudad: Correo electrónico: C.C.

Resolución sancionatoria N° 22295 de 2021

CONSIDERANDO

RESUELVE