(21 OCTUBRE 2021) “Por la cual se impone una sanción administrativa” Radicación 19-233237 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y
CONSIDERANDO
PRIMERO: Que esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad RAPPI S.A.S., identificada con el Nit. 900.843.898-9, por lo que decidió iniciar investigación administrativa mediante la Resolución N°. 6083 del 20 de febrero de 2020 en consideración a la remisión realizada por el Grupo de Trabajo de Hábeas Data, el cual en la parte considerativa de la Resolución N°. 4814 del 28 de febrero de 2019 evidenció que: “6.1 Solicitud de supresión de la información (…) En el presente caso se observa que la sociedad Rappi S.A.S., afirma que por medio de su plataforma a la cual se ingresa a través de internet o con el uso de su aplicación móvil los usuarios, previo al registro para el uso de la misma, los titulares “deben obligatoriamente aceptar los términos y condiciones (…) así como el aviso de privacidad y sus políticas de tratamiento de datos personales”, y allegan en la “imagen3” que reposa a folio 16, la evidencia de la creación de un usuario a nombre del Titular de la información. No obstante, a lo largo de la respuesta a la solicitud de explicaciones (fls.10 al 49) este Despacho evidencia que la sociedad Rappi S.A.S. no allegó copia o soporte en el que demuestre la aceptación previa y expresa de la autorización dada por parte del titular para que la misma trate su información personal, por lo que de acuerdo con el material probatorio obrante en el expediente dicha sociedad no está facultada para tratar los datos personales asociados con el señor Xxxxxx Xxxxx Xxxxxx.
En virtud de lo anterior, este Despacho advierte que la sociedad investigada no aportó ningún tipo de documento en el que constara que contaba con la autorización previa y expresa para hacer el tratamiento de los datos personales del titular y, por lo que se evidencia un posible incumplimiento al deber contenido en el literal b) del artículo 17 de la Ley 1581 de 2012.
No obstante lo anterior, a folio 49 este Despacho encuentra pantallazo de la plataforma usada por la sociedad Rappi S.A.S. en donde se observa la búsqueda del correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxxxx sin que la búsqueda sea exitosa, prueba que comprueba la eliminación de la información solicitada por el Titular. De acuerdo con lo anterior, este Despacho procederá a archivar el presente acto administrativo teniendo en cuenta que se logró determinar que la sociedad Rappi S.A.S., eliminó la información solicitada por el Titular y por consiguiente no tiene dentro de sus bases de datos los datos personales del señor Xxxxxx Xxxxx Xxxxxx, por lo cual se tiene que se trata de un hecho superado.
No obstante, procederá a ordenar el traslado del presente acto administrativo al Grupo de Investigaciones administrativas, a fin de establecer si el actuar de la sociedad Rappi S.A.S., se ajusta al cumplimiento de los deberes establecidos en la Ley 1581 de 2012, o no, y en consecuencia, determine si existe mérito para iniciar una investigación administrativa de carácter sancionatorio.”
SEGUNDO: Que, con base en los hechos anotados y de acuerdo con las pruebas trasladadas de la actuación del Grupo de Trabajo de Hábeas Data de esta Dirección, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, el 20 de febrero de 2020 se inició la presente investigación administrativa mediante la expedición de la Resolución N°. 6083 de 2020, por medio de la cual se formularon cargos a la sociedad RAPPI S.A.S., por el presunto incumplimiento a las disposiciones contenidas en: HOJA N, “Por la cual se impone una sanción administrativa” • El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la misma ley; • El literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 de la Ley citada y artículo 2.2.2.25.2.6 del Decreto 1074 (sic); • El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015; y • El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley.
La mencionada resolución le fue notificada a la sociedad investigada mediante aviso N°. 2259 del 2 de marzo de 2020, de conformidad con la certificación del 12 de marzo de 2020 expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 19-233237-8, para que se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. Igualmente, se comunicó de la misma actuación al denunciante.
TERCERO: Que mediante Resolución N°. 27582 del 10 de junio de 2020, esta Dirección incorporó las siguientes pruebas del expediente radicado bajo el número 19-233237, con el valor legal que les correspondiera: Pruebas recaudadas por esta Dirección 3.1 Memorando mediante el cual el Director de Investigación de Protección de Datos Personales remite copia de la Resolución 4817 del 28 de febrero de 2019, con el fin de determinar si existe o no mérito para adelantar actuación administrativa de carácter sancionatorio, obrante en consecutivo radicado 18-132370-14 del 29 de marzo de 2019. 3.2 Denuncia, junto con sus anexos, radicado bajo el número 18-132370-00 del 02 de mayo de 2018, mediante la cual el señor XXXXXX XXXXX XXXXXXX puso en conocimiento ante esta Superintendencia, los hechos objeto de esta investigación. 3.3 Solicitud de explicaciones a la sociedad RAPPI S.A.S., por la Coordinación del Grupo de Trabajo de Habeas Data, obrante en consecutivo radicado 18-132370-00003-000 del 5 de mayo de 2018. 3.4 Comunicación junto con sus anexos, obrante en consecutivo radicado 18-132370-00004-0000 del 20 de junio de 2018, mediante el cual la sociedad RAPPI S.A.S. responde requerimiento de esta Superintendencia. La mencionada resolución le fue comunicada a la sociedad investigada el 16 de junio de 2020 de conformidad con la certificación del 10 de agosto de 2020 expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 19-233237-15.
CUARTO: Que mediante escrito radicado el 19 de junio de 2020, bajo el número 19-233237-12, la sociedad RAPPI S.A.S., a través de apoderado especial, presentó ante este Despacho una solicitud de revocatoria de la Resolución N°. 27582 del 10 de junio de 2020.
QUINTO: Que la sociedad RAPPI S.A.S. aportó escrito de descargos con radicado 19-233237-13 del 19 de junio de 2020, argumentando, entre otras cosas, lo siguiente: 5.1 Realiza la exposición de unas consideraciones preliminares respecto de: (i) la oportunidad y radicación del escrito de descargos, (ii) la solicitud de confidencialidad sobre la información allegada por la sociedad al trámite administrativo de la referencia y (iii) las órdenes administrativas impartidas por esta Dirección, mediante las Resoluciones 9800 y 74828 de 2019.
HOJA N, “Por la cual se impone una sanción administrativa” 5.2 Advierte un presunto desconocimiento de los principios constitucionales de confianza legítima y buena fe, así como el quiebre de la prohibición conocida como “non bis in idem” en contra de la sociedad RAPPI S.A.S. 5.3 En línea con lo anterior, sostiene que “Pareciera entonces que la Dirección está revocando de manera velada las decisiones que tomó a través de la Resolución N° 4814 de 2019, situación que no se ajusta a derecho más aún cuando es un mismo funcionario el que archiva y reabre la investigación”. 5.4 Señala que este Despacho incurrió en prejuzgamiento al emitir veredictos en el acto de formulación de cargos, Resolución N°. 6083 del 20 de febrero de 2020, específicamente, en la adecuación típica de los cargos. 5.5 A continuación, la sociedad investigada, presenta sus argumentos de defensa frente a los cargos formulados por esta Dirección. 5.6 Frente al primer cargo, la sociedad investigada señala que: Encarna una contradicción el hecho de que el Director de Investigación de Protección de Datos Personales haya archivado el trámite administrativo adelantado bajo el número 18-132370, al considerar que la sociedad había atendido las reclamaciones presentadas por el Titular y se configuraba un hecho superado, para posteriormente abrir investigación y formular cargos por los mismos hechos en contra de la sociedad RAPPI S.A.S.; situación que, a su juicio, desconoce los principios constitucionales de confianza legítima y buena fe, así como el derecho fundamental al debido proceso y la prohibición de un doble enjuiciamiento en contra de la sociedad investigada.
Asimismo, indica que “Además, ponemos de presente que las comunicaciones a las que hace alusión la Dirección relativas a los correos electrónicos del Señor Xxxxx de los días 5, 10 y 18 de abril de 2018, fueron eliminadas junto con toda su información personal en cumplimiento de la solicitud formulada por el titular en ese sentido, motivo por el cual, a la fecha, Rappi no cuenta con ningún tipo de rastro respecto de los datos personales del Señor Xxxxx.
Así pues, Rappi atendió las solicitudes formuladas por el Señor Xxxxx motivo por el cual procedió también a eliminar las comunicaciones con éste intercambiadas, en tanto en estas reposaba su información personal”. 5.7 Frente al segundo cargo, la sociedad investigada afirma que: Esta Dirección está desconociendo la valoración probatoria realizada en la Resolución N°. 4814 del 28 de febrero de 2019, y con base en el mismo material probatorio, está realizando un nuevo reproche sobre el deber de garantizar el derecho de habeas data del Titular.
La sociedad RAPPI S.A.S. alega que cumplió el deber de supresión de la información del Señor Xxxxxx Xxxxx, conforme fue acreditado en el trámite 18-132370. No obstante lo anterior, allega dos videos que “le permiten a la Dirección corroborar, nuevamente, que la información personal del Titular fue eliminada efectivamente de las bases de datos de Rappi”. 5.8 Frente a los cargos tercero y cuarto, la sociedad investigada señala que: “El Señor Xxxxxx Xxxxx, quien en su momento fue usuario de la aplicación de Rappi, se registró en la misma y dio su consentimiento para el uso de su información personal el día 19 de febrero de 2016, tal como puede ser corroborado por la Dirección con la evidencia que se presenta a continuación: Este registro corresponde al sistema interno de información de Rappi, que arroja los resultados relativos al momento de registro del titular en la aplicación, especificando la fecha y hora de dicho suceso.
HOJA N, “Por la cual se impone una sanción administrativa” En ese momento, Rappi obtuvo la autorización para el tratamiento de los datos del Señor Xxxxx y le suministró la información respecto de las finalidades para el tratamiento de su información personal. Para ello, debe tenerse en cuenta que el Señor Xxxxx, al ingresar a la aplicación de Rappi y registrarse, aceptó de forma electrónica el tratamiento de su información conforme el texto que se muestra a continuación el 19 de febrero de 2016 a las 14:19:55:” En este punto y en aras de velar por la trazabilidad de la información, se realiza la trascripción de las finalidades señaladas en la imagen incorporada en el escrito de descargos a la que hace referencia la sociedad investigada, debido a la ilegibilidad de esta: “Finalidades del Tratamiento: El titular de la información acepta de manera expresa, voluntaria e informada el tratamiento de sus datos personales y para que estos sean consignados, sean recopilados y almacenados en las bases de datos de RAPPI conforme a las finalidades que a continuación se enuncian: (i) Recabar o recolectar los datos personales e incorporarlos y almacenarlos en nuestra base de datos, (ii) Ordenar, catalogar, clasificar, dividir o separar la información suministrada, (iii) Utilizar los datos suministrados en campañas de comunicación, divulgación y promoción u oferta de productos, actividades o servicios desarrollados como parte de estrategias internas de la compañía, (iv) Utilizarlos para fines administrativos internos o comerciales tales como: estudios de crédito, elaboración y presentación de cotizaciones, referencias comerciales de experiencia, investigación de mercados, análisis estadísticos, realización de encuestas sobre satisfacción, ofrecimiento o reconocimiento de beneficios propios de nuestro programa de lealtad y servicio postventa, (v) Conservar registros históricos de la compañía y mantener contacto con los titulares del dato, (vi) Verificar, comprobar o validar los datos suministrados, (vii) Estudiar y analizar la información entregada para seguimiento y mejoramiento de los productos, el servicio y la atención, (viii) Entregar la información recolectada a terceros con los que la compañía contrate el almacenamiento y administración de los datos personales, bajo los estándares de seguridad y confidencialidad a los cuales RAPPI está obligada según lo contenido en las leyes pertinentes, (ix) Transferir los datos personales a cualquier país o servidor en otro país, (x) Comunicar y permitir el acceso a los datos personales suministrados a terceros proveedores de servicios de apoyo general y a las personas naturales o jurídicas accionistas de RAPPI, (XI) Recabar, tener, manejar y utilizar la información recibida por el titular de la información para realizar la vinculación como contratista o proveedor, (xiii) Recabar, tener, manejar y utilizar la información para realizar control y prevención del fraude, control y prevención de lavado de activos y financiación del terrorismo, (xiv) Celebración, ejecución y gestión de las propuestas de negocios y contratos objeto de los servicios prestados, (xv) Realizar de conformidad con la ley los reportes a centrales de riesgo por incumplimiento de las obligaciones financieras derivadas de la relación comercial, (xvi) Envío de comunicaciones a través de cualquier canal, con ocasión a las actividades de mercadeo y asistencia contractual.
RAPPI podrá transmitir o transferir los datos personales de los que es Responsable a terceros, los datos también podrán ser transferidos a otras empresas que se encuentren bajo la misma órbita de control de RAPPI. Dichos terceros podrán estar ubicados en Colombia, o en otros países que, a juicio de la Superintendencia de Industria y Comercio, garanticen un nivel adecuado de protección de datos personales.
Igualmente, podrán ser transferidos a, Argentina, Brasil, Chile, Costa Rica, Ecuador, Estados Unidos, México, Perú, Uruguay.” No obstante lo anterior, aclara que ha realizado una serie de modificaciones al mecanismo mediante el cual, de una parte, obtiene y conserva la autorización por parte de los Titulares para el tratamiento de sus datos personales y, por otra parte, les informa sobre las finalidades y las distintas maneras en que van a tratar sus datos personales.
Para mayor ilustración, allega copia del nuevo formato de autorización. Finaliza este acápite del escrito de descargos, señalando que la sociedad investigada solicita la autorización de los titulares para el tratamiento de su información personal y les informa a estos las finalidades de su recolección; lo cual se puede verificar a través del contenido de los formatos de autorización incluidos en el consentimiento otorgado por parte de los usuarios de RAPPI S.A.S. y representa el cumplimiento de las obligaciones legales por parte de la investigada.
Solicita se desestimen los cargos y se proceda con el archivo de la actuación administrativa de la referencia. HOJA N, “Por la cual se impone una sanción administrativa”
SEXTO: Que esta Dirección decidió una solicitud de revocatoria directa, abrió nuevamente etapa probatoria, incorporó unas pruebas y decretó otra, a través de la Resolución N°. 65173 del 16 de octubre de 2020. Las pruebas que se incorporaron al expediente 19-233237 fueron las siguientes: 6.1 Imagen denominada por la sociedad “Pantallazo extraído del sistema de Rappi que muestra que la información relativa al Titular Xxxxxx Xxxxx (teléfono y correo electrónico) fue eliminada de las bases de datos de Rappi el 20 de junio de 2018 a las 14:00:31” ubicada en el numeral 4.2.1. 6.2 Dos (2) imágenes tituladas por la sociedad “Búsqueda con el número de celular del Titular” ubicadas en el numeral 4.2.2. 6.3 Dos (2) imágenes tituladas por la sociedad “Búsqueda con el correo electrónico del Titular” ubicadas en el numeral 4.2.2. 6.4 Imagen 1º ubicada en el numeral 4.3.1., relacionada por la sociedad como “registro corresponde al sistema interno de información de Rappi” 6.5 Imagen 2º ilegible ubicada en el numeral 4.3.1., denominada “AUTORIZACIÓN DE TRATAMIENTO DE DATOS PERSONALES Y POLÍTICAS DE MANEJO DE LA INFORMACIÓN (HABEAS DATA) RAPPI S.A.S”. 6.6 Dos (2) imágenes relacionadas por la sociedad como “procedimiento para obtener su consentimiento para el tratamiento de su información personal”, ubicadas en el numeral 4.3.2.
PARÁGRAFO: No se incorporan las pruebas que la sociedad RAPPI S.A.S. manifestó aportar con el escrito de descargos, en razón a que no fueron radicadas por el correo electrónico contactenos@sic.gov.co, canal oficial para la trazabilidad de los procesos. Adicionalmente, la prueba decretada fue la siguiente: “ARTÍCULO TERCERO: DECRETAR de oficio la siguiente prueba: • Oficiar a la sociedad RAPPI S.A.S. para que aporte las pruebas a través del correo electrónico contactenos@sic.gov.co. canal oficial para la trazabilidad de los procesos.” La mencionada resolución le fue comunicada a la sociedad investigada el 16 de octubre de 2020, a través de su apoderado especial, de conformidad con la certificación del 9 de noviembre de 2020 expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 19-23323721.
SÉPTIMO: Que mediante radicados número 19-233237-19 y 19-233237-20 del 21 de octubre de 2020, la sociedad RAPPI S.A.S., por conducto de su apoderado especial, allegó respuesta al decreto de pruebas realizado mediante la Resolución N°. 65173 del 16 de octubre de 2020.
OCTAVO: Que, concluida la etapa probatoria, esta Dirección corrió traslado a la sociedad investigada, mediante oficio del 2 de agosto de 2021 radicado bajo el número 19-233237-24, por el término de diez (10) días hábiles para que presentara sus alegatos de conclusión.
NOVENO: Que la sociedad RAPPI S.A.S. presentó escrito de alegatos de conclusión con radicado 19-233237-26 del 12 de agosto de 2021, en el cual reitera lo dicho en el escrito de descargos.
DÉCIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.
DÉCIMO PRIMERO: Análisis del caso 11.1 Adecuación típica HOJA N, “Por la cual se impone una sanción administrativa” La Corte Constitucional mediante sentencia C-748 de 20111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.
(ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de las siguientes disposiciones: • El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la misma ley. • El literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 de la Ley citada y artículo 2.2.2.25.2.6 del Decreto 1074 (sic); • El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015; y • El Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley.
En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los argumentos de hecho y de derecho expuestos por la sociedad investigada, así como las pruebas arribadas al proceso de la referencia y las recolectadas por esta Dirección. 11.2 Valoración probatoria y conclusiones 11.2.1 Del deber de tramitar los reclamos formulados por la titular de la información El literal j) del artículo 17 de la Ley 1581 de 2012, establece uno de los deberes a cargo de los Responsables de la Información en los siguientes términos:
ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley; (…).” A su turno, el artículo 15 del cuerpo normativo en cita dispone lo siguiente: “ARTÍCULO 15.
RECLAMOS. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). HOJA N, “Por la cual se impone una sanción administrativa” o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1.
El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.
Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.
Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.
Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.” En referencia a los artículos en cita, la Cote Constitucional, mediante sentencia C- 748 de 20112, realizó las siguientes precisiones: “Sobre este mecanismo de reclamos que se consagra ante los responsables y encargados del dato, se puede advertir que los términos que se dieron para que el obligado conteste los requerimientos hechos son los mismos que se consagran para el derecho de petición en el Código Contencioso Administrativo, razón por la que se pueden transpolar los comentarios que se dejaron consignados sobre el carácter instrumental del derecho de petición, en aras de permitir al titular del dato ejercer las facultades que se derivan del habeas data.
En la misma sentencia, la Corte de refirió a las características que debe tener la respuesta para que se entienda satisfecho el derecho de petición3, así: “En ese orden, tanto los responsables como los encargados del tratamiento están obligados a observar esos parámetros que en términos generales se pueden resumir de la siguiente manera: (i) la respuesta debe ser de fondo, es decir no puede evadirse el objeto de la petición, (ii) que de forma completa y clara se respondan a los interrogantes planteados por el solicitante, (iii) oportuna, asunto que obliga a respetar los términos fijados en la norma acusada.” Frente a este deber, este Despacho evidenció por medio de la Resolución N°. 6083 del 20 de febrero de 2020 que: “Atendiendo a los anteriores supuestos normativos y jurisprudenciales, e igualmente a la queja presentada por el Titular, esta Dirección encuentra preliminarmente que los correos enviados por el Titular los días 05 de abril (folios 5 y 7), 10 de abril (folio 5) y 18 de abril de 2018 (folio 9) no obtuvieron respuesta por parte de la sociedad RAPPI S.A.S. En respuesta emitida por la investigada, a la solicitud de explicaciones, manifestó: "El titular de los datos personales, Xxxxxx Xxxxx Xxxxxxx, realizó varías reclamaciones a través de varios correos que Rappi S.A.S. tiene disponibles para este fin pero ninguna de ellas procedió correctamente a eliminar su correo de éstas como se evidencia en las comunicaciones que el reclamante adjunto con su solicitud." (folio 14 reverso).
Así mismo, no se allegó respuestas oportunas a los reclamos presentados, que hubieran cumplido con el literal j) del artículo 17 y con el artículo 15, ambos de la Ley 1581 de 2012. Cfr. Corte Constitucional, sentencia C 748 del 2011, seis (6) de octubre de dos mil once (2011), de fecha Magistrado Ponente Jorge Ignacio Pretelt Chaljub Idem HOJA N, “Por la cual se impone una sanción administrativa” De este modo, conforme a la información que obra en el expediente, es posible concluir preliminarmente que la sociedad RAPPI S.A.S. presuntamente vulneró el precepto normativo contenido en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la citada ley.” En cuanto a lo anterior, la sociedad investigada manifestó lo siguiente: Considera que encarna una contradicción el hecho de que el Director de Investigación de Protección de Datos Personales haya archivado el trámite administrativo adelantado bajo el número 18132370, al considerar que la sociedad haya atendido las reclamaciones presentadas por el Titular y se configuraba un hecho superado, para posteriormente abrir investigación y formular cargos por los mismos hechos en contra de la sociedad RAPPI S.A.S.; situación que, a su juicio, desconoce los principios constitucionales de confianza legítima y buena fe, así como el derecho fundamental al debido proceso y la prohibición de un doble enjuiciamiento (non bis in ídem) en contra de la sociedad investigada.
En línea con lo anterior, sostiene que “Pareciera entonces que la Dirección está revocando de manera velada las decisiones que tomó a través de la Resolución N° 4814 de 2019, situación que no se ajusta a derecho más aún cuando es un mismo funcionario el que archiva y reabre la investigación”4. Asimismo, indica que “Además, ponemos de presente que las comunicaciones a las que hace alusión la Dirección relativas a los correos electrónicos del Señor Xxxxx de los días 5, 10 y 18 de abril de 2018, fueron eliminadas junto con toda su información personal en cumplimiento de la solicitud formulada por el titular en ese sentido, motivo por el cual, a la fecha, Rappi no cuenta con ningún tipo de rastro respecto de los datos personales del Señor Xxxxx.
Así pues, Rappi atendió las solicitudes formuladas por el Señor Xxxxx motivo por el cual procedió también a eliminar las comunicaciones con éste intercambiadas, en tanto en estas reposaba su información personal”5. Previo al análisis probatorio, resulta imperioso realizar las siguientes precisiones: - El literal e) del artículo 3 de la Ley 1581 de 2012 define al Responsable del Tratamiento como aquella “Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos”.
Esta norma fue declarada exequible mediante sentencia C-748 del 2011 en el siguiente entendido: “(…) el concepto de ‘decidir sobre el tratamiento’ empleado por el literal e) parece coincidir con la posibilidad de definir-jurídica y materialmente- los fines y medios del tratamiento”6. - En el presente caso, conforme al material probatorio recaudado durante las averiguaciones preliminares, se encuentra acreditado que la sociedad RAPPI S.A.S. ostenta la calidad de Responsable del Tratamiento de los datos personales del señor XXXXXX XXXXX XXXXXXX; razón por la cual, le corresponde cumplir con los deberes estipulados en el artículo 17 de la Ley Estatutaria 1581 de 2012, en tanto define los fines y medios esenciales para el tratamiento de la información del Titular. - Ahora bien, en cuanto a los argumentos de la investigada, es pertinente hacerle a la misma ciertas aclaraciones en torno a la conformación de esta Dirección, la cual está integrada por dos grupos de trabajo, a saber: (i) el Grupo de Trabajo de Habeas Data y (ii) el Grupo de Trabajo de Investigaciones Administrativas, cuyas funciones se señalan a continuación: Esta Superintendencia, mediante Resolución 54004 del 17 de septiembre de 2012, creó y organizó el Grupo de Trabajo de Habeas Data adscrito a la Dirección de Investigación de Protección de Datos Personales, asignándole, entre otras, las siguientes funciones: “(…) Radicado 19-233237-13, página 5 Radicado 19-233237-13, página 12 Cfr. Corte Constitucional, sentencia C 748 del 2011, seis (6) de octubre de dos mil once (2011), de fecha Magistrado Ponente Jorge Ignacio Pretelt Chaljub.
HOJA N, “Por la cual se impone una sanción administrativa” 1. Elaborar los actos administrativos que sean necesarios para el cabal cumplimiento del trámite de las quejas o reclamos que se adelanten en procura del amparo del derecho fundamental de hábeas data, de conformidad con las normas y procedimientos establecidos. (…).” El mismo 17 de septiembre de 2018, a través de la Resolución 54005, esta Superintendencia creó y organizó el Grupo de Trabajo de Investigaciones Administrativas y le asignó, entre otras, las siguientes funciones: “(…) 3.
Elaborar los actos administrativos que sean necesarios para tramitar y decidir las investigaciones que se adelanten de oficio o a petición de parte, por violación a las normas de Protección de Datos Personales. (…).” A su turno, el capítulo III de la Ley 1437 de 2011 Código de Procedimiento Administrativo y de lo Contencioso Administrativo contiene la regulación del procedimiento administrativo sancionatorio general.
De acuerdo con el artículo 47 de este cuerpo normativo, el procedimiento administrativo está precedido de una fase previa de averiguaciones preliminares “Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado. Concluidas las averiguaciones preliminares, si fuere el caso, formulará cargos mediante acto administrativo.” Con posterioridad a esta etapa (i) se profiere acto administrativo de formulación de cargos;
(ii) los investigados presentan sus descargos; (iii) se adelanta el periodo probatorio; y (iv) se profiere la decisión administrativa que corresponda en derecho. Estas etapas se encuentran reguladas en los artículos 48 al 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo. Las disposiciones sobre el proceso administrativo sancionatorio contenidas en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo constituyen el marco general de actuación para las entidades.
Sin embargo, es posible que, por vía reglamentaria, las autoridades administrativas establezcan protocolos internos para adelantar cada una de las fases. En este sentido, el procedimiento aplicable para adelantar los trámites administrativos de esta Superintendencia se encuentra consignado en el “Procedimiento de Investigaciones sobre posibles violaciones a las normas sobre protección de datos personales.” De acuerdo con este protocolo, el Grupo de Trabajo de Investigaciones Administrativas y el Grupo de Trabajo de Hábeas Data desempeñan funciones distintas, las cuales son ejercidas de conformidad con las funciones atribuidas al Director de Investigación de Protección de Datos Personales.
En atención al procedimiento descrito, el Grupo de Trabajo de Hábeas Data, a través de la Resolución N°. 4814 del 28 de febrero de 2019, efectuó el traslado del expediente 18-132370, en los siguientes términos: “ARTÍCULO TERCERO: Trasladar copia de la presente resolución al Grupo de Trabajo de Investigaciones Administrativas para que proceda de acuerdo a su competencia.” Posteriormente, en virtud del traslado efectuado por el Grupo de Trabajo de Hábeas Data y de conformidad con los resultados del análisis del expediente en cita, la Dirección de Investigación de Protección de Datos Personales decidió, mediante Resolución N°. 6083 del 20 de febrero de 2020, abrir investigación y formular pliego de cargos contra la sociedad RAPPI S.A.S., identificada con Nit. 900.843.898-9, por la presunta contravención de lo dispuesto en: (i) El literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la misma ley;
HOJA N, “Por la cual se impone una sanción administrativa” (ii) El literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 de la Ley citada y artículo 2.2.2.25.2.6 del Decreto 1074 (sic); (iii) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015; y (iv) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley.
Ahora bien, no debe perderse de vista que los trámites administrativos adelantados bajo los números 18-132370 y 19-233227 no son idénticos, pues las circunstancias fácticas, así como los deberes y derechos vulnerados difieren y conllevan la adopción de dos decisiones independientes por parte de esta Dirección; la primera, en el marco de la garantía inmediata del derecho de “habeas data” mediante la Resolución N°. 4814 del 28 de febrero de 2019 y, la segunda, como resultado de la verificación preliminar de condutas presuntamente violatorias de la ley de protección de datos personales en el marco del inicio formal del proceso administrativo sancionatorio, mediante Resolución N°. 6083 del 20 de febrero de 2020.
Expuesto lo anterior, no es dable afirmar, como de manera errada y con objeto de desvirtuar las funciones legalmente atribuidas a esta Dirección de Investigación de Protección de Datos Personales, como Autoridad Única Nacional en la materia, que: - En el presente caso se configure un hecho superado, como lo sostiene la sociedad investigada.
Por el contrario, le corresponde a este Despacho proceder con el análisis y valoración probatoria, para determinar si la sociedad RAPPI S.A.S., en su calidad de Responsable del Tratamiento de los datos personales del señor XXXXXX XXXXX XXXXXXX, posiblemente incumplió los deberes señalados en el acto de formulación de cargos N°. 6083 del 20 de febrero de 2020. - Esta Dirección haya desconocido los principios constitucionales de confianza legítima, buena fe y debido proceso, ni mucho menos haya quebrantado la prohibición de un doble enjuiciamiento en contra de la sociedad RAPPI S.A.S. Por el contrario, esta Superintendencia obró dentro del marco de sus facultades legales para, de una parte, garantizar al ciudadano el derecho fundamental de la protección de datos personales y, de otra, garantizar los derechos y deberes de la sociedad RAPPI S.A.S. Ahora bien, realizadas las anteriores precisiones, este Despacho encuentra lo siguiente en relación con el acervo probatorio: La presente investigación administrativa tuvo su génesis en la denuncia presentada por el señor XXXXXX XXXXX XXXXXXX ante esta Superintendencia el día 2 de mayo de 20187, en la cual manifestó, entre otras cosas, haber remitido tres reclamos a la sociedad RAPPI S.A.S. los días 5, 10 y 18 de abril de 2018.
Para efectos de trazabilidad de la información, a continuación, se relacionan los datos principales de dichas reclamaciones, así como las fechas en que la investigada debió dar respuesta: N° de reclamo Fecha de presentación Dirección correo electrónico de destino Solicitud Último día para dar respuesta "Este es el tercer mensaje que me llega tras darme de baja de la lista de este correo (mismo numero (sic) de veces que me he dado de baja). 5 de abril de 2018 equipofelicidad@rappi.com Formalmente les solicito que dejen de enviarme información no deseada, yo ya no soy usuario ni cliente de Rappi.
A partir de hoy, tienen 15 días para darme una respuesta confirmando que estas comunicaciones cesaran (sic). Superado este periodo de tiempo, y si sigo recibiendo correos, procederé a la radicación de mi reclamo por la violación a la ley Habeas Data ante la entidad correspondiente. Deseo se elimine toda mi información de sus bases de datos." Radicado 18-132370-0. 26 de abril de 2018 HOJA N, “Por la cual se impone una sanción administrativa” 10 de abril de 2018 atencionaclientes@rappi.com "Hoy recibí otro correo.
Empezaré el proceso ante la superintendencia." 2 de mayo de 2018 "Por cuarta oportunidad, me contacto con el fin de volver a notificar que me siguen llegando correos comerciales y no deseados, de los que me he dado de baja, en por lo menos tres ocasiones. 18 de abril de 2018 equipofelicidad@rappi.com, atencionaclientes@rappu.com y mejorasco@rappi.com Dado que sigo recibiendo información NO solicitada, y NO aprobada por mi parte, me veo en la obligación de dejar trazabilidad de la inconformidad, con el fin de tener todos los soportes pertinentes, cuando radique ni denuncia ante la SIC por la violación a la ley habeas data." 10 de mayo de 2018 Fuente: Cuadro de elaboración propia Con el propósito de reunir elementos de juicio suficientes, la Coordinación del Grupo de Trabajo de Hábeas Data de esta Dirección requirió a la sociedad investigada el día 30 de mayo de 2018, bajo el número de radicación 18-132370-3, para que informara, entre otras cosas, si el Titular había presentado alguna reclamación o petición ante la compañía, y que en caso de ser afirmativa la respuesta, se sirviera aportar copia de la (s) misma (s) con su respectiva respuesta.
En respuesta al requerimiento en cita, la sociedad RAPPI S.A.S., a través de su representante legal, informó, mediante oficio radicado el 20 de junio de 2018, bajo el número 18-132370-4, que: “El Titular de los datos personales, Xxxxxx Xxxxx Xxxxxxx, realizó varias reclamaciones a través de varios correos que Rappi S.A.S. tiene disponibles para este fin, pero ninguna de ellas procedió correctamente a eliminar su correo de éstas como se evidencia en las comunicaciones que el reclamante adjunto (sic) con su solicitud.” Que, con base en los hechos anotados y de acuerdo con las pruebas obrantes en el expediente, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, el 20 de febrero de 2020 se inició la presente investigación administrativa mediante la expedición de la Resolución N°. 6083 de 2020, por medio de la cual se formularon cargos a la sociedad RAPPI S.A.S., entre otros, por el incumplimiento a las disposiciones contenidas en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la misma ley.
Posteriormente, mediante escrito de descargos con radicado 19-233237-13 del 19 de junio de 2020, la sociedad investigada argumentó, entre otras cosas, lo siguiente: “Además, ponemos de presente que las comunicaciones a las que hace alusión la Dirección relativas a los correos electrónicos del Señor Xxxxx de los días 5, 10 y 18 de abril de 2018, fueron eliminadas junto con toda su información personal en cumplimiento de la solicitud formulada por el titular en ese sentido, motivo por el cual, a la fecha, Rappi no cuenta con ningún tipo de rastro respecto de los datos personales del Señor Xxxxx.
Así pues, Rappi atendió las solicitudes formuladas por el Señor Xxxxx motivo por el cual procedió también a eliminar las comunicaciones con éste intercambiadas, en tanto en estas reposaba su información personal”. Consecuencia de lo expuesto, encuentra este Despacho que: - Se encuentra acreditado, en virtud de los soportes remitidos por el denunciante y los argumentos esgrimidos por la sociedad investigada, que el señor XXXXXXX XXXXX XXXXXXX remitió varias reclamaciones a la sociedad RAPPI S.A.S.; sin embargo, en el expediente solo se encuentran los soportes de los reclamos radicados por el Titular los días 5, 10 y 18 de abril de 2018, a través de las direcciones de correo electrónico dispuestas por la compañía para el efecto. - Fenecido el término para que la sociedad investigada diera respuesta a cada una de las reclamaciones presentadas por el Titular, esta guardó silencio. - Se advierte por parte de este Despacho, que la sociedad investigada no aportó prueba que demuestre que, conforme a lo estipulado en el artículo 15 de la Ley Estatutaria 1581 de 20122, requirió al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que completara los datos de su solicitud, así como tampoco haberle informado al Titular sobre HOJA N, “Por la cual se impone una sanción administrativa” posibles motivos de demora de la respuesta y la fecha en la que sería atendido su reclamo, como lo ha manifestado la Corte Constitucional en reiterada jurisprudencia, insistiendo que, aún en ese escenario, dicha extensión temporal en ningún caso podría superar los ocho (8) días hábiles siguientes al vencimiento del primer término para otorgar cada una de las respuestas. - Resultan deficientes y contradictorias las justificaciones de la sociedad investigada en torno a la presunta eliminación de las respuestas otorgadas a las reclamaciones presentadas por el Titular de la información, máxime si se tiene en cuenta que está probado que el señor XXXXXX XXXXX XXXXXXX nunca recibió siquiera pronunciamiento alguno por parte de la investigada frente a las múltiples solicitudes presentadas ante la sociedad RAPPI S.A.S., con el fin de que esta procediera con la eliminación de toda su información personal de la base de datos de la compañía, en particular frente a las reclamaciones radicadas los días 5, 10 y 18 de abril de 2018. - Ahora bien, ante las manifestaciones de la investigada en cuanto a que procedió a eliminar la autorización para el tratamiento de los datos personales del señor XXXXX por una solicitud de supresión de éste, este Despacho encuentra pertinente hacer unas precisiones respecto de los deberes a los que está obligada la sociedad investigada como Responsable del Tratamiento de los Datos Personales de los Titulares de Información. Así, en referencia al deber consagrado en el literal a) del artículo 17 de la Ley 1581 de 2012, la Corte Constitucional, en sentencia C748 del 2011, señaló que: “(…) 2.1.1.2 El contenido del derecho al habeas data De conformidad con la jurisprudencia de esta Corporación, dentro de las prerrogativas – contenidos mínimos- que se desprenden de este derecho encontramos por lo menos las siguientes: (i) el derecho de las personas a conocer –acceso- la información que sobre ellas está recogida en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información;
(ii) el derecho a incluir nuevos datos con el fin de se provea una imagen completa del titular; (iii) el derecho a actualizar la información, es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada o corregida, de tal manera que concuerde con la realidad;
(v) el derecho a excluir información de una base de datos, bien por que se está haciendo un uso indebido de ella, o por simple voluntad del titular –salvo las excepciones previstas en la normativa. (…)” Del anterior precepto jurisprudencial, es claro que el deber de garantizar el pleno y efectivo derecho de habeas data no es un asunto meramente formal, sino que, por el contrario, es enteramente material, cuyo incumplimiento acarreara las sanciones pertinentes.
Igualmente, la Corte Constitucional en la referida sentencia señaló que “(…) se debe entender que cuando los literales a) de los artículos 17 y 18 imponen como deberes tanto del responsable como del encargado del tratamiento, garantizar al titular en todo tiempo, el pleno y efectivo derecho de habeas data, ello incluye que se cumplan los principios para la administración de datos y los derechos de los titulares”.
(Subrayado fuera del texto original). Como complemento de lo sostenido por ese Alto Tribunal, se le recuerda a la investigada que el deber de garantizar el ejercicio del derecho constitucional al habeas data se concreta cuando el Titular de este derecho fundamental interpone una petición, entendida como el medio idóneo para solicitar el amparo efectivo del derecho de los titulares a “conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y o privadas (…)” al tenor de lo dispuesto en el artículo 15 de la Constitución Política de 1991.
Por su parte, el deber de tramitar las consultas y reclamos formulados en los términos señalados en la presente ley se concreta cuando el ciudadano presenta un reclamo cuya pretensión radica en la supresión de su información personal de la base de datos de la investigada. HOJA N, “Por la cual se impone una sanción administrativa” De tal claridad resulta lo anterior que la Ley 1581 de 2012 en su artículo 17 contempla dos deberes distintos, tal como se señala a continuación: “ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data; j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley;
(…)” Aunado a lo anterior, la distinción entre ambos deberes se manifiesta en que el deber de tramitar consultas y reclamos se analiza en concordancia con el artículo 15 de la misma norma, a partir el cual el Titular puede presentar un reclamo cuyo “objeto [sea solicitar la] corrección, actualización o supresión [de su información personal], o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley”.
De manera que se desliga del deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data, por cuanto esta acción debe ser realizada por la investigada a solicitud de parte, mientras que el otro deber es el de contestar los reclamos en tiempo estipulado por la ley y acorde a las características que la jurisprudencia ha determinado.
Claro lo anterior, este Despacho no acepta las afirmaciones de la investigada acerca de la eliminación de las respuestas a las reclamaciones realizadas por el Titular como justificante para evadir la responsabilidad que la corresponde como Responsable del Tratamiento de la Información de los Titulares. Así las cosas, se encuentra suficientemente acreditado que la sociedad RAPPI S.A.S. no atendió los reclamos presentados por el Titular de la información, dentro del término legal previsto para el efecto, conducta con la que transgredió el deber dispuesto en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 de la misma ley; razón por la cual, se impondrá la respectiva sanción pecuniaria. 11.2.2 Del deber de garantizar al Titular en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data El literal a) del artículo 17 de la Ley 1581 de 2012, establece uno de los deberes a cargo de los Responsables de la Información en los siguientes términos: “a) Garantizar aI Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.” En relación, la Corte Constitucional ha definido el derecho de habeas data en los siguientes términos: “El derecho fundamental al habeas data, es aquel que otorga la facultad al titular de datos personales, de exigir a las administradoras de datos personales el acceso, inclusión, exclusión, corrección, adición, actualización, y certificación de los datos; así como la limitación en las posibilidades de divulgación, publicación o cesión de los mismos, conforme a los principios que informan el proceso de administración de bases de datos personales.”8(Negrilla fuera de texto original) De igual manera, la misma corporación en la sentencia C-748 de 2011, mediante la cual realiza el análisis constitucional de la Ley estatutaria 1581 de 2012, manifestó: “De conformidad con la jurisprudencia de esta Corporación, dentro de las prerrogativas contenidos minimos- que se desprenden de este derecho encontramos por lo menos las siguientes: (i) el derecho de las personas a conocer -acceso- la información que sobre ellas Sentencia C-748 de 2011;
MP: Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). HOJA N, “Por la cual se impone una sanción administrativa” están recogidas en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información; (ii) el derecho a incluir nuevos datos con el fin de se provea una imagen completa del titular;
(iii) el derecho a actualizar la información: es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada o corregida, de tal manera que concuerde con la realidad; (v) el derecho a excluir información de una base de datos, bien porque se está haciendo un uso indebido de ella, o por simple voluntad del titular -salvo las excepciones previstas en la normativa.” (Subraya fuera de texto original).
Al respecto, debe precisar este Despacho que, tal como lo manifiesta la Corte Constitucional, el derecho de hábeas data otorga la facultad al Titular de los datos personales de exigir el acceso, corrección, adición, actualización y eliminación de su información, por lo que resulta apenas claro, que corresponde a los Responsables y Encargados de la información implementar los mecanismos necesarios que le permita al Titular ejercer de manera efectiva los derechos antes mencionados.
Ahora bien, frente a la posibilidad que tienen los Titilares de revocar la autorización y/o solicitar la supresión de su información, el literal e) del artículo 8 de la Ley 1581 de 2012 establece lo siguiente: “Artículo 8o. Derechos de los Titulares. El Titular de los datos personales tendrá los siguientes derechos: (…) e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución; (…)”. A su turno, el artículo el artículo 2.2.2.25.2.6. del Decreto Reglamentario 1074 de 2015 dispone lo siguiente: “ARTÍCULO 2.2.2.25.2.6.
Revocatoria de la autorización y/o supresión del dato. Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.
La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos. El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.
Si vencido el término legal respectivo, el responsable y/o el encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012.” Entonces, es claro que, de conformidad con la normativa en cita, el ejercicio del derecho fundamental de habeas data permite al Titular requerir la exclusión de información que haya sido recogida en bases de datos, pues este podrá solicitar la supresión del dato, cuando no exista una obligación legal o contractual que imponga el deber de permanecer en la referida base de datos.
Frente a este deber, este Despacho evidenció por medio de la Resolución N°. 6083 del 20 de febrero de 2020 que: “En el caso analizado, la sociedad RAPPI S.A.S., el día 20 de junio de 2018, por medio de la respuesta a la solicitud de explicaciones informó a esta Dirección que los datos del usuario habían sido actualizados y retirados de la base de datos donde se generan los correos promocionales, con el fin de acreditar lo manifestado la sociedad aportó 3 capturas de pantalla visibles en los folios 17 y 37 (reverso).
En la primera captura de pantalla (Anexo 1, imagen 4) aparece la siguiente información: HOJA N, “Por la cual se impone una sanción administrativa” Por su parte, la captura del folio 37 (reverso) es ininteligible. En primer lugar, esta Dirección verifica de manera preliminar que la sociedad RAPPI S.A.S. no garantizó el derecho de habeas data del Titular porque no suprimió su información luego de recibida la solicitud que presentó el señor XXXXXX XXXXX XXXXXXX los días 05 de abril (folios 5 y 7), 10 de abril (folio 5) y 18 de abril de 2018 (folio 9).
La sociedad investigada allegó las capturas de pantalla (anexos 1 y 5) que de manera aparente acreditan la supresión de la información del Titular de la base de datos de publicidad, prospección comercial o mercadeo. Sin embargo, de manera preliminar esta Dirección analiza que esos anexos no acreditan dicha supresión porque no se sabe a qué hace referencia esa información del anexo 1 (imagen 4), a qué base de datos hace referencia, si es una base de datos de la compañía, etc.
Solamente se trata de una captura incompleta de pantalla (sin trazabilidad técnica alguna) que señala en la casilla “deleted_ad” el valor “2018-06-20 14:00:31”. Ahora bien, si en gracia de discusión se aceptara esa imagen como prueba de la supresión se tendría que afirmar que la formulación del cargo debe continuar porque de manera preliminar se tiene que la supresión de la información fue el 20 de junio de 2018, solo luego de que la sociedad investigada recibió el requerimiento 18-132370-03 por parte de esta Superintendencia; no cuando el Titular de la información solicitó dicha supresión. Frente a la imagen del folio 37 (reverso) esta Dirección no puede tener ese documento como prueba de la supresión de la información porque es ininteligible y, además, no se sabe a qué corresponde.
Así las cosas, esta Dirección advierte una presunta contravención al deber consagrado en literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la Ley citada y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015”. En cuanto a lo anterior, la sociedad investigada manifestó lo siguiente: Afirma que esta Dirección está desconociendo la valoración probatoria realizada en la Resolución N°. 4814 del 28 de febrero de 2019, y con base en el mismo material probatorio, está realizando un nuevo reproche sobre el deber de garantizar el derecho de habeas data del Titular.
La sociedad RAPPI S.A.S. cumplió el deber de supresión de la información del Señor Xxxxxx Xxxxx, conforme fue acreditado en el trámite 18-132370. No obstante lo anterior, allega dos videos que “le permiten a la Dirección corroborar, nuevamente, que la información personal del Titular fue eliminada efectivamente de las bases de datos de Rappi”.
Señala que este Despacho incurrió en prejuzgamiento al emitir veredictos en el acto de formulación de cargos, Resolución N°. 6083 del 20 de febrero de 2020, específicamente, en la adecuación típica del presente cargo. Previo al análisis probatorio, resulta imperioso realizar las siguientes precisiones: - No debe perderse de vista que los trámites administrativos adelantados bajo los números 18132370 y 19-233227 no son idénticos, pues las circunstancias fácticas, así como los deberes y derechos vulnerados difieren y conllevan la adopción de dos decisiones independientes por parte de este Despacho; la primera, en el marco de la garantía inmediata del derecho de habeas data mediante la Resolución N°. 4814 del 28 de febrero de 2019 y, la segunda, como resultado de la verificación preliminar de condutas presuntamente violatorias de la ley de protección de datos personales en el marco del inicio formal del proceso administrativo sancionatorio, mediante Resolución N°. 6083 del 20 de febrero de 2020. - Así mismo, es de aclarar que esta Superintendencia adelantó unas averiguaciones preliminares, mediante las cuales obtuvieron pruebas y se evidenciaron unas conductas presuntamente transgresoras de los deberes dispuestos para los Responsables del Tratamiento en la Ley 1581 de 2012.
Lo anterior, se ninguna manera puede traducirse en un “prejuzgamiento” por parte de este Despacho en contra de la sociedad RAPPI S.A.S.; por el contrario, esta Superintendencia en ha respetado el derecho a la presunción de inocencia de la investigada en el curso de la HOJA N, “Por la cual se impone una sanción administrativa” presente investigación administrativa.
Para tales efectos, se ha garantizado a la sociedad investigada el derecho y la facultad de aportar y solicitar las pruebas que pretenda hacer valer dentro del proceso, con el fin de demostrar el cumplimiento de sus deberes como Responsable del Tratamiento de Datos Personales, así como de controvertir cualquiera de las pruebas que obran en el expediente 19-233237.
Por ello, no son del recibo de esta Dirección las afirmaciones realizadas por la investigada respecto de un prejuzgamiento en contra de RAPPI S.A.S. - Contrario a lo afirmado por la sociedad investigada, le corresponde a este Despacho proceder con el análisis y valoración probatoria, para determinar si la sociedad RAPPI S.A.S., en su calidad de Responsable del Tratamiento de los datos personales del señor XXXXXX XXXXX XXXXXXX, cumplió el deber de garantizar al Titular en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data.
Ahora bien, realizadas las anteriores precisiones, este Despacho encuentra lo siguiente en relación con el acervo probatorio: Según la denuncia presentada ante esta Superintendencia, radicada con el número 18-132370-0 del 2 de mayo de 2018, la sociedad RAPPI S.A.S. desconoció las solicitudes de eliminación de datos personales realizadas por el señor XXXXXX XXXXX XXXXXXXX los días 5, 10 y 18 de abril de 2018 y con ello transgredió su derecho de habeas data.
Junto con el escrito de denuncia, el señor XXXXX XXXXXXX allegó las siguientes piezas probatorias: (i) Correo con prospección comercial remitido el día 5 de abril de 2018, desde la dirección de correo electrónico equipofelicidad@rappi.com al correo electrónico personal del Titular. Primera solicitud de eliminación de los datos personales del señor XXXXXX XXXXX XXXXXXX de la base de datos de la sociedad RAPPI S.A.S., enviada por el Titular el día 5 de abril de 2018, desde el correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxxx a la dirección de correo electrónico equipofelicidad@rappi.com.
Para mayor ilustración, se presenta a continuación el texto de la solicitud formulada por el Titular: “Este es el tercer mensaje que me llega tras darme de baja de la lista de este correo (mismo numero (sic) de veces que me he dado de baja). Formalmente les solicito que dejen de enviarme información no deseada, yo ya no soy usuario ni cliente de Rappi.
A partir de hoy, tienen 15 días para darme una respuesta confirmando que estas comunicaciones cesaran(sic). Superado este periodo de tiempo, y si continúo recibiendo correos, procederé a la radicación de mi reclamo por la violación a la ley Habeas Data ante la entidad correspondiente. Deseo se elimine y supriman toda mi información de su base de datos.
(…)”. (ii) Mensaje de correo electrónico remitido por el Titular desde su correo personal a la dirección de correo electrónico atencionaclientes@rappi.com el día 10 de abril de 2018, en el que reitera que continúa recibiendo prospección comercial por parte de la compañía y que, conforme a la anterior solicitud (segunda solicitud de eliminación de datos personales), le informa a la investigada que iniciará un proceso ante la Superintendencia. (iii) Tercera solicitud de eliminación de los datos personales del señor XXXXXX XXXXX XXXXXXX de la base de datos de la sociedad RAPPI S.A.S., enviada por el Titular el día 18 de abril de 2018, desde el correo electrónico xxxxxxxxxxxxxxxxxxxxxxxxxx a las direcciones de correo electrónico equipofelicidad@rappi.com, atencionaclientes@rappi.com y mejorasco@rappi.com.
Para mayor ilustración, se presenta a continuación el texto de la solicitud formulada por el Titular: “Por cuarta oportunidad, me contacto con el fin de volver a notificar que me siguen llegando correos comerciales y no deseados, de los que me he dado de baja, en por lo menos tres ocasiones. HOJA N, “Por la cual se impone una sanción administrativa” Dado que sigo recibiendo información NO solicitada, y NO aprobada por mi parte, me veo en la obligación de dejar trazabilidad de la inconformidad, con el fin de tener todos los soportes pertinentes, cuando se radique mi denuncia ante la SIC por violación a la ley habeas data.
(…)”. (iv) Correo con prospección comercial remitido el día 1 de mayo de 2018, desde la dirección de correo electrónico equipofelicidad@rappi.com al correo electrónico personal del Titular xxxxxxxxxxxxxxxxxxxxxxxxx. En línea con lo anterior, y mediante oficio número 18-132370-3 del 30 de mayo de 2018, el Grupo de Trabajo de Hábeas Data de esta Dirección, solicitó a la sociedad RAPPI S.A.S., que, en caso de ser procedente acreditara la prueba mediante la cual se demuestre que eliminó, actualizó o corrigió la información del titular.
En respuesta a lo anterior, la investigada mediante comunicación presentada ante esta Superintendencia, radicada con el número 18-132370-4 del 20 de junio de 2018, indicó lo siguiente: “Los datos del Usuario fueron actualizados como se evidencia en la tercera imagen del Anexo 1 y en las dos imágenes del Anexo 5 del presente documento donde se evidencia que fue retirado su correo de la base de datos desde donde se generan los correos promocionales (imagen 1) y del portal desde donde se envían mensajes de texto promocionales a su teléfono celular registrado en la aplicación (imagen 2).
A continuación, se muestran las imágenes a las que hace referencia la sociedad investigada: Tercera imagen del anexo 1: Cuarta imagen del anexo 1, la cual, a pesar de no ser mencionada por la sociedad en el párrafo en cita, resulta relevante para efectos del análisis probatorio: Primera y segunda imagen del anexo 5: HOJA N, “Por la cual se impone una sanción administrativa” En referencia a las imágenes en cita de los anexos 1 y 5, este Despacho debe resaltar las siguientes circunstancias: (i) las imágenes del anexo 5 son ilegibles, (ii) estas pruebas no contienen una evidencia técnica de eliminación de los datos personales del denunciante en la fecha anunciada, es decir, para el 20 de junio de 2018, conforme a la cuarta imagen del anexo 1; y (iii) dichas imágenes no otorgan certeza acerca de la efectiva eliminación de los datos tratados por la investigada, pues no dan cuenta de un aspecto absolutamente relevante como lo es la base de datos de la cual se está eliminando la información personal del Titular.
En ese sentido, las imágenes aportadas en modo alguno permiten constatar que la sociedad RAPPI S.A.S. procedió de conformidad con lo solicitado por el señor XXXXXX XXXXX XXXXXXX, dentro del término legal previsto para el efecto. Posteriormente, la sociedad investigada, mediante escrito de descargos con radicado 19-23323713 del 19 de junio de 2020, afirmó nuevamente que cumplió el deber de supresión de la información del Señor Xxxxxx Xxxxx, conforme fue acreditado en el trámite 18-132370.
No obstante lo anterior, allega dos videos que “le permiten a la Dirección corroborar, nuevamente, que la información personal del Titular fue eliminada efectivamente de las bases de datos de Rappi”. En relación con los mencionados vídeos, advierte este Despacho que: Si bien en los vídeos se observa la búsqueda por dos criterios en el enlace lupe.rappi.com/dashboard, el primero de ellos correspondiente a la dirección de correo electrónico del Titular, xxxxxxxxxxxxxxxxxxxxxxxxxxx, y el segundo a la línea móvil XXXXXXXXXX, y que dicha búsqueda no arroja resultados.
Una vez analizados los contenidos de dichos videos, es posible afirmar que dichas piezas probatorias no permiten determinar la fecha en que se procedió con la eliminación de los datos personales del Titular de la base de datos de la compañía, conforme a las múltiples solicitudes presentadas por este, particularmente, aquellas radicadas en los días 5, 10 y 18 de abril de 2018.
Igualmente, llama la atención de esta Dirección que el canal dispuesto por la sociedad investigada para que los Titulares se den de baja de la lista de correos masivos con prospección comercial de los servicios ofertados por esta carezca de valor operativo, sino que haga las veces de un buzón de recepción de solicitudes que no son tramitadas por la compañía, impidiendo con ello que los Titulares ejerzan su derecho fundamental de habeas data, el cual es inalienable, inviolable e irrenunciable y pertenece a todas las personas.
En línea con lo expuesto, observa este Despacho que, la sociedad RAPPI S.A.S. no tramitó las solicitudes de eliminación presentadas por el señor XXXXXX XXXXX XXXXXXX de manera diligente,, como erradamente lo pretende acreditar en sus escritos de descargos y alegatos de conclusión. Lo anterior, por cuanto en dichos escritos no solamente se contradice en su exposición HOJA N, “Por la cual se impone una sanción administrativa” argumentativa, sino que se denota, más allá del alto grado de negligencia en la gestión de la sociedad RAPPI S.A.S. en materia de datos personales, un desajuste de todo su andamiaje en el ejercicio práctico y en consecuencia la vulneración de las normas contenidas en la Ley Estatutaria 1581 de 2012.
Así mismo, no puede perderse de vista que la totalidad de pronunciamientos de la sociedad RAPPI S.A.S. frente a las solicitudes presentadas por el señor XXXXXX XXXXX XXXXXXX tienen lugar en sede administrativa y únicamente por requerimiento de esta autoridad, práctica que bajo ninguna óptica puede normalizarse y darse como costumbre de la sociedad, pues es un deber de la sociedad investigada, en su calidad de Responsable del Tratamiento, el garantizar a los Titulares en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data, sin necesidad de que para ello deba mediar la intervención de esta Superintendencia. Como colofón de lo anterior, este Despacho reitera que la vulneración al derecho al habeas data del Titular se produjo cuando este tuvo que contactar a sociedad RAPPI S.A.S en múltiples oportunidades para que dicha empresa eliminara sus datos personales de la base de datos que esa organización utiliza para enviar mensajes publicitarios.
No obstante, la sociedad investigada no solo hizo caso omiso a las reiteradas solicitudes del denunciante, sino que, por el contrario, continuó remitiéndole esa clase de información. Así las cosas, esta Dirección encuentra que, no obstante haber ejercido el Titular su derecho de habeas data solicitando la supresión de sus datos personales de la base de datos de la compañía, lo cierto es que el señor XXXXXX XXXXX XXXXXXX no pudo lograr un proceso satisfactorio, pues la sociedad investigada omitió atender todas y cada una de las solicitudes por él presentadas; razón por la cual, se concluye que la sociedad RAPPI S.A.S. incumplió el deber contenido en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 de la Ley citada y artículo 2.2.2.25.2.6 del Decreto Único Reglamentario de 2015 y, en consecuencia, se impondrá la respectiva sanción pecuniaria. 11.2.3 Del deber de solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular Conforme al principio de libertad consagrado en la Ley 1581 de 2012, según el cual “[e]l Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular.
Los datos personales no podrán ser obtenidos o divulgados sin previa autorización” 9. es claro que el Tratamiento de los Datos solo puede ser el autorizado por el Titular de estos para la finalidad especificada. Este principio es desarrollado por los artículos 9 y 17, literal b) de la norma ut supra; los cuales detallan que “en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior” y que el Responsable del Tratamiento de los Datos debe cumplir con varios deberes, entre ellos, el de "Solicitar y conservar, en las condiciones previstas en la presente ley., copia de la respectiva autorización otorgada por el Titular".
Además de lo anterior, el Decreto Único Reglamentario 1074 del 2015 10 señala en su artículo 2.2.2.25.2.2. que: “El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”.
Así mismo, el artículo 2.2.2.25.2.5. este decreto señala que: “Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos.” Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). Decreto únic Reglamentario del Sector Comercio, Industria y Turismo.
HOJA N, “Por la cual se impone una sanción administrativa” De este modo, es claro que el Responsable del Tratamiento debe adoptar los procedimientos adecuados para solicitar y conservar copia de la autorización otorgada por el Titular e informar los datos que serán recolectados junto con las finalidades específicas para las cuales se va a obtener el consentimiento del Titular.
De igual manera, en la Ley 1581 de 2012 el consentimiento es tanto un principio rector (artículo 4 (literal c) como un elemento de legitimación constitucional de los procesos de administración de datos personales (artículos 9, 10, y artículo 26, literal a). El artículo 9 establece que en el tratamiento se requiere la autorización previa, expresa, e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior, mientras que el artículo 10 prevé las excepciones o los otros fundamentos de legitimación constitucional del tratamiento de datos personales, incluidos los casos de urgencia manifiesta, tratamiento de información autorizado por la ley para fines históricos, estadísticos o científico, etc.
Por su parte, el literal a) del artículo 3 de la Ley 1581 de 2012 establece que el consentimiento o autorización exigida para el tratamiento de datos personales es, además, calificado, por cuanto debe ser previo, expreso e informado. En este sentido, la Corte Constitucional interpretó esta definición en sentencia C-748 del 2011 de la siguiente manera: “En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato.
Así por ejemplo, en la Sentencia T-022 de 1993, se dijo que la veracidad del dato no implica que el Responsable del Tratamiento no tenga el deber de obtener una autorización anterior. En igual sentido, la Sentencia T-592 de 2003 dijo que el derecho al habeas data resulta afectado cuando los administradores de la información recogen y divulgan hábitos de pago sin el consentimiento de su titular.
La Corte expresó que el consentimiento previo del titular de la información sobre el registro de sus datos económicos “en los procesos informáticos, aunado a la necesidad de que aquel cuente con oportunidades reales para ejercer sus facultades de rectificación y actualización durante las diversas etapas de dicho proceso, resultan esenciales para salvaguardar su derecho a la autodeterminación informática.” En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito.
Lo anterior, por varias razones: En primer lugar, la jurisprudencia constitucional ha exigido tal condición y ha dicho que el consentimiento debe ser explícito y concreto a la finalidad específica de la base de datos. (…) En segundo lugar, de una interpretación armónica de todo el articulado se deduce que el legislador estatutario tuvo una intención inequívoca que el consentimiento siempre fuese expreso.
Así, desde el artículo 3 se dice que éste debe ser “previo, expreso e informado”. Esto mismo se repite en el artículo 4. Posteriormente, el artículo 8 ordinal b), garantiza al Titular el derecho de solicitar prueba de la autorización, y señala que ésta sólo puede considerarse exceptuada en los casos consagrados en el artículo 10. El artículo 9 ordena que la autorización sea “obtenida por cualquier medio que pueda ser objeto de consulta posterior” Por otro lado, el artículo 10 señala, en forma taxativa, los casos en que no se requiere autorización, y no hace referencia alguna a la existencia de un consentimiento tácito, lo cual necesitaría expresa autorización legal.
(…) En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. En este mismo sentido, en la Sentencia T-592 de 2003, la Corte señaló que la autorización debe ser cualificada y debía contener una explicación de los efectos de la misma.
Además, a pesar de que se presente la autorización, el Responsable y Encargado del Tratamiento debe actuar de buena fe. HOJA N, “Por la cual se impone una sanción administrativa” De todo lo anterior, puede entonces deducirse: (i) los datos personales sólo pueden ser registrados y divulgados con el consentimiento libre, previo, expreso e informado del titular.
Es decir, no está permitido el consentimiento tácito del Titular del dato y sólo podrá prescindirse de él por expreso mandato legal o por orden de autoridad judicial, (ii) el consentimiento que brinde la persona debe ser definido como una indicación específica e informada, libremente emitida, de su acuerdo con el procesamiento de sus datos personales.
Por ello, el silencio del Titular nunca podría inferirse como autorización del uso de su información y (iii) el principio de libertad no sólo implica el consentimiento previo a la recolección del dato, sino que dentro de éste se entiende incluida la posibilidad de retirar el consentimiento y de limitar el plazo de su validez. ( )”11 No existe, por tanto, otra interpretación legal y constitucional diferente a aquella que el consentimiento debe cumplir con los requisitos de ser previo, expreso e informado para que el mismo pueda considerarse legal, pues, de lo contrario, se estaría afectando, como lo señaló la Corte en la sentencia arriba citada, el derecho a la autodeterminación informática entendido como el núcleo esencial del derecho al habeas data y, en la práctica, el Titular perdería el control de sus datos personales.
Las definiciones de expreso, previo e informado contienen elementos claves que se analizan a continuación, con el fin de que se asegure que sólo el consentimiento que se interprete conforme a la Ley 1581 de 2012 será considerado como tal. Elementos del consentimiento: 1. Expreso: el término expreso significa la manifestación de voluntad libre del Titular para permitir el tratamiento de sus datos personales por parte de un tercero. Así mismo, esa necesidad de manifestación por parte de la persona impide que la falta de actuación - o quizás mejor, el comportamiento pasivo – constituya un consentimiento válido bajo la Ley 1581 de 2012, pues, como lo señaló la Corte Constitucional en la Sentencia C-748 de 2011, “no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito”.
Así sucede, por ejemplo, con formularios de recolección de datos en línea que no cuentan con casillas de aceptación. Esta situación obliga a los Responsables del Tratamiento a crear procedimientos para garantizar que las personas otorguen su consentimiento y, a su vez, proporcionan pruebas al Responsable del Tratamiento de que se ha obtenido el consentimiento.
Los ejemplos más clásicos son la firma manuscrita en la parte inferior de un formulario de papel y la selección de una casilla en un sitio web en Internet. El requisito de expreso para los datos sensibles se sustituye por un “consentimiento explícito”, pues para este tipo de datos se considera adecuado que exista un elevado nivel de control sobre los datos personales por parte de su Titular. 2.
Informado: el término informado significa que la persona debe conocer las finalidades del tratamiento de sus datos, la persona natural o jurídica, pública o privada, que decidirá sobre el tratamiento de los datos concernidos, los derechos relativos al tratamiento de sus datos, así como del modo de hacer valer sus derechos en relación con el tratamiento y, en general, las condiciones en que se efectuarán las actividades de acopio, recopilación y circulación del mismo. 3.
Previo: el término previo significa que la persona debe otorgar su consentimiento antes del comienzo del tratamiento de su información personal, debiendo cumplirse a más tardar en el momento en que el dato va a ser recogido, sin que sea admisible, en este punto, considerar su acatamiento con posterioridad a su recolección, pues sólo así quedaría garantizado el derecho de la persona a tener una apropiada información antes de otorgar su consentimiento.
En este sentido, el artículo 2.2.2.25.2.2., del Decreto 1074 de 2015 establece lo siguiente: “Artículo 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento.
(…)”. Cfr. Corte Constitucional, sentencia C 748 del 2011 HOJA N, “Por la cual se impone una sanción administrativa” Visto lo anterior, el consentimiento, como uno de los fundamentos jurídicos del tratamiento de datos personales, para que sea válido bajo la Ley 1581 de 2012, debe cumplir los siguientes requerimientos legales: a) El consentimiento debe ser expreso.
El Titular debe realizar alguna acción positiva que indique su consentimiento y debe tener la libertad de no consentir. b) El consentimiento debe estar informado. El artículo 12 de la Ley 1581 de 2012 enumera la información que debe suministrársele al Titular; esa información debe ser claramente visible, destacada y completa. No basta con ponerla a disposición en algún sitio de la página web, sin que la persona no la conozca. c) El consentimiento debe ser previo.
La obtención del consentimiento debe ser previa a la recolección de los datos. Frente a este deber, este Despacho evidenció, por medio de la Resolución N°. 6083 del 20 de febrero de 2020, que: “En el caso analizado, mediante el oficio18-132370-312 del 30 de mayo de 2018, se realizó una solicitud de explicaciones a la investigada con el propósito de que, entre otras cosas, informara si cuenta con autorización del Titular XXXXXX XXXXX XXXXXXX para el Tratamiento de sus datos personales y aportara prueba mediante la cual se informe al Titular de información la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada; no obstante, la investigada suministro respuesta, pero no acreditó que contaba con la autorización del Titular para realizar el tratamiento de sus datos personales.
Ahora bien, en la respuesta recibida por parte de RAPPI S.A.S., el representante legal de la compañía, se manifestó: “( ) Al respecto, todo usuario que hace uso de la plataforma virtual Rappi -compuesta por un (sic) página web y una aplicación para dispositivos móviles. (sic) previo al comienzo del uso y navegación de la misma, debe obligatoriamente aceptar los términos y condiciones que regulan la plataforma virtual, así como el aviso de privacidad y las políticas de tratamiento de datos personales, ya que solo de esta manera se permite usar la plataforma virtual Rappi.
Es posible registrarse en la aplicación y posteriormente hacer y uso de la misma sin aceptar lo anterior mencionado. Igualmente, en la segunda y tercera imagen del Anexo 1 respectivamente, queda reflejado que el perfil del señor Xxxxx Xxxxxxx Xxxxxxx fue creado el 19 de febrero de 2016 a las 14:19:55 y eliminado el 20 de junio de 2018 a las 14:00:31.
La hora de creación del perfil del usuario en la plataforma y en la base de datos, es el tiempo en que se entiende que acepto (sic) los términos y condiciones y la política de tratamientos de datos personales (…). Si bien es cierto que la sociedad RAPPI S.A.S allegó en la respuesta a la solicitud de explicaciones el Anexo 1, en el mismo no se evidencia, ni se ve con claridad la autorización otorgada por parte del señor XXXXXX XXXXX a la sociedad investigada.
Además, la simple afirmación de que al crearse una cuenta o usuario en la aplicación Rappi se da la autorización, razón por la cual se debe entender que en este caso fue otorgada, no cumple de manera preliminar con el requisito legal de obtener y conservar la autorización, ya que en este caso no aparece acreditada de manera técnica que el Titular otorgó la autorización para el tratamiento de sus datos por parte de la investigada.
Con relación a lo anterior, habiéndose otorgado la oportunidad procesal a la investigada para acreditar lo requerido, se tiene preliminarmente que RAPPI S.A.S., responsable del tratamiento de datos en el portal de Rappi, posiblemente no cuenta con autorización del XXXXXX XXXXX XXXXXXX para el Tratamiento de sus datos personales, lo cual se subsume típicamente en una presunta infracción a lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015.
En cuanto a lo anterior, la sociedad investigada manifestó lo siguiente: “El Señor Xxxxxxx Xxxxx, quien en su momento fue usuario de la aplicación de Rappi, se registró en la misma y dio su consentimiento para el uso de su información personal el día Folio 13-(reverso) HOJA N, “Por la cual se impone una sanción administrativa” 19 de febrero de 2016, tal como puede ser corroborado por la Dirección con la evidencia que se presenta a continuación: Este registro corresponde al sistema interno de información de Rappi, que arroja los resultados relativos al momento de registro del titular en la aplicación, especificando la fecha y hora de dicho suceso.
En ese momento, Rappi obtuvo la autorización para el tratamiento de los datos del Señor Xxxxx y le suministró la información respecto de las finalidades para el tratamiento de su información personal.” No obstante lo anterior, aclara que ha realizado una serie de modificaciones al mecanismo mediante el cual obtiene y conserva la autorización por parte de los Titulares para el tratamiento de sus datos personales.
Para mayor ilustración, allega copia del nuevo formato de autorización y una infografía que describe el proceso. Ahora bien, en cuanto al acervo probatorio, se evidencia lo siguiente: La presente investigación administrativa tuvo su génesis en la denuncia presentada por el señor XXXXXX XXXXX XXXXXXX ante esta Superintendencia el día 2 de mayo de 201813, en la cual manifestó, entre otras cosas, haber remitido tres reclamos a la sociedad RAPPI S.A.S. los días 5, 10 y 18 de abril de 2018, debido a que la mencionada sociedad le estaba remitiendo mensajes con prospección comercial a su correo electrónico personal, sin que él lo hubiese consentido; asimismo, aclara que no tiene vínculo contractual vigente con la sociedad investigada.
En este punto, entra la Dirección a analizar si la sociedad investigada contaba con la autorización previa, expresa e informada del señor XXXXXX XXXXX XXXXXXX para el tratamiento de sus datos personales, encontrando lo siguiente: En el expediente número 19-233237 NO reposa prueba de la autorización otorgada por el Titular del dato. Por su parte, la sociedad RAPPI S.A.S. se limitó a afirmar que en el momento en que el Titular se registró en la aplicación de Rappi, la compañía obtuvo su autorización para el tratamiento de sus datos personales.
Sobre el particular, advierte esta Dirección un error mayúsculo, en tanto la investigada pretende equiparar la aceptación de los términos y condiciones que regulan su plataforma digital y de la política de tratamiento de la información con la autorización previa, expresa e informada otorgada por el Titular; situación que no resulta menor y que amerita las siguientes precisiones: Primero: el hecho de aceptar los términos y condiciones que regulan la plataforma digital de una sociedad no se traduce en que el Titular de la información autorice el Tratamiento de sus datos personales, conforme a lo requerido por la ley.
Segundo: es preciso resaltar que el Titular no está obligado a aceptar la Política de Tratamiento de la Información por cuanto lo que exige la regulación es que la misma sea puesta en conocimiento de los Titulares, tal y como lo ordena el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, mas no que para la prestación de un servicio los mismos se vean obligados a aceptar dicha Política.
En suma, validar dicho funcionamiento por parte de la investigada constituye imponerle un deber a los Titulares al cual no están obligados por la Constitución, ni la ley. Aunado a lo anterior, no encuentra esta Dirección que el procedimiento descrito por la sociedad investigada permita: (i) comprobar la identidad plena de la persona que acepta los términos y condiciones, (ii) verificar que el consentimiento del Titular se obtuvo con anterioridad a la Radicado 18-132370-0.
HOJA N, “Por la cual se impone una sanción administrativa” recolección y tratamiento de sus datos personales, (iii) acreditar el cumplimiento de los preceptos contenidos en el artículo 12 de la Ley 1581 de 2012 referentes al consentimiento expreso e informado y la capacidad del Responsable de suministrar plena prueba del consentimiento de cada Titular del dato.
Así las cosas, aceptar los términos y condiciones o la Política de Tratamiento de la Información no es imperativo para el Titular, ni releva al Responsable del Tratamiento del deber de obtener la autorización previa, expresa e informada por parte de este para el tratamiento de sus datos personales. Ahora bien, frente a la aclaración realizada por la sociedad investigada en el escrito de descargos, en la que manifiesta que ha realizado una serie de modificaciones al mecanismo mediante el cual obtiene y conserva la autorización por parte de los Titulares para el tratamiento de sus datos personales, y en relación con el material probatorio que allega como soporte de dicha aclaración consistente en una copia del nuevo formato de autorización y una infografía que describe el proceso, encuentra este Despacho que las mismas no desvirtúan el cargo formulado a la sociedad RAPPI S.A.S., esto en razón de que el ejemplo, además de no realizar aporte alguno al caso bajo examen, solo da cuenta de unos hechos posteriores, que en nada inciden en la presente investigación administrativa.
Consecuencia de lo anterior, en el presente caso la sociedad RAPPI S.A.S., al no haber obtenido la autorización previa, expresa e informada por parte del señor XXXXXX XXXXX XXXXXXX para el tratamiento de sus datos personales, impidió el ejercicio del derecho a la autodeterminación informática entendido como el núcleo esencial del derecho al habeas data y elle derivó en que el Titular perdiera el control de sus datos personales, conducta con la que infringió abiertamente el deber dispuesto en literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015; razón por la cual, se impondrá la respectiva sanción pecuniaria. 11.2.4 Del deber de informar al titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada El artículo 17 de la Ley 1581 de 2012 señala, que: “ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada;
(…)” Relacionado con dicho deber, se encuentra el principio de finalidad dispuesto en el literal b) del artículo 4 de la Ley 1581 de 2012, en los siguientes términos: “ARTÍCULO 4. Principios para el Tratamiento de Datos Personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) b) Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular;
(…)”. El precepto consagrado en el literal c) del artículo 17 de la Ley 1581 de 2012 hace referencia al deber de informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, dicho precepto se armoniza con el principio de HOJA N, “Por la cual se impone una sanción administrativa” finalidad, contenido en el literal b) del artículo 4 de la misma disposición y el artículo 12 de la Ley Estatutaria.
Esta normatividad, a su vez, ha sido objeto de especial atención por parte de la Corte Constitucional, tal como quedó reflejado en la Sentencia C-748 de 2011, así: “En el título VI, “DE LOS DEBERES DE LOS RESPONSABLES Y ENCARGADOS DEL TRATAMIENTO DEL DATO”, el legislador enlistó en preceptos separados los deberes de los responsables y de los encargados del tratamiento.
Los deberes enumerados, en términos generales, buscan garantizar el pleno ejercicio del derecho al habeas data por parte de los titulares (…). Estos deberes hacen referencia, según el sujeto concernido, a lo siguiente: (…) Específicamente se dispone que son deberes de esta parte de la relación: (i) Solicitar y conservar la autorización para el tratamiento del dato -en los términos descritos previamente, lo que se ajusta plenamente al principio de libertad y consentimiento expreso del titular del dato.
(ii) Informar al titular la finalidad de esa autorización y actuar en consecuencia; por tanto, el responsable no puede conducirse por fuera de los lineamientos de la autorización.” En referencia al principio de finalidad, este se traduce en el deber de informar al Titular lo que se pretende hacer con su información y se encuentra contenido en el artículo 12 de la Ley 1581 de 2012, así: “Artículo 12.
Deber de informar al Titular. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.” Parágrafo.
El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta.” Como puede observarse, el principio de finalidad, que se encuentra íntimamente ligado al principio de libertad, impone unos límites al tratamiento de los datos que están siendo administrados por el Responsable; dichos límites se derivan de la naturaleza de la información y del uso que se dará a los datos recolectados.
En palabras de la Corte Constitucional “(…) [t]anto el acopio, el procesamiento y la divulgación de datos personales, debe obedecer a una finalidad constitucionalmente legítima, definida de manera clara, suficiente y previa; de tal forma que queda prohibida la recopilación de datos sin la clara especificación acerca de la finalidad de los mismos, así como el uso o divulgación de datos para una finalidad diferente a la inicialmente prevista (…)”.14 Dicho principio se hace efectivo al momento en que se solicita autorización al Titular, pues es allí en que se cumple el término máximo para informarle al Titular los fines de la recolección de su información, ya que como lo dispuso el artículo 2.2.2.25.2.2 del Decreto único Reglamentario 1074 de 2015 “[e]l Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento”.
Ahora bien, abordando estos aspectos la Corte Constitucional en Sentencia C-748 de 2011, expuso lo siguiente: “(…) Sentencia C-748 del 06 de octubre de 2011. Magistrado Ponente Dr. Jorge Ignacio Pretelt Chaljúb. HOJA N, “Por la cual se impone una sanción administrativa” El artículo 12 dispone las características de la información que deberá ser suministrada por el Responsable del Tratamiento.
La disposición es constitucional, pero el literal b) debe condicionarse por las siguientes razones. La norma señala a los Titulares deberá informárseles “el carácter facultativo a las preguntas que le sean hechas, cuando éstas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes”. En una primera lectura podría entenderse que la norma está autorizando el Tratamiento de datos sensibles y de niñas, niños y adolescentes, a pesar de encontrarse prohibida.
Sin embargo, existe una forma de interpretar la disposición de una manera que se avenga a los postulados constitucionales. En primer lugar, el carácter facultativo, en razón del principio de libertad, es predicable de todas las preguntas. Sin embargo, cuando se trate de una de las situaciones en que excepcionalmente se permite el Tratamiento de un dato sensible o de una niña, niño o adolescente, el Responsable del Tratamiento deberá informar las limitaciones y derechos que le son predicables de este tipo de dato (…)”.
Igualmente, en la guía titulada “FORMATOS MODELO PARA EL CUMPLIMIENTO DE OBLIGACIONES ESTABLECIDAS EN LA LEY 1581 DE 2012 Y SUS DECRETOS REGLAMENTARIOS”15 expedida el 22 de noviembre de 2017 por esta autoridad, se explica con claridad tanto la finalidad de la recolección de los datos personales, como el deber de informar a los Titulares de acuerdo con lo consagrado en el artículo 12 de la Ley 1581 de 2012.
Veamos: “(…)
2.5. FINALIDAD DE LA RECOLECCIÓN DE DATOS PERSONALES La recolección de datos personales debe tener una finalidad legítima y cierta, es decir, una razón de ser de esa recolección. Además, los datos recolectados deben ser pertinentes y adecuados para alcanzar dicho fin. (…)
2.6. DEBER DE INFORMAR AL TITULAR Además del deber de obtener el consentimiento de los titulares para el tratamiento de su información, quien recolecte datos personales debe informar de manera clara y expresa al titular lo siguiente: (i) El tratamiento al cual serán sometidos los datos personales recolectados y la finalidad de los mismos.
(ii) En caso de que la organización responsable recolecte datos personales sensibles (origen racial o étnico, orientación sexual, filiación política o religiosa, etc.) o de niños y adolescentes; debe explicarle el carácter sensible que posee este tipo de información y, además, debe darle la opción al titular de elegir si responde o no dichas preguntas.
(iii) Los derechos que tiene el titular de la información. (iv) La identificación, dirección física o electrónica y el teléfono de la organización o el responsable del tratamiento de los datos. (…)” Frente a este deber, este Despacho evidenció por medio de la Resolución N°. 6083 del 20 de febrero de 2020 que: “En el caso analizado, mediante el oficio18-132370-3 del 30 de mayo de 2018, se realizó una solicitud de explicaciones a la investigada con el propósito de que, entre otras cosas, informara las finalidades del tratamiento de los datos que tiene en sus bases de datos y si cuenta con autorización del Titular XXXXXX XXXXX XXXXXXX para el Tratamiento de sus datos personales, en la que se indicara la finalidad y recolección del tratamiento de los Disponible en: https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Publicaciones/Cartilla_formatos_datos_Personales_nov22.pdf HOJA N, “Por la cual se impone una sanción administrativa” mismos.; no obstante, la investigada suministro respuesta, pero no acreditó la comunicación de dichas finalidades al Titular.
En relación con lo anterior, habiéndose otorgado la oportunidad procesal a la investigada para acreditar lo requerido, se tiene preliminarmente que RAPPI S.A.S., responsable del tratamiento de datos en la plataforma virtual, presuntamente no comunicó la finalidad del tratamiento y los derechos al Titular XXXXX XXXXXXX, lo cual se subsume típicamente en una presunta infracción a lo dispuesto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley.” En cuanto a lo anterior, la sociedad investigada manifestó lo siguiente: “Rappi obtuvo la autorización para el tratamiento de los datos del Señor Xxxxx y le suministró la información respecto de las finalidades para el tratamiento de su información personal.
Para ello, debe tenerse en cuenta que el Señor Xxxxx, al ingresar a la aplicación de Rappi y registrarse, aceptó de forma electrónica el tratamiento de su información conforme el texto que se muestra a continuación el 19 de febrero de 2016 a las 14:19:55:” En este punto y en aras de velar por la trazabilidad de la información, se realiza la trascripción de las finalidades señaladas en la imagen incorporada en el escrito de descargos a la que hace referencia la sociedad investigada, debido a la ilegibilidad de la misma: “Finalidades del Tratamiento: El titular de la información acepta de manera expresa, voluntaria e informada el tratamiento de sus datos personales y para que estos sean consignados, sean recopilados y almacenados en las bases de datos de RAPPI conforme a las finalidades que a continuación se enuncian: (i) Recabar o recolectar los datos personales e incorporarlos y almacenarlos en nuestra base de datos, (ii) Ordenar, catalogar, clasificar, dividir o separar la información suministrada, (iii) Utilizar los datos suministrados en campañas de comunicación, divulgación y promoción u oferta de productos, actividades o servicios desarrollados como parte de estrategias internas de la compañía, (iv) Utilizarlos para fines administrativos internos o comerciales tales como: estudios de crédito, elaboración y presentación de cotizaciones, referencias comerciales de experiencia, investigación de mercados, análisis estadísticos, realización de encuestas sobre satisfacción, ofrecimiento o reconocimiento de beneficios propios de nuestro programa de lealtad y servicio postventa, (v) Conservar registros históricos de la compañía y mantener contacto con los titulares del dato, (vi) Verificar, comprobar o validar los datos suministrados, (vii) Estudiar y analizar la información entregada para seguimiento y mejoramiento de los productos, el servicio y la atención, (viii) Entregar la información recolectada a terceros con los que la compañía contrate el almacenamiento y administración de los datos personales, bajo los estándares de seguridad y confidencialidad a los cuales RAPPI está obligada según lo contenido en las leyes pertinentes, (ix) Transferir los datos personales a cualquier país o servidor en otro país, (x) Comunicar y permitir el acceso a los datos personales suministrados a terceros proveedores de servicios de apoyo general y a las personas naturales o jurídicas accionistas de RAPPI, (XI) Recabar, tener, manejar y utilizar la información recibida por el titular de la información para realizar la vinculación como contratista o proveedor, (xiii) Recabar, tener, manejar y utilizar la información para realizar control y prevención del fraude, control y prevención de lavado de activos y financiación del terrorismo, (xiv) Celebración, ejecución y gestión de las propuestas de negocios y contratos objeto de los servicios prestados, (xv) Realizar de conformidad con la ley los reportes a centrales de riesgo por incumplimiento de las obligaciones financieras derivadas de la relación comercial, (xvi) Envío de comunicaciones a través de cualquier canal, con ocasión a las actividades de mercadeo y asistencia contractual.
RAPPI podrá transmitir o transferir los datos personales de los que es Responsable a terceros, los datos también podrán ser transferidos a otras empresas que se encuentren bajo la misma órbita de control de RAPPI. Dichos terceros podrán estar ubicados en Colombia, o en otros países que, a juicio de la Superintendencia de Industria y Comercio, garanticen un nivel adecuado de protección de datos personales.
Igualmente, podrán ser transferidos a, Argentina, Brasil, Chile, Costa Rica, Ecuador, Estados Unidos, México, Perú, Uruguay.” En cuanto al plenario se evidencia lo siguiente: HOJA N, “Por la cual se impone una sanción administrativa” La presente investigación administrativa tuvo su génesis en la denuncia presentada por el señor XXXXXX XXXXX XXXXXXX ante esta Superintendencia el día 2 de mayo de 201816, en la cual manifestó, entre otras cosas, haber remitido tres reclamos a la sociedad RAPPI S.A.S. los días 5, 10 y 18 de abril de 2018, debido a que la mencionada sociedad le estaba remitiendo mensajes con prospección comercial a su correo electrónico personal, sin que él lo hubiese consentido; asimismo, aclara que no tiene vínculo contractual vigente con la sociedad investigada.
En este punto, entra la Dirección a analizar si la sociedad investigada le informó al señor XXXXXX XXXXX XXXXXXX sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada, encontrando lo siguiente En relación con el principio de finalidad, debe tenerse en cuenta que el tratamiento de datos personales debe tener un propósito específico y explícito que sea acorde a la Constitución y la ley, de lo cual debe ser informado el Titular de manera clara, suficiente y previa.
Asimismo, el tratamiento del dato personal solo puede darse dentro de un ámbito temporal dentro del cual la investigada está facultada como un mero tenedor de los datos personales a usarlos conforme a lo autorizado por el Titular. Dicha temporalidad no puede exceder de la necesaria para dar cumplimiento a la finalidad con la que fueron recaudados, teniendo en cuenta que los datos recaudados frente a los que se realiza el tratamiento tengan una estrecha relación con el objetivo de la base de datos que los contiene.
Es entonces cuando el principio de finalidad le facilita al Titular la verificación que del uso de sus datos está haciendo la investigada y, por tanto, le permite realizar un control sobre lo autorizado y sobre la forma en que se realiza el tratamiento de los mismos. En el presente caso, observa el Despacho que la sociedad RAPPI S.A.S., a pesar de haber esgrimido una serie de argumentos a lo largo del trámite administrativo, en torno al cumplimiento del deber de informar al titular sobre la finalidad de la recolección de sus datos personales y los derechos que le asisten por virtud de la autorización otorgada, no acompañó sus afirmaciones de material probatorio que dé cuenta del cumplimiento de este deber en su calidad de Responsable del Tratamiento de la información del señor XXXXXX XXXXX XXXXXXX, toda vez que, si la autorización previa, expresa e INFORMADA no está acreditada en el expediente, tampoco puede existir evidencia de que se le haya informado al Titular sobre la finalidad del tratamiento de sus datos.
No obstante lo anterior, y debido a que la sociedad investigada aportó un texto de las finalidades que señala haberle informado al Titular al momento en que este se registró en su aplicación, sin aportar una prueba que dé cuenta de la trazabilidad de dicho procedimiento ni la fecha efectiva en que para la fecha en que realizó tratamiento de los datos del Titular le informara sobre dichas finalidades, no puede pasar esta Dirección por alto que algunas de las finalidades incluidas en el texto en mención desconocen abiertamente el ámbito material y/o temporal del principio de finalidad.
Estas finalidades son las siguientes: - Conservar registros históricos de la compañía y mantener contacto con los titulares del dato: tal y como está propuesta la redacción de esta finalidad, pareciera entonces que, si el Titular del dato ejerce sus derechos para solicitar la eliminación de su información, la investigada haría caso omiso nuevamente a las peticiones del Titular, bajo la óptica de que es una de las finalidades del tratamiento. - Transferir los datos personales a cualquier país o servidor en otro país. Al respecto, debe recordarse que la información relacionada con la transferencia internacional de datos personales comprende la identificación del destinatario como Responsable del Tratamiento, el país en el que se encuentra ubicado y si la operación está cobijada por una declaración de conformidad emitida por la Delegatura para la Protección de Datos Personales de la Superintendencia de Industria y Comercio o por una causal de excepción en los términos señalados en el artículo 26 de la Ley 1581 de 2012.
Radicado 18-132370-0. HOJA N, “Por la cual se impone una sanción administrativa” A su turno, el capítulo tercero del Título V de la Circular Única de la Superintendencia de Industria y Comercio establece lo siguiente: “3.1. Estándares de un nivel adecuado de protección del país receptor de la información personal El análisis para establecer sí un país ofrece un nivel adecuado de protección de datos personales, a efectos de realizar una transferencia internacional de datos, estará orientado a determinar si dicho país garantiza la protección de los mismos, con base en los siguientes estándares: a) Existencia de normas aplicables al tratamiento de datos personales. b) Consagración normativa de principios aplicables al Tratamiento de datos, entre otros: legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad. c) Consagración normativa de derechos de los Titulares. d) Consagración normativa de deberes de los Responsables y Encargados. e) Existencia de medios y vías judiciales y administrativas para garantizar la tutela efectiva de los derechos de los Titulares y exigir el cumplimiento de la ley. f) Existencia de autoridad (es) pública (s) encargada (s) de la supervisión del Tratamiento de datos personales, del cumplimiento de la legislación aplicable y de la protección de los derechos de los titulares, que ejerza (n) de manera efectiva sus funciones. 3.2.
Países que cuentan con un nivel adecuado de protección de datos personales Teniendo en cuenta los estándares señalados en el numeral 3.1 anterior y el análisis efectuado por esta Superintendencia, garantizan un nivel adecuado de protección los siguientes países: Alemania; Australia, Austria; Bélgica; Bulgaria; Chipre; Costa Rica; Croacia;
Dinamarca; Eslovaquia; Eslovenia; Estonia; España; Estados Unidos de América; Finlandia; Francia; Grecia; Hungría; Irlanda; Islandia; Italia; Japón; Letonia; Lituania; Luxemburgo; Malta; México; Noruega; Países Bajos; Perú; Polonia; Portugal; Reino Unido; República Checa; República de Corea; Rumania; Serbia; Suecia; y los países que han sido declarados con el nivel adecuado de protección por la Comisión Europea.
La Superintendencia de Industria y Comercio ejercerá, en cualquier tiempo, su capacidad regulatoria para revisar la lista anterior y proceder a incluir a quienes no hacen parte de la misma o para excluir a quien se considere conveniente, de acuerdo con los lineamientos establecidos en la ley. Parágrafo Primero: Sin perjuicio de que las transferencias de datos personales se realicen a países que tienen un nivel adecuado de protección, los Responsables del Tratamiento, en virtud del principio de responsabilidad demostrada, deben ser capaces de demostrar que han implementado medidas apropiadas y efectivas para garantizar el adecuado tratamiento de los datos personales que transfieren a otro país y para otorgar seguridad a los registros al momento de efectuar dicha transferencia. Parágrafo Segundo: Cuando la Transferencia de datos personales se vaya a realizar a un país que no se encuentre dentro de los relacionados en el presente numeral, corresponderá al Responsable del tratamiento que efectuará la transferencia verificar sí la operación está comprendida dentro de una de las causales de excepción establecidas en el artículo 26 de la Ley 1581 de 2012, o, sí ese país cumple con los estándares fijados en el numeral 3.1 anterior, casos en los cuales podrá realizar la transferencia, o, de no cumplirse ninguna de las condiciones anteriores, solicitar la respectiva declaración de conformidad ante esta Superintendencia. Parágrafo Tercero: El simple tránsito transfronterizo de datos no comporta una transferencia de datos a terceros países.
El tránsito transfronterizo de datos se refiere al simple paso de los datos por uno o varios territorios utilizando la infraestructura compuesta por todas las redes, equipos y servicios requeridos para alcanzar su destino final. Parágrafo Cuarto: Es posible realizar la transmisión de datos personales a los países que cuentan HOJA N, “Por la cual se impone una sanción administrativa” con un nivel adecuado de protección de datos personales, en los términos que rigen la transferencia de datos personales.
(…)”. Nótese entonces que la finalidad señalada por la investigada es absolutamente amplia, genérica y desconoce lo manifestado por esta autoridad en torno a los estándares nacionales de un nivel adecuado de protección del país receptor de la información personal. Parecería que la investigada pretende evadir conceptos técnicos y jurídicos en torno a esta facultad de carácter especialísima sobre la cual solo se puede transferir información personal, cuando no medie autorización, bajo la aprobación de esta Superintendencia. Sin embargo, en el último párrafo del texto de las finalidades allegado por la sociedad investigada, señala lo siguiente: “RAPPI podrá transmitir o transferir los datos personales de los que es Responsable a terceros, los datos también podrán ser transferidos a otras empresas que se encuentren bajo la misma órbita de control de RAPPI.
Dichos terceros podrán estar ubicados en Colombia, o en otros países que, a juicio de la Superintendencia de Industria y Comercio, garanticen un nivel adecuado de protección de datos personales. Igualmente, podrán ser transferidos a, Argentina, Brasil, Chile, Costa Rica, Ecuador, Estados Unidos, México, Perú, Uruguay.” Sobre el particular, este Despacho encuentra necesarias las siguientes consideraciones: (i) Argentina, Brasil, Chile, Ecuador y Uruguay no se encuentran dentro de la lista de países que cuentan con un nivel adecuado de protección de datos personales contenida en el capítulo tercero del Título V de la Circular Única de la Superintendencia de Industria y Comercio.
(ii) La transferencia de datos personales “a otras empresas que se encuentren bajo la misma órbita de control de RAPPI” no permite que el Titular realice la verificación del uso de sus datos y el control sobre lo autorizado y sobre la forma en que se realiza el tratamiento de los mismos. Además, dicha aseveración implicaría una transferencia traslaticia del dominio de los datos personales de los Titulares hacia la compañía; situación que resulta totalmente violatoria del derecho fundamental de habeas data. - Del texto de finalidades aportado por la investigada no se observa que se le hayan informado al Titular los derechos que le asisten por virtud de la autorización otorgada.
Por virtud de lo expuesto, a juicio de esta Dirección la sociedad RAPPI S.A.S. en su calidad de Responsable del Tratamiento de los datos personales del señor XXXXXX XXXXX XXXXXXX, incumplió el deber contemplado Literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma ley, al no haberle informado al titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada; motivo por el que impondrá la respectiva sanción pecuniaria.
DÉCIMO PRIMERO: CONCLUSIONES Se encuentra suficientemente acreditado que la sociedad RAPPI S.A.S. no atendió los reclamos presentados por el Titular los días 5, 10 y 18 de abril de 2018, dentro del término legal previsto para el efecto. A la fecha, este Despacho no encuentra evidencia de que la sociedad investigada haya otorgado respuesta a las múltiples peticiones del Titular, sino que lo único que se encuentra probado es una justificación insuficiente de la eliminación de las respuestas presuntamente otorgadas al señor XXXXXX XXXXX XXXXXXX.
Aun cuando el Titular ejerció su derecho de habeas data, solicitando en múltiples oportunidades la supresión de sus datos personales de la base de datos de la sociedad RAPPI S.A.S., quedó probado que este no pudo lograr un proceso satisfactorio, pues la sociedad investigada omitió atender todas y cada una de las solicitudes por él presentadas.
La sociedad RAPPI S.A.S. no obtuvo la autorización previa, expresa e informada del señor XXXXXX XXXXX XXXXXXX, para el tratamiento de sus datos personales. HOJA N, “Por la cual se impone una sanción administrativa” La sociedad investigada no le informó al Titular sobre la finalidad de la recolección sus datos y los derechos que le asisten por virtud de la misma.
DÉCIMO SEGUNDO: Imposición y graduación de la sanción 12.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 23 17. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 2 18, 4 19 y 6 20 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo 21.
La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.
(…)”22 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 23.
Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En efecto, el artículo 26 de la Ley 152 de 1994 dispone: Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” Artículo 2.
(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.
(negrita añadida) Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones. (negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000);
Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000).
Considerando 5.5.2. Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. HOJA N, “Por la cual se impone una sanción administrativa” “Con base en el Plan Nacional de Desarrollo aprobado, cada uno de los organismos públicos de todo orden a los que se aplica esta Ley preparará su correspondiente plan de acción. En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: “ART. 49. —Cálculo de valores en UVT.
A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.
PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV.” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Tributario (UVT).
Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2021 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional24 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.
Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”25 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 23 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.
Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. HOJA N, “Por la cual se impone una sanción administrativa” Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad.
Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012. Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros26.
La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”27.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia28. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2329 de la misma.
Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Ley 1581 de 2012, artículo 24: “Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 28 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” HOJA N, “Por la cual se impone una sanción administrativa” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012.
Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “El artículo 23 del proyecto establece las sanciones que puede aplicar la Superintendencia de Industria y Comercio a los responsables del tratamiento y encargados del tratamiento, dentro de las cuales contempla las multas, la suspensión de las actividades relacionadas con el tratamiento, el cierre temporal de las operaciones relacionadas con el tratamiento y finalmente el cierre inmediato y definitivo de la operación: Esta norma constituye una disposición de carácter sancionatorio y por ello debe cumplir con todos los principios propios del debido proceso sancionador contemplados en la Constitución Política y reconocidos por la jurisprudencia de esta Corporación: En primer lugar, el principio de legalidad, de acuerdo con el cual: “las conductas sancionables no sólo deben estar descritas en norma previa sino que, además, deben tener un fundamento legal, por lo cual su definición no puede ser delegada en la autoridad administrativa”.
Este axioma tiene una interpretación menos rigurosa en el Derecho administrativo sancionador que en el Derecho penal, pues es posible una flexibilización razonable de la descripción típica: “Ha reiterado la Corte, que en el derecho administrativo sancionador "aunque la tipicidad hace parte del derecho al debido proceso en toda actuación administrativa, no es demandable en este campo el mismo grado de rigurosidad que se exige en materia penal”, por cuanto la naturaleza de las conductas reprimidas, los bienes jurídicos involucrados y la teleología de las facultades sancionadoras en estos casos, hacen posible también una flexibilización razonable de la descripción típica, en todo caso, siempre erradicando e impidiendo la arbitrariedad y el autoritarismo, que se haga prevalecer los principios de legalidad y de justicia social, así como los demás principios y fines del Estado, y que se asegure los derechos constitucionales, los intereses legítimos y los derechos de origen legal o convencional de todas las personas”.
Esta norma cumple con el principio de tipicidad, para lo cual debe interpretarse conjuntamente con el artículo 22 de la futura ley estatutaria, que establece la posibilidad de imponer sanciones cuando se hayan incumplido las disposiciones de esta ley. En este sentido, el supuesto de hecho que completa la norma jurídica sancionatoria está constituido por la infracción de las disposiciones de la futura ley estatutaria por la cual se dictan disposiciones generales para la protección de datos personales.
(…)30 Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 13.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
En el caso sub-examine, con base en el literal a) del artículo 24 de la Ley 1581 de 2012, esta Dirección evidencia que los cargos comprobados en contra de la sociedad RAPPI S.A.S., afectaron de forma real y concreta los intereses jurídicos consagrados en la Ley 1581 de 2012 y sus normas complementarias. Quedó suficientemente demostrado que: La sociedad RAPPI S.A.S. no atendió los reclamos presentados por el Titular los días 5, 10 y 18 de abril de 2018, dentro del término legal previsto para el efecto.
A la fecha, este Despacho no encuentra evidencia de que la sociedad investigada haya otorgado respuesta a las múltiples peticiones del Titular, sino que lo único que se encuentra probado es una justificación insuficiente de la eliminación de las respuestas presuntamente otorgadas al señor XXXXXX XXXXX XXXXXXX; conducta con la que transgredió el deber contemplado en el literal j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 de la misma ley; razón por la cual se impondrá una sanción pecuniaria de CIEN MILLONES SESENTA Y CUATRO MIL OCHOCIENTOS CUARENTA Y OCHO PESOS M/CTE ($100.064.848) equivalentes a DOS MIL SETECIENTAS CINCUENTA Y SEIS (2.756) Unidades de Valor Tributario (UVT) vigentes.
La sociedad investigada omitió atender todas y cada una de las solicitudes presentadas por el Titular, quien ejerció su derecho de habeas data, solicitando en múltiples oportunidades la supresión de sus datos personales de la base de datos de la sociedad RAPPI S.A.S, conducta con la cual infringe el deber consagrado en el literal a) del artículo 17 de la Ley 1581 del 2012, en concordancia Corte Constitucional, Sentencia C-748 de 2011, M.P: Jorge Ignacio Pretelt Chaljub.
FJ: 2.22.3. HOJA N, “Por la cual se impone una sanción administrativa” con el literal e) del artículo 8 de la ley citada y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 del 2015; razón por la cual se impondrá una sanción pecuniaria de CIEN MILLONES SESENTA Y CUATRO MIL OCHOCIENTOS CUARENTA Y OCHO PESOS M/CTE ($100.064.848) equivalentes a DOS MIL SETECIENTAS CINCUENTA Y SEIS (2.756) Unidades de Valor Tributario (UVT) vigentes.
La sociedad RAPPI S.A.S. no obtuvo la autorización previa, expresa e informada del señor XXXXXX XXXXX XXXXXXX, para el tratamiento de sus datos personales, omisión con la que transgredió el deber dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 del 2015; razón por la cual se impondrá una sanción pecuniaria de CIEN MILLONES SESENTA Y CUATRO MIL OCHOCIENTOS CUARENTA Y OCHO PESOS M/CTE ($100.064.848) equivalentes a DOS MIL SETECIENTAS CINCUENTA Y SEIS (2.756) Unidades de Valor Tributario (UVT) vigentes.
La sociedad investigada no le informó al Titular sobre la finalidad de la recolección sus datos y los derechos que le asisten por virtud de la misma, omisión con la que transgredió el deber dispuesto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley; razón por la cual se impondrá una sanción pecuniaria de CIEN MILLONES SESENTA Y CUATRO MIL OCHOCIENTOS CUARENTA Y OCHO PESOS M/CTE ($100.064.848) equivalentes a DOS MIL SETECIENTAS CINCUENTA Y SEIS (2.756) Unidades de Valor Tributario (UVT) vigentes.
En consecuencia, esta Dirección impondrá, dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa de CUATROCIENTOS MILLONES DOSCIENTOS CINCUENTA Y NUEVE MIL TRESCIENTOS NOVENTA Y DOS PESOS M/CTE ($400.259.392), correspondiente a ONCE MIL VEINTICUATRO (11.024) Unidades de Valor Tributario (UVT) vigentes, por la violación a lo dispuesto en: (i) El literal j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 de la misma ley;
(ii) el literal a) del artículo 17 de la Ley 1581 del 2012, en concordancia con el literal e) del artículo 8 de la ley citada y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 del 2015 (iii) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 del 2015; y (iv) el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley. 13.1.2 Otros criterios de graduación Por último, se aclara que frente a la sociedad investigada los criterios de graduación de la sanción señalados en los literales b), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) no hubo beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar,, (ii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y (iii) no hubo renuencia o desacato a cumplir las órdenes e instrucciones de esta Dirección. El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 NO se aplicará toda vez que la investigada NO reconoció de manera expresa la comisión de las infracciones investigadas por esta Superintendencia. 13.1.3 Reincidencia en la comisión de la infracción Será tenido en cuenta el criterio contenido en el literal c) del artículo 24 de la Ley 1581 de 2012 en la medida en que con anterioridad la sociedad investigada ha sido sancionada por las mismas conductas violatoria de la ley, esto es, que se ha generado reincidencia en el incumplimiento de los deberes de (i) garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data; y (ii) solicitar y conservar, en las condiciones previstas en la presente ley, copia de la HOJA N, “Por la cual se impone una sanción administrativa” respectiva autorización otorgada por el Titular; razón por la cual la sanción pecuniaria impuesta se incrementará en un valor de CIEN MILLONES SESENTA Y CUATRO MIL OCHOCIENTOS CUARENTA Y OCHO PESOS M/CTE ($100.064.848) a equivalentes a DOS MIL SETECIENTAS CINCUENTA Y SEIS (2.756) Unidades de Valor Tributario (UVT) vigentes.
En consecuencia, esta Dirección impondrá, dentro del margen que le otorga el literal a) del artículo 23 de la Ley 1581 de 2012 entre 1 y 2000 SMLMV, una multa total por un valor de QUINIENTOS MILLONES TRESCIENTOS VEINTICUATRO MIL DOSCIENTOS CUARENTA PESOS M/CTE ($500.324.240), correspondiente a TRECE MIL SETECIENTAS OCHENTA (13.780) Unidades de Valor Tributario (UVT) vigentes.
En efecto, enseguida se destaca la siguiente sanción: Radicado 18-89592 En el que mediante la Resolución N°. 9800 del 25 de abril de 2019 se sancionó a la sociedad RAPPI S.A.S., identificada con el Nit. 900.843.898-9, por la violación de los deberes previstos en: (i) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la norma en mención, junto con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, y (ii) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y artículo 9 de la norma en mención; y inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.
Frente a la vulneración del deber mencionado, este Despacho sancionó a la citada sociedad por la suma de DOSCIENTOS NOVENTA Y OCHO MILLONES CIENTO VEINTIÚN MIL SETECIENTOS SESENTA PESOS M/CTE ($298.121.760.00), equivalente a TRESCIENTOS SESENTA (360) salarios mínimos legales mensuales vigentes.
DÉCIMO CUARTO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.
Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad RAPPI S.A.S. con Número de Identificación Tributaria 900.843.898-9, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial de la sociedad notificacionesrappi@rappi.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.
En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.
Finalmente, indicando que la totalidad del Expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad RAPPI S.A.S. considera estrictamente necesario el acceso del Expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.
Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (571) 592 04 00, para que la misma sea atendida en el menor tiempo posible.
En mérito de lo expuesto este Despacho, HOJA N, “Por la cual se impone una sanción administrativa”
RESUELVE
ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad RAPPI S.A.S., identificada con Nit. 900.843.898-9, de QUINIENTOS MILLONES TRESCIENTOS VEINTICUATRO MIL DOSCIENTOS CUARENTA PESOS M/CTE ($500.324.240), correspondiente a TRECE MIL SETECIENTAS OCHENTA (13.780) Unidades de Valor Tributario (UVT) vigentes por la violación a lo dispuesto en: (i) El literal j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 de la misma ley;
(ii) el literal a) del artículo 17 de la Ley 1581 del 2012, en concordancia con el literal e) del artículo 8 de la ley citada y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 del 2015; (iii) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 del 2015; y (iv) el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley.
PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO SEGUNDO: NOTIFICAR personalmente el contenido de la presente resolución a sociedad RAPPI S.A.S., identificada con Nit. 900.843.898-9, a través de su representante legal y apoderados especiales, entregándoles copia de esta e informándoles que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días siguientes a su notificación.
ARTÍCULO TERCERO: COMUNICAR al señor XXXXXX XXXXX XXXXXXX, identificado con cédula de ciudadanía número XXXXXXXXXX el contenido de la presente decisión.
ARTÍCULO CUARTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 21 OCTUBRE 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS ENRIQUE Firmado CARLOS ENRIQUE SALAZAR SALAZAR MUÑOZ MUÑOZ Fecha: 2021.10.21 13:12:31 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: MRFA Revisó: SRB Aprobó: CESM HOJA N, “Por la cual se impone una sanción administrativa” NOTIFICACIÓN: Investigada: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: Apoderados: Señor: Identificación: Señor Identificación Dirección: Ciudad: Correo electrónico: RAPPI S A S Nit. 900.843.898-9 FELIPE VILLAMARIN LAFAURIE C.C. 1.136.881.540 Calle 93 No. 19 - 75 Bogotá D.C. notificacionesrappi@rappi.com Alejandro Acevedo Escallón C.C. 1.018.414.692 T.P. 196.243 del C.S.J Adolfo Enrique Gómez Trujillo C.C. 1.018.443.088 T.P. 264.882 del C.S.J Calle 92 No. 11-51 Oficina 401 Bogotá D.C. alejandro.acevedo@garrigues.com adolfo.gomez@garrigues.com COMUNICACIÓN: Señor: Identificación: Dirección: Ciudad: Correo electrónico: XXXXXX XXXXX XXXXXX XXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXX XXXXXXXXXXXXXXXX