(25 JULIO 2022) “Por la cual se impone una sanción y se imparten órdenes” Radicación 20-437746 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los literales a) y b) del artículo 21 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y
CONSIDERANDO
PRIMERO: Que, de manera anónima, se presentó denuncia ante esta Superintendencia mediante escrito con radicado 20-437746- -0 del 19 de noviembre de 2020. Esta reclamación se dirigió en contra de la sociedad MERCADOLIBRE COLOMBIA LTDA identificada con Nit. 830.067.394-6, por las presuntas infracciones al Régimen General de Protección de Datos Personales que se causaron en virtud de los hechos narrados por el Titular: 1.1.
Manifestó que, “Mercadolibre ha permitido que los correos electrónicos de sus usuarios se hayan filtrado y hayan sido robados, luego muchos vendedores y compradores recibieron correos haciendose (sic) pasar como Mercadolibre y por medio de estos los están estafando”1. 1.2. Agregó que, “Esto es muy grave, es una violación de la ley de hábeas data y de la seguridad tanto de compradores como todos los usuarios, para evitar que la información personal de los usuarios de Mercadolibre siga siendo obtenida fácilmente por terceros, solicitamos tomar medidas cautelares de forma inmediata entre las cuales podría estar el artículo 54 de la ley 1480 de 2011 dado que los derechos de los consumidores incluidos los de hábeas data están siendo violados”2. 1.3.
Por lo tanto solicitó que, “También solicitamos una investigación a fondo donde se revise las falencias que mercadolibre (sic) está teniendo en materia de protección de datos personales, el hecho de que estos supuestos estafadores que Mercadolibre reconoce y menciona, tengan acceso a las listas de email, nombre y demás datos personales de los clientes de Mercadolibre es prueba de que no protegieron correctamente los datos personales de sus usuarios”3.
A la anterior reclamación adjuntó copia de un correo electrónico remitido por el e-mail ‘gestioncomercial@mercadolibre.com.co’ el 29 de agosto de 2019 con asunto ‘Invitación participación promoción aniversario Mercado Libre 2019’4.
SEGUNDO: Que, con el propósito de precisar las circunstancias de tiempo, modo y lugar, las personas naturales o jurídicas involucradas, las normas presuntamente trasgredidas y las medidas o sanciones que serían procedentes, esta Dirección, a través del Grupo de Trabajo Investigaciones de Administrativas, adelantó las siguientes averiguaciones preliminares: 2.1.
Mediante oficio con radicado 20-437746- -6 del 16 de junio de 2021 se requirió a la sociedad MERCADOLIBRE COLOMBIA LTDA con el fin de que informara lo siguiente: “( ) 1 Expediente virtual. Consecutivo número 0. Página 1, hoja 1. 2 Ibidem. 3 Ibidem. 4 Expediente virtual. Consecutivo número 4. Página 14, hoja 1. HOJA N, “Por la cual se impone una sanción y se imparten órdenes” 1.
¿Cuál es el mecanismo que utiliza la sociedad para el envío de correos masivos? 2. ¿El correo electrónico ‘gestioncomercial@mercadolibre.com.co’ es propiedad de esa sociedad? 3. ¿Por qué el 29 de agosto de 2019 se envió un mail desde el correo electrónico gestioncomercial@mercadolibre.com.co’ sin las medidas de seguridad necesarias para ocultar los datos personales correspondientes a direcciones electrónicas? 4.
Allegue copia del correo enviado el 29 de agosto de 2019 desde el mail ‘gestioncomercial@mercadolibre.com.co’ con asunto ‘Invitación Participación promoción aniversario Mercado Libre 2019’. 5. ¿Ha recibido alguna queja, reclamo o petición relacionada con la exposición de los datos personales correspondientes al correo electrónico y nombre de los destinatarios del mensaje de datos del 29 de agosto de 2019? De ser afirmativa su respuesta indique el trámite que le dio a dichas reclamaciones. 6.
Informe y acredite la fecha y la forma de obtención o recolección de los datos personales que se vieron presuntamente afectados con el envío del correo electrónico expuesta (sic) en la imagen 1. 7. ¿Cuáles son los mecanismos de capacitación que ha brindado a sus empleados para evitar incidentes de seguridad relacionados con el acceso no autorizado a datos personales que reposan en sus bases de datos? 8.
Aporte copia de las políticas y/o manuales internos de seguridad con base en los cuales conserva la información de los Titulares. 9. Sírvase indicar cuáles son los canales habilitados al público para la atención de consultas y reclamos presentados por los Titulares de información. 10. De conformidad con lo establecido en la Ley 1581 de 2012, artículo 17, literal k), sírvase manifestar si cuenta con un Manual de procedimientos para la atención de consultas y reclamos.
Remita copia de este. ( )”5 2.2. Mediante comunicación con radicados 20-437746- -11 del 1 de julio de 2021 y 20437746- -15 del 21 de julio de 2021 la sociedad MERCADO LIBRE COLOMBIA LTDA dio respuesta al requerimiento e informó lo siguiente: “(…) 1. Respuesta al numeral 1: “¿Cuál es el mecanismo que utiliza la sociedad para el envío de correos masivos?”.
Actualmente, Mercado Libre cuenta con manuales y tutoriales para configurar comunicaciones, dentro de las cuales se incluyen instrucciones para el envío de correos masivos. Adjunto como Anexo No. 1, enviamos copia de los apartes del manual de comunicaciones, los cuales hacen referencia a los correos masivos promocionales. Adicionalmente, para el envío de correos masivos, Mercado Libre actualmente utiliza las herramientas “Hermes” (la cual permite realizar envíos masivos de manera automatizada, protegiendo los datos de los usuarios) y un complemento de Gmail llamado "Yet Another Mail" (en el cual se carga la base de correos de los usuarios, y la herramienta le envía un mail personalizado, protegiendo sus datos y los de los demás vendedores de la base) con el fin de dotar de mayor seguridad al sistema de envío de correos masivos.
Para conocimiento de esta Superintendencia, adjunto como Anexo No. 2 una breve explicación y descripción de los instructivos que actualmente utiliza el equipo encargado del uso de dichas herramientas y donde se evidencian los pasos internos que debe seguir el equipo para el envío de correos masivos. 2. Respuesta al numeral 2: “¿El correo electrónico ‘gestioncomercial@mercadolibre.com.co’ es propiedad de esa sociedad?”. 5 Expediente virtual.
Consecutivo número 6. Página 2, hojas 2 a 3. “Por la cual se impone una sanción y se imparten órdenes” HOJA N, Sí, el correo electrónico gestioncomercial@mercadolibre.com.co es de propiedad de Mercado Libre. La casilla gestioncomercial@mercadolibre.com.co se creó en el año 2019 para compartir con ciertos usuarios vendedores previamente registrados en el sitio web, información relevante sobre Mercado Libre, como consejos para mejorar su desempeño e invitaciones a participar en acciones comerciales, entre otros.
La casilla gestioncomercial@mercadolibre.com.co se usa para envíos muy puntuales y se hace a través del complemento de Gmail llamado "Yet Another Mail" en el cual se carga la base de correos de los usuarios, y la herramienta le envía un mail personalizado, protegiendo sus datos y los de los demás vendedores de la base. 3. Respuesta al numeral 3: “¿Por qué el 29 de agosto de 2019 se envió un mail desde el correo electrónico gestioncomercial@mercadolibre.com.co’ sin las medidas de seguridad necesarias para ocultar los datos personales correspondientes a direcciones electrónicas?”.
Si bien es cierto que el día 29 de agosto de 2019 se remitió un correo electrónico desde la dirección mencionada, no es cierto que el mismo haya sido enviado sin las “medidas de seguridad necesarias”. Al respecto, se aclara lo siguiente: i) Mercado Libre solo tuvo conocimiento (parcial) de la denuncia presuntamente realizada por uno de sus usuarios con relación a dicho correo, en el momento en que recibió el requerimiento de información, esto es, el 16 de junio del año 2021.
Hasta la fecha de respuesta a este requerimiento, no hay constancia de que éste o cualquier otro usuario de la plataforma haya indicado que el envío de dicho correo no cumplía con “medidas de seguridad”, sin perjuicio de que actualmente se está realizando una labor de verificación manual de peticiones, quejas y posibles reclamaciones interpuestas por los titulares de los correos electrónicos en relación con el correo de agosto de 2019, para lo cual se solicitan unos días adicionales para dar alcance a este punto. ii) En línea con lo expuesto en el numeral anterior, Mercado Libre cuenta con numerosas medidas de seguridad y mecanismos de control tendientes a evitar este tipo de situaciones.
Dichas medidas son de conocimiento de la SIC, autoridad que en ocasiones anteriores y con base en un hecho similar, ha concluido que cumplen con lo establecido en la Ley 1581 de 2012. iii) Asimismo, con base a un posible incidente de seguridad reportado a la SIC el 18 de septiembre de 2019 (posterior al envío del correo indicado en este requerimiento) bajo el número de radicado 19-213906, el cual fue archivado por la SIC el día 29 de octubre de 2020, desde el mismo mes de septiembre del año 2019, se tomaron numerosos correctivos adicionales con el objeto de evitar que la situación volviese a presentarse, entre otros: 1.
Capacitación al equipo encargado de hacer envíos masivos sobre el tratamiento y protección de datos 2. Migración de los envíos masivos a herramienta "Hermes" (propiedad de mercado Libre), en la cual se carga una base con los códigos de usuario de los vendedores (no correos), y la herramienta identifica el correo de usuario y le envía un mail personalizado, protegiendo sus datos y los de los demás vendedores de la base. 3.
Uso del complemento de Gmail llamado "Yet Another Mail" en el cual se carga la base de correos de los usuarios, y la herramienta le envía un mail personalizado, protegiendo sus datos y los de los demás vendedores de la base. 4. Respuesta al numeral 4: “Allegue copia del correo enviado el 29 de agosto de 2019 desde el mail ‘gestioncomercial@mercadolibre.com.co’ con asunto ‘Invitación Participación promoción aniversario Mercado Libre 2019’.” Se allega copia del correo electrónico requerido en el Anexo No. 3. 5.
Respuesta al numeral 5: “¿Ha recibido alguna queja, reclamo o petición relacionada con la exposición de los datos personales correspondientes al correo electrónico y nombre de los destinatarios del mensaje de datos del 29 de agosto de 2019? De ser afirmativa su respuesta indique el tramite (sic) que le dio a dichas reclamaciones.”. “Por la cual se impone una sanción y se imparten órdenes” HOJA N, A la fecha, Mercado Libre no ha tenido conocimiento de posibles quejas, reclamos o peticiones relacionadas con una presunta exposición de datos personales correspondiente al correo electrónico y nombre de los destinatarios del mensaje de datos en cuestión. Como se indicó anteriormente, Mercado Libre se enteró de esta situación solo hasta el momento en que fue notificado del oficio 20-437746 de 2021.
Sin embargo, actualmente se está realizando una labor de verificación manual de peticiones, quejas y posibles reclamaciones interpuestas por los titulares de los correos electrónicos en relación con el correo de agosto de 2019, para lo cual se solicitan unos días adicionales para dar alcance a este punto específico de la solicitud de información. 6.
Respuesta al numeral 6: “Informe y acredite la fecha y la forma de obtención o recolección de los datos personales que se vieron presuntamente afectados con el envío del correo electrónico expuesta (sic) en la imagen 1.”. Con el objeto de allegar la información solicitada, es importante en primer lugar, indicar que al servicio que presta Mercado Libre solo se puede acceder con la aceptación previa, expresa e informada de los siguientes documentos por parte del usuario que desea registrarse: i) Política de Privacidad ii) Términos y Condiciones de MercadoLibre y iii) Términos y Condiciones de Mercado Pago.
Dicho procedimiento se muestra a continuación: 1.1. Registro 1.1.1. Los potenciales usuarios que quieran registrarse en la plataforma deberán ingresar a la url: https://www.mercadolibre.com.co (el “Sitio Web”) y dar clic en la opción “Regístrate”. Una vez en esta página, al potencial usuario se le indica que el registro trae consigo la declaración de mayoría de edad y la aceptación de las Políticas de Privacidad, los Términos y Condiciones de MercadoLibre y Mercado Pago, como se muestra a continuación: 1.1.2.
Como puede verse, las opciones “Políticas de Privacidad” y “Términos y Condiciones de MercadoLibre y Mercado Pago” funcionan como hipervínculos en el Sitio Web, que remiten al potencial usuario a las siguientes URL’S: i) Para el caso de las “Políticas de Privacidad”, el potencial usuario es remitido al siguiente link: https://ayuda.mercadolibre.com.co/ayuda/politicas-privacidad_1846, el cual hace parte de los Términos y Condiciones Generales de MercadoLibre y que se ocupa de los siguientes temas principales de acuerdo con la Ley 1581 de 2012: a) Derechos de acceso, retiro y rectificación de la información personal b) Información recabada por el Sitio Web c) Finalidades del tratamiento de la información d) Confidencialidad de la información e) Uso de la información por otros usuarios f) Cookies g) Seguridad y almacenamiento de la información. ii) Para el caso de los “Términos y Condiciones de MercadoLibre y Mercado Pago”, el potencial usuario es remitido a los siguientes links donde podrá verificar los Términos y Condiciones aplicables al Sitio Web y a las transacciones que se efectúen a través del mismo: https://ayuda.mercadolibre.com.co/ayuda/terminos-condiciones-de-uso_1841 y https://www.mercadopago.com.co/ayuda/terminos-condiciones_1823.
“Por la cual se impone una sanción y se imparten órdenes” HOJA N, Sin perjuicio de que el contenido de cada uno de estos documentos será aportado como anexo al presente requerimiento (Anexo No. 4), a continuación presentamos capturas de pantalla de cada una de las páginas principales a las cuales remiten los hipervínculos reseñados: En ese sentido, el registro es el consentimiento expreso del usuario en los términos de (i) acceso al portal para el respectivo uso, y (ii) le otorga a Mercado Libre la autorización para el tratamiento de sus datos personales, por lo cual el Usuario siempre es informado de manera previa sobre los derechos que le asisten en calidad de titular, reconociendo por tanto el cumplimiento del artículo 8 de la Ley 1581 de 2012. 1.2.
Fecha y forma de obtención o recolección de los nombres y direcciones de correo electrónico involucrados en el correo electrónico remitido Adjunto como Anexo No. 5 el listado de los correos electrónicos involucrados en el envío del correo electrónico de la referencia, indicando la fecha de inscripción de cada uno de los usuarios propietarios de dichos correos electrónicos en el sitio web de Mercado Libre, la cual coincide con su aceptación de los términos y condiciones y las políticas de privacidad del mismo.
Cabe aclarar que algunos de los correos electrónicos incluidos en el listado son correo (sic) electrónicos relacionados con otras cuentas dentro del Sitio Web y que son suministrados directamente por los titulares para recibir este tipo de comunicaciones. Ahora bien, respecto de la autorización de tratamiento de datos personales dada mediante “click”, el Decreto 1074 de 2015 en su artículo 2.2.2.25.24 admite el uso de tecnologías para el perfeccionamiento de esta en los siguientes términos: Artículo 2.2.2.25.2.4.
Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 2.2.2.25.4.1., del presente Decreto, que garanticen su consulta.
Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada (subraya fuera del texto original). Por lo tanto, Mercado Libre como responsable del tratamiento de los datos personales obtuvo de manera voluntaria, libre, expresa e informada la autorización de los usuarios a los cuales les fue remitido el correo del 29 de agosto de 2019.
Sin perjuicio de lo anterior, cabe aclarar que la gran mayoría de los nombres y correos electrónicos involucrados en el envío del 29 de agosto de 2019 corresponden a información relacionada con empresas y/o personas naturales comerciantes, por lo cual, en estricto sentido, no se trata de datos personales, privados o semiprivados a los cuales resulte aplicable la Ley 1581 de 2012.
“Por la cual se impone una sanción y se imparten órdenes” HOJA N, 7. Respuesta al numeral 7: “¿Cuales (sic) son los mecanismos de capacitación que ha brindado a sus empleados para evitar incidentes de seguridad relacionados con el acceso no autorizado a datos personales que reposan en sus bases de datos?”. Antes de indicar lo relacionado con los mecanismos de capacitación que Mercado Libre ha brindado a sus empleados para evitar incidentes de seguridad, se aclara lo siguiente en relación con los mecanismos de seguridad generales implementados por Mercado Libre: Desde el punto de vista de seguridad informática, Mercado Libre cuenta con altos estándares en materia de protección de la confidencialidad de información personal, incluyendo, entre otras medidas, cortafuegos ("firewalls") a nivel de red, así como firewalls aplicativos que permiten detectar y accionar ante diferentes eventos que fueran clasificados como riesgosos y “Secure Socket Layers” ("SSL"), medidas que son informadas a los usuarios inclusive de manera previa mediante las Políticas de Privacidad.
Los accesos a los diferentes medios de almacenamiento como bases de datos, son otorgados en base a la clasificación otorgada a los datos tanto a nivel de confidencialidad como integridad. Dicha clasificación es revalidada periódicamente a fin de evitar desvíos en la actualización de datos. Así́ mismo, para evitar errores humanos o administrativos, Mercado Libre cuenta con políticas, normas y procedimientos de seguridad de la información personal debidamente aprobados, los cuales incluyen procedimientos internos de asignación de responsabilidades y autorizaciones en el tratamiento de la información personal, acuerdos de confidencialidad con cada uno de los funcionarios que tiene acceso al tratamiento de la información personal, herramientas de gestión de riesgos en el tratamiento de datos personales, políticas de protección para el acceso remoto a la información personal, entre otros procedimientos orientados a brindar seguridad a los datos almacenados, con especial atención a los datos personales y sensibles.
Adicionalmente, con el objetivo de realizar un adecuado manejo en el tratamiento de los datos personales, Mercado Libre tiene implementada una “Política de datos personales- privacidad” la cual tiene como objeto establecer prácticas uniformes en el procesamiento y recolección de datos personales para evitar incidentes de seguridad a los cuales se ve expuesto en su operación, entre las cuales se encuentran: (i)implementación de acuerdos de confidencialidad con los colaboradores que tienen acceso a la información, (ii) asignación de responsabilidades a los diferentes departamentos y sectores intervinientes en el manejo de la información, (iii) escaneos periódicos de vulnerabilidades para evitar incidentes futuros, entre otros.
Como parte de la mencionada política, Mercado Libre ha implementado internamente ciertos documentos que permiten adecuar los procedimientos encaminados a impedir la adulteración, pérdida, consulta, uso o acceso no autorizado a las bases de datos y, en general, a clasificar la información, prevenir y combatir incidentes de seguridad, realizar monitoreo de la información y realizar respaldos a la misma.
Algunos de los documentos aplicables y vigentes a la fecha son los siguientes: “Por la cual se impone una sanción y se imparten órdenes” HOJA N, En adición a lo anterior, Mercado Libre periódicamente realiza campañas de sensibilización sobre la importancia y confidencialidad de los datos personales de los usuarios y los empleados. Adjunto como Anexo No. 6 se envía copia de algunas de estas campañas de sensibilización, enviadas a través de la red social interna de la compañía (Workplace) durante los últimos 3 años.
En cuanto a los mecanismos de capacitación brindados a nuestros empleados, como consta en las campañas de sensibilización adjuntas, varias de ellas contienen tutoriales de capacitación sobre la importancia y confidencialidad de los datos personales, las cuales están disponibles para todos los empleados de la compañía. Los videos incluidos en estas campañas tienen entre 3.400 y 3.600 visualizaciones internas.
A su vez, se envía copia de la presentación utilizada en la capacitación llevada a cabo el 13 de septiembre de 2019, en el que constan los temas tratados en la misma (se adjunta como Anexo No. 7, junto con la constancia de la invitación y las personas que asistieron a la misma. Con el fin de continuar con el proceso de sensibilización y prevención de incidentes similares, además de la capacitación realizada el 13 de septiembre de 2019, en el mes de enero de 2020 el señor Xxxx.
Xxxxxx, Gerente Senior de Datos y Privacidad viajó de Argentina a Colombia con el fin de realizar nuevas capacitaciones a todo el personal de la compañía y atender inquietudes del personal. Adjunto en el mismo anexo constancia de la citación a dichas capacitaciones, llevadas a cabo el 30 de enero de 2020. 8. Respuesta al numeral 8: “Aporte copia de las políticas y/o manuales internos de seguridad con base en los cuales conserva la información de los Titulares.”.
En el Anexo No. 3 adjunto, encontrará la Política de Protección de Datos Personales de MercadoLibre (denominada también “Política de Privacidad” o “Declaración de privacidad y confidencialidad de la información de Mercado Libre”), vigente desde el 15 de julio de 2020. Asimismo, para su referencia, adjuntamos: La Política de Seguridad de la Información implementada por MercadoLibre, denominada internamente “Política de Ciberseguridad, como Anexo No. 8.
La Política Corporativa de Protección de Datos Personales, como Anexo No. 9. Los documentos titulados “Política de Gestión de Incidentes de Seguridad Informática” y “Plan de Escalamiento y Comunicación” que describen los procedimientos implementados por la compañía para la gestión de incidentes de seguridad, como Anexo No. 10. 9. Respuesta al numeral 9: “Sírvase indicar cuáles son los canales habilitados al público para la atención de consultas y reclamos presentados por los Titulares de información.”.
Los Titulares cuentan con varios canales para interponer quejas y reclamos relacionados con sus datos personales, como se describe a continuación: a. A través de la sección Ayuda/PQR ubicada en la barra superior e inferior del Sitio Web en todo momento Los usuarios pueden acceder en todo momento a la sección de Ayuda/PQR del Sitio Web, en el cual encontrarán varias opciones según el tipo de consulta o reclamación: “Por la cual se impone una sanción y se imparten órdenes” HOJA N, Para el caso de consultas o reclamaciones relativas a datos personales, podrá encontrar las siguientes alternativas al ingresar a “Configuración de mi cuenta”: Adicionalmente, existe un enlace de destino específico relacionado con los “derechos de privacidad”, en el cual se encuentran las siguientes opciones: Cabe aclarar que cualquier usuario interesado en conocer esta información, puede indicar el objeto de consulta específica en la casilla dispuesta para el efecto, así́: A manera de ejemplo, se comparten los resultados de dicha búsqueda: “Por la cual se impone una sanción y se imparten órdenes” b. HOJA N, Dirección física La Política de Privacidad de MercadoLibre también incluye un Anexo específicamente aplicable a Colombia, en el cual se indica la dirección física para presentar reclamaciones y consultas relacionadas con datos personales, así́: “Por la cual se impone una sanción y se imparten órdenes” c. HOJA N 10, Radicación física de la solicitud en instalaciones de MercadoLibre.
Los usuarios también pueden optar por presentar reclamaciones en las instalaciones de MercadoLibre, caso en el cual les será facilitado el siguiente formato físico: d. A través del micrositio o landing de Privacidad de MercadoLibre En el mes de julio de 2020 MercadoLibre implementó un micrositio o landing exclusivamente dedicado a temas de privacidad y protección de datos en la plataforma: https://www.MercadoLibre.com.co/privacidad, en el cual se indica de forma didáctica y clara a los usuarios las formas de autogestionar y proteger sus datos personales: “Por la cual se impone una sanción y se imparten órdenes” HOJA N 11, En el capítulo de “Accesos” el usuario encuentra diferentes opciones y canales para autogestionar sus consultas y reclamaciones, incluyendo un vínculo para acceder a portal de ayuda/PQR indicado anteriormente y reclamos en la opción “Ejerce los derechos sobre tus datos”: El usuario puede ingresar fácilmente a dicho micrositio, a través de la pestaña denominada “cómo cuidamos tu privacidad”, disponible en la barra inferior del Sitio Web: 10.
Respuesta al numeral 10: “De conformidad con lo establecido en la Ley 1581 de 2012, artículo 17, literal k), sírvase manifestar si cuenta con un Manual de procedimientos para la atención de consultas y reclamos. Remita copia de este.”. Como se ha indicado en respuesta a este requerimiento, Mercado Libre cuenta con diversas políticas y procedimientos que hacen referencia expresa a la atención de consultas y reclamos, entre las cuales se encuentran: la Política de Protección de Datos Personales, la Política de Seguridad de la Información o Política de Ciberseguridad, la Política Corporativa de Protección de Datos Personales, la Política de Gestión de Incidentes de Seguridad Informática y el Plan de Escalamiento y Comunicación. A manera de ejemplo, en la Política de Privacidad se encuentra lo siguiente en relación con la atención de consultas y reclamos: “Por la cual se impone una sanción y se imparten órdenes” HOJA N 12, Respecto al punto quinto, tras concederle una prórroga, la sociedad MERCADOLIBRE COLOMBIA LTDA. respondió lo siguiente: “Mediante respuesta inicial al requerimiento de información hecho en el radicado de la referencia, se solicitó una prórroga de quince (15) días hábiles adicionales a la finalización del término inicialmente concedido, para complementar la respuesta al numeral 5 del requerimiento de información. Conforme a dicha solicitud, en oficio del 8 de julio de 2021 se nos informó que se concedía la prórroga solicitada hasta el 23 de julio de 2021 para otorgar la respuesta al requerimiento efectuado.
En medida de lo anterior, y en aras de dar respuesta, se debe indicar que no se encontró ningún reclamo relacionado con la exposición de los datos personales correspondientes al correo electrónico y nombre de los destinatarios del mensaje de datos del 29 de agosto de 2019. Al respecto, se informa que el equipo de CX de Mercado Libre realizó sus mejores esfuerzos y llevó a cabo una búsqueda detallada de peticiones, quejas o reclamos relacionados con el correo electrónico referido en el requerimiento, consultando los administradores donde Mercado Libre aloja la información, Teradata y APIS integradas a Cx One, y procesando los datos correspondientes, sin embargo, no obtuvo ningún resultado que pudiese identificar la información solicitada”7.
TERCERO: Que, con base en los hechos anotados y de acuerdo con las pruebas recolectadas en la etapa preliminar de esta investigación, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, el día 22 de octubre 2021 se inició la presente investigación administrativa mediante la expedición de la Resolución No. 68429, por medio de la cual se formuló cargo único a la sociedad MERCADOLIBRE COLOMBIA LTDA por el presunto incumplimiento del literal d) del artículo 17 de la Ley 1581 de 2012 así como lo establecido en el literal g) del artículo 4 de la precitada Ley.
CUARTO: Que, la Resolución No. 68429 de 22 de octubre de 2021 le fue notificada mediante Aviso N°. 27106 a la sociedad MERCADOLIBRE COLOMBIA LTDA, el 3 de noviembre de 2021 según consta en la certificación expedida por la Secretaria General de esta Superintendencia, radicada bajo el número 20-437746- -25 de 10 de noviembre de 2021.
QUINTO: Que, encontrándose dentro del término establecido para el efecto, la sociedad investigada, a través de apoderado especial, presentó descargos bajo número de radicación 20437746- -28 el día 25 de noviembre del 2021, en el cual argumenta, entre otras cosas, lo siguiente: 6 Expediente virtual. Consecutivo número 11. Página 5, hojas 4 a 18. 7 Expediente virtual.
Consecutivo número 15. Página 2, hojas 1 a 2. HOJA N 13, “Por la cual se impone una sanción y se imparten órdenes” “1. Reconocimiento de la ocurrencia del hecho que dio origen a la investigación De conformidad con la Resolución de Apertura y el cargo único formulado por la Dirección, es preciso indicar que en efecto un colaborador de Mercado Libre realizó el envío de un correo electrónico el 29 de agosto de 2019 en el que involuntariamente se omitió realizar el envío en copia oculta y en tal sentido se hicieron visibles los correos electrónicos de los destinatarios.
Sin perjuicio del reconocimiento del hecho descrito anteriormente y que corresponde a la causa de la presente actuación administrativa, tal como se prevé en el literal f del artículo 24 de la ley 1581 de 2012, resulta importante hacer algunas aclaraciones para que las mismas sean tomadas en cuenta por la Dirección, tal y como lo exponemos a continuación: i. Examinado el correo electrónico objeto de investigación se encuentra que fueron 257 los destinatarios. ii.
Del total de destinatarios del correo, tan solo el 5.4% correspondían a direcciones de correo electrónico donde se identificaba el nombre y apellido de una persona natural. iii. En línea con lo expuesto, el 66.9% de las direcciones de correo electrónico correspondía a personas no naturales o hacían alusión a cosas o actividades. iv. Asimismo, el 21.7% de los correos citados correspondían a direcciones de correo electrónico corporativas o comerciales.
Por lo expuesto anteriormente, el hecho objeto de investigación se circunscribe a un hecho que parte de una conducta humana puntual e involuntaria, tema poco significativo en la medida en que el error cometido por un colaborador de mi representada se circunscribió tan solo a 14 direcciones de correo electrónico que pueden ser consideradas como datos personales donde se identifican nombre y apellidos.
En esa medida, desde ya, solicitamos a la Dirección sea tenido en cuenta nuestro comportamiento procesal y también los argumentos que se exponen, al momento de tomar la decisión que corresponda en la presente actuación a. El hecho ocurrido tuvo como origen un error humano, puntual e involuntario, y no una falla atribuible a las políticas de seguridad implementadas por Mercado Libre (…) No obstante, es de conocimiento de la Dirección que la situación puesta de presente por el denunciante corresponde a hechos previos - toda vez que el correo electrónico al que se refiere la Dirección en el acto de apertura es del 29 de agosto de 2019 - a los que fueron objeto de reporte de incidente por parte de Mercado Libre en el mes de septiembre del año 2019 (Expediente 19-213906), el cual fue objeto de solicitud de información en su momento por parte de la propia Dirección. Tanto en el caso reportado en septiembre de 2019, como en el presente asunto, los hechos tuvieron como origen un error humano involuntario y excepcional, ajeno a las políticas y estándares de seguridad de la información que normalmente aplica la compañía. Por la naturaleza del hecho, la conducta diligente de reporte de Mercado Libre y la constatación del cumplimiento del principio de seguridad y conservación de los datos, es que dicho Expediente 19-213906 fue ARCHIVADO.
Conforme a lo anterior, se debe tener en cuenta que el Grupo de Trabajo de Investigaciones Administrativas ya había determinado en el año 2020 que para el año 2019: 1. Las medidas implementadas en el momento del incidente cumplían con lo establecido en la Ley 1581 de 2012. 2. Mercado Libre dio un manejo diligente y adecuado al incidente, razón por la cual el propio Grupo resolvió archivar el expediente al no encontrar mérito para iniciar una actuación administrativa.
En tal sentido, para dicho momento las medidas adoptadas por Mercado Libre cumplían con lo previsto en la ley, pero las mismas no solo se han mantenido, sino que se han venido mejorando. Al respecto, se encuentra que mi representada, precisamente para evitar errores humanos o administrativos, cuenta con políticas, normas y procedimientos de seguridad de la información personal debidamente aprobados, los cuales incluyen procedimientos internos de asignación de responsabilidades y autorizaciones en el tratamiento de la información personal, “Por la cual se impone una sanción y se imparten órdenes” HOJA N 14, compromisos de confidencialidad de cada uno de los funcionarios que tiene acceso al tratamiento de la información personal, herramientas de gestión de riesgos en el tratamiento de datos personales, políticas de protección para el acceso remoto a la información personal, entre otros procedimientos orientados a brindar seguridad a los datos almacenados, con especial atención a los datos personales y sensibles.
En medida de lo expuesto, si bien ocurrió el hecho en que se hicieron visibles los correos electrónicos de los destinatarios, tal error humano, involuntario y puntual, no puede entenderse de ninguna forma como un incumplimiento a los deberes que tiene Mercado Libre como responsable del tratamiento de datos, pues, las medidas de seguridad previas al envío del correo eran las mismas medidas que la SIC consideró que cumplían con la Ley 1581 de 2012 y el manejo y las medidas correctivas que fueron tomadas a raíz de tales incidentes resultaron aplicables también directamente a los hechos que son objeto de investigación hoy por parte de la Dirección. De hecho, se explicará cómo en este caso, a diferencia del relacionado con el radicado 19213906 (que recordemos, fue archivado), no se recibió ningún reclamo por parte de los destinatarios del correo y muchas de dichas direcciones de correo electrónico, cuentan con una protección distinta, al ser en su mayoría direcciones corporativas o empresariales o no hacer referencias a personas naturales.
Esto evidencia que más allá de la denuncia anónima promovida, mi representada no ha generado perjuicio alguno, ni siquiera al propio denunciante. b. La clasificación jurídica de las direcciones de correo electrónico como datos personales. Ahora, en lo que refiere a los datos que fueron expuestos en el correo electrónico enviado por mi representada en el mes de agosto de 2019, resulta importante traer a colación el análisis que la Delegatura para la Protección de Datos Personales ha realizado frente a las direcciones de correo electrónico, donde, de manera expresa ha indicado lo siguiente: “no toda información es un dato personal, ni que todo dato personal requiere de la autorización para ser tratado.
Una dirección de correo electrónico no es, per se, un dato personal y algunas direcciones de correo electrónico son datos personales de naturaleza pública” (destacamos). (…) Para el caso bajo estudio, el correo electrónico fue remitido a 257 direcciones, de las cuales se pueden resaltar las siguientes características: (…) 1. Solo 14 direcciones incluyen un nombre y un apellido y utilizan un dominio hotmail, gmail o yahoo. 2.
Hay 15 direcciones que utilizan únicamente un nombre o únicamente un apellido y utilizan un dominio hotmail, gmail o yahoo. 3. Hay 56 direcciones que utilizan un nombre y un apellido o presumiblemente una inicial de nombre con un apellido, pero sus dominios no corresponden a gmail, hotmail o yahoo, sino que corresponden a dominios que se presumen laborales, corporativos o comerciales.
Por ejemplo: @peugeotcolombia.com.co, @powerdeal.com.co 4. 172 direcciones no se refieren a una persona natural ni hacen alusión a una persona, sino a cosas o actividades. (…) 2. Mercado Libre conserva la información bajo condiciones de seguridad estrictas y necesarias y cumple con el principio de seguridad previsto en la Ley 1581 de 2012.
(…) Frente a la presunción expuesta por la Dirección, se debe indicar que si bien ocurrió un hecho (reiteramos, puntual e involuntario y que no generó perjuicio alguno), esto per se no implica que para la fecha en que ocurrieron los hechos Mercado Libre no cumpliera con lo previsto en la norma y que, conforme a lo que fue reportado ante esta autoridad en septiembre de 2019 y en el curso de la averiguación preliminar de este expediente, no haya implementado medidas óptimas y eficaces que han llevado a reforzar aún más sus políticas de seguridad, cumpliendo con sus deberes como responsable y honrando los principios previstos en la Ley 1581 de 2012.
“Por la cual se impone una sanción y se imparten órdenes” HOJA N 15, En tal sentido, a continuación, se explicará cómo Mercado Libre cuenta con las medidas técnicas, humanas y administrativas necesarias para conservar la información y garantizar su seguridad. a. Medidas técnicas Teniendo en cuenta que la presente investigación surge debido al envío de un correo donde se hicieron visibles los correos electrónicos de los destinatarios, es importante empezar por indicar que para el envío de correos a usuarios, Mercado Libre actualmente utiliza dos herramientas: 1.
Herramienta “Hermes”: La cual permite realizar envíos masivos de manera automatizada, protegiendo los datos de los usuarios. En el uso de esta herramienta, la persona encargada internamente de enviar un texto de campaña, por ejemplo, lo que hace es cargar los números de usuarios y los campos a comunicar en un documento, sin que vea las direcciones de correo electrónico de los usuarios.
En tal sentido, se carga el documento con el número interno que se asigna a cada usuario y aquello que se va a comunicar, y la herramienta Hermes hace un envío a cada dirección de correo electrónico individualmente, protegiendo así los datos de los usuarios. 2. Herramienta "Yet Another Mail": Esta herramienta es un complemento de Gmail, en el cual se carga la base de correos de los usuarios, y la herramienta le envía un mail personalizado, protegiendo sus datos y los de los demás usuarios de la base con el fin de dotar de mayor seguridad al sistema de envío de correos masivos.
La explicación y descripción de los instructivos que actualmente utiliza el equipo encargado del uso de dichas herramientas y donde se evidencian los pasos internos que debe seguir el equipo para el envío de correos masivos, se encuentra en el expediente en el anexo No. 2 de la respuesta al requerimiento de información realizado mediante oficio 20-437746-06.
Además de lo expuesto anteriormente, es importante explicar los mecanismos de seguridad generales implementados por Mercado Libre: Desde el punto de vista de seguridad informática, Mercado Libre cuenta con altos estándares en materia de protección de la confidencialidad de información personal, en tal sentido, ha implementado una política de ciberseguridad en la cual se abordan: (i) los proceso (sic) de gestión de riesgos;
(ii) procesos de protección de datos donde se aplican los principios de minimización de datos, recolección con fines explícitos y legítimos, aseguramiento de la integridad y confidencialidad y fidelidad y completitud de la información, certificando siempre el estándar PCI DSS; (iii) procesos que garantizan la seguridad, a través de la gestión de identidades, cloud security, gestión de activos de información, seguridad de base de datos, gestión centralizada de logs y monitoreo de eventos, amenazas externas, gestión de vulnerabilidades, concientización y gestión de terceros;
(iv) respuesta efectivas y eficientes ante la ocurrencia de incidentes; (v) aplicación de controles preventivos y detectivos (sic) de seguridad. Los accesos a los diferentes medios de almacenamiento como bases de datos son otorgados con base en la clasificación otorgada a los datos tanto a nivel de confidencialidad como integridad. Dicha clasificación es revalidada periódicamente a fin de evitar desvíos en la actualización de datos.
Así mismo, para evitar errores humanos o administrativos, Mercado Libre cuenta con políticas, normas y procedimientos de seguridad de la información personal debidamente aprobados, los cuales incluyen procedimientos internos de asignación de responsabilidades y autorizaciones en el tratamiento de la información personal, compromisos de confidencialidad de cada uno de los funcionarios que tiene acceso al tratamiento de la información personal, herramientas de gestión de riesgos en el tratamiento de datos personales, políticas de protección para el acceso remoto a la información personal, entre otros procedimientos orientados a brindar seguridad a los datos almacenados, con especial atención a los datos personales y sensibles.
Adicionalmente, con el objetivo de realizar un adecuado manejo en el tratamiento de los datos personales, Mercado Libre tiene implementadas: la Política Corporativa de Protección de Datos Personales y la Política de Gestión de Incidentes de Seguridad de la Información, que tienen como objeto establecer prácticas uniformes en el procesamiento y recolección de datos personales para evitar incidentes de seguridad a los cuales se ve expuesto en su operación, entre las cuales se encuentran: (i) implementación de acuerdos de confidencialidad con los colaboradores que tienen acceso a la información, (ii) asignación de responsabilidades a los diferentes departamentos y sectores intervinientes en el manejo de la información, (iii) escaneos periódicos de vulnerabilidades para evitar incidentes futuros, entre otros.
“Por la cual se impone una sanción y se imparten órdenes” HOJA N 16, Como parte de la mencionada política, Mercado Libre ha implementado internamente ciertos documentos que permiten adecuar los procedimientos encaminados a impedir la adulteración, pérdida, consulta, uso o acceso no autorizado a las bases de datos y, en general, a clasificar la información, prevenir y combatir incidentes de seguridad, realizar monitoreo de la información y realizar respaldos a la misma.
Algunos de los documentos aplicables y vigentes a la fecha son los siguientes: b. Medidas humanas Habiendo explicado las medidas técnicas con las que cuenta Mercado Libre y que aplica, es necesario resaltar que también cuenta con medidas humanas en aras de garantizar la seguridad de los datos y su conservación. En tal sentido, Mercado Libre cuenta con manuales y tutoriales para configurar comunicaciones, dentro de las cuales se incluyen instrucciones para el envío de correos masivos.
De hecho, con base en el posible incidente de seguridad reportado a la SIC el 18 de septiembre de 2019 (posterior al envío del correo indicado en este requerimiento) bajo el número de radicado 19-213906 ya comentado más arriba, el cual fue archivado por la SIC el día 29 de octubre de 2020, desde el mismo mes de septiembre del año 2019, se tomaron numerosas acciones correctivas y proactivas (sic) adicionales con el objeto de evitar que la situación volviese a presentarse, como lo son la implementación de la herramienta Hermes y "Yet Another Mail", explicadas en el literal anterior, y también - muy importante - capacitaciones al equipo encargado de hacer envíos masivos sobre el tratamiento y protección de datos, entre otros.
En relación con las capacitaciones, Mercado Libre periódicamente ha realizado campañas de sensibilización sobre la importancia y confidencialidad de los datos personales de los usuarios y los empleados, por ejemplo a través de la red social interna de la compañía (Workplace) durante los últimos 3 años. En cuanto a los mecanismos de capacitación brindados a los empleados, como consta en las campañas de sensibilización que obran en el expediente, varias de ellas contienen tutoriales de capacitación sobre la importancia y confidencialidad de los datos personales, las cuales están disponibles para todos los empleados de la compañía. Los videos incluidos en estas campañas tienen entre 3.400 y 3.600 visualizaciones internas.
Asimismo, para graficar los esfuerzos de capacitación permanente que realiza Mercado Libre, durante los años 2020 y 2021 se han realizado las siguientes capacitaciones y se han utilizado las siguientes herramientas: 1. Onboarding “¿cómo protegemos los datos personales en MELI?”: Corresponde a un curso obligatorio para la totalidad de colaboradores cuando ingresan a la compañía. Se repite este curso anualmente.
En este curso se enseña a colaboradores a: (i) reconocer la importancia de proteger los datos personales que procesa Mercado Libre; (ii) conocer cómo procesan los datos personales en las distintas áreas de Mercado Libre; (iii) identificar cómo se obtiene el consentimiento de un usuario; (iv) comprender cada uno de los principios para la recopilación y uso de la información personal.
“Por la cual se impone una sanción y se imparten órdenes” HOJA N 17, 2. Día de la privacidad en Mercado Libre: En aras de hacer el proceso de aprendizaje y capacitación más dinámico y didáctico, se puso a disposición un juego para todos los colaboradores de Mercado Libre, con la finalidad de concientizarlos sobre el uso responsable de la información personal.
También se complementó con diferentes charlas brindadas por distintas áreas de la compañía durante esa semana de concientización. 3. Sitio web interno disponible para todos los colaboradores con temas vinculados a la Protección de los Datos Personales 4. IT Talks – Audiencia 1200: Corresponde a un espacio de aprendizaje dentro de Mercado Libre donde se comparten contenidos de valor a los colaboradores.
Mes a mes, diferentes conferencistas comparten sus experiencias en tal sentido. En el anexo No. 11 se encuentran capturas del contenido de la IT Talk realizada en materia de datos personales y su privacidad este año, en la cual participó el señor Xxxx. Xxxxxx (DPO). 5. Curso de seguridad informática: En este curso, los objetivos son los siguientes: (i) describir los principales riesgos de la seguridad de la información;
(ii) identificar los métodos de prevención ante estos riesgos; (iii) enumerar las formas de mantener segura la información laboral y personal; (iv) seguir con los estándares de cumplimiento de normas establecidas; (v) reconocer la importancia del resguardo de los datos personales. 6. “Producto dice”: Corresponde a una capacitación donde se explicó en qué consisten las áreas de Data Privacy de los distintos equipos y se brindaron recomendaciones para el trabajo que involucra el tratamiento de datos personales.
Se adjunta como Anexo No. 11 de este documento, un documento contentivo de estas capacitaciones, cursos y herramientas, donde se puede encontrar captura de su contenido y algunas explicaciones. Asimismo, se debe indicar que en el mes de enero de 2020 el señor Xxxx. Xxxxxx, Director de Protección de Datos de Mercado Libre, viajó de Argentina a Colombia con el fin de realizar nuevas capacitaciones a todo el personal de la compañía y atender inquietudes del personal, para lo cual, se adjunto (sic) en el Anexo No. 13 certificación expedida por el señor Xxxxxx, donde indica cuándo brindó dicha capacitación, así como la constancia de citación a esta, contenida en el Anexo No. 15.
En virtud de lo explicado, se puede concluir que Mercado Libre cumple con el principio de seguridad previsto en el literal g del artículo 4 de la ley 1581 de 2012 y además, cuenta con las medidas necesarias para conservar la información recolectada, bajo medidas de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, conforme al literal d del artículo 17 de la misma ley. ”8 Finalmente, la investigada solicita la aplicación del literal f) del artículo 24 de la Ley 1581 de 2012, aporta las pruebas que pretende hacer valer en la investigación y como pretensión principal pide el archivo de la actuación administrativa SEXTO: Que, mediante Resolución 40844 de 28 de junio de 2022, la Dirección de Investigación de Protección de Datos Personales 6.1 Incorporó las siguientes pruebas del expediente radicado bajo el número 20-437746, con el valor legal correspondiente: 6.1.1 6.1.2 6.1.3 6.1.4 6.1.5 6.1.6 6.1.7 6.1.8 Queja presentada ante esta Superintendencia bajo el radicado 20-437746-0 del 17 de noviembre de 2020.
Complemento de información con radicado 20-437746-4 del 29 de abril de 2021. Complemento de información con radicado 20-437746-5 del 29 de abril de 2021. Requerimiento de información con radicado 20-437746-6 del 16 de junio de 2021 a la sociedad MERCADOLIBRE COLOMBIA LTDA. Respuesta de la sociedad MERCADOLIBRE COLOMBIA LTDA con radicados 20437746-11 del 30 de junio de 2021.
Complemento de información con radicado 20-437746-13 del 30 de junio de 2021. Complemento de información con radicado 20-437746-15 del 20 de julio de 2021. Escrito de descargos con radicada bajo el número 20-437746-28 del 25 de noviembre de 2021. 8 Expediente virtual. Consecutivo número 28, página 2, hojas 2 a 8. “Por la cual se impone una sanción y se imparten órdenes” HOJA N 18, 6.2.
Negó el decreto de la prueba solicitada por la sociedad MERCADOLIBRE COLOMBIA LTDA en el escrito de descargos, concerniente a la realización de dos testimonios de dos de sus trabajadores. 6.3 Corrió traslado a la sociedad MERCADOLIBRE COLOMBIA LTDA para que presentara los respectivos alegatos de conclusión.
SÉPTIMO: Que la Resolución 40844 de 28 de junio de 2022 le fue comunicada el 29 de junio de 2022, a la sociedad MERCADOLIBRE COLOMBIA LTDA, según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada con número 20-437746- 33 del 11 de julio de 2022.
OCTAVO: Que la sociedad MERCADOLIBRE COLOMBIA LTDA, presentó escrito de alegatos de conclusión bajo radicado número 20-437746- 34 de fecha 13 de julio de 2022. En este, reiteró lo dicho en el escrito de descargos, y solicitó: “1.1. Se dé aplicación al literal f del artículo 24 de la ley 1581 de 2012 y se tenga en cuenta como una causal de atenuación del hecho objeto de investigación. 1.2.
Se dé aplicación al principio de proporcionalidad al momento de imponer la sanción pertinente teniendo en cuenta que se admitió la ocurrencia del hecho investigado y le son aplicables al presente caso las causales a, b y d del artículo 24 de la ley 1581 de 2012”9 NOVENO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la ley.
DÉCIMO: Análisis del caso 10.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 201110, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad e la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.
Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.
(ii) De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en el literal d) del artículo 17 de la Ley 1581 de 2012 así como lo establecido en el literal g) del artículo 4 de la precitada Ley.
En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberá tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la 9 Consecutivo número 34. Página 2, hoja 8. 10 Corte Constitucional, sentencia C-748/11, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).
HOJA N 19, “Por la cual se impone una sanción y se imparten órdenes” investigada tanto en su escrito de descargos, como en los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 10.2 Respecto de la solicitud preliminar alegada por la investigada La investigada preliminarmente considera que: “Con el fin de evitar posibles nulidades por vulneración a los derechos de defensa y debido proceso de Mercado Libre, reitero expresamente las solicitudes de fechas 5 y 19 de noviembre de 2021, por virtud de las cuales se requirió acceso -a través de su plataforma de servicios en línea- al expediente signado bajo el Rad.
No. 20-437746, solicitudes que fueron realizadas de manera oportuna y que, a la fecha, no han sido resueltas por la Dirección”11 Al respecto este Despacho considera que las reiteradas solicitudes allegadas por los apoderados de la investigada obrantes en los consecutivos números 20-437746- -23 y 20-437746- -24 del 5 de noviembre del 2021, fueron contestadas mediante consecutivo número 20-437746- -26 del 15 de noviembre del 2021, en la cual se les aclaró que: “la facultad para conocer al expediente se reserva para el representante legal de la sociedad denunciada o a quienes este autorice mediante poder debidamente autenticado”12 No obstante, se encuentra que la investigada volvió a reiterar su solicitud de acceso al expediente mediante consecutivo número 20-437746- -27 de fecha de 19 de noviembre de 2021, en la cual a pesar de que se le indicó que debía aportar el poder debidamente autenticado, aportó el mismo solamente firmado por las personas interesadas sin haber cumplido con el requisito solicitado por este Despacho.
Sin embargo, en aras de garantizar el derecho de contradicción y de defensa de la sociedad investigada, por medio del considerando decimo cuarto de la presente Resolución se ha considerado pertinente garantizarle el acceso al Representante legal y los apoderados nombrados por la sociedad investigada. 10.3 Valoración probatoria y conclusiones 10.3.1 Respecto del deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento El literal d) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: “ARTÍCULO
17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento” (…) “Artículo 4°.
Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán, de manera armónica e integral, los siguientes principios: (…) g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar 11 Expediente virtual.
Consecutivo número 28. Página 2, hoja 1. Expediente virtual. Consecutivo número 26. Página 2, hoja 1. “Por la cual se impone una sanción y se imparten órdenes” HOJA N 20, seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;” La Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realizó el análisis de constitucionalidad de manera previa a la expedición de la Ley estatutaria 1581 de 2012, se refirió al concepto del principio/deber de seguridad establecido en el literal g) del artículo cuarto (4) de la Ley 1581 de 2012 y en el literal d) del artículo 17 de la Ley 1581 de 2012, así: “2.6.5.2.7.
Principio de seguridad: Al amparo de este principio, la información sujeta a tratamiento por el responsable o encargado, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. De este principio se deriva entonces la responsabilidad que recae en el administrador del dato.
El afianzamiento del principio de responsabilidad ha sido una de las preocupaciones actuales de la comunidad internacional, en razón del efecto “diluvio de datos”13, a través del cual día a día la masa de datos personales existente, objeto de tratamiento y de ulterior transferencias, no cesa de aumentar. Los avances tecnológicos han producido un crecimiento de los sistemas de información, ya no se encuentran sólo sencillas bases de datos, sino que surgen nuevos fenómenos como las redes sociales, el comercio a través de la red, la prestación de servicios, entre muchos otros.
Ello también aumenta los riegos de filtración de datos, que hacen necesarias la adopción de medidas eficaces para su conservación. Por otro lado, el mal manejo de la información puede tener graves efectos negativos, no sólo en términos económicos, sino también en los ámbitos personales y de buen nombre. En estos términos, el Responsable o Encargado del Tratamiento debe tomar las medidas acordes con el sistema de información correspondiente.
(…) Existe entonces un deber tanto de los Responsables como los Encargados de establecer controles de seguridad, de acuerdo con el tipo de base de datos que se trate, que permita garantizar los estándares de protección consagrados en esta Ley Estatutaria.14”.(Negrilla fuera de texto) Al respecto, debe precisar este Despacho, que tal como lo manifiesta la Corte Constitucional, tomando en cuenta los avances tecnológicos, el Responsable del tratamiento, tiene el deber de implementar medidas técnicas, humanas y administrativas que sean útiles, pertinentes y eficaces para otorgar seguridad a los registros de sus bases de datos evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de acuerdo con el tipo de bases de datos que se trate.
Respecto al caso que nos ocupa, mediante Resolución No. 68429 del 22 de octubre de 2021, esta Dirección determinó, preliminarmente, lo siguiente: “De lo anterior, esta Dirección establece que, el 29 de agosto de 2019 la sociedad MERCADOLIBRE COLOMBIA LTDA. envío un e-mail sin copia oculta. Lo anterior, dejó a la vista de los destinatarios la lista del correo electrónico.
En ese sentido, esta Dirección encuentra, de manera preliminar que la sociedad MERCADOLIBRE COLOMBIA LTDA. no cuenta con las condiciones de seguridad suficientes ni con las medidas técnicas, humanas y administrativas que impidan el uso o acceso no autorizado de la información contenida en sus bases de datos, razón por la cual presuntamente estaría trasgrediendo lo establecido en el literal d) del artículo 17 de la Ley 1581 de 2012 así como lo establecido en el literal g) del artículo 4 de la precitada Ley.” 15 13 El término es utilizado por el Dictamen 3/2010 sobre el principio de responsabilidad, emitido por el Grupo de Protección de Datos de la Unión Europea. 14 Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP.
Jorge Ignacio Pretelt Chaljub. Consideración 2.6.5.2.7. Principio de seguridad. 15 Resolución No. 68429 de 22 de octubre de 2021, hoja 16. HOJA N 21, “Por la cual se impone una sanción y se imparten órdenes” Ahora bien, dentro de la oportunidad legal para rendir descargos, la sociedad investigada, mediante apoderado especial, presentó el respectivo escrito radicado bajo número 20-437746- 28 el día 25 de noviembre de 2021, argumentando lo siguiente: “1.
Reconocimiento de la ocurrencia del hecho que dio origen a la investigación De conformidad con la Resolución de Apertura y el cargo único formulado por la Dirección, es preciso indicar que en efecto un colaborador de Mercado Libre realizó el envío de un correo electrónico el 29 de agosto de 2019 en el que involuntariamente se omitió realizar el envío en copia oculta y en tal sentido se hicieron visibles los correos electrónicos de los destinatarios.
Sin perjuicio del reconocimiento del hecho descrito anteriormente y que corresponde a la causa de la presente actuación administrativa, tal como se prevé en el literal f del artículo 24 de la ley 1581 de 2012, resulta importante hacer algunas aclaraciones para que las mismas sean tomadas en cuenta por la Dirección, tal y como lo exponemos a continuación: i. Examinado el correo electrónico objeto de investigación se encuentra que fueron 257 los destinatarios. ii.
Del total de destinatarios del correo, tan solo el 5.4% correspondían a direcciones de correo electrónico donde se identificaba el nombre y apellido de una persona natural. iii. En línea con lo expuesto, el 66.9% de las direcciones de correo electrónico correspondía a personas no naturales o hacían alusión a cosas o actividades. iv. Asimismo, el 21.7% de los correos citados correspondían a direcciones de correo electrónico corporativas o comerciales.
Por lo expuesto anteriormente, el hecho objeto de investigación se circunscribe a un hecho que parte de una conducta humana puntual e involuntaria, tema poco significativo en la medida en que el error cometido por un colaborador de mi representada se circunscribió tan solo a 14 direcciones de correo electrónico que pueden ser consideradas como datos personales donde se identifican nombre y apellidos.
En esa medida, desde ya, solicitamos a la Dirección sea tenido en cuenta nuestro comportamiento procesal y también los argumentos que se exponen, al momento de tomar la decisión que corresponda en la presente actuación a. El hecho ocurrido tuvo como origen un error humano, puntual e involuntario, y no una falla atribuible a las políticas de seguridad implementadas por Mercado Libre (…) No obstante, es de conocimiento de la Dirección que la situación puesta de presente por el denunciante corresponde a hechos previos - toda vez que el correo electrónico al que se refiere la Dirección en el acto de apertura es del 29 de agosto de 2019 - a los que fueron objeto de reporte de incidente por parte de Mercado Libre en el mes de septiembre del año 2019 (Expediente 19-213906), el cual fue objeto de solicitud de información en su momento por parte de la propia Dirección. Tanto en el caso reportado en septiembre de 2019, como en el presente asunto, los hechos tuvieron como origen un error humano involuntario y excepcional, ajeno a las políticas y estándares de seguridad de la información que normalmente aplica la compañía. Por la naturaleza del hecho, la conducta diligente de reporte de Mercado Libre y la constatación del cumplimiento del principio de seguridad y conservación de los datos, es que dicho Expediente 19-213906 fue ARCHIVADO.
Conforme a lo anterior, se debe tener en cuenta que el Grupo de Trabajo de Investigaciones Administrativas ya había determinado en el año 2020 que para el año 2019: 1. 2. Las medidas implementadas en el momento del incidente cumplían con lo establecido en la Ley 1581 de 2012. Mercado Libre dio un manejo diligente y adecuado al incidente, razón por la cual el propio Grupo resolvió archivar el expediente al no encontrar mérito para iniciar una actuación administrativa.
En tal sentido, para dicho momento las medidas adoptadas por Mercado Libre cumplían con lo previsto en la ley, pero las mismas no solo se han mantenido, sino que se han venido “Por la cual se impone una sanción y se imparten órdenes” HOJA N 22, mejorando. Al respecto, se encuentra que mi representada, precisamente para evitar errores humanos o administrativos, cuenta con políticas, normas y procedimientos de seguridad de la información personal debidamente aprobados, los cuales incluyen procedimientos internos de asignación de responsabilidades y autorizaciones en el tratamiento de la información personal, compromisos de confidencialidad de cada uno de los funcionarios que tiene acceso al tratamiento de la información personal, herramientas de gestión de riesgos en el tratamiento de datos personales, políticas de protección para el acceso remoto a la información personal, entre otros procedimientos orientados a brindar seguridad a los datos almacenados, con especial atención a los datos personales y sensibles.
En medida de lo expuesto, si bien ocurrió el hecho en que se hicieron visibles los correos electrónicos de los destinatarios, tal error humano, involuntario y puntual, no puede entenderse de ninguna forma como un incumplimiento a los deberes que tiene Mercado Libre como responsable del tratamiento de datos, pues, las medidas de seguridad previas al envío del correo eran las mismas medidas que la SIC consideró que cumplían con la Ley 1581 de 2012 y el manejo y las medidas correctivas que fueron tomadas a raíz de tales incidentes resultaron aplicables también directamente a los hechos que son objeto de investigación hoy por parte de la Dirección. De hecho, se explicará cómo en este caso, a diferencia del relacionado con el radicado 19213906 (que recordemos, fue archivado), no se recibió ningún reclamo por parte de los destinatarios del correo y muchas de dichas direcciones de correo electrónico, cuentan con una protección distinta, al ser en su mayoría direcciones corporativas o empresariales o no hacer referencias a personas naturales.
Esto evidencia que más allá de la denuncia anónima promovida, mi representada no ha generado perjuicio alguno, ni siquiera al propio denunciante. b. La clasificación jurídica de las direcciones de correo electrónico como datos personales. Ahora, en lo que refiere a los datos que fueron expuestos en el correo electrónico enviado por mi representada en el mes de agosto de 2019, resulta importante traer a colación el análisis que la Delegatura para la Protección de Datos Personales ha realizado frente a las direcciones de correo electrónico, donde, de manera expresa ha indicado lo siguiente: “no toda información es un dato personal, ni que todo dato personal requiere de la autorización para ser tratado.
Una dirección de correo electrónico no es, per se, un dato personal y algunas direcciones de correo electrónico son datos personales de naturaleza pública” (destacamos). (…) Para el caso bajo estudio, el correo electrónico fue remitido a 257 direcciones, de las cuales se pueden resaltar las siguientes características: (…) 1. 2. 3. 4. Solo 14 direcciones incluyen un nombre y un apellido y utilizan un dominio hotmail, gmail o yahoo.
Hay 15 direcciones que utilizan únicamente un nombre o únicamente un apellido y utilizan un dominio hotmail, gmail o yahoo. Hay 56 direcciones que utilizan un nombre y un apellido o presumiblemente una inicial de nombre con un apellido, pero sus dominios no corresponden a gmail, hotmail o yahoo, sino que corresponden a dominios que se presumen laborales, corporativos o comerciales.
Por ejemplo: @peugeotcolombia.com.co, @powerdeal.com.co 172 direcciones no se refieren a una persona natural ni hacen alusión a una persona, sino a cosas o actividades. (…) 2. Mercado Libre conserva la información bajo condiciones de seguridad estrictas y necesarias y cumple con el principio de seguridad previsto en la Ley 1581 de 2012. (…) Frente a la presunción expuesta por la Dirección, se debe indicar que si bien ocurrió un hecho (reiteramos, puntual e involuntario y que no generó perjuicio alguno), esto per se no implica que para la fecha en que ocurrieron los hechos Mercado Libre no cumpliera con lo previsto en la norma y que, conforme a lo que fue reportado ante esta autoridad en septiembre de 2019 y en “Por la cual se impone una sanción y se imparten órdenes” HOJA N 23, el curso de la averiguación preliminar de este expediente, no haya implementado medidas óptimas y eficaces que han llevado a reforzar aún más sus políticas de seguridad, cumpliendo con sus deberes como responsable y honrando los principios previstos en la Ley 1581 de 2012.
En tal sentido, a continuación, se explicará cómo Mercado Libre cuenta con las medidas técnicas, humanas y administrativas necesarias para conservar la información y garantizar su seguridad. a. Medidas técnicas Teniendo en cuenta que la presente investigación surge debido al envío de un correo donde se hicieron visibles los correos electrónicos de los destinatarios, es importante empezar por indicar que para el envío de correos a usuarios, Mercado Libre actualmente utiliza dos herramientas: 1.
Herramienta “Hermes”: La cual permite realizar envíos masivos de manera automatizada, protegiendo los datos de los usuarios. En el uso de esta herramienta, la persona encargada internamente de enviar un texto de campaña, por ejemplo, lo que hace es cargar los números de usuarios y los campos a comunicar en un documento, sin que vea las direcciones de correo electrónico de los usuarios.
En tal sentido, se carga el documento con el número interno que se asigna a cada usuario y aquello que se va a comunicar, y la herramienta Hermes hace un envío a cada dirección de correo electrónico individualmente, protegiendo así los datos de los usuarios. 2. Herramienta "Yet Another Mail": Esta herramienta es un complemento de Gmail, en el cual se carga la base de correos de los usuarios, y la herramienta le envía un mail personalizado, protegiendo sus datos y los de los demás usuarios de la base con el fin de dotar de mayor seguridad al sistema de envío de correos masivos.
La explicación y descripción de los instructivos que actualmente utiliza el equipo encargado del uso de dichas herramientas y donde se evidencian los pasos internos que debe seguir el equipo para el envío de correos masivos, se encuentra en el expediente en el anexo No. 2 de la respuesta al requerimiento de información realizado mediante oficio 20-437746-06.
Además de lo expuesto anteriormente, es importante explicar los mecanismos de seguridad generales implementados por Mercado Libre: Desde el punto de vista de seguridad informática, Mercado Libre cuenta con altos estándares en materia de protección de la confidencialidad de información personal, en tal sentido, ha implementado una política de ciberseguridad en la cual se abordan: (i) los proceso (sic) de gestión de riesgos;
(ii) procesos de protección de datos donde se aplican los principios de minimización de datos, recolección con fines explícitos y legítimos, aseguramiento de la integridad y confidencialidad y fidelidad y completitud de la información, certificando siempre el estándar PCI DSS; (iii) procesos que garantizan la seguridad, a través de la gestión de identidades, cloud security, gestión de activos de información, seguridad de base de datos, gestión centralizada de logs y monitoreo de eventos, amenazas externas, gestión de vulnerabilidades, concientización y gestión de terceros;
(iv) respuesta efectivas y eficientes ante la ocurrencia de incidentes; (v) aplicación de controles preventivos y detectivos (sic) de seguridad. Los accesos a los diferentes medios de almacenamiento como bases de datos son otorgados con base en la clasificación otorgada a los datos tanto a nivel de confidencialidad como integridad. Dicha clasificación es revalidada periódicamente a fin de evitar desvíos en la actualización de datos.
Así mismo, para evitar errores humanos o administrativos, Mercado Libre cuenta con políticas, normas y procedimientos de seguridad de la información personal debidamente aprobados, los cuales incluyen procedimientos internos de asignación de responsabilidades y autorizaciones en el tratamiento de la información personal, compromisos de confidencialidad de cada uno de los funcionarios que tiene acceso al tratamiento de la información personal, herramientas de gestión de riesgos en el tratamiento de datos personales, políticas de protección para el acceso remoto a la información personal, entre otros procedimientos orientados a brindar seguridad a los datos almacenados, con especial atención a los datos personales y sensibles.
Adicionalmente, con el objetivo de realizar un adecuado manejo en el tratamiento de los datos personales, Mercado Libre tiene implementadas: la Política Corporativa de Protección de Datos Personales y la Política de Gestión de Incidentes de Seguridad de la Información, que tienen como objeto establecer prácticas uniformes en el procesamiento y recolección de datos personales para evitar incidentes de seguridad a los cuales se ve expuesto en su operación, “Por la cual se impone una sanción y se imparten órdenes” HOJA N 24, entre las cuales se encuentran: (i) implementación de acuerdos de confidencialidad con los colaboradores que tienen acceso a la información, (ii) asignación de responsabilidades a los diferentes departamentos y sectores intervinientes en el manejo de la información, (iii) escaneos periódicos de vulnerabilidades para evitar incidentes futuros, entre otros.
Como parte de la mencionada política, Mercado Libre ha implementado internamente ciertos documentos que permiten adecuar los procedimientos encaminados a impedir la adulteración, pérdida, consulta, uso o acceso no autorizado a las bases de datos y, en general, a clasificar la información, prevenir y combatir incidentes de seguridad, realizar monitoreo de la información y realizar respaldos a la misma.
Algunos de los documentos aplicables y vigentes a la fecha son los siguientes: b. Medidas humanas Habiendo explicado las medidas técnicas con las que cuenta Mercado Libre y que aplica, es necesario resaltar que también cuenta con medidas humanas en aras de garantizar la seguridad de los datos y su conservación. En tal sentido, Mercado Libre cuenta con manuales y tutoriales para configurar comunicaciones, dentro de las cuales se incluyen instrucciones para el envío de correos masivos.
De hecho, con base en el posible incidente de seguridad reportado a la SIC el 18 de septiembre de 2019 (posterior al envío del correo indicado en este requerimiento) bajo el número de radicado 19-213906 ya comentado más arriba, el cual fue archivado por la SIC el día 29 de octubre de 2020, desde el mismo mes de septiembre del año 2019, se tomaron numerosas acciones correctivas y proactivas (sic) adicionales con el objeto de evitar que la situación volviese a presentarse, como lo son la implementación de la herramienta Hermes y "Yet Another Mail", explicadas en el literal anterior, y también - muy importante - capacitaciones al equipo encargado de hacer envíos masivos sobre el tratamiento y protección de datos, entre otros.
En relación con las capacitaciones, Mercado Libre periódicamente ha realizado campañas de sensibilización sobre la importancia y confidencialidad de los datos personales de los usuarios y los empleados, por ejemplo a través de la red social interna de la compañía (Workplace) durante los últimos 3 años. En cuanto a los mecanismos de capacitación brindados a los empleados, como consta en las campañas de sensibilización que obran en el expediente, varias de ellas contienen tutoriales de capacitación sobre la importancia y confidencialidad de los datos personales, las cuales están disponibles para todos los empleados de la compañía. Los videos incluidos en estas campañas tienen entre 3.400 y 3.600 visualizaciones internas.
Asimismo, para graficar los esfuerzos de capacitación permanente que realiza Mercado Libre, durante los años 2020 y 2021 se han realizado las siguientes capacitaciones y se han utilizado las siguientes herramientas: 1. Onboarding “¿cómo protegemos los datos personales en MELI?”: Corresponde a un curso obligatorio para la totalidad de colaboradores cuando ingresan a la compañía. Se repite este curso anualmente.
En este curso se enseña a colaboradores a: (i) reconocer la HOJA N 25, “Por la cual se impone una sanción y se imparten órdenes” 2. 3. 4. 5. 6. importancia de proteger los datos personales que procesa Mercado Libre; (ii) conocer cómo procesan los datos personales en las distintas áreas de Mercado Libre; (iii) identificar cómo se obtiene el consentimiento de un usuario;
(iv) comprender cada uno de los principios para la recopilación y uso de la información personal. Día de la privacidad en Mercado Libre: En aras de hacer el proceso de aprendizaje y capacitación más dinámico y didáctico, se puso a disposición un juego para todos los colaboradores de Mercado Libre, con la finalidad de concientizarlos sobre el uso responsable de la información personal.
También se complementó con diferentes charlas brindadas por distintas áreas de la compañía durante esa semana de concientización. Sitio web interno disponible para todos los colaboradores con temas vinculados a la Protección de los Datos Personales IT Talks – Audiencia 1200: Corresponde a un espacio de aprendizaje dentro de Mercado Libre donde se comparten contenidos de valor a los colaboradores.
Mes a mes, diferentes conferencistas comparten sus experiencias en tal sentido. En el anexo No. 11 se encuentran capturas del contenido de la IT Talk realizada en materia de datos personales y su privacidad este año, en la cual participó el señor Xxxx. Xxxxxx (DPO). Curso de seguridad informática: En este curso, los objetivos son los siguientes: (i) describir los principales riesgos de la seguridad de la información;
(ii) identificar los métodos de prevención ante estos riesgos; (iii) enumerar las formas de mantener segura la información laboral y personal; (iv) seguir con los estándares de cumplimiento de normas establecidas; (v) reconocer la importancia del resguardo de los datos personales. “Producto dice”: Corresponde a una capacitación donde se explicó en qué consisten las áreas de Data Privacy de los distintos equipos y se brindaron recomendaciones para el trabajo que involucra el tratamiento de datos personales.
Se adjunta como Anexo No. 11 de este documento, un documento contentivo de estas capacitaciones, cursos y herramientas, donde se puede encontrar captura de su contenido y algunas explicaciones. Asimismo, se debe indicar que en el mes de enero de 2020 el señor Xxxx. Xxxxxx, Director de Protección de Datos de Mercado Libre, viajó de Argentina a Colombia con el fin de realizar nuevas capacitaciones a todo el personal de la compañía y atender inquietudes del personal, para lo cual, se adjunto (sic) en el Anexo No. 13 certificación expedida por el señor Xxxxxx, donde indica cuándo brindó dicha capacitación, así como la constancia de citación a esta, contenida en el Anexo No. 15.
En virtud de lo explicado, se puede concluir que Mercado Libre cumple con el principio de seguridad previsto en el literal g del artículo 4 de la ley 1581 de 2012 y además, cuenta con las medidas necesarias para conservar la información recolectada, bajo medidas de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, conforme al literal d del artículo 17 de la misma ley. ”16 Ahora bien, en relación con el acervo probatorio, esta Dirección encuentra lo siguiente: 1.
En la queja presentada por el Titular bajo radicado 20- 437746- 0, este menciona: “Mercadolibre ha permitido que los correos electrónicos de sus usuarios se hayan filtrado y hayan sido robados, luego muchos vendedores y compradores recibieron correos haciendose (sic) pasar como Mercadolibre y por medio de estos los están estafando. (…) También solicitamos una investigación a fondo donde se revise las falencias que mercadolibre (sic) está teniendo en materia de protección de datos personales, el hecho de que estos supuestos estafadores que Mercadolibre reconoce y menciona, tengan acceso a las listas de email, nombre y demás datos personales de los clientes de Mercadolibre es prueba de que no protegieron correctamente los datos personales de sus usuarios.
Es de recordar que solo mercadolibre (sic) tiene acceso a los correos de sus usuarios, por lo que es claro que la única forma de que estás personas pudieran (sic) contactar a los usuarios de Mercadolibre es obteniendo está información desde sus bases de datos. Adjunto el email enviado por mercado libre donde reconocen lo sucedido. 16 Expediente virtual.
Consecutivo número 28, página 2, hojas 2 a 8. HOJA N 26, “Por la cual se impone una sanción y se imparten órdenes” ” 17 2. Mediante complementos de información de radicados 20-437746- 4 y 20-437746- 5 de fecha de 29 de abril de 2021, el Titular indica: “(…) mercadolibre (sic) sin el menor cuidado por los derechos hábeas data de los usuarios vendedores de Mercadolibre envía correos electrónicos masivos en dónde deja al alcance de todos los datos privados de cientos de usuarios con lo cual fácilmente pueden ser utilizados para que terceros puedan estafarlos.
(…) También envío capturas de pantalla de el (sic) email dónde mercadolibre (sic) filtro cientos de correos electrónicos de usuarios que luego han sido víctimas de esta filtración masiva.”18 Además, con el complemento de información, el Titular adjunta copia del correo electrónico remitido por el e-mail ‘gestioncomercial@mercadolibre.com.co’ de fecha del 29 de agosto de 2019 con asunto ‘Invitación participación promoción aniversario Mercado Libre 2019’, en el que se deja ver la lista de correos electrónicos de los destinatarios, como consta a continuación: 17 Expediente virtual.
Consecutivo número 2. Página 2. 18 Expediente virtual. Consecutivo número 4. Página 1. “Por la cual se impone una sanción y se imparten órdenes” HOJA N 27, 3. Frente a esta circunstancia, este Despacho requirió a la sociedad investigada mediante oficio de radicado 20-437746- 6 de 16 de junio de 2021 con el propósito de que la sociedad diera respuesta a los siguientes interrogantes: “ (…) 1.
¿Cuál es el mecanismo que utiliza la sociedad para el envío de correos masivos? 2. ¿El correo electrónico ‘gestioncomercial@mercadolibre.com.co’ es propiedad de esa sociedad? 3. ¿Por qué el 29 de agosto de 2019 se envió un mail desde el correo electrónico gestioncomercial@mercadolibre.com.co’ sin las medidas de seguridad necesarias para ocultar los datos personales correspondientes a direcciones electrónicas? 4.
Allegue copia del correo enviado el 29 de agosto de 2019 desde el mail ‘gestioncomercial@mercadolibre.com.co’ con asunto ‘Invitación Participación promoción aniversario Mercado Libre 2019’. (…) 7. ¿Cuáles son los mecanismos de capacitación que ha brindado a sus empleados para evitar incidentes de seguridad relacionados con el acceso no autorizado a datos personales que reposan en sus bases de datos? 8.
Aporte copia de las políticas y/o manuales internos de seguridad con base en los cuales conserva la información de los Titulares. (…)”19 4. Al respecto la sociedad investigada mediante radicados números 20-437746-11 y 20-43774613 de 30 de junio de 2021 suministró las siguientes respuestas a los interrogantes realizados por esta Dirección: “ACLARACIONES PRELIMINARES (…) (…) llama la atención de mi representada lo aseverado por el quejoso en su “reclamación anónima”, en la cual establece de manera temeraria y sin evidencia que sustente su dichoque “Mercado Libre ha permitido que los correos electrónico (sic) de sus usuarios se hayan 19 Consecutivo número 4, página 2, hoja 1.
“Por la cual se impone una sanción y se imparten órdenes” HOJA N 28, filtrado y hayan sido robados” y que “muchos vendedores y compradores recibieron correos haciéndose pasar como Mercado Libre y por medio de estos los están estafando”. Al respecto, y como se indicará en mayor detalle en esta respuesta, se aclara lo siguiente: i) La totalidad de datos contenidos en dicha comunicación han sido tratados de conformidad con las políticas de privacidad de Mercado Libre y les han sido aplicadas las correspondientes medidas de seguridad que se indicarán más adelante en este escrito. ii) No existe prueba ni evidencia alguna que corrobore el dicho del denunciante en el sentido de concluir que dichos correos electrónicos hayan sido usados por terceras personas para “estafar” a los usuarios, ni se han recibido quejas o reclamaciones al respecto por parte de los involucrados. iii) De otra parte, no es cierto que solo Mercado Libre tenga acceso a los correos electrónicos incluidos en la comunicación de la referencia y, en consecuencia, no es de ninguna manera la única forma de que cualquier otra persona contacte a los usuarios titulares de dichos correos, por lo que el denunciante parte de una premisa equivocada para llegar a una conclusión que, como se ha dicho, carece de sustento.
(..) 1. Respuesta al numeral 1: (…) para el envío de correos masivos, Mercado Libre actualmente utiliza las herramientas “Hermes” (la cual permite realizar envíos masivos de manera automatizada, protegiendo los datos de los usuarios) y un complemento de Gmail llamado "Yet Another Mail" (en el cual se carga la base de correos de los usuarios, y la herramienta le envía un mail personalizado, protegiendo sus datos y los de los demás vendedores de la base) con el fin de dotar de mayor seguridad al sistema de envío de correos masivos.
(…) 2.Respuesta al numeral 2: (…) Sí, el correo electrónico gestioncomercial@mercadolibre.com.co es de propiedad de Mercado Libre. (…) 3. Respuesta al numeral 3: (…) Si bien es cierto que el día 29 de agosto de 2019 se remitió un correo electrónico desde la dirección mencionada, no es cierto que el mismo haya sido enviado sin las “medidas de seguridad necesarias”.
Al respecto, se aclara lo siguiente: i) Mercado Libre solo tuvo conocimiento (parcial) de la denuncia presuntamente realizada por uno de sus usuarios con relación a dicho correo, en el momento en que recibió el requerimiento de información, esto es, el 16 de junio del año 2021. Hasta la fecha de respuesta a este requerimiento, no hay constancia de que éste (sic) o cualquier otro usuario de la plataforma haya indicado que el envío de dicho correo no cumplía con “medidas de seguridad”, sin perjuicio de que actualmente se está realizando una labor de verificación manual de peticiones, quejas y posibles reclamaciones interpuestas por los titulares de los correos electrónicos en relación con el correo de agosto de 2019, para lo cual se solicitan unos días adicionales para dar alcance a este punto. ii) En línea con lo expuesto en el numeral anterior, Mercado Libre cuenta con numerosas medidas de seguridad y mecanismos de control tendientes a evitar este tipo de situaciones.
Dichas medidas son de conocimiento de la SIC, autoridad que en ocasiones anteriores y con base en un hecho similar, ha concluido que cumplen con lo establecido en la Ley 1581 de 2012. iii) Asimismo, con base a un posible incidente de seguridad reportado a la SIC el 18 de septiembre de 2019 (posterior al envío del correo indicado en este requerimiento) bajo el número de radicado 19-213906, el cual fue archivado por la SIC el día 29 de octubre de 20202, desde el mismo mes de septiembre del año 2019, se tomaron numerosos correctivos adicionales con el objeto de evitar que la situación volviese a presentarse, entre otros: 1.
Capacitación al equipo encargado de hacer envíos masivos sobre el tratamiento y protección de datos 2. Migración de los envíos masivos a herramienta "Hermes" (propiedad de mercado Libre), en la cual se carga una base con los códigos de usuario de los vendedores (no correos), y “Por la cual se impone una sanción y se imparten órdenes” HOJA N 29, la herramienta identifica el correo de usuario y le envía un mail personalizado, protegiendo sus datos y los de los demás vendedores de la base. 3.
Uso del complemento de Gmail llamado "Yet Another Mail" en el cual se carga la base de correos de los usuarios, y la herramienta le envía un mail personalizado, protegiendo sus datos y los de los demás vendedores de la base. 4. Respuesta al numeral 4: (…) Se allega copia del correo electrónico requerido en el Anexo No. 3. (…) 7. Respuesta al numeral 7: (…) Mercado Libre periódicamente realiza campañas de sensibilización sobre la importancia y confidencialidad de los datos personales de los usuarios y los empleados.
Adjunto como Anexo No. 6 se envía copia de algunas de estas campañas de sensibilización, enviadas a través de la red social interna de la compañía (Workplace) durante los últimos 3 años. En cuanto a los mecanismos de capacitación brindados a nuestros empleados, como consta en las campañas de sensibilización adjuntas, varias de ellas contienen tutoriales de capacitación sobre la importancia y confidencialidad de los datos personales, las cuales están disponibles para todos los empleados de la compañía. Los videos incluidos en estas campañas tienen entre 3.400 y 3.600 visualizaciones internas.
A su vez, se envía copia de la presentación utilizada en la capacitación llevada a cabo el 13 de septiembre de 2019, en el que constan los temas tratados en la misma (se adjunta como Anexo No. 7, junto con la constancia de la invitación y las personas que asistieron a la misma. Con el fin de continuar con el proceso de sensibilización y prevención de incidentes similares, además de la capacitación realizada el 13 de septiembre de 2019, en el mes de enero de 2020 el señor Xxxx.
Xxxxxx, Gerente Senior de Datos y Privacidad viajó de Argentina a Colombia con el fin de realizar nuevas capacitaciones a todo el personal de la compañía y atender inquietudes del personal. Adjunto en el mismo anexo constancia de la citación a dichas capacitaciones, llevadas a cabo el 30 de enero de 2020. (…) 8. Respuesta al numeral 8: (…) En el Anexo No. 3 adjunto, encontrará la Política de Protección de Datos Personales de MercadoLibre (denominada también “Política de Privacidad” o “Declaración de privacidad y confidencialidad de la información de Mercado Libre”), vigente desde el 15 de julio de 2020.
Asimismo, para su referencia, adjuntamos: • La Política de Seguridad de la Información implementada por MercadoLibre, denominada internamente “Política de Ciberseguridad, como Anexo No. 8. • La Política Corporativa de Protección de Datos Personales, como Anexo No. 9. • Los documentos titulados “Política de Gestión de Incidentes de Seguridad Informática” y “Plan de Escalamiento y Comunicación” que describen los procedimientos implementados por la compañía para la gestión de incidentes de seguridad, como Anexo No. 10.” 20 5.
Aunado a ello, dentro de la documentación aportada21 por la sociedad investigada se evidencia entre otras cosas: • Archivo de excel denominado “A7 Planilla asistencia capacitaciones”, que contiene la lista de asistencia a la “Capacitación sobre protección de datos personales” de fecha de 13 de septiembre de 2019. • Archivo de excel denominado “A5 Correos y fechas”, que contiene la lista de todos los correos que fueron expuestos en el correo electrónico objeto de la denuncia. 20 Expediente virtual.
Consecutivo número 11, página 5, hojas 4 a 18. 21 Expediente virtual. Consecutivo número 11, páginas 3, 4, 9, 11, 12. HOJA N 30, “Por la cual se impone una sanción y se imparten órdenes” • Archivo contentivo de la Política Corporativa de Protección de Datos Personales. • Archivo contentivo de la Política de Gestión de Incidentes de Seguridad de la Información. • Archivo contentivo de “Instructivo Interno Uso de Herramientas “Hermes” y “Yet Another Mail” (Yam)” 6.
Posteriormente, mediante escrito de descargos, la investigada argumentó lo siguiente: “1. Reconocimiento de la ocurrencia del hecho que dio origen a la investigación De conformidad con la Resolución de Apertura y el cargo único formulado por la Dirección, es preciso indicar que en efecto un colaborador de Mercado Libre realizó el envío de un correo electrónico el 29 de agosto de 2019 en el que involuntariamente se omitió realizar el envío en copia oculta y en tal sentido se hicieron visibles los correos electrónicos de los destinatarios.
Sin perjuicio del reconocimiento del hecho descrito anteriormente y que corresponde a la causa de la presente actuación administrativa, tal como se prevé en el literal f del artículo 24 de la ley 1581 de 2012, resulta importante hacer algunas aclaraciones para que las mismas sean tomadas en cuenta por la Dirección, tal y como lo exponemos a continuación: i. Examinado el correo electrónico objeto de investigación se encuentra que fueron 257 los destinatarios. ii.
Del total de destinatarios del correo, tan solo el 5.4% correspondían a direcciones de correo electrónico donde se identificaba el nombre y apellido de una persona natural. iii. En línea con lo expuesto, el 66.9% de las direcciones de correo electrónico correspondía a personas no naturales o hacían alusión a cosas o actividades. iv. Asimismo, el 21.7% de los correos citados correspondían a direcciones de correo electrónico corporativas o comerciales.
Por lo expuesto anteriormente, el hecho objeto de investigación se circunscribe a un hecho que parte de una conducta humana puntual e involuntaria, tema poco significativo en la medida en que el error cometido por un colaborador de mi representada se circunscribió tan solo a 14 direcciones de correo electrónico que pueden ser consideradas como datos personales donde se identifican nombre y apellidos.
En esa medida, desde ya, solicitamos a la Dirección sea tenido en cuenta nuestro comportamiento procesal y también los argumentos que se exponen, al momento de tomar la decisión que corresponda en la presente actuación a. El hecho ocurrido tuvo como origen un error humano, puntual e involuntario, y no una falla atribuible a las políticas de seguridad implementadas por Mercado Libre (…) No obstante, es de conocimiento de la Dirección que la situación puesta de presente por el denunciante corresponde a hechos previos - toda vez que el correo electrónico al que se refiere la Dirección en el acto de apertura es del 29 de agosto de 2019 - a los que fueron objeto de reporte de incidente por parte de Mercado Libre en el mes de septiembre del año 2019 (Expediente 19-213906), el cual fue objeto de solicitud de información en su momento por parte de la propia Dirección. Tanto en el caso reportado en septiembre de 2019, como en el presente asunto, los hechos tuvieron como origen un error humano involuntario y excepcional, ajeno a las políticas y estándares de seguridad de la información que normalmente aplica la compañía. Por la naturaleza del hecho, la conducta diligente de reporte de Mercado Libre y la constatación del cumplimiento del principio de seguridad y conservación de los datos, es que dicho Expediente 19-213906 fue ARCHIVADO.
Conforme a lo anterior, se debe tener en cuenta que el Grupo de Trabajo de Investigaciones Administrativas ya había determinado en el año 2020 que para el año 2019: 1. Las medidas implementadas en el momento del incidente cumplían con lo establecido en la Ley 1581 de 2012. “Por la cual se impone una sanción y se imparten órdenes” 2. HOJA N 31, Mercado Libre dio un manejo diligente y adecuado al incidente, razón por la cual el propio Grupo resolvió archivar el expediente al no encontrar mérito para iniciar una actuación administrativa.
En tal sentido, para dicho momento las medidas adoptadas por Mercado Libre cumplían con lo previsto en la ley, pero las mismas no solo se han mantenido, sino que se han venido mejorando. Al respecto, se encuentra que mi representada, precisamente para evitar errores humanos o administrativos, cuenta con políticas, normas y procedimientos de seguridad de la información personal debidamente aprobados, los cuales incluyen procedimientos internos de asignación de responsabilidades y autorizaciones en el tratamiento de la información personal, compromisos de confidencialidad de cada uno de los funcionarios que tiene acceso al tratamiento de la información personal, herramientas de gestión de riesgos en el tratamiento de datos personales, políticas de protección para el acceso remoto a la información personal, entre otros procedimientos orientados a brindar seguridad a los datos almacenados, con especial atención a los datos personales y sensibles.
En medida de lo expuesto, si bien ocurrió el hecho en que se hicieron visibles los correos electrónicos de los destinatarios, tal error humano, involuntario y puntual, no puede entenderse de ninguna forma como un incumplimiento a los deberes que tiene Mercado Libre como responsable del tratamiento de datos, pues, las medidas de seguridad previas al envío del correo eran las mismas medidas que la SIC consideró que cumplían con la Ley 1581 de 2012 y el manejo y las medidas correctivas que fueron tomadas a raíz de tales incidentes resultaron aplicables también directamente a los hechos que son objeto de investigación hoy por parte de la Dirección. De hecho, se explicará cómo en este caso, a diferencia del relacionado con el radicado 19213906 (que recordemos, fue archivado), no se recibió ningún reclamo por parte de los destinatarios del correo y muchas de dichas direcciones de correo electrónico, cuentan con una protección distinta, al ser en su mayoría direcciones corporativas o empresariales o no hacer referencias a personas naturales.
Esto evidencia que más allá de la denuncia anónima promovida, mi representada no ha generado perjuicio alguno, ni siquiera al propio denunciante. b. La clasificación jurídica de las direcciones de correo electrónico como datos personales. Ahora, en lo que refiere a los datos que fueron expuestos en el correo electrónico enviado por mi representada en el mes de agosto de 2019, resulta importante traer a colación el análisis que la Delegatura para la Protección de Datos Personales ha realizado frente a las direcciones de correo electrónico, donde, de manera expresa ha indicado lo siguiente: “no toda información es un dato personal, ni que todo dato personal requiere de la autorización para ser tratado.
Una dirección de correo electrónico no es, per se, un dato personal y algunas direcciones de correo electrónico son datos personales de naturaleza pública” (destacamos). (…) Para el caso bajo estudio, el correo electrónico fue remitido a 257 direcciones, de las cuales se pueden resaltar las siguientes características: (…) 1. Solo 14 direcciones incluyen un nombre y un apellido y utilizan un dominio hotmail, gmail o yahoo. 2.
Hay 15 direcciones que utilizan únicamente un nombre o únicamente un apellido y utilizan un dominio hotmail, gmail o yahoo. 3. Hay 56 direcciones que utilizan un nombre y un apellido o presumiblemente una inicial de nombre con un apellido, pero sus dominios no corresponden a gmail, hotmail o yahoo, sino que corresponden a dominios que se presumen laborales, corporativos o comerciales.
Por ejemplo: @peugeotcolombia.com.co, @powerdeal.com.co 4. 172 direcciones no se refieren a una persona natural ni hacen alusión a una persona, sino a cosas o actividades. (…) 2. Mercado Libre conserva la información bajo condiciones de seguridad estrictas y necesarias y cumple con el principio de seguridad previsto en la Ley 1581 de 2012.
“Por la cual se impone una sanción y se imparten órdenes” HOJA N 32, (…) Frente a la presunción expuesta por la Dirección, se debe indicar que si bien ocurrió un hecho (reiteramos, puntual e involuntario y que no generó perjuicio alguno), esto per se no implica que para la fecha en que ocurrieron los hechos Mercado Libre no cumpliera con lo previsto en la norma y que, conforme a lo que fue reportado ante esta autoridad en septiembre de 2019 y en el curso de la averiguación preliminar de este expediente, no haya implementado medidas óptimas y eficaces que han llevado a reforzar aún más sus políticas de seguridad, cumpliendo con sus deberes como responsable y honrando los principios previstos en la Ley 1581 de 2012.
En tal sentido, a continuación, se explicará cómo Mercado Libre cuenta con las medidas técnicas, humanas y administrativas necesarias para conservar la información y garantizar su seguridad. a. Medidas técnicas Teniendo en cuenta que la presente investigación surge debido al envío de un correo donde se hicieron visibles los correos electrónicos de los destinatarios, es importante empezar por indicar que para el envío de correos a usuarios, Mercado Libre actualmente utiliza dos herramientas: 1.
Herramienta “Hermes”: La cual permite realizar envíos masivos de manera automatizada, protegiendo los datos de los usuarios. En el uso de esta herramienta, la persona encargada internamente de enviar un texto de campaña, por ejemplo, lo que hace es cargar los números de usuarios y los campos a comunicar en un documento, sin que vea las direcciones de correo electrónico de los usuarios.
En tal sentido, se carga el documento con el número interno que se asigna a cada usuario y aquello que se va a comunicar, y la herramienta Hermes hace un envío a cada dirección de correo electrónico individualmente, protegiendo así los datos de los usuarios. 2. Herramienta "Yet Another Mail": Esta herramienta es un complemento de Gmail, en el cual se carga la base de correos de los usuarios, y la herramienta le envía un mail personalizado, protegiendo sus datos y los de los demás usuarios de la base con el fin de dotar de mayor seguridad al sistema de envío de correos masivos.
La explicación y descripción de los instructivos que actualmente utiliza el equipo encargado del uso de dichas herramientas y donde se evidencian los pasos internos que debe seguir el equipo para el envío de correos masivos, se encuentra en el expediente en el anexo No. 2 de la respuesta al requerimiento de información realizado mediante oficio 20-437746-06.
Además de lo expuesto anteriormente, es importante explicar los mecanismos de seguridad generales implementados por Mercado Libre: Desde el punto de vista de seguridad informática, Mercado Libre cuenta con altos estándares en materia de protección de la confidencialidad de información personal, en tal sentido, ha implementado una política de ciberseguridad en la cual se abordan: (i) los proceso (sic) de gestión de riesgos;
(ii) procesos de protección de datos donde se aplican los principios de minimización de datos, recolección con fines explícitos y legítimos, aseguramiento de la integridad y confidencialidad y fidelidad y completitud de la información, certificando siempre el estándar PCI DSS; (iii) procesos que garantizan la seguridad, a través de la gestión de identidades, cloud security, gestión de activos de información, seguridad de base de datos, gestión centralizada de logs y monitoreo de eventos, amenazas externas, gestión de vulnerabilidades, concientización y gestión de terceros;
(iv) respuesta efectivas y eficientes ante la ocurrencia de incidentes; (v) aplicación de controles preventivos y detectivos (sic) de seguridad. Los accesos a los diferentes medios de almacenamiento como bases de datos son otorgados con base en la clasificación otorgada a los datos tanto a nivel de confidencialidad como integridad. Dicha clasificación es revalidada periódicamente a fin de evitar desvíos en la actualización de datos.
Así mismo, para evitar errores humanos o administrativos, Mercado Libre cuenta con políticas, normas y procedimientos de seguridad de la información personal debidamente aprobados, los cuales incluyen procedimientos internos de asignación de responsabilidades y autorizaciones en el tratamiento de la información personal, compromisos de confidencialidad de cada uno de los funcionarios que tiene acceso al tratamiento de la información personal, herramientas de gestión de riesgos en el tratamiento de datos personales, políticas de protección para el acceso remoto a la información personal, entre otros procedimientos orientados a brindar seguridad a los datos almacenados, con especial atención a los datos personales y sensibles.
“Por la cual se impone una sanción y se imparten órdenes” HOJA N 33, Adicionalmente, con el objetivo de realizar un adecuado manejo en el tratamiento de los datos personales, Mercado Libre tiene implementadas: la Política Corporativa de Protección de Datos Personales y la Política de Gestión de Incidentes de Seguridad de la Información, que tienen como objeto establecer prácticas uniformes en el procesamiento y recolección de datos personales para evitar incidentes de seguridad a los cuales se ve expuesto en su operación, entre las cuales se encuentran: (i) implementación de acuerdos de confidencialidad con los colaboradores que tienen acceso a la información, (ii) asignación de responsabilidades a los diferentes departamentos y sectores intervinientes en el manejo de la información, (iii) escaneos periódicos de vulnerabilidades para evitar incidentes futuros, entre otros.
Como parte de la mencionada política, Mercado Libre ha implementado internamente ciertos documentos que permiten adecuar los procedimientos encaminados a impedir la adulteración, pérdida, consulta, uso o acceso no autorizado a las bases de datos y, en general, a clasificar la información, prevenir y combatir incidentes de seguridad, realizar monitoreo de la información y realizar respaldos a la misma.
Algunos de los documentos aplicables y vigentes a la fecha son los siguientes: b. Medidas humanas Habiendo explicado las medidas técnicas con las que cuenta Mercado Libre y que aplica, es necesario resaltar que también cuenta con medidas humanas en aras de garantizar la seguridad de los datos y su conservación. En tal sentido, Mercado Libre cuenta con manuales y tutoriales para configurar comunicaciones, dentro de las cuales se incluyen instrucciones para el envío de correos masivos.
De hecho, con base en el posible incidente de seguridad reportado a la SIC el 18 de septiembre de 2019 (posterior al envío del correo indicado en este requerimiento) bajo el número de radicado 19-213906 ya comentado más arriba, el cual fue archivado por la SIC el día 29 de octubre de 2020, desde el mismo mes de septiembre del año 2019, se tomaron numerosas acciones correctivas y proactivas (sic) adicionales con el objeto de evitar que la situación volviese a presentarse, como lo son la implementación de la herramienta Hermes y "Yet Another Mail", explicadas en el literal anterior, y también - muy importante - capacitaciones al equipo encargado de hacer envíos masivos sobre el tratamiento y protección de datos, entre otros.
En relación con las capacitaciones, Mercado Libre periódicamente ha realizado campañas de sensibilización sobre la importancia y confidencialidad de los datos personales de los usuarios y los empleados, por ejemplo a través de la red social interna de la compañía (Workplace) durante los últimos 3 años. En cuanto a los mecanismos de capacitación brindados a los empleados, como consta en las campañas de sensibilización que obran en el expediente, varias de ellas contienen tutoriales de capacitación sobre la importancia y confidencialidad de los datos personales, las cuales están disponibles para todos los empleados de la compañía. Los videos incluidos en estas campañas tienen entre 3.400 y 3.600 visualizaciones internas.
“Por la cual se impone una sanción y se imparten órdenes” HOJA N 34, Asimismo, para graficar los esfuerzos de capacitación permanente que realiza Mercado Libre, durante los años 2020 y 2021 se han realizado las siguientes capacitaciones y se han utilizado las siguientes herramientas: 1. Onboarding “¿cómo protegemos los datos personales en MELI?”: Corresponde a un curso obligatorio para la totalidad de colaboradores cuando ingresan a la compañía. Se repite este curso anualmente.
En este curso se enseña a colaboradores a: (i) reconocer la importancia de proteger los datos personales que procesa Mercado Libre; (ii) conocer cómo procesan los datos personales en las distintas áreas de Mercado Libre; (iii) identificar cómo se obtiene el consentimiento de un usuario; (iv) comprender cada uno de los principios para la recopilación y uso de la información personal. 2.
Día de la privacidad en Mercado Libre: En aras de hacer el proceso de aprendizaje y capacitación más dinámico y didáctico, se puso a disposición un juego para todos los colaboradores de Mercado Libre, con la finalidad de concientizarlos sobre el uso responsable de la información personal. También se complementó con diferentes charlas brindadas por distintas áreas de la compañía durante esa semana de concientización. 3.
Sitio web interno disponible para todos los colaboradores con temas vinculados a la Protección de los Datos Personales 4. IT Talks – Audiencia 1200: Corresponde a un espacio de aprendizaje dentro de Mercado Libre donde se comparten contenidos de valor a los colaboradores. Mes a mes, diferentes conferencistas comparten sus experiencias en tal sentido.
En el anexo No. 11 se encuentran capturas del contenido de la IT Talk realizada en materia de datos personales y su privacidad este año, en la cual participó el señor Xxxx. Xxxxxx (DPO). 5. Curso de seguridad informática: En este curso, los objetivos son los siguientes: (i) describir los principales riesgos de la seguridad de la información;
(ii) identificar los métodos de prevención ante estos riesgos; (iii) enumerar las formas de mantener segura la información laboral y personal; (iv) seguir con los estándares de cumplimiento de normas establecidas; (v) reconocer la importancia del resguardo de los datos personales. 6. “Producto dice”: Corresponde a una capacitación donde se explicó en qué consisten las áreas de Data Privacy de los distintos equipos y se brindaron recomendaciones para el trabajo que involucra el tratamiento de datos personales.
Se adjunta como Anexo No. 11 de este documento, un documento contentivo de estas capacitaciones, cursos y herramientas, donde se puede encontrar captura de su contenido y algunas explicaciones. Asimismo, se debe indicar que en el mes de enero de 2020 el señor Xxxx. Xxxxxx, Director de Protección de Datos de Mercado Libre, viajó de Argentina a Colombia con el fin de realizar nuevas capacitaciones a todo el personal de la compañía y atender inquietudes del personal, para lo cual, se adjunto en el Anexo No. 13 certificación expedida por el señor Xxxxxx, donde indica cuándo brindó dicha capacitación, así como la constancia de citación a esta, contenida en el Anexo No. 15.
En virtud de lo explicado, se puede concluir que Mercado Libre cumple con el principio de seguridad previsto en el literal g del artículo 4 de la ley 1581 de 2012 y además, cuenta con las medidas necesarias para conservar la información recolectada, bajo medidas de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, conforme al literal d del artículo 17 de la misma ley. ”22 De acuerdo con lo hasta aquí analizado, este Despacho encuentra probado lo siguiente: 1.
La sociedad investigada, a través del correo “gestioncomercial@mercadolibre.com.co” realizó el envío de un correo electrónico bajo el asunto “Invitación participación promoción aniversario Mercado Libre 2019” el 29 de agosto de 2019 a 257 destinatarios y omitió realizar el envío con copia oculta, motivo por el cual se hicieron visibles los correos electrónicos de los otros 256 destinatarios al denunciante23. 2.
Como lo sostiene la investigada, de los 257 destinatarios, 14 direcciones de correo identifican el nombre y apellidos del Titular del correo electrónico y por ende pueden ser consideradas como datos personales. 22 Expediente virtual. Consecutivo número 28, página 2, hojas 2 a 8. 23 Expediente virtual. Consecutivo número 11, página 8, hojas 1 a 2.
“Por la cual se impone una sanción y se imparten órdenes” HOJA N 35, 3. Según, la investigada, ésta utiliza para el envío de correos masivos las herramientas “Hermes” y un complemento de la plataforma “Gmail” denominado "Yet Another Mail"24. 4. El 4 de septiembre de 2019 ocurrió un incidente de seguridad y la sociedad investigada le informó a este Despacho la ocurrencia del mismo el 18 de septiembre de 2019 mediante radicado 19-213906 indicando: “un empleado de la organización envió una encuesta de satisfacción a algunos usuarios de la plataforma.
Por error de dicho empleado, las direcciones de correo electrónico de los destinatarios se encontraban abiertas, es decir, los destinatarios del correo masivo podían ver los correos de los demás destinatarios. (…) acciones correctivas implementadas: Como acción correctiva y para evitar que ocurran incidentes similares en el futuro, el 13 de septiembre se realizó una capacitación en protección de datos personales al empleado involucrado en el error y a otras personas de su misma área.
Así mismo, próximamente se planea realizar un ciclo de capacitaciones o talleres de sensibilización con otras áreas de la compañía.” 5. El 13 de septiembre la sociedad investigada realizó una capacitación denominada “Capacitación sobre protección de datos personales” a la cual asistieron ÚNICAMENTE 5 empleados de la sociedad25. 6. El 30 enero de 2020 la sociedad investigada realizó las capacitaciones denominadas “Data Privacy” y “Q&A Xxxx.
Xxxxxx Data Privacy MCO”26. 7. Por otro lado, el 8 de octubre de 2020 la sociedad investigada implementó el curso “Onboarding “¿cómo protegemos los datos personales en MELI?”27, el cual es un curso obligatorio para la totalidad de colaboradores cuando ingresan a la compañía y ha sido tomado por 10.716 colaboradores. 8. El 29 de octubre de 2020 este Despacho archivó la actuación administrativa que se llevaba a cabo bajo el radicado 19-213906 y que correspondía al incidente de seguridad reportado por la sociedad el 18 de septiembre de 2019 indicando que: “De acuerdo con la información recolectada, teniendo en cuenta el manejo que se le dio al incidente de seguridad por parte de MERCADOLIBRE COLOMBIA LTDA, esta Dirección archivará el presente expediente, ya que no encuentra mérito para iniciar una actuación administrativa.
Sin embargo, lo anterior no se puede entender como una limitante a la potestad de investigación, vigilancia y control que tiene esta Superintendencia con respecto al derecho fundamental a la protección de datos personales de los titulares de los datos tratados por MERCADOLIBRE COLOMBIA LTDA, con base en la Ley 1581 de 2012. Siendo así, frente a cualquier información futura con respeto al incidente de seguridad presentado, esta Superintendencia como autoridad de protección de datos personales, conforme a la Ley citada, podrá iniciar una nueva investigación para constatar el cumplimiento del Régimen General de Protección de Datos Personales”28. 9.
El 5 de mayo de 2021 la sociedad investigada implementó el “Curso de SDLC para desarrolladores”29, el cual es opcional y es sobre el Ciclo de vida de desarrollo seguro (SDLC siglas en inglés). 10. El 26 de agosto del 2021, la sociedad investigada realizó un espacio de aprendizaje de Datos personales, consistente en una charla en “IT TALKS”30 en la cual participaron 1200 colaboradores. 11.
La sociedad investigada en septiembre de 2021 implementó la “Capacitación a Líderes de CX (Customer Experience)”31, la cual tiene como objetivo brindar conceptos y aprendizajes de seguridad informática a quienes se encuentran más cerca de los clientes 24 Expediente virtual. Consecutivo número 28. Página 2, hoja 5. 25 Expediente virtual. Consecutivo número 11.
Página 3. 26 Expediente virtual. Consecutivo número 28. Página 2, hojas 45. 27 Expediente virtual. Consecutivo número 28. Página 2, hojas 12 a 19. 28 Expediente virtual (19-213906). Consecutivo número 5. Página 2, hoja 3. 29Expediente virtual. Consecutivo número 28. Página 2, hojas 30 a 31. 30 Expediente virtual. Consecutivo número 28. Página 2, hojas 25 a 26. 31 Expediente virtual.
Consecutivo número 28. Página 2, hojas 39 a 40. HOJA N 36, “Por la cual se impone una sanción y se imparten órdenes” y usuarios de la sociedad a fin de estrechar la brecha en la comunicación y entre todos los equipos lograr minimizar los riesgos en materias de ataques y protección de datos personales. 12. La sociedad investigada tiene implementado el “Día de la privacidad en Mercado Libre”32, el cual corresponde a un día que cada año que es dedicado a la realización de actividades vinculadas al cuidado y privacidad de los datos. 13.
La sociedad investigada tiene implementado un “Curso de Seguridad informática”33 desde el 13 de julio del 2015, el cual es obligatorio y ha sido realizado por 11.316 colaboradores. 14. La sociedad investigada cuenta con un “Grupo abierto de workplace de ciberseguridad”34 el cual es un grupo de la red social colaborativa de la empresa en donde se pueden encontrar contenidos de seguridad informática en donde se pueden encontrar procedimientos, videos de seguridad, post informativos de nuevas herramientas o comunicados para el colaborador en materias de seguridad. 15.
La sociedad investigada tiene implementado una “Capacitación anti-phishing portugués y español”35, la cual es opcional, la sido realizada por 672 colaboradores y tiene como objeto enseñar los conceptos generales sobre las tácticas de phishing e ingeniería social, otorgándole al colaborador herramientas para identificar y reportar ataques de phishing. 16.
La sociedad investigada cuenta con un sitio web disponible36 para todos los colaboradores con temas vinculados a la Protección de los Datos Personales, como se denota a continuación: 17. La sociedad investigada tiene implementados los siguientes documentos: “POLÍTICA DE CIBERSEGURIDAD CORPORATIVA”37 “Declaración de privacidad y confidencialidad de la información de Mercado Libre”38 Por lo anterior, este Despacho evidencia que la sociedad MERCADOLIBRE COLOMBIA LTDA el 29 de agosto de 2019 realizó el envío de un correo electrónico bajo el asunto “Invitación participación promoción aniversario Mercado Libre 2019” a través del correo “gestioncomercial@mercadolibre.com.co”.
Este envío se realizó sin copia oculta de los correos electrónicos de los destinarios, motivo por el cual se hicieron visibles los correos electrónicos de los 257 destinatarios a terceros no autorizados. 32 Expediente virtual. Consecutivo número 28. Página 2, hojas 19 a 21. 33 Expediente virtual. Consecutivo número 28. Página 2, hojas 7, 28 a 30. 34 Expediente virtual.
Consecutivo número 28. Página 2, hoja 30. 35 Expediente virtual. Consecutivo número 28. Página 2, hojas 31 a 39. 36 Expediente virtual. Consecutivo número 28. Página 2, hojas 21 a 25. 37 Expediente Virtual. Consecutivo número 28. Página 2, hojas 48 a 69. 38 Expediente Virtual. Consecutivo número 28. Página 2, hojas 82 a 100. HOJA N 37, “Por la cual se impone una sanción y se imparten órdenes” Al respecto, tal y como lo reconoce la sociedad dentro de los 257 destinatarios se encontraban 14 direcciones de correos electrónicos en los cuales se identificaba el nombre del Titular del correo.
Bajo ese entendido, se tiene que las direcciones de correo electrónico asociadas a 14 Titulares fueron expuestas a los 257 destinarios del correo en mención, destinarios que no tenían la autorización para conocer estos datos personales debido a que fueron expuestos a terceros ajenos a los titulares de dichas direcciones electrónicas. Por lo tanto, se puede considerar que hubo un acceso no autorizado a esta información. Frente a esto, la sociedad argumenta que “[f]rente a la presunción expuesta por la Dirección, se debe indicar que si bien ocurrió un hecho (reiteramos, puntual e involuntario y que no generó perjuicio alguno), esto per se no implica que para la fecha en que ocurrieron los hechos Mercado Libre no cumpliera con lo previsto en la norma”39.
No obstante, este Despacho considera pertinente aclararle a la sociedad que uno de los deberes establecidos en la Ley 1581 de 2012 para los Responsables del Tratamiento es el deber de conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; situación que en cualquier evento de exposición de información a un tercero no autorizado, implica la vulneración del deber objeto de estudio.
Por ello, es pertinente retomar lo señalado por la Corte Constitucional, la cual en la Sentencia C748 de 2011, expuso lo siguiente “Existe entonces un deber tanto de los Responsables como los Encargados de establecer controles de seguridad, de acuerdo con el tipo de base de datos que se trate, que permita garantizar los estándares de protección consagrados en esta Ley Estatutaria”.
En el caso en concreto, para el envío de corres electrónicos masivos la medida de seguridad pertinente es el envío de los mismos con copia oculta a los destinatarios, de forma tal que las direcciones de correo electrónico de estos no sean de conocimiento y/o acceso no autorizado por terceros. Así, respecto del correo enviado por la sociedad investigada el 29 de septiembre de 2019 no se evidencia que la sociedad haya implementado esta medida de seguridad.
Por su parte la sociedad también argumenta que es “tema poco significativo en la medida en que el error cometido por un colaborador de mi representada se circunscribió tan solo a 14 direcciones de correo electrónico”40 y sustenta que de las 257 direcciones de correos electrónicos que se encontraban expuestas en el correo remitido solo 14 pueden considerarse como datos personales, como se muestra a continuación: Al respecto, esta Dirección concuerda con la clasificación realizada por la sociedad de los correos electrónicos, ya que como la misma sociedad cita en su escrito de descargos, en la Resolución N° 33267 de 2020 esta Dirección reconoció: 39 Expediente Virtual.
Consecutivo número 28. Página 2, hoja 5. 40 Expediente Virtual. Consecutivo número 28. Página 2, hoja 2. HOJA N 38, “Por la cual se impone una sanción y se imparten órdenes” “DE LAS DIRECCIONES DE CORREO ELECTRÓNICO COMO DATOS PERSONALES Y DE LA CLASIFICACIÓN JURÍDICA DE ESTA CLASE DE INFORMACIÓN. Para efectos de este caso resulta necesario recordar que no toda información es un dato personal, ni que todo dato personal requiere de la autorización para ser tratado.
Una dirección de correo electrónico no es, per se, un dato personal y algunas direcciones de correo electrónico son datos personales de naturaleza pública. Basta recordar las siguientes definiciones de la Ley 1581 de 2012 y su decreto reglamentario”41. Así, se tiene que no todos los correos electrónicos per se son datos personales. En este tipo de casos se tienen direcciones corporativas y direcciones personales, en las primeras a pesar de que pertenecen a una persona en particular no exponen la identidad del Titular por cuanto están asociadas a una sociedad; en el caso de las segundas ya que los Titulares son propietarios de las mismas, estas se pueden considerar como datos personales pues hacen parte de la información personal del Titular y lo identifican.
Por lo anterior, esta Dirección concuerda en que de los 257 correos, al menos 14 pueden considerarse que corresponden a datos personales. Sin embargo, es importante establecer que el hecho de que un porcentaje menor de los correos electrónicos expuestos correspondan a datos personales y que estos hayan sido de conocimiento de terceros, no es una cuestión menor o un “tema poco significativo”, como menciona la sociedad.
Lo anterior, toda vez que la sociedad tiene un deber legal con cada uno de los Titulares de salvaguardar su información bajo medidas de seguridad pertinentes y bajo esa premisa debe propender siempre por la protección de los datos personales de cada uno. Por ende, si la sociedad divulga y/o expone datos personales a terceros no autorizados, así sea un solo correo electrónico, se entiende que esta incumpliendo con sus deberes de legales.
Por último, la sociedad investigada argumenta que, toda vez que, esta Dirección procedió con el archivo del incidente de seguridad reportado bajo radicado 19-213906, se debería proceder también con el archivo del presente caso. Frente a esto, es importante traer lo mencionado en el escrito de archivo, pues como se establece en este: “frente a cualquier información futura con respeto al incidente de seguridad presentado, esta Superintendencia como autoridad de protección de datos personales, conforme a la Ley citada, podrá iniciar una nueva investigación para constatar el cumplimiento del Régimen General de Protección de Datos Personales”42.
Por lo tanto, el archivo de este, en ningún sentido significa una limitante a la potestad de investigación, vigilancia y control que tiene esta Superintendencia, ni que por hechos nuevos o similares se pierda la facultad de investigación y control que ostenta esta entidad en virtud de diversos mandatos legales y por pronunciamientos de rango constitucional.
Además, no debe perderse de vista que los trámites administrativos adelantados bajo los números 19-213906 y 20-437746 no son idénticos, pues las circunstancias fácticas y el sustento probatorio difieren, y por ende conllevan a la adopción de dos decisiones independientes por parte de esta Dirección. A continuación, se procederá a analizar ambos casos.
Primero, el radicado 19-213906 se basa en el reporte realizado de un incidente de seguridad por la sociedad investigada mientras que el radicado 20-437746 se basa en una denuncia anónima que tenía como objeto informar las irregularidades que la sociedad investigada presentaba en el envió de correos masivos. Si bien, en ambos casos la sociedad remitió correos masivos sin realizar copia oculta de los destinatarios, no es lo mismo que la sociedad informe a este Despacho de la ocurrencia del suceso a que lo haga un Titular de la información por cuanto el trámite que se realiza en cada caso es distinto. 41 Resolución N° 33267 de 2020, hoja 9. 42 Expediente virtual (19-213906).
Consecutivo número 5. Página 2, hoja 3. “Por la cual se impone una sanción y se imparten órdenes” HOJA N 39, Segundo, para el caso del radicado 19-213906 en principio no se evidenció ningún perjuicio. No obstante, analizando las pruebas aportadas en la presente actuación, el radicado 20-437746, se tiene que los usuarios de “Mercado Libre” han estado recibiendo correos presuntamente fraudulentos, y en esa medida se requiere un mayor rigor por parte de esta Dirección a la hora de analizar la situación. Tercero, en ambos casos la sociedad investigada argumenta que la exposición de los correos electrónicos de los Titulares se dio debido a un “error humano”.
Al respecto es importante traer a colación la Resolución N° 15957 de 2022, en la cual se estableció que “la recurrente en varias ocasiones ha remitido información de carácter personal a un tercero no autorizado. Por ende, incumplió el deber de seguridad porque permitió que un tercero no autorizado conociera información de otra persona”43.
Así, se tiene que cuando el “error humano” se presenta en varias oportunidades lo que evidencia es una falla en las medidas de seguridad implementadas por la sociedad. Por lo tanto, si se analizan ambos casos, esta Dirección evidencia que, en el transcurso de una semana, del 29 de agosto de 2019 al 5 de septiembre de 2019, la sociedad envió 4 correos sin copia oculta de los remitentes, lo que deja ver que las medidas humanas que tenía implementadas la sociedad para ese momento no eran suficientes para evitar la consulta, uso o acceso no autorizado o fraudulento de la información de los Titulares.
Por último, la sociedad menciona que las acciones correctivas implementadas son iguales para ambos casos. Frente a esto, esta Dirección reconoce que la entidad aportó documentación que da cuenta de las medidas técnicas, administrativas y humanas implementadas a partir de septiembre de 2019, las cuales se centran en la implementación de las herramientas “Hermes” y "Yet Another Mail", y en la realización de una serie de capacitaciones al personal.
Al respecto, esta Dirección reconoce que las medidas implementadas tanto técnicas como humanas están orientadas a mitigar el riesgo de que vuelvan a ocurrir situaciones similares. Sin embargo, no se evidencia una regularidad en las capacitaciones realizadas, ya que, si bien se menciona que las mismas se dan con ocasión de la vinculación del personal a la compañía, no se evidencia que la empresa tenga establecido un ciclo de capacitaciones ni la realización de las mismas cuando se presenta un incidente o una falla en la seguridad en la sociedad; situación que, en cualquier evento, resulta reprochable a consideración de este Despacho.
Frente a esto, resulta relevante atraer a colación el principio de responsabilidad demostrada44 (accountability, por su origen anglosajón). Este principio exige implementar acciones reales y materiales demostrables de diversa índole45, para garantizar el correcto cumplimiento de los deberes que el Régimen General de Protección de Datos Personales impone a los Responsables del Tratamiento de Datos Personales.
Estas medidas deben ejecutarse en la realidad 43 Resolución N° 15957 de 2022, hoja 7. 44 Desarrollado por los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 de 2015. Esta Superintendencia también emitió la “Guía para la Implementación del Principio de Responsabilidad Demostrada” (accountabilty), que se puede consultar en el siguiente vínculo: “http://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf 45 Pueden ser medidas administrativas, organizacionales, estratégicas, humanas, tecnológicas, de gestión y que involucren procesos y procedimientos.
“Por la cual se impone una sanción y se imparten órdenes” HOJA N 40, para lograr altos niveles de eficacia, y ser objeto de revisión y monitoreo permanente para reevaluar su pertinencia como acciones que logran un óptimo nivel de protección de los datos personales46. Así se tiene que, la mera existencia de políticas formales de protección de datos personales no son una garantía per sé de qué se está haciendo un tratamiento legal o debido de los datos.
Por esta razón, esa mera existencia no puede ser razón eximente de responsabilidad de un sujeto obligado por el Régimen de Protección de Datos Personales a hacer un tratamiento responsable de los datos que impida su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, obligación analizada en el presente caso. Por lo tanto, aunque la sociedad investigada afirme que es un hecho “puntual e involuntario y que no generó perjuicio alguno”, para esta Dirección, el hecho de que lo sucedido sea catalogado por la investigada como una situación “puntual”, o de poca ocurrencia, no desvirtúa la violación al Régimen de Protección de Datos Personales, que en este caso se materializó al no realizar el envió del correo electrónico con copia oculta de los destinatarios.
Un Responsable del Tratamiento de Datos Personales no puede tolerar este tipo de actos negligentes que violan la seguridad de la información personal de sus usuarios y, no podría aceptarse el argumento de que los actos de sus funcionarios son ajenos a los de la sociedad, ya que los empleados de la compañía no actúan por interés propio en ejercicio de sus labores, sino como dependientes de la sociedad.
Por esa razón, los actos que realicen se entienden como actuación de la compañía, entre otras razones, en virtud del artículo 2349 del Código Civil que contiene la culpa indirecta de elección (in eligendo) o de vigilancia (in vigilando)47. En conclusión, de acuerdo al análisis realizado por este Despacho es posible concluir que la investigada NO logró demostrar que para el momento de la ocurrencia de los hechos objeto de la presente actuación administrativa efectivamente contaba con las condiciones de seguridad necesarias para impedir la consulta, uso o acceso no autorizado o fraudulento de los datos personales de los Titulares; lo anterior tomando en cuenta que hubo una divulgación / acceso de los datos personales no autorizado, y que esto se debió a falencias en las medidas humanas de seguridad que la sociedad tenía implementadas en agosto / septiembre de 2019.
En consecuencia, esta Dirección impondrá una sanción a la sociedad por la violación del literal d) del artículo 17 de la Ley 1581 de 2012 así como de lo establecido en el literal g) del artículo 4 de la precitada Ley, e impartirá una orden administrativa para que se prevenga la ocurrencia de este tipo de hechos que violan el Régimen General de Protección de Datos Personales. 10.3.3 CONCLUSIÓN Quedó probado que la sociedad no logró demostrar que para el momento de la ocurrencia de los hechos objeto de la presente actuación administrativa efectivamente contaba con las condiciones de seguridad necesarias para impedir la consulta, uso o acceso no autorizado o fraudulento de los datos personales de los Titulares.
UNDÉCIMO: ÓRDENES ADMINISTRATIVAS En este orden de ideas, de acuerdo con los argumentos de hecho y de derecho expuestos por la investigada, una vez analizadas las pruebas obrantes en el expediente, y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “(…)Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley (…)”, esta Instancia procederá a impartir las siguientes instrucciones: 46 El artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015 señala que los Responsables deben ser capaces de demostrar a la Superintendencia de Industria y Comercio que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones de la Ley 1581 de 2012. 47 Explicada ampliamente en la jurisprudencia de la Sala de Casación Civil de la Corte Suprema de Justicia, por ejemplo, en sentencia del siete (07) de octubre de dos mil dieciséis (2016), radicado 734113103001-2009-00042-01, MP Ariel Salazar Ramírez.
“Por la cual se impone una sanción y se imparten órdenes” HOJA N 41, La sociedad MERCADOLIBRE COLOMBIA LTDA deberá realizar a sus colaboradores un curso de formación en Datos Personales con énfasis en la detección, mitigación, tratamiento y prevención de los riesgos de seguridad. Como resultado de la orden inmediatamente anterior, la sociedad MERCADOLIBRE COLOMBIA LTDA deberá documentar el ciclo de capacitaciones periódicas que se realicen, según criterio de la empresa, y cuyo objetivo es generar una mayor sensibilización sobre el tipo de datos sobre los cuales ejercer tratamiento la sociedad.
Adicionalmente, la sociedad MERCADOLIBRE COLOMBIA LTDA, deberá implementar un mecanismo de monitoreo permanente respecto de la efectividad de las medidas adoptadas para dar cumplimiento a las anteriores órdenes. Para demostrar lo anterior, la sociedad MERCADOLIBRE COLOMBIA LTDA, deberá acreditar ante esta entidad y dentro del término de dos (2) meses contados a partir de la ejecutoria de la presente decisión una certificación de cumplimiento de las ordenes impartidas por esta entidad.
Dicha certificación debe ser remitida por el profesional encargado de implementar estas órdenes al interior de la empresa y por el Representante Legal de la misma. 11.1 Respecto de la Responsabilidad de los Administradores en materia de Datos Personales. El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”.
Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política. La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico.
Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y parta asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”. Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”.
Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa. En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo, tiene una función social que implica obligaciones”.
Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”. En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo debe ser respetuosa del bien común, si no que demanda el cumplimiento de obligaciones constitucionales y legales.
El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas. Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley.
Ahora bien, según el artículo 22 de la ley 222 de 1995 48 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”. Cualquiera de ellos tiene 48 Ley 222 de 1995 “Por la cual se modifica el Libro II del Código de Comercio, se expide un nuevo régimen de procesos concursales y se dictan otras disposiciones” “Por la cual se impone una sanción y se imparten órdenes” HOJA N 42, la obligación legal de garantizar los derechos de los titulares de los datos y de cumplir la ley 1581 de 2012 y cualquier otra norma.
Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen nombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”49 (Subrayado fuera del texto original) Nótese que el artículo 2450 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”.
Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal y como lo señala el precitado artículo 23. Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”51.
En este sentido, es de suma importancia resaltar la responsabilidad jurídica y económica, que radica no sólo en las personas jurídicas, sino también en cabeza de sus administradores, de suerte que este Despacho es enfático en aclarar que los mismos deben obrar con profesionalismo y diligencia en su gestión para tratamiento de datos personales.
En virtud de todo lo anterior, EXHORTAMOS al representante legal de la sociedad MERCADOLIBRE COLOMBIA LTDA para que adopte medidas pertinentes, útiles, efectivas y verificables con miras a: 1. Aplicar el principio de responsabilidad demostrada, con miras a garantizar frente a los titulares el derecho a conocer, actualizar y rectificar los datos que de ellos se esté realizando Tratamiento se encuentren debidamente documentadas observando las orientaciones de la principio de responsabilidad demostrada (accountability)”52. 2.
Evitar que se repitan hechos como los que dieron origen a la presente investigación. 3. Respetar y garantizar los derechos de los titulares de los datos. 4. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 5. Demostrar, en los casos que se requiera, que los procedimientos adecuados al interior de la entidad se apliquen en debida forma. 6.
Hacer efectivo el pleno respeto del derecho fundamental a la protección de datos de las personas.
DÉCIMO SEGUNDO: Imposición y graduación de la sanción 12.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: 49 Crf. Numeral 2 del artículo 23 de la ley 222 de 1995 50 El texto completo del artículo 24 de la 222 de 1995 dice lo siguiente: “Artículo
24. RESPONSABILIDAD DE LOS ADMINISTRADORES. El artículo 200 del Código de Comercio quedará así:
ARTICULO 200. Los administradores responderán solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros. No estarán sujetos a dicha responsabilidad, quienes no hayan tenido conocimiento de la acción u omisión o hayan votado en contra, siempre y cuando no la ejecuten. En los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos, se presumirá la culpa del administrador.
De igual manera se presumirá la culpa cuando los administradores hayan propuesto o ejecutado la decisión sobre distribución de utilidades en contravención a lo prescrito en el artículo 151 del Código de Comercio y demás normas sobre la materia. En estos casos el administrador responderá por las sumas dejadas de repartir o distribuidas en exceso y por los perjuicios a que haya lugar.
Si el administrador es persona jurídica, la responsabilidad respectiva será de ella y de quien actúe como su representante legal. Se tendrán por no escritas las cláusulas del contrato social que tiendan a absolver a los administradores de las responsabilidades ante dichas o a limitarlas al importe de las cauciones que hayan prestado para ejercer sus cargos. 51 Crf.
Parte inicial del artículo 24 de la ley 222 de 1995 52 El texto puede consultarse en: http://www.sic.gov.co/noticias/guia-para-la-implementacion-del-principio-de-responsabilidad-demostrada “Por la cual se impone una sanción y se imparten órdenes” HOJA N 43, "ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.
En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;”.
Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” (Subrayado fuera de texto).
El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional53. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.
En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994. En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT.
A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.
PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.
Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2022 53 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND.
HOJA N 44, “Por la cual se impone una sanción y se imparten órdenes” 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: “ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional54 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.
Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”55 Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad.
Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012. Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros56. 54 Artículo 29.
El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 55 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 56 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. “Por la cual se impone una sanción y se imparten órdenes” HOJA N 45, Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad.
Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, son una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012. Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros57.
La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.
Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.
La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”58.
Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia59. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2360 de la misma ley.
Asimismo, el artículo 19 de la Ley 1266 de 2008 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO
24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la 57 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;
Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 58 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 60Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;
Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;
PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” HOJA N 46, “Por la cual se impone una sanción y se imparten órdenes” e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 12.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.
Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.
Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “(…) En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.
Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad. (…)”61 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.
También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine quedó demostrado que sociedad MERCADOLIBRE COLOMBIA LTDA actuó negligentemente al no contar con las condiciones de seguridad necesarias para impedir la consulta, uso o acceso no autorizado o fraudulento de los datos personales de los Titulares, incumpliendo de esta forma con el deber establecido en el literal d) del artículo 17 de la Ley 1581 de 2012 así como lo establecido en el literal g) del artículo 4 de la precitada Ley.
Por tanto, se impondrá como sanción una multa, dentro del margen que otorga la Ley 1581 de 2012, entre 1 y 2000 salarios mínimos legales mensuales vigentes, correspondiente a CINCUENTA MILLONES CIENTO SESENTA Y CINCO MIL DOSCIENTOS OCHENTA PESOS/MCTE ($ 50.165.280) equivalente a MIL TRECIENTAS VEINTE (1.320) Unidades De Valor Tributario - UVT62 vigentes por el incumplimiento del deber establecido en literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015. 12.1.2 Otros criterios de graduación 61Corte Constitucional.
Sentencia C-125 de 2003. M.P: Marco Gerardo Monroy Cabra. FJ: 5. 62 Mediante la resolución 140 del 25 de noviembre de 2021, la Unidad Administrativa Especial Dirección de Impuestos y Aduanas Nacionales (DIAN), dio a conocer el valor de la UVT aplicable en 2022, la cual quedó en $38.004 “Por la cual se impone una sanción y se imparten órdenes” HOJA N 47, Por último, se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción (iii) no hubo desacato a cumplir las órdenes impartidas por la Superintendencia;
(iv) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia. 12.1.3 Reconocimiento de la infracción Será tenido en cuenta el criterio contenido en el literal f) del artículo 24 de la Ley 1581 de 2012 en la medida en que la sociedad realizó el reconocimiento expreso de la infracción. Por lo anterior, debido al reconocimiento expreso de la infracción por parte de la la sociedad MERCADOLIBRE COLOMBIA LTDA, este Despacho disminuirá la sanción en un valor equivalente a seiscientos sesenta (660 UVT), para un total de VEINTICINCO MILLONES OCHENTA Y DOS MIL SEISCIENTOS CUARENTA PESOS/MCTE ($ 25.082.640), equivalente a (660 UVT) Unidad de Valor Tributario.
DÉCIMO CUARTA: Que con el fin de garantizar los derechos fundamentales de contradicción de la sociedad MERCADOLIBRE COLOMBIA LTDA identificada con Nit. 830.067.394-6, esta Dirección ha concedido el acceso al presente Expediente digital, por intermedio del Representante legal y los Apoderados Especiales vinculados cada uno a los correos electrónicos de notificación judicial indicados (de acuerdo con lo establecido en el acápite de notificaciones de la presente Resolución).
Cada uno debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando el número de radicado del expediente, los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.
Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto este Despacho,
RESUELVE
ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad MERCADOLIBRE COLOMBIA LTDA, identificada con NIT 830.067.394-6, de VEINTICINCO MILLONES OCHENTA Y DOS MIL SEISCIENTOS CUARENTA PESOS/MCTE ($ 25.082.640), equivalente a (660 UVT) Unidad de Valor Tributario, por la violación a lo dispuesto en el literal d) del artículo 17 de la Ley 1581 de 2012 así como lo establecido en el literal g) del artículo 4 de la precitada Ley.
PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.
Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.
ARTÍCULO SEGUNDO: ORDENAR a la sociedad MERCADOLIBRE COLOMBIA LTDA, identificada con NIT 830.067.394-6, cumplir con las siguientes instrucciones: “Por la cual se impone una sanción y se imparten órdenes” HOJA N 48, La sociedad MERCADOLIBRE COLOMBIA LTDA deberá realizar un curso de formación en Datos Personales con énfasis en la detección, mitigación, tratamiento y prevención de los riesgos de seguridad. Como resultado de la orden inmediatamente anterior la sociedad MERCADOLIBRE COLOMBIA LTDA deberá documentar el ciclo de capacitaciones periódicas que se realicen, según criterio de la empresa, y cuyo objetivo es generar una mayor sensibilización sobre el tipo de datos sobre los cuales ejercer tratamiento la sociedad.
Adicionalmente, la sociedad MERCADOLIBRE COLOMBIA LTDA, deberá implementar un mecanismo de monitoreo permanente respecto de la efectividad de las medidas adoptadas para dar cumplimiento a las anteriores órdenes. Para demostrar lo anterior, la sociedad MERCADOLIBRE COLOMBIA LTDA, deberá acreditar ante esta entidad dentro del término de dos (2) meses contados a partir de la ejecutoria de la presente decisión una certificación de cumplimiento de las ordenes impartidas por esta entidad.
Dicha certificación debe ser remitida por el profesional encargado de implementar estas órdenes al interior de la organización y por el Representante legal de la misma.
PARÁGRAFO PRIMERO: La sociedad MERCADOLIBRE COLOMBIA LTDA, identificada con NIT 830.067.394-6, deberá acreditar el cumplimiento de lo ordenado en el presente artículo ante esta Superintendencia dentro de los cinco (5) días hábiles siguientes a la expiración del plazo previsto para su acatamiento.
PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad MERCADOLIBRE COLOMBIA LTDA, identificada con NIT 830.067.394-6, acreedora de las sanciones previstas en la ley.
ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad MERCADOLIBRE COLOMBIA LTDA, identificada con NIT 830.067.394-6, a través de su representante legal y apoderados especiales, entregándoles copia de esta Resolución e informándoles que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a su notificación.
ARTÍCULO CUARTO: COMUNICAR al denunciante el contenido de la presente decisión.
ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Alterna: Carrera 7 No. 31 - 36 Piso 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m
NOTIFÍQUESE,
COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 25 JULIO 2022 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUNOZ SALAZAR MUNOZ Fecha: 2022.07.25 10:40:20 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LCAF Revisó: SRB Aprobó: CESM “Por la cual se impone una sanción y se imparten órdenes” NOTIFICACIÓN: Investigada: MERCADOLIBRE COLOMBIA LTDA Identificación: N.I.T. 830.067.394-6 Representante Legal: XXX.XXXXXX XXXXX XXXXX XXXXXXXXXX Identificación: xxxxxxXXxxxx.
Dirección: Cra 17 no. 93 - 09 Pi 3 Correo electrónico: notijudicialmco@mercadolibre.com.co Ciudad: Bogotá D.C. Apoderado: Identificación: Dirección: Correo electrónico: Ciudad: XXX.XXXXXX XXXXXXX XXXXX XXXXX C.C. xxxxxxxxx XXX.XXXXXX XXXXX XXX XXX XXX.XXXXXXXXX XXXXX xxxxxxxxxx. Apoderada: Identificación: Dirección: Correo electrónico: Ciudad: XXX.XXXXXX XXXXX XXXXX XXXXX C.C. xxxxxxxxxxXXX.
XXX.XXXXXX XXXXX XXX XXX XXX.XXXXXX XXXXX XXXXX XXXXX xxxxxxxxxx. COMUNICACIÓN: Señor: Correo electrónico: Xxxx. Xxx Xxxx. xxxxxxxxxxXxxxxx HOJA N 49,