Decisión 14457 de 2022 — SIC

(Marzo 23 de 2022) Radicación 19-131604 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, numeral 8 del artículo 16 del Decreto 4886 de 2011 (modificado por el artículo 6 del Decreto 92 de 2022), y

CONSIDERANDO

PRIMERO. Que mediante la Resolución No. 27348 de 6 de mayo de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad RAPPI S.A.S. identificada con Nit.900.843.898-9 de CIENTO OCHENTA Y CUATRO MILLONES TRESCIENTOS TREINTA Y OCHO MIL CIENTO TREINTA PESOS M/CTE ($184.338.130) equivalente a 5.077,066486 (UVT) Unidad de valor Tributario, por la violación a lo dispuesto en el literal a) del artículo 17, en concordancia con el literal e) del artículo 8 de la Ley 1581 de 2012 y con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

( )"

SEGUNDO. Que mediante escrito radicado bajo el No. 19-131604-44 de 25 de mayo de 2021, la sociedad RAPPI S.A.S. presentó recurso de reposición y en subsidio apelación en contra de la Resolución No. 27348 de 6 de mayo de 2021.

TERCERO. Que mediante la Resolución No. 40814 de 30 de junio de 2021 la Dirección de Investigación de Protección de Datos Personales resolvió el recurso de reposición, confirmando en todas sus partes la Resolución 27348 de 6 de mayo de 2021 y concediendo el recurso de apelación presentado de forma subsidiaria.

CUARTO. Que la recurrente solicitó que se revoque la Resolución N° 27348 de 2021 y se EXONERE a Rappi S.A.S. de los cargos imputados. Subsidiariamente pidió la aplicación de los criterios de graduación de las sanciones contenidos en el artículo 24 de la Ley 1581 de 2012. Lo anterior lo fundamenta en los siguientes argumentos: • La existencia de dos dependencias encargadas administrativamente de la protección de datos dentro de la misma Dirección, no justifica el desconocimiento del principio de confianza legítima “( ) se tiene que la SIC, representada para estos efectos por la Dirección y particularmente su Director, investigó y juzgó dos veces a Rappi por los mismos hechos, con el agravante de que en la primera investigación los cargos en su contra fueron archivos y en la segunda reabiertos y sancionados.

Orgánicamente, la decisión de archivo presente en la Resolución N° 8993 de 2019 y la de apertura de investigación y ahora sanción a través de las Resoluciones N° 67110 de 2019 y 27348 de 2021, fueron tomadas por un mismo funcionario, sustentándose ambas en los mismos hechos y fundamentos, y en contra de una misma sociedad. HOJA Nº Esta situación da muestra de una fuerte vulneración al principio de confianza legítima emanada de las decisiones de la Dirección, que no se puede justificar por el hecho de que sean dos las dependencias que instruyeron las investigaciones, ya que al final es la misma Dirección la que representa a ambos Grupos y profirió los actos administrativos a su nombre.

Una interpretación contraria, como la que está siendo sostenida por la Dirección, daría pie a que este organismo escinda sus funciones en cuantos grupos de trabajo quiera, para efectos de someter a un igual número de investigaciones a un mismo administrado Esta interpretación resultaría un exabrupto bajo el entendido que quien toma las determinaciones es la misma Dirección. ( ) la Dirección vulneró el principio de confianza legítima emanada de sus decisiones, de tal manera que lo procedente es que este mismo organismo respete y garantice los derechos emanados del archivo de la investigación identificada con el radicado 18-181079, decretado a través de la Resolución N° 8993 del 11 de abril de 2019, mediante la cual se acreditó que Rappi había finalmente acreditado el cumplimiento de sus deberes legales”. • Materialización de una vulneración al principio de confianza legítima por la imposición de una sanción con base en hechos de una investigación archivada en favor de Rappi “( ) por el hecho de que a través del acto administrativo firmado por el Director de Investigaciones el organismo le haya advertido a Rappi sobre la posibilidad de que se abriera un nuevo trámite en su contra, no se justifica el actuar de la Entidad porque de fondo en el primer trámite en el que supuestamente Rappi fue advertido ya se había declarado el cumplimiento de sus deberes emanados de la protección de datos.

El simple hecho de que en la Resolución inicial se haya notificado la posible ocurrencia de una situación que compromete el principio de confianza legítima y buena fe en las decisiones de la Entidad, no justifica su desconocimiento, toda vez que materialmente hubo una omisión material de lo fallado en un primer momento por la Dirección. Por lo anterior, consideramos que la justificación invocada por la Dirección no debería ser tenida en cuenta como mecanismo para salvaguardar los principios invocados, por cuanto el mero anuncio de una autoridad de iniciar una segunda investigación con identidad de persona, objeto y causas no debería posibilitar una aplicación laxa o la total inaplicación de los principios invocados.

( )”. • Materialización del desconocimiento a la prohibición de doble enjuiciamiento en contra de Rappi “( ) La Dirección asegura que el principio de prohibición de doble enjuiciamiento no excluye que un mismo comportamiento sea objeto de diversas investigaciones y sanciones “siempre y cuando éstas tengan distintos fundamentos normativos y diversas finalidades”, interpretación que sustentó en distintos pronunciamientos jurisprudenciales de las altas Cortes.

Debemos destacar que la Dirección incurre en una imprecisión a la hora de aplicar su argumentación, toda vez que tanto el trámite identificado con el radicado 18-181079 como el 19131604 se fundamentaron en las mismas normas y objetivos, los cuales fueron determinar el cumplimiento de las normas sobre eliminación de datos personales contenidas en los literales a) y j) del artículo 17 de la Ley 1581 de 2012.

No es válido usar como criterio diferenciador en ambos trámites que en el primero no se haya buscado una finalidad sancionatoria y en el segundo sí, por cuanto los hechos que motivaron ambas actuaciones fueron los mismos, los cuales remiten a la denuncia formulada por el Señor Xxxxxxxxx Xxxxxxx Xxxxxxxxxxx. No obstante lo anterior, la Dirección sostiene que por tratarse de trámites con finalidades distintas, no se produce un quebranto a la prohibición. ( ) La única forma en la que se justificaría un doble enjuiciamiento en contra de Rappi por los hechos de los que trata la presente investigación, es que, en gracia de discusión, haya sido una entidad o autoridad diferente a la Dirección la que, con base a normas y objetivos diferentes, busque declarar una responsabilidad por la infracción de otros ordenamientos, situación que no coincide de ninguna manera con el presente caso.

En otras palabras, un doble enjuiciamiento solo se justificaría si las conductas por las que se le investigó a Rappi en el trámite identificado con el radicado 18181079 y que ahora son objeto de controversia en el radicado 19-131604, generen una doble consecuencia negativa para su infractor, tal como lo ha avalado la Corte Constitucional en la providencia citada por la Dirección. HOJA Nº La justificación del supuesto respeto de la prohibición de doble enjuiciamiento se diluye con más veras por el hecho de que el que expidió los actos administrativos ya mencionados, es decir las Resoluciones N° 8993 de 2019 (archivo de la investigación) y 67110 de 2019 (apertura de una nueva con base a los mismos hechos), fue el Director de Investigaciones, de tal manera que es innegable para la Dirección que el Doctor Salazar suscribió los actos administrativos que dan muestra de que Rappi fue investigado dos veces por los hechos denunciados por el Titular Xxxxxxxxx Xxxxxxx Xxxxxxxxxxx.

( )”. • La Dirección incurrió en una revocatoria velada de la primera decisión de archivo de investigación en favor de Rappi “En la Resolución objeto de impugnación se sostuvo que no existió una revocatoria de la primera resolución que archivó un trámite en favor de Rappi, sino que por el hecho de que Rappi haya corregido sus posibles errores, no la exime de las consecuencias legales por ello, lo cual generó el traslado de competencias de una dependencia a otra por parte de la Dirección. ( ) La única manera que vemos factible para que la Dirección haya entrado a investigar nuevamente a Rappi con base a los hechos denunciados por el Titular Xxxxxxxx Xxxxxxx es que necesariamente haya revocado la decisión tomada en el trámite anterior, dado que mantener la existencia de dos trámites de investigación con base en los mismos hechos sin acudir a esta alternativa, necesariamente entre en conflicto con los principios antes mencionados.

Es por ello que al final de cuentas el efecto práctico que materializó la Dirección a través de las dos dependencias a su cargo fue revocar su primera decisión de archivo para así posibilitar la apertura de una nueva investigación con identidad de objeto, causas y persona. La única forma en la que hace sentido la existencia de 2 trámites con radicados distintos, pero con similitudes en cuanto a sus fundamentos fácticos y jurídicos, sin la vulneración de derechos es una revocatoria de la primera decisión para dotar de legitimidad la segunda.

De todas maneras, un proceder de esa naturaleza tampoco resultaría válido, toda vez que para que haya procedido una revocatoria en debida forma, debieron haberse acatado los requisitos establecidos en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo, en donde uno de ellos es la aquiescencia del administrado que, para efectos del presente caso, nunca existió”. • Aplicación incompleta de los criterios de graduación de multas y ausencia de análisis sobre el daño nulo a los intereses jurídicos tutelados por la ley “Frente a la dimensión del daño o peligro a los intereses jurídicos tutelados, al verificarse el capítulo 9.1.1 de la Resolución N° 27348 de 2021, se observa que se hizo una descripción completa del marco jurídico sobre los conceptos de proporcionalidad e intereses jurídicos tutelados por la ley, pero el análisis y aplicación del criterio del literal a) del artículo 24 de la Ley 1581 de 2012 infortunadamente resultó inexistente, limitándose la Dirección a reafirmar la conclusión de que Rappi vulneró el deber de eliminación de información. Dado que el análisis sobre la aplicación del mencionado criterio en torno a la dimensión del daño o peligro de los intereses jurídicos del Titular, no se llevó a cabo, limitándose la Dirección a señalar su existencia y a describirlo, llamamos la atención en que la interpretación aplicable debió consistir en la ausencia de un daño significativo o inminente de los derechos del Titular de la información. Recordemos que, si bien Rappi tardó en la eliminación de su información, como se admitió, lo cierto es que finalmente procedió con la eliminación efectiva de la misma, respetándose el derecho invocado por el Titular.

De allí que no existió un daño materializado sobre el interés jurídico tutelado por cuanto finalmente Rappi procedió con el cumplimiento de su deber. Con base en ello, debemos manifestar que la Dirección no aplicó el mencionado criterio, el cual, de acuerdo con lo expuesto, daba pie a graduar la multa a un monto menor al finalmente impuesto, por lo que respetuosamente le solicitamos a la Dirección que de mantener su conclusión acerca de sancionar a la investigada, el monto a imponer tenga en cuenta el daño o peligro nulo del interés jurídico tutelado en atención a que Rappi, para el presente caso, finalmente procedió con la eliminación de la información del Titular”. • Sobre la desproporcionalidad de la sanción a Rappi “La Dirección, al analizar en anterior criterio de graduación, realizó un análisis del concepto de proporcionalidad, lo cual es oportuno para manifestar que, a pesar del análisis hecho, la decisión de HOJA Nº la Autoridad culminó con una multa desproporcionada en comparación con los hechos que la ameritó.

El presente trámite se motivó por la denuncia formulada por un Titular, el señor Xxxxxxxxx Xxxxxxx Xxxxxxxxxxx, lo cual al final de la investigación fue el fundamento para una sanción del orden de los 184 millones pesos, lo cual luce desproporcionado cuando esta misma Dirección, por hechos similares, ha decidido imponer multas menores a otros investigados.

Vienen al caso, por ejemplo, la sanción que le fue impuesta a Bancolombia por 82 millones de pesos a través de la Resolución N° 4082 de 2019 por la no eliminación de los datos de un titular, a Colombia Telecomunicaciones por 24 millones de pesos a través de la Resolución N° 19012 de 2019, o a Une EPM por 165 millones de pesos mediante la Resolución N° 18952 de 2019 por hechos similares.

Estos son solo algunos de los ejemplos en los que esta misma Dirección, por hechos similares, resolvió imponer multas menores en comparación con la que le impuso a Rappi. Por lo anterior, consideramos respetuosamente que, así como la Dirección tomó en consideración otras decisiones para dictaminar que el aquí investigado es reincidente en las conductas, también tome en cuenta otros trámites administrativos en los que, con base a hechos similares, ha impuesto multas inferiores a la impuesta a Rappi”. • Sobre la ausencia de análisis frente a la no obtención de un beneficio económico obtenido por la infracción “Sin perjuicio de lo anterior, debemos señalar también que la Dirección falló al omitir la aplicación del criterio de graduación consagrado en el literal b) del artículo 24 de la Ley 1581, acerca de la evaluación del beneficio económico obtenido por el infractor con la conducta.

Frente a ello, debemos anotar que, a pesar de la tardanza en la eliminación de la información, Rappi nunca obtuvo un beneficio económico para sí o para un tercero por los hechos achacados, por lo que el mencionado criterio está llamado a ser aplicado para efectos de que la sanción impuesta a Rappi, si así lo decide mantener la Dirección, sea inferior dada la ausencia de un beneficio económico por los hechos imputados.

Precisamente la Dirección reconoció de forma textual que “(i) no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción”, lo cual, a pesar de su reconocimiento expreso, no llevó de ninguna manera a atenuar la sanción en contra de Rappi. Por lo anterior, teniendo en cuenta que la Dirección reconoció que Rappi no obtuvo ningún tipo de beneficio para sí misma o para un tercero por adelantar las conductas achacadas, lo procedente es que la Dirección atenúe la multa por la graduación que ello merece. • Sobre la ausencia de renuencia frente a las acciones de investigación y cumplimiento de órdenes impartidas por la Dirección “Tal como ocurrió con los criterios antes mencionados, la Dirección tampoco realiza un análisis pertinente frente a la concurrencia del criterio de atenuación de los literales d) y e) del artículo 24 de la Ley 1581 de 2012, referente a la resistencia, negativa u obstrucción del investigado frente a las acciones de investigación desplegadas por la Autoridad.

Dada la ausencia de análisis, nos corresponde destacar que Rappi, para efectos de la presente investigación, siempre ha actuado de forma cooperativa con la Entidad para revelar cada uno de los hechos en torno a la denuncia que fue formulada. A pesar de ello, se observa que la Dirección omitió estimar este buen comportamiento procesal del investigado, el cual es válido como criterio de graduación de la multa que finalmente le decidió imponer.

( )”

QUINTO. Que de conformidad con lo establecido en el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, se procederá a resolver el recurso interpuesto de acuerdo con las siguientes, HOJA Nº CONSIDERACIONES DEL DESPACHO

1. FUNCIONES DEL DESPACHO DEL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES El artículo 16 del Decreto 4886 de 26 de diciembre de 20111 (modificado por el artículo 6 del Decreto 92 de 2022), establece las funciones del Superintendente Delegado para la Protección de Datos Personales, entre las cuales se destaca la siguiente: “(…) 8.

Decidir los recursos de reposición y las solicitudes de revocatoria directa que se interpongan contra los actos que expida, así como los de apelación que se interpongan contra los actos expedidos por la Dirección a su cargo. (…)”. (Énfasis añadido).

2. POTESTAD SANCIONADORA DE LA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO Frente al procedimiento para imponer las sanciones el artículo 22 de la Ley 1581 de 2012 señala que, “La Superintendencia de Industria y Comercio, una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del Responsable del Tratamiento o el Encargado del Tratamiento, adoptará las medidas o impondrá las sanciones correspondientes (…)”.

El artículo 23 2, por su parte, establece las sanciones que podrá imponer esta entidad a los Responsables y Encargados del Tratamiento de Datos. Respecto de la “potestad sancionatoria”, la Corte Constitucional ha señalado, entre otras, lo que sigue a continuación: “El poder sancionador estatal ha sido definido como "un instrumento de autoprotección, en cuanto contribuye a preservar el orden jurídico institucional mediante la asignación de competencias a la administración que la habilitan para imponer a sus propios funcionarios y a los particulares el acatamiento, inclusive por medios punitivos, de una disciplina cuya observancia contribuye a la realización de sus cometidos.

Esa potestad es una manifestación del jus punendi, razón por la que está sometida a los siguientes principios: (i) el principio de legalidad, que se traduce en la existencia de una ley que la regule; es decir, que corresponde sólo al legislador ordinario o extraordinario su definición. (ii) El principio de tipicidad que, si bien no es igual de riguroso al penal, sí obliga al legislador a hacer una descripción de la conducta o del comportamiento que da lugar a la aplicación de la sanción y a determinar expresamente la sanción. (iii) El debido proceso que exige entre otros, la definición de un procedimiento, así sea sumario, que garantice el debido proceso y, en especial, el derecho de defensa, lo que incluye la designación expresa de la autoridad competente para imponer la sanción. (iv) El principio de proporcionalidad que se traduce en que la sanción debe ser proporcional a la falta o infracción administrativa que se busca sancionar.

(v) La independencia de la sanción penal; esto significa que la sanción se 1 Por medio del cual se modifica la estructura de la Superintendencia de Industria y Comercio, se determinan las funciones de sus dependencias y se dictan otras disposiciones. 23. Sanciones. “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos [sic] sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva”. 2 Artículo HOJA Nº puede imponer independientemente de si el hecho que da lugar a ella también puede constituir infracción al régimen penal” 3 En el mismo sentido, y en relación con los principios 4 señalados, dicha Corporación por medio de las Sentencias C-827 de 2001;

C-401 de 2010 y C-948 de 2002 manifestó: “En la doctrina5 se postula, así mismo, sin discusión que la administración o las autoridades titulares de funciones administrativas lo sean de potestad sancionadora y que ésta en cuanto manifestación del ius puniendi del Estado está sometida a claros principios generalmente aceptados, y en la mayoría de los casos proclamados de manera explicita en los textos constitucionales.

Así, a los principios de configuración del sistema sancionador como los de legalidad (toda sanción debe tener fundamento en la ley), tipicidad (exigencia de descripción especifica y precisa por la norma creadora de las infracciones y de las sanciones, de las conductas que pueden ser sancionadas y del contenido material de las sanciones que puede imponerse por la comisión de cada conducta, así como la correlación entre unas y otras) y de prescripción (los particulares no pueden quedar sujetos de manera indefinida a la puesta en marcha de los instrumentos sancionatorios), se suman los propios de aplicación del sistema sancionador, como los de culpabilidad o responsabilidad según el caso – régimen disciplinario o régimen de sanciones administrativas no disciplinarias- (juicio personal de reprochabilidad dirigido al autor de un delito o falta6), de proporcionalidad o el denominado non bis in ídem [sic]”.

Ahora, al hacer referencia al principio de legalidad en materia de protección del derecho de habeas data, la Corte Constitucional mediante la Sentencia C-1011 de 2008, manifestó: “(…) Para la Corte, en consecuencia, la flexibilidad que puede establecer el legislador en materia de derecho administrativo sancionador es compatible con la Constitución, siempre que esta característica no sea tan amplia que permita la arbitrariedad de la administración. Un cierto grado de movilidad a la administración para aplicar las hipótesis fácticas establecidas en la ley guarda coherencia con los fines constitucionales de esta actividad sancionatoria administrativa, en la medida que le permite cumplir eficaz y eficientemente con las obligaciones impuestas por la Carta.

Sin embargo, ha advertido que la flexibilidad del principio de legalidad no puede tener un carácter extremo, al punto que se permita la arbitrariedad de la administración en la imposición de las sanciones o las penas”7. (Énfasis añadido). Así las cosas, la administración no puede exceder los límites impuestos por el legislador al momento de aplicar una sanción. Por lo que, la conducta objeto de investigación debe tener el carácter de sancionable.

Es aquí donde surge el principio de tipicidad, el cual no es otra cosa que el previo establecimiento por parte del legislador, de la forma más clara y precisa, “de infracciones, penas, castigos o sanciones que pueden ser impuestas por las autoridades administrativas en ejercicio del poder punitivo estatal”8. Sobre dicho principio, la Corte Constitucional precisó lo siguiente en la Sentencia C-748 de 2011: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la [sic] constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables [sic] y encargados [sic] del tratamiento [sic] del dato [sic]”. 3 Corte Constitucional.

Sentencia C-748 de 2011. 4 “Los principios señalados en el CPACA tienen un carácter normativo y vinculante, a diferencia de la naturaleza orientadora que se predicaba en el CCA. La aplicabilidad general de los principios previstos en el artículo 3º del CPACA, como desarrollo directo de la Constitución Política, conlleva a que dichos principios deban observarse para cualquier actuación administrativa, incluidas las reguladas en leyes especiales.

Así las cosas, el intérprete deberá utilizarlos directamente o hacer un ejercicio de integración normativa entre los principios de la actuación administrativa previstos en la ley especial y los señalados en el CPACA”. Juan Manuel Laverde Álvarez. Manual de Procedimiento Administrativo Sancionatorio. Ed. Legis S.A. Segunda Edición. Bogotá, Colombia. 2018. 5 Juan Alfonso Santamaría Pastor.

Principios de Derecho Administrativo. Volumen II. Ed. Centro de Estudios Ramón Areces. Madrid. Tomo II. Segunda Edición. 2000. 6 Ramón Parada Vásquez. Derecho Administrativo. Tomo I Marcial Pons. Madrid 1996. Luis Morell Ocaña. Curso de Derecho Administrativo. Tomo II “La actividad de las administraciones públicas. Su control administrativo y jurisdiccional”.

Arandazi. Madrid. 1996. 7 Corte Constitucional. Sentencia C-406 de 2004. 8 Corte Constitucional. Sentencia C-1161 de 2000. HOJA Nº Lo primero que se concluye de esta referencia es que es suficiente desconocer cualquiera de las disposiciones de la Ley 1581 de 2012, para que la administración ejerza su poder sancionatorio. Claro está, en los casos en los que así lo determine la actuación administrativa correspondiente, como consecuencia directa de la trasgresión de las normas que amparan el derecho fundamental de habeas data.

Principalmente, cuando se trata de las disposiciones que se refieren a los deberes a los que están sujetos los Responsables del Tratamiento de la información. Concluye este Despacho que, en el presente caso, se dan los presupuestos requeridos para determinar que la conducta desplegada por la recurrente vulneró el derecho del Titular a solicitar la supresión de sus Datos; el deber especial como Responsable del Tratamiento, de garantizar al Titular en todo tiempo, el pleno y efectivo ejercicio de su Derecho Constitucional de Habeas Data; y el deber de tramitar las consultas y reclamos formulados en los términos señalados en la ley.

Asimismo, se reitera que la sanción impuesta además de obedecer a la desatención de los deberes legalmente establecidos para la protección del derecho fundamental de habeas data, resulta proporcional en consideración a: i) los supuestos fácticos y jurídicos que motivaron el acto administrativo recurrido; y ii) los documentos y demás elementos probatorios valorados en el curso de esta actuación administrativa.

En todo caso, como lo que se persigue es evitar incidir en conductas que infrinjan el derecho constitucional de habeas data, es fundamental que el operador jurídico realice un análisis conjunto y sistemático de los criterios mencionados. Así como de los elementos y pautas que estime convenientes, con el propósito de ponderar la gravedad de la conducta y la capacidad de pago de la entidad infractora.

Resulta útil mencionar, para efectos de poner en perspectiva el monto a pagar por parte de la recurrente que, la multa impuesta por parte de esta entidad, corresponde a un total de 5.077,066486 UVT (Unidades de Valor Tributario), equivalentes a ciento ochenta y cuatro millones treinta y ocho mil ciento treinta pesos m/cte ($184’038.130). La cual, representa aproximadamente el 10,13% por ciento del límite legal de dos mil (2000) salarios mínimos legales mensuales vigentes establecido en el artículo 23 de la Ley 1581 de 2012.

3. DE LOS PRINCIPIOS DE CONFIANZA LEGÍTIMA; BUENA FE Y NON BIS IN IDEM: LA CONFIGURACIÓN DEL HECHO SUPERADO NO LIBRA DE RESPONSABILIDAD JURÍDICA A QUIEN VULNERA LA REGULACIÓN DE DATOS PERSONALES NI LO EXIME DE SER SANCIONADO POR INCUMPLIR LA LEY. El artículo 83 de la Constitución Política Nacional determina que las actuaciones de los particulares y de las autoridades públicas deberán ceñirse a los postulados de la buena fe, la cual se presumirá en todas las gestiones que aquellos adelanten ante estas.

Asimismo, el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo estableció que: “( ) todas las autoridades deberán interpretar y aplicar las disposiciones que regulan las actuaciones y procedimientos administrativos a la luz de los principios consagrados en la Constitución Política, en la Parte Primera de este Código y en las leyes especiales.

Las actuaciones administrativas se desarrollarán, especialmente, con arreglo a los principios del debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad. 1. En virtud del principio del debido proceso, las actuaciones administrativas se adelantarán de conformidad con las normas de procedimiento y competencia establecidas en la Constitución y la ley, con plena garantía de los derechos de representación, defensa y contradicción. En materia administrativa sancionatoria, se observarán adicionalmente los principios de legalidad de las faltas y de las sanciones, de presunción de inocencia, de no reformatio in pejus y non bis in idem.

( )” De otro lado, los artículos 47 a 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo contienen la regulación del procedimiento administrativo sancionatorio. Aquí están las bases generales y luego, tal como se estableció en la Resolución No. 40814 de 2021, las HOJA Nº autoridades que ejercen funciones de inspección, vigilania y control, pueden, por vía reglamentaria establecer los protocolos necesarios para llevar a cabo el procedimiento establecido en la ley.

Al respecto, se reitera que la Dirección de Investigación de Protección de Datos Personales, al momento de la imposición de la sanción estaba conformada por dos grupos: el Grupo de Trabajo de Investigaciones Administrativas y el Grupo de Trabajo de Habeas Data, los cuales cumplen funciones diferentes en cabeza del Director de Investigación de Protección de Datos Personales.

Así pues, por medio del acto administrativo No. 8993 de 11 de abril de 2019, el Grupo de Trabajo de Habeas Data realizó el traslado del expediente 18-181079 así: “( ) ARTÍCULO TERCERO: Remitir copia de la presente Resolución al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección con el fin de que determine si existe o no mérito para adelantar una actuación administrativa de carácter sancionatorio.

( )” Posteriormente, la Dirección de Investigación de Protección de Datos Personales decidió iniciar una investigación administrativa y formular pliego de cargos contra la investigada a través de la Resolución No. 67110 de 27 de noviembre de 2019 debido a la presunta contravención de lo dispuesto en: i) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015, y; ii) el literal j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 de la misma norma.

Ahora, cuando la investigada manifiesta que hubo un quebrantameinto de la prohibición de doble enjuiciamiento en su contra, es importante relievar que, a pesar de que la recurrente hubiera suprimido el Dato personal del quejoso y como consecuencia se hubiera archivado la actuación administrativa del expediente No. 18-181079, la misma Dirección decidió iniciar una investigación administrativa sancionatoria dentro del expediente No. 19-131604 por la vulneración del deber de garantizar al Titular el pleno y efectivo ejercicio de su derecho de habeas data.

Pues, NO atendió la solicitud de supresión de información en el término establecido en la Ley 1581 de 2012. Es importante recordar que el Titular presentó la solicitud de eliminación de su información el 14 de marzo de 2018 y la recurrente realizó la supresión hasta el 7 de septiembre del mismo año, es decir casi 6 meses después de la petición. Como es sabido, la Constitución Política en su artículo 29 inciso 1º consagra el Derecho al Debido Proceso, el cual se aplica a toda clase de actuaciones judiciales y administrativas.

El inciso 4º establece el principio del Non Bis in Idem al prohibir juzgar al sindicado dos veces por el mismo hecho. Este principio ha sido ampliamente desarrollado tanto por la Corte Constitucional como por el Consejo de Estado. La Corte Constitucional en su línea jurisprudencial ha reconocido que, en el constitucionalismo colombiano, el principio del Non Bis in Idem no se restringe al ámbito penal, sino que “se hace extensivo a todo el universo del derecho sancionatorio”9.

La Corte además ha precisado que dicho principio veda que exista una doble sanción “cuando hay identidad de sujetos, acciones, fundamentos normativos y finalidad y alcances de la sanción”10. Vale aclarar que dicha prohibición de doble enjuiciamiento, en ningún punto excluye que un mismo comportamiento pueda dar lugar a diversas investigaciones y sanciones, “siempre y cuando éstas tengan distintos fundamentos normativos y diversas finalidades”11.

El Consejo de Estado ha desarrollado también una extensa línea jurisprudencial en materia de violación al principio del Non Bis in Idem en la que ha sido enfático en señalar que “tal prohibición no implica que por un mismo hecho no se puedan infringir varias sanciones, de distinta naturaleza ( ) La prohibición opera frente a sanciones de una misma naturaleza”12 (énfasis en el texto original). 9 Corte Constitucional.

Sentencia de Constitucionalidad 554 de 2001. MP Clara Inés Vargas Hernández. Fundamento 3.3. 10 Corte Constitucional, Sentencia de Constitucionalidad 088 de 2002, MP: Dr. Eduardo Montealegre Lynett 11 Corte Constitucional, Sentencia de Constitucionalidad 088 de 2002, MP: Dr. Eduardo Montealegre Lynett 12 Consejo de Estado, Sala de lo Contencioso Administrativo.

Sentencia del 21 de agosto de 2008. Rad. 2008-90662. Consejero Ponente: Marco Antonio Velilla Moreno HOJA Nº En otras palabras, se configura la violación a dicho principio cuando por los mismos hechos se juzga a una persona natural o jurídica dos o más veces, en la misma modalidad 13. Ahora bien, ha precisado la misma Corporación el alcance de este principio, estableciendo que, “para que se consolide un hecho igual que excluya un nuevo juzgamiento sobre el mismo, se requiere: a) identidad del sujeto; b) identidad de la conducta; c) identidad de circunstancias de tiempo, modo y lugar”14.

De modo similar, la Corte Constitucional desde las primeras decisiones sobre el tema, ha establecido que para que se configure la violación al Non Bis in Idem es necesario que “exista identidad de causa, identidad de objeto, e identidad en la persona”15. Es preciso entonces que este Despacho proceda a determinar si a la sociedad recurrente se le sancionó dos veces por lo mismo, mediante la identidad de sujeto, conducta y circunstancias de tiempo, modo y lugar.

Se recalca que en el presente caso la recurrente fue negligente en no suprimir el dato del titular dentro del máximo término establecido por la ley para dicho efecto (15 días hábiles) ya que el Titular presentó la solicitud de eliminación de su información el 14 de marzo de 2018 y la recurrente realizó la supresión hasta el 7 de septiembre del mismo año, es decir casi 6 meses después de la petición. De otra parte, resultar pertinente recordar que la configuración de un “hecho superado” no significa que desaparezcan las eventuales irregularidades en que una empresa pudiera haber incurrido en el tratamiento de datos y no eximen de responsabilidad a quien haya cometido dichos errores.

Por lo tanto, la SIC podrá iniciar la respectiva investigación administrativa de carácter sancionatorio contra quien, entre otras, alegue un “hecho superado”. En virtud de lo anterior no se aceptan los argumentos de la recurrente en relación con la violación de los principios de buena fe, confianza legítima y non bis in idem.

4. DEL PRINCIPIO DE PROPORCIONALIDAD Y LA GRADUACIÓN DE LA SANCIÓN Según la Corte Constitucional, “es innegable que a través del derecho administrativo sancionador se pretende garantizar la preservación y restauración del ordenamiento jurídico, mediante la imposición de una sanción que no sólo repruebe sino que también prevenga la realización de todas aquellas conductas contrarias al mismo.

Se trata, en esencia, de un poder de sanción ejercido por las autoridades administrativas que opera ante el incumplimiento de los distintos mandatos que las normas jurídicas imponen a los administrados y aún a las mismas autoridades públicas”16. A juicio de la investigada, esta autoridad adoptó una decisión sin consideraciones de fondo respecto de los criterios para graduar la sanción impuesta, con lo cual se ejerció la facultad sancionatoria sin soporte legal ni fáctico, pues, se consideraron de manera aislada una puesta en peligro de los intereses jurídicos tutelados por la Ley 1581 de 2012 sin considerar cuáles son los daños y perjuicios ocasionados al Titular de la información. En primer lugar, es necesario señalar que el monto de la multa impuesta como resultado del trámite del proceso administrativo sancionatorio, deviene del análisis que se haya realizado en primera instancia. El cual, tomará en cuenta el daño y/o puesta en peligro de los intereses jurídicos tutelados por la ley.

De lo anotado se colige que, las decisiones de la administración no necesariamente deben ser iguales en abstracto. Pues, todo dependerá de las similitudes o diferencias que se presenten con asuntos resueltos previamente, además de los supuestos fácticos y jurídicos planteados. En esa línea de pensamiento, esta entidad tiene plenas facultades sancionatorias cuando considera que en el curso de una actuación administrativa resulta pertinente la imposición de sanciones o medidas, en virtud de la responsabilidad derivada del incumplimiento de las disposiciones de la mencionada ley o de las órdenes que hubiera emitido.

Sobre esto, la Corte Constitucional al adelantar la revisión del Proyecto de Ley de Habeas Data, mediante la Sentencia C-1011 de 2008 señaló: 13 Consejo de Estado, Sala de lo Contencioso Administrativo. Sentencia del 11 de octubre de 2007. Rad. 1994-04373. Consejero Ponente: Marco Antonio Velilla Moreno. 14 Consejo de Estado, Sala de lo Contencioso Administrativo.

Sentencia de 17 de mayo de 2001. Rad.1998-0603. 15 Corte Constitucional, Sentencia de Constitucionalidad 244 de 1996. Magistrado Ponente: Carlos Gaviria Díaz. Consideración b) Cfr. Corte Constitucional, sentencia C-818 del 9 de agosto de 2005. MP. Dr. Rodrigo Escobar Gil. En: https://www.corteconstitucional.gov.co/relatoria/2005/C-818-05.htm HOJA Nº 10 “Sería inocua la consagración de unos principios que regulen la actividad de administración de datos personales, así́ como de unos derechos y deberes de los diferentes agentes que intervienen en ese proceso, si paralelamente, no se establecen mecanismos que permitan la adopción de medidas eficaces para desestimular y sancionar prácticas indebidas en el ejercicio del poder informático.

Sobre la potestad sancionadora de la administración la Corte ha indicado que ésta forma parte de las competencias de gestión que constitucionalmente se le atribuyen, pues es indudable que si un órgano tiene la facultad jurídica para imponer una obligación o para regular una conducta con miras a lograr la realización del interés general, el incumplimiento de ese mandato correlativamente debe implicar la asignación de atribuciones sancionatorias bien sea al mismo órgano que impuso la obligación o a otro distinto, con el propósito de asegurar la vigencia del orden jurídico mediante la imposición de los castigos correspondientes.

Ningún reparo constitucional ofrece el hecho de que la potestad de vigilancia y control, en materia de hábeas [sic] data, se radique en los organismos técnicos que cumplen esa misma función en relación con la actividad nuclear que desarrollan las instituciones y agentes controlados. Por el contrario, en atención al principio de especialidad, tal alternativa ofrece mayores garantías de efectividad”.

Al respecto, este Despacho considera importante recordar que el derecho que aquí subyace, en conjunción con el principio de oficiosidad, riñe con la voluntad de cualquier sujeto procesal. Por lo que, en todo caso, deben cumplirse todas las etapas y disposiciones legales respectivas, sin dejar de lado las características especiales que la propia jurisprudencia constitucional le ha endilgado a las decisiones que se tomen en esta clase de procesos sancionatorios.

De este modo, y conforme con lo señalado en el ordenamiento jurídico colombiano, la investigada y en general ninguna persona sin importar su naturaleza, tiene la posibilidad de elegir la disposición normativa a la cual se somete, o a cual parte de la misma desea acogerse. Igualmente, se evidencia que la Ley de Habeas Data es una norma de obligatorio cumplimiento, a la cual no se le puede dar una aplicación fraccionada.

Adicionalmente, al ser estatutaria, es una ley con un rango normativo especial. Tal como se deduce de la lectura del artículo 152 de la Constitución Política Nacional. El cual otorga a este tipo de normas una supremacía legal, debido a que regulan y protegen, entre otros, derechos fundamentales. Es decir que, en cuanto al Tratamiento y circulación de Datos personales, y derecho a la información, a que se refieren los artículos 15 y 20 de la Constitución Política, los sujetos jurídicos destinatarios de la Ley de Habeas Data, no pueden prescindir de su observancia, o escapar de su cumplimiento, dado que su obligatoriedad es garantizada por la voluntad del Estado.

Lo cual, impide dejar un espacio de valoración subjetiva de casos concretos. Asimismo, es importante recordar que los criterios agravantes contenidos en los literales b), c), d) y e) del mencionado artículo 24, se aplican cuando se tiene prueba de lo siguiente: (i) (ii) (iii) (iv) Que se hubiere obtenido por la hoy recurrente beneficio económico alguno por la comisión de la infracción;

Reincidencia en la comisión de la conducta; Resistencia u obstrucción a la acción investigativa de la Superintendencia, ni Renuencia o desacato a cumplir las órdenes e instrucciones de la misma. Por último, no se tuvo en cuenta el criterio atenuante consagrado en el literal f) del mismo artículo citado, pues la sociedad recurrente no reconoció haber incurrido en la infracción. De acuerdo con lo anterior, se considera que la graduación de la sanción se produjo atendiendo todos los criterios señalados en la ley dentro de los límites legales y es proporcional, teniendo en cuenta los hechos, la vulneración en la que se incurrió y el tamaño empresarial de la recurrente.

Por lo anterior, no se evidencian pruebas diferentes a las consideradas al momento de adoptar la decisión contenida en la resolución hoy impugnada que desvirtúen su fundamento y obliguen a modificar el monto de la sanción impuesta o las órdenes emitidas HOJA Nº 11 En segundo lugar, es claro que la Resolución No. 27348 de 6 de mayo de 2021 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas.

Los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”. De ahí que, la decisión emitida se ajuste a derecho, pues fue producto de la aplicación del mandato legal y constitucional (artículo 209).

Asimismo, también fue el resultado de la valoración fáctica y probatoria de la primera instancia que llevó a concluir y comprobar la vulneración al derecho de habeas data del Titular. En tercer lugar, es pertinente precisar que las sanciones que se imponen dentro de esta clase de procesos, no derivan de los daños o perjuicios causados a los Titulares por el uso ilegal de su información. Es decir, las normas que protegen el derecho de habeas data no se refieren a la responsabilidad civil de los Encargados o Responsables del Tratamiento de Datos.

Resulta entonces que se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el Derecho Fundamental17 a la protección de Datos18. Adicionalmente, una vez revisada la información relacionada con la compañía RAPPI S.A.S. se pudo verificar que ya había sido sancionada por infracciones al Derecho Fundamental de Habeas Data.

En efecto, mediante Resolución N° 9800 del 25 de abril de 2019, la Dirección de Investigación de Protección de Datos Personales, resolvió imponer una sanción pecuniaria a la sociedad RAPPI S.A.S. identificada con Nit. 900.843.898-9 de DOSCIENTOS NOVENTA Y OCHO MILLONES CIENTO VEINTIÚN MIL SETENCIENTOS SESENTA PESOS M/cte. ($289.121.760.00), equivalente a TRESCIENTOS SESENTA (360) salarios mínimos legales mensuales vigentes, por el incumplimiento de lo dispuesto en: En aquella ocasión (Resolución N° 9800 del 25 de abril de 2019) se pudo establecer que el Titular del dato tuvo que presentar dos (2) solicitudes a RAPPI para que suprimiera su información y que dicha empresa se demoró más de veintidós meses y medio (22 ½) para suprimir la información del Titular.

De igual forma, la vulneración del derecho de habeas data no solo afecta al Titular, también pone en riesgo los derechos de toda la sociedad. Por esto, las sanciones no pueden ni deben tratarse como una cuestión insignificante o de poca cuantía, ni mucho menos como si las incidencias del proceso lo convirtieran en uno de indemnización de daños y perjuicios.

Esto, en razón a que existe de por medio una trasgresión flagrante a los Derechos Humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamientos o teorías complicadas, a fin de desentender o negar una verdad inconcusa, cual es la del quebrantamiento de derechos constitucionales.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”19. Por eso, según dicho documento, se considera “esencial que los 17 El Derecho Fundamental a la Protección de Datos Personales, Derecho Humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. 18 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 19 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos. HOJA Nº 12 derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los Derechos Humanos es un elemento esencial de la democracia20.

Así las cosas, recalcamos, la violación de Derechos Humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. No obstante lo anterior, una vez revisado el expediente y el contenido de la resolución recurrida se encuentra que la investigada no garantizó el pleno y efectivo ejercicio del derecho de habeas data del Titular de la información, toda vez que el Titular presentó la solicitud de eliminación de su información el 14 de marzo de 2018 y la recurrente realizó la supresión hasta el 7 de septiembre del mismo año, es decir casi 6 meses después de la petición.

5. DERECHO DE LOS TITULARES A SOLICITAR LA SUPRESIÓN DE SUS DATOS. DEBER DE LOS RESPONSABLES Y ENCARGADOS DEL TRATAMIENTO DE DATOS PERSONALES DE TRAMITAR Y RESPONDER OPORTUNA Y DEBIDAMENTE LAS PETICIONES DE LAS PERSONAS La Corte Constitucional ha establecido que “el derecho al habeas data otorga la facultad al titular [sic] de datos [sic] personales de exigir de las administradoras de esos datos [sic] “el acceso, inclusión, exclusión, corrección, adición, actualización y certificación de los datos [sic], así́ como la limitación en las posibilidades de divulgación, publicación o cesión de los mismos, de conformidad con los principios que regulan el proceso de administración de datos [sic] personales.

(…) 21. (Énfasis añadido). Es imperativo -no facultativo- que los Responsables o Encargados del Tratamiento de Datos personales garanticen oportuna y debidamente los derechos constitucionales y legales de las personas. Se trata de un asunto muy importante sobre el cual las organizaciones deben obrar de manera profesional, diligente y efectiva porque ello es parte central del mandato constitucional previsto en el artículo 15 cuyo texto señala lo siguiente: “En la recolección, tratamiento [sic] y circulación de datos [sic] se respetarán la libertad y demás garantías consagradas en la Constitución”.

Dado lo anterior, este Despacho ha sido enfático en señalar que: “No puede convertirse en práctica empresarial que el titular [sic] del dato [sic] tenga que insistir varias veces para que se garantice el respecto de sus derechos. Con una sola solicitud es suficiente y le corresponde al Responsable hacer efectivo el derecho de las personas dentro de los plazos máximos legales establecidos en la ley.

Los derechos de los titulares [sic] son para respetarlos en el tratamiento [sic] de datos [sic] personales y no para dilatar su cumplimiento o negar su efectividad en la práctica.” 22 Es necesario precisar que la Autorización es un mecanismo de legitimación del Tratamiento de Datos personales, pero no es un título traslaticio de la propiedad del Dato.

El Responsable y/o el Encargado no son propietarios de los Datos, sino meros tenedores o administradores de esa información. Ellos, no pueden efectuar el Tratamiento de los Datos personales de cualquier manera sino solo como lo indica la Constitución Política Nacional y la ley. La Autorización no le permite al Responsable o Encargado obrar arbitrariamente cuando trata Datos personales porque ello atenta contra mandatos constitucionales y legales.

Por eso, los Responsables y Encargados, deben, entre otras cosas, garantizar los derechos de los Titulares de los Datos para que se pueda predicar que estamos frente a un Tratamiento lícito de la información mencionada. En este sentido, la Corte Constitucional, ha señalado lo siguiente: “En efecto, el artículo 15 de la Constitución Política señala que “En la recolección, tratamiento [sic] y circulación de datos [sic] se respetaran la libertad y demás garantías consagradas en la Constitución.” El hábeas [sic] data confiere en palabras de la Corporación “según la norma constitucional citada, un grupo de facultades al individuo para que, en ejercicio de la cláusula general de libertad, pueda controlar la información que de sí mismo Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 21 Sentencia C-748 de 2011.

Control constitucional al Proyecto de Ley Estatutaria No. 184 de 2010 en Senado; 046 de 2010 en Cámara de Representante, “por la cual se dictan disposiciones generales para la protección de datos [sic] personales” (Ley 1581 de 2012). 22 Cfr. Resolución 83882 del 15 de noviembre de 2018 de la Superintendencia de Industria y Comercio. HOJA Nº 13 ha sido recopilada por una central de información”.

Este control, no sólo se predica de la autorización previa para el Tratamiento del dato [sic], sino que el individuo también es libre de decidir cuales informaciones desea que continúen y cuáles deben sean excluidas de una fuente de información, siempre y cuando no exista un mandato legal que le imponga tal deber, o cuando exista alguna obligación contractual entre la persona y el controlador de datos [sic], que haga necesaria la permanencia del dato [sic].

Considerar lo contrario significaría que los administradores de la información, pudieran disponer libremente y sin término definido, de los datos [sic] personales del sujeto concernido y, en consecuencia, aquel quedaría privado materialmente de la posibilidad de ejercer las garantías previstas a su favor por el Texto Constitucional. (…)23.

(Énfasis añadido) Como es sabido, la supresión de la información es un derecho del Titular del Dato, previsto en la Ley 1581 de 2012 en los siguientes términos: “Artículo 8°. Derechos de los Titulares. El Titular de los datos [sic] personales tendrá los siguientes derechos: (…) e) Revocar la autorización y/o solicitar la supresión del dato [sic] cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.

La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución; (Destacamos) (…)”24. La Corte Constitucional mediante Sentencia C-748 de 2011 se refirió al precitado artículo de la siguiente manera: “ (…) el literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización y solicitar la supresión del dato [sic] cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales.

En este caso, y en aras de garantizar el debido proceso, siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato [sic], cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base [sic] de datos [sic]” En línea con lo anterior, ordena lo siguiente el artículo 9 del Decreto 1377 de 2013 (incorporado en el Decreto 1074 de 2015) y titulado “Revocatoria de la autorización y/o supresión del dato [sic]”.

“Los Titulares podrán en todo momento solicitar al responsable [sic] o encargado [sic] la supresión de sus datos [sic] personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012. La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base [sic] de datos [sic].

El responsable [sic] y el encargado [sic] deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos [sic] o la revocatoria de la autorización otorgada. Si vencido el término legal respectivo, el responsable [sic] y/o el encargado [sic], según fuera el caso, no hubieran eliminado los datos [sic] personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos [sic] personales.

Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012”. 23 Sentencia C-748 de 2011. Control constitucional al Proyecto de Ley Estatutaria No. 184 de 2010 en Senado; 046 de 2010 en Cámara de Representante, “por la cual se dictan disposiciones generales para la protección de datos personales” (Ley 1581 de 2012). 24 Cfr. Literal e) del artículo 8 de la Ley 1581 de 2012.

HOJA Nº 14 Así las cosas, es evidente que en virtud del ejercicio del derecho fundamental de habeas data a que se refiere el literal a) del artículo 17 de la Ley 1581 de 201225 los Titulares pueden solicitar la exclusión o supresión de la información que repose en las Bases de Datos de los Responsables o Encargados del Tratamiento, siempre que no exista un deber legal o contractual que lo impida.

Adicionalmente, obviar el cumplimiento estricto de la ley o minimizar su impacto en la sociedad generaría el fortalecimiento de una reprochable conducta tendiente a esperar que el Titular del Dato tenga que insistir en varias oportunidades para que su derecho sea garantizado. Esto, se reitera, es censurable e inadmisible. En este caso, se recalca que la recurrente desatendió sus deberes legales porque el Titular presentó la solicitud de eliminación de su información el 14 de marzo de 2018 y la recurrente realizó la supresión hasta el 7 de septiembre del mismo año, es decir casi 6 meses después de la petición. Dado lo anterior, no son de recibo los argumentos planteados en el recurso objeto de estudio.

6. DE LA SUPUESTA REVOCATORIA DE LA RESOLUCIÓN No. 8993 de 11 de abril de 2019 Frente a este punto, este Despacho se remite a lo establecido por la Dirección de investigación de Datos Personales en la Resolución No. 40814 de 2021: Por lo expuesto, los argumentos presentados por la investigada no serán acogidos por este Despacho. 25 El texto del literal a) del artículo 17 de la ley 1581 de 2012 dice: “Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas [sic] data;” HOJA Nº 15 CONCLUSIONES Sin perjuicio de lo establecido no se accederá a las pretensiones de la recurrente por, entre otras, las siguientes razones: 1.

Es imperativo -no facultativo- que los Responsables o Encargados del Tratamiento de Datos personales garanticen oportuna y debidamente los derechos constitucionales y legales de las personas. Se trata de un asunto muy importante sobre el cual las organizaciones deben obrar de manera profesional, diligente y efectiva porque ello es parte central del mandato constitucional previsto en el artículo 15 de la Constitución. 2.

La recurrente fue negligente en no suprimir el dato del titular dentro del máximo término establecido por la ley para dicho efecto (15 días hábiles) ya que el Titular presentó la solicitud de eliminación de su información el 14 de marzo de 2018 y la recurrente realizó la supresión hasta el 7 de septiembre del mismo año, es decir casi 6 meses después de la petición. 3.

Ni la responsabilidad, ni la sanción frente a quien incumple el régimen jurídico de protección de Datos personales se desvanece ante la configuración de un "hecho superado", y no significa que desaparezcan las eventuales irregularidades en que incurrió, ni le exime de responsabilidad. Por tanto, esta Superintendencia tiene plenas facultades para iniciar una actuación administrativa de carácter sancionatorio, frente a quien, entre otras cosas, alegue la configuración de un "hecho superado". 4.

La multa impuesta equivale el 10,13% del máximo legal permitido por el artículo 23 de la Ley 1581 de 2012. Al momento de imponer la sanción se realizó el análisis de proporcionalidad y dosificación de la sanción. Así, los criterios señalados en el artículo 24 de la Ley 1581 de 2012, ya fueron tenidos en cuenta al momento del estudio probatorio; 5.

RAPPI S.A.S. ya había sido sancionada por infracciones al Derecho Fundamental de Habeas Data. En efecto, mediante la Resolución N° 9800 del 25 de abril de 2019 se pudo establecer que el Titular del dato tuvo que presentar dos (2) solicitudes a RAPPI para que suprimiera su información y que dicha empresa se demoró más de veintidós meses y medio (22 ½) para suprimir la información del Titular. 6.

RAPPI S.A.S. debe respetar debida y oportunamente los derechos de las personas. Su actividad empresarial no la eximen de cumplir la Constitución y la Ley. De esta forma y de acuerdo con lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirma la Resolución No. 27348 de 6 de mayo de 2021.

En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO. CONFIRMAR en todas sus partes la Resolución No. 27348 de 6 de mayo de 2021, de conformidad con lo expuesto en la parte motiva del presente acto administrativo.

ARTÍCULO SEGUNDO. NOTIFICAR personalmente el contenido de la presente resolución a la sociedad RAPPI S.A.S., identificada con Nit. 900.843.898-9, a través de su representante legal y su apoderado, entregándoles copia de esta e informándole que contra el presente acto administrativo no procede recurso alguno.

ARTÍCULO TERCERO. COMUNICAR el contenido de la presente decisión al señor Xxxxxxxxx Xxxxxxx Xxxxxxxxxxx identificado con la Cédula de Ciudadanía No. xx.xxx.xxx, o a sus apoderados, entregándoles copia de la misma e informándoles que contra el presente acto administrativo no procede recurso alguno HOJA Nº 16 ARTÍCULO CUARTO. INFORMAR el contenido de este acto administrativo al Director de Investigación de Protección de Datos Personales y devolverle el expediente para su custodia final.

NOTIFÍQUESE, COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., marzo 23 de 2022 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES Firmado NELSON digitalmente por REMOLINA REMOLINA NELSON ANGARITA 2022.03.23 ANGARITA Fecha: 14:28:28 -05'00' NELSON REMOLINA ANGARITA CGC Notificación Sociedad: Identificación: Representante Legal: Identificación: Apoderado: Identificación: Tarjeta Profesional: Correo electrónico: Dirección: Ciudad: País: RAPPI S.A.S. Nit. 900.843.898-9 Felipe Villamarin Lafaurie C.C. No. 1.136.881.540 Xxxxxxxxxx Xxxxxxx Xxxxxxxx C.C. x.xxx.xxx.xxx xxx.xxx del Consejo Superior de la Judicatura notificacionesrappi@rappi.com Calle 93 # 19-75 Bogotá D.C., Colombia Comunicación Señor: Xxxxxxxxx Xxxxxxx Xxxxxxxxxxx Identificación: C.C. xx.xxx.xxx Correo electrónico: xxxxxxxxxxxxxxxxxxxx HOJA Nº 17

Resolución sancionatoria N° 14457 de 2022

CONSIDERANDO

RESUELVE