Sanción 24761 de 2025 — SIC

(19 de junio de 2025) “Por la cual se impone una sanción administrativa” Radicación 22-402342 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022 y,

CONSIDERANDO

PRIMERO: Que, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1266 de 2008 por parte de la sociedad RAPPI S.A.S., identificada con Nit 900.843.898-9, por lo que decidió iniciar investigación administrativa con base en la remisión por competencia realizada por la Superintendencia Financiera en fecha 5 de octubre de 2022.

En ella, la señora xxxxxxxxxxxxxxxxxxx señaló que bajo la razón social Rappipay se realizó una consulta no autorizada a su historial de crédito, el día 05 de septiembre de 2022, pese a haber solicitado la terminación de los servicios con las sociedades RAPPI S.A.S. y RAPPIPAY COMPAÑÍA DE FINANCIAMIENTO S.A., y se le expidiera el respectivo paz y salvo.

SEGUNDO: Que, dentro de la actuación administrativa adelantada por el Grupo de Trabajo de Investigaciones Administrativas, se recolectaron los elementos materiales de prueba que se enlistan a continuación: 2.1 Requerimiento de información remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas al operador EXPERIAN COLOMBIA S.A., administrador de la plataforma midatacredito, radicado bajo el número 22302432-12 del 12 de julio de 2023. 2.2.

Respuesta al requerimiento de información entregada por el operador EXPERIAN COLOMBIA S.A., radicada bajo el número 22-402342-15 del 16 de agosto de 2023. 2.3. Requerimiento de información remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad RAPPI S.A.S., radicada bajo el número 22-402342-16 del 05 de octubre de 2023. 2.4 Respuesta al requerimiento de información entregada por la sociedad RAPPI S.A.S., radicada bajo el número 22-402342-18 del 23 de octubre de 2023.

TERCERO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas en la etapa preliminar de esta investigación, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales, mediante Resolución 24761 del 20 de mayo de 2024 se le formuló “Por la cual se impone una sanción administrativa”. el cargo único a la sociedad RAPPI S.A.S., por la presunta contravención de lo dispuesto en el numeral 1) del artículo 9 en concordancia con el literal d) del artículo 4 y el artículo 15 de la Ley 1266 de 2008.

Que la mencionada resolución le fue notificada a la sociedad investigada mediante Aviso 8755 del 29 de mayo del 2024, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia obrante bajo el radicado 22-402342-28 del 04 de junio de 2024.

CUARTO: Que, la sociedad RAPPI S.A.S, por medio de su apoderado especial, Doctor Alejandro Acevedo Escallón, presentó escrito de descargos, obrante bajo el radicado 22-402342-29 del 20 de junio del 2024 a través de los cuales expresó, entre otras cosas, lo siguiente: 4.1. Inicialmente, solicita que la información contenida en sus descargos, así como en sus anexos sea tratada con el máximo grado de confidencialidad, y que se restrinja el acceso y consulta de esta información por parte de terceros. 4.2.

A continuación, realiza un breve recuento de los antecedentes procesales de la presente actuación administrativa. Así mismo, se refiere a la formulación de cargos, señalando que “En el presente caso, la realidad procesal es que la imputación jurídica de esta Dirección hacia Rappi no respeta los criterios básicos antes mencionados, por las siguientes razones: Ausencia de claridad de la imputación: No son claras las razones por las cuales Rappi fue vinculado a este proceso: En el numeral tercero de la Resolución, la SIC argumenta que, con ocasión de la información recaudada en la etapa de averiguación preliminar, determinó que Rappi habría, presuntamente, infringido el numeral 1) del artículo 9 de la Ley 1266 de 20082; el artículo 15 del mismo estatuto3; y el literal d) del artículo 4 de la misma norma4.

No obstante, cuando se detiene a “sustentar” los motivos de la imputación, inicia su argumentación señalando que los hechos son atribuibles a “una persona jurídica bajo la razón social “RAPPIPAY” (…)”. De entrada, se observa, que esta Dirección desconoce que Rappi y “Rappipay” son razones sociales que corresponden a personas jurídicas diferentes.

Esto implica necesariamente que los cargos no sean claros por cuanto, de forma indistinta, la Dirección se refiere a una sociedad u otra, así como a información que pertenece a una sociedad u otra, para cuestionar exclusivamente a Rappi. De ahí que resulte necesario, previo a continuar con este procedimiento, que la SIC tenga claridad sobre las diferencias existentes entre Rappi y las sociedades Holding Rappipay S.A.S. y Rappipay Compañía de Financiamiento S.A.: 1.

Rappi S.A.S., es una sociedad cuyo objeto social comprende las actividades de desarrollo de sistemas informáticos (planificación, análisis, diseño, programación y pruebas), otras actividades de tecnologías de la información y actividades de servicios informáticos, portales web y actividades de administración. Es necesario aclarar que Rappi, es única y exclusivamente una empresa de tecnología que opera y administra una plataforma virtual que funciona como portal de contacto, compuesta por una aplicación para dispositivos móviles y una página web (en adelante “Plataforma Rappi”), por medio de la cual se conectan tres (3) tipos de usuarios: (i) aliados comerciales, que exhiben, ofrecen y comercializan sus productos en la Plataforma Rappi para que éstos sean adquiridos por los usuarios/consumidores por medio de ésta (en adelantes “Aliados Comerciales”);

(ii) usuarios/consumidores, quienes adquieren productos y/o servicios comercializados por los Aliados Comerciales a través de la Plataforma Rappi (en adelante Usuarios/Consumidores); y (iii) repartidores independientes, quienes, de manera libre y voluntaria, en calidad de mandatarios independientes de los Usuarios/Consumidores, aceptan y gestionan las órdenes solicitadas por los Usuarios/Consumidores por medio de la Plataforma Rappi (en adelante “Repartidores Independientes”).

“Por la cual se impone una sanción administrativa”. 2. Holding Rappipay S.A.S. (en adelante “RappiPay”) es la sociedad comercial que inicialmente ofreció al mercado el producto “RappiCard” y quien, con independencia jurídica y administrativa de Rappi, era responsable ante sus consumidores –los de RappiPay–, por dicho producto. En efecto, entre RappiPay y Rappi existió una alianza comercial para el uso de la Plataforma Rappi como el espacio al que concurrirían los usuarios de uno y de otro, sin que de ello se pueda derivar una confusión entre dos personas jurídicas completamente distintas.

Tan distintas son estas sociedades que, como prueba de ello, obra en el expediente de este procedimiento un documento que certifica el mandato con el que obró Rappi en representación de RappiPay para la realización de ciertos actos. Ello es prueba de la evidente separación jurídica que existe entre una y otra sociedad, sin perjuicio de los convenios que comercialmente puedan existir entre Rappi y RappiPay para la mejor prestación de sus servicios en el mercado. 3.

RappiPay Compañía de Financiamiento S.A. es una entidad financiera que no tiene relación alguna con los hechos que aquí se investigan. En efecto, la SIC parece confundir a RappiPay con RappiPay Compañía de Financiamiento S.A., situación que es altamente cuestionable de cara a la imputación de los cargos que estructuró en la Resolución, los cuales deben ser personales”. 4.3 En el mismo sentido, propone que “(…) habiendo establecido las evidentes diferencias entre Rappi, RappiPay y RappiPay Compañía de Financiamiento S.A., resulta necesario hacer énfasis en que aun cuando la voluntad de la SIC fuese dirigir contra Rappi los cargos (lo cual, de nuevo, no es claro), debemos anotar que mi poderdante, para efectos de los hechos anotados en la denuncia, no actuó a nombre propio.

Rappi, realizó la consulta de información crediticia del 5 de septiembre de 2022, que esta Dirección reprocha, a nombre y por cuenta de un tercero. Como se podrá observar, Rappi es titular de un usuario de consulta ante la central de riesgos Experian Colombia S.A., por lo que realiza consultas de información financiera a título personal respecto de sus usuarios; pero también en calidad de mandatario de RappiPay S.A.S. respecto de los usuarios de esta última (Anexo No. 3).

En el caso concreto, y como le fue informado por mi representada a esta Dirección desde el pasado 23 de octubre de 2023, tanto Rappi como RappiPay obtuvieron, el día 18 de noviembre de 2021, una autorización por parte de la denunciante para consultar su información financiera a través de su inscripción en la lista de espera para acceder al producto denominado “RappiCard”, ofrecido en su momento por la sociedad RappiPay; lo que implicaba la exteriorización de un consentimiento, informado y claro, acerca de las finalidades para las que se trataría la información recabada, a la luz de la política de tratamiento de datos de ambas compañías y en virtud de lo cual su solicitud para el otorgamiento de producto fue aprobada por parte de RappiPay el 8 de febrero de 2022, hecho que se recalca también en la Resolución. En efecto, las consultas realizadas en las fechas citadas en la Resolución, no se dieron en el marco de una actividad corporativa propia de Rappi, sino obrando como mandataria de RappiPay en virtud del mandato con representación otorgado por esta última a mi representada.

Bajo esa óptica, y según la regla del derecho civil sobre la representación, los actos realizados por el mandatario (Rappi), se entienden propios del mandante (RappiPay). De otra manera, la imputación de esta Delegatura no es clara en cuanto a la vinculación de Rappi, por cuanto el supuesto hecho infractor no le es atribuible, al haberse generado en el marco de un mandato.

La confusión se hace aún más palpable, en cuanto la SIC analiza indistintamente la política de tratamiento de datos personales respecto de Rappi y de RappiPay y aún, de RappiPay Compañía de Financiamiento S.A., como si de alguna manera los hechos de terceros pudiesen generar prueba alguna de la conducta de mi representada. “Por la cual se impone una sanción administrativa”. 4.4 De otra parte, sostiene que “El derecho de defensa no puede ejercerse de manera plena si el investigado no cuenta con la certeza sobre cuáles serán las conductas de hecho y los supuestos de derecho que la autoridad investigadora analizará a la hora de estudiar su presunta responsabilidad por infracción a las normas de un régimen específico.

En el caso que nos ocupa, la imputación por parte de la SIC es inadecuada, no fue puntual y rigurosa en explicar cómo los “hechos” presuntos encajan en los supuestos normativos que motivan la formulación de cargos. No se evidencia dentro de la Resolución, una argumentación mínima sobre cómo los “hechos” narrados por la SIC se subsumen en el presupuesto del literal d) del artículo 4 de la Ley 1266 de 2008: la SIC no indica cómo es que Rappi, suministró la información de la señora xxxxxxxxx a terceros, ni cómo la información que reposaba en las bases de datos de Rappi había dejado de servir para la finalidad del banco de datos.

Parece ser, por el contrario, que la Dirección confunde el ámbito de aplicación de esta norma base de su imputación. Bajo esta óptica, viola el derecho al debido proceso de Rappi el hecho de que esta Delegatura no haya sustentado de forma precisa y dedicada cada una de las normas que alega presuntamente infringidas por Rappi. No es posible para esta compañía presentar una defensa formal y de fondo, contra imputaciones que no tienen un sustento fáctico preciso”. 4.5 Igualmente, manifiesta lo siguiente “(…) lo cierto es que no se configuran los supuestos de hecho de la misma por cuanto no fue Rappi quien, a título personal, desplegó la conducta investigada (circunstancia que la Dirección tenía clara desde las diligencias preliminares).

De igual manera, en la medida en que la imputación sobre la presunta infracción del literal d) del artículo 4 de la misma norma, no fue sustentada, tampoco se cumple el requisito de integralidad en la imputación. (…) Como se observa, es evidente que ningún reproche sobre los “hechos” objeto de esta imputación resulta procedente en contra de Rappi, pues, en primer lugar, la conducta cuestionada no fue realizada a nombre y en beneficio propio sino en virtud de un mandato con representación en virtud del cual, aun cuando Rappi hubiera materializado la conducta, la misma se entendió jurídicamente vinculante respecto de un tercero (mandante) que, aunque acreditado en las diligencias preliminares, no fue vinculado a este proceso.

Recordemos que el mandato comercial es un contrato regulado en el artículo 1262 del Código de Comercio y en función del cual, una parte se obliga a celebrar o ejecutar uno o más actos de comercio por cuenta de otra. Por su parte, “El mandato puede conllevar o no la representación del mandante”. Ahora bien, como el estatuto mercantil en cuestión no define expresamente lo que se entiende por “representación”, por aplicación del artículo 822 del estatuto comercial6, la representación debe conceptualizarse en los términos del artículo 1505 del Código Civil: “Lo que una persona ejecuta a nombre de otra, estando facultada por ella o por la ley para representarla, produce respecto del representado iguales efectos que si hubiese contratado él mismo.” (Subrayas y negrilla fuera del texto original). 4.6 De otra parte, propone como argumentos de fondo que “es posible concluir que RappiPay sí contaba con la autorización previa, expresa e informada de la titular para consultar su historial crediticio, en estricto cumplimiento de los artículos 5 y 6 de la Ley 1266 de 2008 y los principios rectores del tratamiento de datos personales consagrados en la Ley 1581 de 2012.

“Por la cual se impone una sanción administrativa”. (…) La SIC sustenta el cargo imputado en una interpretación restrictiva y descontextualizada del artículo 15 de la Ley 1266 de 2008, desconociendo que la consulta realizada por Rappi el 5 de septiembre de 2022, en su calidad de mandatario de RappiPay, se ajustó a las finalidades legítimas previstas en dicha norma, así como a la autorización expresa otorgada por la titular, a pesar de que para ese momento la relación contractual específica de la tarjeta como medio de pago hubiese finalizado.

Es importante resaltar que el artículo 15 de la Ley 1266 de 2008 no limita la posibilidad de consultar la información crediticia a la vigencia de una relación contractual específica. Por el contrario, la norma establece un espectro más amplio de finalidades legítimas, dentro de las cuales se encuentra la evaluación de riesgos y el análisis para el otorgamiento de productos financieros”. 4.7 De ese modo, señala que “En la práctica comercial y financiera es usual que las entidades consulten la información crediticia de los potenciales clientes antes de siquiera celebrar un contrato con ellos y, aun, después de finalizada la relación (por ejemplo, ante un incumplimiento).

Esta práctica se fundamenta en la necesidad de evaluar los riesgos y la capacidad de pago del futuro contratante, como un mecanismo de protección y de gestión responsable del crédito, y de una generación de información confiable y certera. Si la interpretación de la SIC fuera acertada, implicaría que las consultas a las centrales de riesgo solo podrían realizarse durante la vigencia activa de un contrato específico, lo cual no solo desconoce la realidad del tráfico mercantil, sino que además privaría a las entidades de una herramienta fundamental para la adecuada evaluación y gestión de los riesgos crediticios.

En el caso concreto, si bien es cierto que el vínculo contractual puntual entre la denunciante y RappiPay, en torno a la tarjeta "RappiCard" finalizó el 7 de julio de 2022, esto no implica que haya desaparecido todo nexo jurídico entre RappiPay y la titular. La relación contractual subyacente, derivada del carácter de cliente y usuario de los servicios financieros de RappiPay, se extiende más allá de la vigencia de un producto específico.

Esto se ve reforzado por la naturaleza compleja y de tracto sucesivo propia de los contratos financieros. La terminación del contrato de crédito no extingue automáticamente las obligaciones, derechos y expectativas legítimas que surgen entre la entidad y el tarjetahabiente. Por el contrario, estos vínculos se proyectan en el tiempo, justificando la necesidad de una gestión continua del riesgo crediticio.

En este contexto, la consulta realizada por Rappi en nombre de RappiPay, con el objetivo de evaluar la viabilidad de otorgar nuevos productos o servicios financieros a la titular, se enmarca legítimamente en la órbita de la gestión de riesgos derivados de la relación contractual preexistente. El análisis del perfil crediticio del cliente es un elemento esencial para la toma de decisiones responsables en materia de financiación, y encuentra pleno respaldo en la previsión legal del artículo 15 de la Ley 1266 de 2008”. 4.8 Finalmente, expresa que “Si bien es cierto que la relación contractual específica derivada de la tarjeta "RappiCard" como medio de pago finalizó el 7 de julio de 2022, esto no implicó la extinción absoluta de todo vínculo jurídico entre la Denunciante y Rappi.

Por el contrario, subsistía para el 5 de septiembre de 2022 (y subsiste aún) una relación contractual activa entre la denunciante y Rappi, emanada de la aceptación y uso de la aplicación móvil de Rappi. En efecto, la señora xxxxxxx se registró como usuaria de la plataforma de Rappi el 14 de septiembre de 2018, aceptando los Términos y Condiciones de uso del servicio (Anexo No. 6).

Este documento, establece en su cláusula 5.2 que "el “Por la cual se impone una sanción administrativa”. presente acuerdo tendrá una duración indefinida, sin perjuicio de la facultad de las partes de terminarlo unilateralmente en cualquier momento". 4.9. Así mismo, aporta las pruebas que pretende hacer valer en el expediente y sus datos de notificación. QUINTO Que mediante Resolución 66432 del 31 de octubre de 2024, este Despacho procedió a incorporar las pruebas obrantes en el expediente, declaró agotada la etapa probatoria y le corrió traslado a la sociedad RAPPI S.A.S. para que, de encontrarlo procedente, presentara los respectivos alegatos de conclusión. Así las cosas, las pruebas incorporadas son las siguientes: 5.1.

Pruebas recaudadas por esta Dirección: 5.1.1 Copia de la denuncia, junto con sus respectivos anexos, en contra de la sociedad investigada, obrante bajo los radicados 22-402342, consecutivos 0 y 1 del 11 de octubre de 2022. 5.1.2 Requerimiento de información remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad RAPPIPAY COMPAÑÍA DE FINANCIAMIENTO S.A., obrante bajo el radicado 22- 402342-4 del 23 de noviembre de 2022. 5.1.3 Requerimiento de información remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas al operador EXPERIAN COLOMBIA S.A., administrador de la plataforma midatacredito, radicado bajo el número 22302432-5 del 23 de noviembre de 2022. 5.1.4 Requerimiento de información remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas al operador CIFIN S.A.S., radicado bajo el número 22-302432-6 del 23 de noviembre de 2022. 5.1.5 Respuesta al requerimiento de información entregada por el operador EXPERIAN COLOMBIA S.A., radicada bajo el número 22-402342-7 del 09 de diciembre de 2022. 5.1.6 Respuesta al requerimiento de información entregada por el operador CIFIN S.A.S. radicada bajo el número 22-402342-8 del 12 de diciembre de 2022. 5.1.7 Respuesta al requerimiento de información entregada por la sociedad RAPPIPAY COMPAÑÍA DE FINANCIAMIENTO S.A., radicada bajo los números 22402342 consecutivos 9 y 10 del 14 de diciembre de 2022. 5.1.8 Requerimiento de información remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas al operador EXPERIAN COLOMBIA S.A., administrador de la plataforma midatacredito, radicado bajo el número 22302432-12 del 12 de julio de 2023. 5.1.9 Respuesta al requerimiento de información entregada por el operador EXPERIAN COLOMBIA S.A., radicada bajo el número 22-402342-14 del 03 de agosto de 2023. 5.1.10 Respuesta al requerimiento de información entregada por el operador EXPERIAN COLOMBIA S.A., radicada bajo el número 22-402342-15 del 16 de agosto de 2023. 5.1.11 Requerimiento de información remitido por la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad RAPPI S.A.S., radicada bajo el número 22-402342-16 del 05 de octubre de 2023.

“Por la cual se impone una sanción administrativa”. 5.1.12 Respuesta al requerimiento de información entregada por la sociedad RAPPI S.A.S., radicada bajo el número 22-402342-18 del 23 de octubre de 2023. 5.2 Pruebas aportadas por la sociedad investigada 5.2.1 Pruebas al interior del escrito de descargos 5.2.1.1 Extracto de certificación, obrante a folio 6. 4.2.1.2 Imagen del proceso “pide tu Rappicard aquí”, obrante a folio 8. 5.2.1.2 Imagen de la plataforma de la sociedad investigada, obrante a folio 13. 5.2.2 Pruebas aportadas junto con el escrito de descargos 5.2.2.1 Certificación expedida por Eduardo Carlos Sanmiguel, en calidad de Representante Legal Suplente de Holding Rappipay S.A.S. 5.2.2.2 Imagen del proceso “pide tu Rappicard aquí”. 5.2.2.3 Copia del modelo de contrato de crédito rotativo Rappicard. 5.2.2.4 Imágenes de la plataforma de la sociedad investigada, asociadas a la denunciante.

La mencionada resolución le fue comunicada a la sociedad investigada el día 31 de octubre de 2024, de conformidad con la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, obrante bajo el radicado 22-402342-33 del 05 de noviembre de 2024.

SEXTO: Que, por intermedio de apoderado, la sociedad RAPPI S.A.S presentó alegatos de conclusión bajo el radicado 22-402342-34 de fecha 18 de noviembre de 2024, dentro de la cual señala los mismos argumentos que en el escrito de descargos y agrega que “el expediente digital no se encuentra disponible para su consulta”1.

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 17 de la Ley 1266 de 2008, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

OCTAVO: Análisis del caso 8.1 Adecuación típica La Corte Constitucional mediante sentencia C-1011 de 20082, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) la jurisprudencia[206] ha estimado que para que pueda predicarse el cumplimiento del contenido del principio de tipicidad en el derecho administrativo sancionador, deben concurrir tres elementos, a saber: (i) Que la conducta sancionable esté descrita de manera específica y precisa, bien porque la misma esté determinada en el mismo cuerpo normativo o sea determinable[207] a partir de la aplicación de otras normas jurídicas;

(ii) Que exista una sanción cuyo contenido material esté definido en la ley; (iii) Que exista correlación entre la conducta y la sanción. Sin perjuicio de lo anterior, se reitera que ´las conductas o comportamientos que constituyen falta administrativa no tienen por qué ser descritos con la misma minuciosidad y detalle que se exige en materia penal, permitiendo Radicado 22-402342-34, pág. 3, folio 8 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008.

M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación. “Por la cual se impone una sanción administrativa”. así una mayor flexibilidad en la adecuación típica´.[208] En ocasiones, los elementos enunciados no se encuentran previstos en el mismo instrumento normativo, sino que es preciso consultar el contenido de otras disposiciones para especificar cuál es la conducta ordenada o prohibida o cual es la sanción específica aplicable.

(…) Atendiendo a los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 9 de la Ley 1266 de 2008 establece los deberes que les asisten a los usuarios de información respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 18 de la Ley 1266 de 2008.

(ii) De conformidad con los hechos alegados por la reclamante, las alegaciones realizadas por la sociedad investigada y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración a las disposiciones contempladas en el numeral 1) del artículo 9 en concordancia con el literal d) del artículo 4 y el artículo 15 de la Ley 1266 de 2008.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por la denunciante, los argumentos de hechos y de derecho esgrimidos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente. 8.2 Valoración probatoria y conclusiones 8.2.1.

Consideraciones preliminares 8.2.1.1 De manera previa al estudio del cargo, es pertinente estudiar los argumentos de forma planteados por parte de la sociedad RAPPI S.A.S. En cuanto a este acápite, la sociedad señala que las conductas contempladas en la Resolución 24761 del 20 de mayo del 2024 obedecen a una indebida formulación de cargos, soportándose en el concepto de imputación válida en materia sancionatoria.

Sobre el particular, es oportuno recordar que la actuación administrativa de carácter sancionatorio adelantada por esta Dirección tiene como fundamento procedimental el contemplado por los artículos 47 y siguientes del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, Ley 1437 de 2011, el cual establece los requisitos que debe cumplir el acto de formulación de cargos, por medio del cual se da apertura formal a la respectiva investigación, a saber: “(…) los hechos que lo originan, las personas naturales o jurídicas objeto de la investigación, las disposiciones presuntamente vulneradas y las sanciones o medidas que serían procedentes” En ese contexto, es claro que la Resolución 24761 de 2024 se ajustó a los lineamientos arriba citados, pudiéndose apreciar en el numeral TERCERO del mencionado acto administrativo, la relación detallada de los hechos que originan la investigación, la identificación plena de la persona jurídica sobre quien esta recae, así como las normas presuntamente trasgredidas.

A su turno, el artículo CUARTO ídem señala cuáles son las sanciones a imponer en el evento en que se encuentre acreditada la conducta objeto de reproche. Conforme a lo anterior, en consideración del Despacho no existen los vicios aludidos por el apoderado de la sociedad investigada, en la medida en que, se reitera, el acto fue proferido de acuerdo con las formas especiales previstas por el legislador en la norma aplicable.

En tal sentido, los criterios a que se hace referencia en el escrito de descargos, basados en algunos pronunciamientos del “Por la cual se impone una sanción administrativa”. Consejo de Estado, no poseen un carácter vinculante y por tanto decisivo en relación con el contenido del acto de formulación de cargos. Ahora bien, solo en gracia de discusión conviene recordar lo siguiente frente al planteamiento de la defensa: En primer lugar, la providencia citada en los descargos está dirigida a actuaciones propias del procedimiento disciplinario adelantado por la Procuraduría General de la Nación; es decir, que dicha sentencia se aplica a la conducta de funcionarios y servidores públicos que han vulnerado las leyes propias del servicio público.

Por otro lado, el derecho sancionatorio que aplica esta Delegatura se aplica a todos los sujetos que realicen tratamiento de datos personales y que, como resultado de las actuaciones preliminares, se establezca una posible violación de dichas normas. En segundo lugar, la finalidad que persigue el derecho sancionador de carácter disciplinario es mantener el orden del sistema estatal, la conducta de los funcionarios públicos y reprimir conductas contrarias a las políticas del ente estatal.

Por su parte, la finalidad del derecho sancionatorio que aplica esta Delegatura es velar por un debido tratamiento de los datos personales sobre los que se realice cualquier actividad relativa a recolección, almacenamiento, uso, circulación o supresión de datos e información de carácter personal, y en este caso particular, en relación con la información financiera y crediticia, comercial, de servicios y la proveniente de terceros países.

Por último, la consecuencia del derecho sancionador de carácter disciplinario es la suspensión del cargo o destitución dependiendo de la gravedad de la conducta en cuyo caso deben concurrir otros elementos de tipicidad. Por el contrario, la finalidad del derecho sancionatorio que aplica esta Delegatura es la mencionada en la normativa aplicable de datos personales, para este caso particular, las sanciones establecidas por el artículo 18 de la Ley 1266 del 2008. 8.2.1.2 Finalmente, se observa el argumento propuesto por el representante de la investigada orientado a descalificar la tipicidad de la conducta por cuanto asegura, no es claro contra quién va dirigida la acción investigadora de esta Superintendencia, en tanto que se desconoce el mandato existente entre RAPPIPAY y RAPPI S.A.S. Sin embargo, esta tesis no es de recibo toda vez que tal como se puede constatar en el folio 6 de la formulación de cargos, conforme a las pruebas recolectadas en el curso de las indagaciones previas se estableció que el acceso a la información financiera de la denunciante fue llevado a cabo por RAPPI S.A.S., dejándose señalado con total precisión que era esta sociedad quien debía acreditar contar con la autorización otorgada para el efecto por la Titular, o la configuración de una de las finalidades legítimas previstas en la norma de protección de datos personales. 8.2.2.

Respecto del deber de utilizar la información únicamente para los fines para los que le fue entregada La Ley 1266 de 2008, en su artículo 9 señala los deberes de los usuarios de la información. En dicho artículo se establece que los usuarios deben utilizar la información únicamente para los fines para los que le fue entregada. Lo anterior, en concordancia con el artículo 15 de la misma normatividad que determina que el acceso a la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países solo podrá ser accedida por parte de los usuarios: “[como elemento de análisis para establecer y mantener una relación contractual, cualquiera que sea su naturaleza, así como para la evaluación de los riesgos derivados de una relación contractual vigente.

Como elemento de análisis para hacer estudios de mercado o investigaciones comerciales o estadísticas. Para el adelantamiento de cualquier trámite ante una autoridad pública o una persona privada, respecto del cual dicha “Por la cual se impone una sanción administrativa”. información resulte pertinente. Para cualquier otra finalidad, diferente de las anteriores, respecto de la cual y en forma general o para cada caso particular se haya obtenido autorización por parte del titular de la información.” En tal sentido, esta Dirección encontró preliminarmente que la sociedad RAPPI S.A.S accedió a la información financiera de la titular sin acreditar alguna de las finalidades señaladas en la norma, o con la autorización previa para ese fin.

Lo anterior, con fundamento en los hechos expuestos en la denuncia, donde se encontró que tanto la sociedad RAPPI S.A.S. como RappiPay obtuvieron, el día 18 de noviembre de 2021, una autorización por parte de la Titular para consultar su información financiera a través de su inscripción en la lista de espera para acceder al producto denominado “RappiCard”, ofrecido en su momento por la sociedad RappiPay.

Así las cosas, revisado el material probatorio, se encuentra que: En la queja, la denunciante expuso que, a través de la plataforma “Midatacredito” tuvo conocimiento de la consulta efectuada por una persona jurídica bajo la razón social “RAPPIPAY” a su historia crediticia, el día 05 de septiembre de 2022, la cual fue llevada a cabo sin su consentimiento, como se aprecia a continuación: Adicionalmente, aportó constancia de terminación de los productos con las sociedades RAPPI S.A.S. y RAPPIPAY, mediante la expedición del respectivo paz y salvo.

Así las cosas, con el propósito de obtener mayores elementos probatorios, se requirió al operador de información EXPERIAN COLOMBIA S.A., en su calidad de administrador de la plataforma “Midatacredito”3, con el propósito de que suministrara los datos de identificación del Usuario que accedió a la información financiera de la denunciante. Al respecto, el mencionado operador informó a este Despacho que “(…) la consulta identificada con el nombre corto RAPPIPAY efectuada el 05 de septiembre de 2022 al historial crediticio del titular xxxxxxxxxxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía No, xxxxxxxxxxxxx, se llevó a cabo por la sociedad RAPPI SAS identificada con el Nit 900843898”4.

En ese sentido, también fue requerida5 la sociedad RAPPI S.A.S con el fin de que informara si (i) cuenta con la autorización de la señora xxxxxxxxxxxxxxxxxxxxxxx para realizar consultas en su historia de crédito ante operadores de información; (ii) la finalidad de la consulta realizada el día 5 de Actuación radicada bajo el número 22-402342-12 del 12 de julio de 2023 Actuación radicada bajo el número 22-402342-15 del 16 de agosto de 2023 Actuación radicada bajo el número 22-402342-16 del 05 de octubre de 2023 “Por la cual se impone una sanción administrativa”. septiembre del 2022 en la historia de crédito de la Titular;

(iii) y manifestara si ha tenido una relación contractual o comercial con la denunciante. En su respuesta6 la sociedad investigada expuso una postura que a la postre ratificó en el escrito de descargos, manifestando lo que, a continuación se cita: “(…) Respecto de la consulta del historial crediticio de la Titular, es preciso indicar que las sociedades Rappi y Holding Rappipay S.A.S. – identificada con sus siglas Rappipay S.A.S. (en adelante “Rappipay”), cuentan con la autorización de la Titular para consultar su historial crediticio.

En el caso en concreto, el día 18 de noviembre de 2021, las sociedades Rappi y Rappipay obtuvieron la autorización de la Titular de forma electrónica, específicamente a través del registro en la lista de espera para la solicitud de la tarjeta “RappiCard”. Lo anterior, toda vez que cualquier usuario que quiera acceder a la “RappiCard” debe inscribirse en la lista de espera de Rappipay, autorizando a Rappipay y a Rappi para consultar su información financiera, comportamiento crediticio y comercial, conforme a la Política de tratamiento de datos personales, y aceptando los términos y condiciones para realizar la solicitud de la “RappiCard”, como consta en la siguiente imagen Por lo anterior, es preciso indicar que Rappi en nombre de Rappipay realizó la consulta del historial crediticio de la Titular en las centrales de riesgo para determinar la posibilidad de aprobación de la “RappiCard”, de conformidad con la finalidad establecida en el artículo 15 de la Ley 1266 de 2008.

Lo anterior, en virtud de la existencia de un mandato entre ambas sociedades, a partir del cual Rappi en calidad de mandatario de Rappipay realice consultas en la base de datos de Experian Colombia S.A.S. (“Datacrédito").” En adición a ello, el apoderado de la sociedad RAPPI S.A.S. aseguró en sus descargos que “Es crucial destacar que la autorización se extendía expresamente otorgada, sin que estuviese atada a la vigencia de una relación contractual con Rappi o RappiPay, siendo posible materializar las consultas antes, durante y, aun, con posterioridad a la misma según los términos legales, evidenciando que el consentimiento no se limitaba a que existiera un contrato o la contratación de un servicio.

Adicionalmente, es importante mencionar que en el proceso de otorgamiento del producto realizado por la señora xxxxxxxxx, el día 8 de febrero de 2022, también otorgó su autorización a RappiPay para acceder a su información crediticia. Asimismo, no existe en el expediente evidencia alguna de que la autorización hubiera sido revocada por la titular en ejercicio de su derecho consagrado en el artículo 8 de la Ley 1581 de 2012”.

(…) Respuesta obrante bajo el radicado 22-402342-18 del 24 de octubre de 2023. “Por la cual se impone una sanción administrativa”. En este sentido, se puede evidenciar que las pruebas aportadas desvirtúan la presunta falta de autorización contenida en la formulación de cargos. Resulta indiscutible que Rappi y RappiPay contaban con plena legitimidad para acceder a la información crediticia de la señora xxxxxxxxx, al haber obtenido su consentimiento expreso, previo e informado, en estricto apego a los artículos 5 y 6 de la Ley 1266 de 2008, consentimiento que se mantuvo incólume y vigente para la fecha de la consulta.

En todo momento, la actuación de las investigadas se ajustó a los lineamientos legales sobre tratamiento de datos personales”. Frente a lo descrito, es pertinente destacar varios aspectos importantes de cara al estudio de los hechos materia de investigación, así: En primer lugar, es imperioso señalar que, de acuerdo con las piezas probatorias aportadas, y con lo descrito tanto por la investigada como por la denunciante, esta última otorgó su autorización para la consulta de su información financiera con el propósito de que las sociedades RAPPI S.A.S. y RAPPIPAY S.A.S. pudieran establecer el riesgo crediticio de la operación, en el marco de una relación contractual para la entrega de una tarjeta de crédito.

Al punto, se destaca que la autorización aportada por la investigada no detalla el alcance de la autorización, razón por la cual es necesario remitirse a los documentos7 que se presume aceptó la Titular al momento de la solicitud. Así, en la cláusula 22 del Anexo 5 denominado “Contrato de Crédito Rotativo RappiCard”, solo se hace una somera mención de las generalidades frente al tratamiento de datos, como se expone en el siguiente extracto: “RappiPay tratará los datos del Cliente dentro los parámetros establecidos en la Ley 1581 de 2012, la Ley 1266 de 2008, así como en las normas que las reglamenten, modifiquen o sustituyan.

Los datos entregados por parte del Cliente serán tratados, de acuerdo con las reglas previstas en la Política de Tratamiento de Datos Personales de RappiPay disponibles en el sitio web de RappiPay”. (énfasis añadido) En este contexto, quedó acreditado que la vinculación derivada de la tarjeta “rappicard”, como se aprecia en los anexos de la denuncia, fue finiquitada el 07 de julio de 2022.

De manera que, para los fines de esta investigación, la sociedad RAPPI S.A.S. a la fecha de consulta del historial crediticio de la señora xxxxxxxxxxxxxx, ya no tenía relación contractual alguna que sostener, en tanto que esta ya había cesado; razón por la cual, causan sorpresa las aseveraciones del apoderado de la investigada quien afirma que la autorización, por demás difusa, que en su Pruebas aportadas por la sociedad RAPPI S.A.S. junto con el escrito de descargos, una vez abierta la investigación administrativa.

“Por la cual se impone una sanción administrativa”. momento le fue concedida a su poderdante, le faculta casi que “a perpetuidad” para continuar accediendo a la información crediticia de la Titular, aun cuando no mediara un vínculo contractual por mantener o la intención de entablar uno nuevo. Desconociendo con esta afirmación el principio de temporalidad contemplado por el literal d) del artículo 4 de la Ley 1266 de 2008.

En ese sentido, es menester recordar que la investigación que nos ocupa se sujeta a los postulados de la Ley de Hábeas Data financiero 1266 de 2008, por lo que la eventual exigencia de solicitud de supresión en los términos del artículo 8 de la Ley 1581 de 2012 no resulta aplicable. Por otra parte, cobra relevancia indicar que de acuerdo con las disposiciones contenidas en la Ley 1266 de 20088, adquiere la calidad de Usuario aquel que “(…) puede acceder a información personal de uno o varios titulares de la información suministrada por el operador o por la fuente, o directamente por el titular de la información”, previsión que se ajusta a la conducta realizada por la sociedad RAPPI S.A.S. Ahora bien, por expresa disposición de esa misma normativa, el Usuario “(…) se sujeta al cumplimiento de los deberes y responsabilidades previstos para garantizar la protección de los derechos del titular de los datos”, quedando claro con esto que en el momento en que se configuran los presupuestos normativos para contraer dicha calidad, la persona natural o jurídica adquiere también las obligaciones impuestas por el legislador, entre ellas, las señaladas en el presente cargo.

De manera que es completamente irrelevante si quien accede como Usuario a los datos crediticios del Titular, lo hace en virtud de un mandato, pues también es claro que nuestro ordenamiento jurídico no releva del deber de contar con la autorización o acceder bajo una finalidad legítima a la historia de crédito de un titular, cuando se hace mediante el uso de esta figura o de cualquier otra forma de representación a un tercero. En ese orden de ideas, se hará una explicación de cada uno de los incisos del artículo 15, de modo que se analicen los parámetros fácticos de este caso concreto: I. El inciso primero comprende la variable de establecer (caso en el cual, debe mediar una solicitud del titular de adquirir productos o servicios, por ejemplo, la rappicard.) y mantener una relación contractual, cualquiera que sea su naturaleza (la cual en particular ya había terminado al momento de la consulta).

Así, este primer inciso busca proveer a los operadores del sistema financiero de elementos de análisis para calcular el nivel de riesgo en el momento en que el Titular contraiga obligaciones crediticias. En otras palabras, se busca brindar elementos de evaluación para el establecimiento o mantenimiento de una relación contractual con el usuario de información. II.

Por otro lado, la parte final del inciso primero señala el segundo evento en el cual se puede acceder a la información del Titular de la información; este es la facultad de poder acceder a la información crediticia al momento de valorar los riesgos derivados de una relación contractual vigente. En este sentido, se parte del supuesto de que el Titular quisiera, dentro del marco de un contrato vigente suscrito con el usuario de información, acceder a otro servicio del usuario en cuyo caso este podría acceder a la información crediticia del Titular para evaluar si le otorga o no un nuevo crédito o amplía el existente.

En el caso sub examine, propone el apoderado de la parte investigada, de manera subsidiaria, que se tenga en cuenta que la Titular continuaba haciendo uso de la plataforma Rappi para efectos de legitimar la consulta efectuada. Sin embargo, a juicio del Despacho conforme al análisis descrito en líneas precedentes, para el uso de la mencionada aplicación no se requiere conocer la De acuerdo con el literal d) del artículo 3 de la Ley 1266 de 2008.

“Por la cual se impone una sanción administrativa”. información financiera del Titular, en tanto que se provee una plataforma que funge como intermediaria para la compraventa de bienes y servicios que no implican un riesgo crediticio, y mucho menos para su administradora la sociedad RAPPI S.A.S. III. El inciso tercero del artículo comprende la posibilidad de que el usuario de información pueda acceder a la misma para efectos de realizar estudios de mercado o investigaciones comerciales o estadísticas, es decir actividades de marketing.

A partir de este inciso, se concluye que el usuario quiera promocionar un nuevo producto e informe concretamente de tal finalidad para efectos de acceder a la información crediticia. (Presupuestos que no fueron acreditados en esta causa) IV. Por su parte, el inciso cuarto del artículo objeto de análisis señala que el usuario podrá acceder a la información crediticia para el adelantamiento de cualquier trámite ante una autoridad o una persona privada, respecto del cual dicha información resulte pertinente En este sentido, cuando el usuario deba adelantar un trámite ante autoridad judicial o administrativa podrá acceder a la información crediticia de un Titular, siempre que la información a la que acceda sea la pertinente para el trámite que corresponda.

V. Por último, el inciso final del artículo analizado indica que el usuario podrá acceder a la información crediticia para cualquier otra finalidad, diferente de las anteriores, siempre que haya obtenido autorización por parte del titular de la información. Finalmente, no es de recibo para esta Dirección el argumento según el cual deben tenerse en cuenta las circulares básicas de la Superintendencia Financiera de Colombia, por cuanto como se ha señalado a lo largo de esta actuación administrativa, los hechos advertidos se analizan a la luz de la Ley 1266 de 2008, esto es una norma estatutaria y por tanto de superior jerarquía, la cual tiene previsiones especiales frente al tratamiento de los datos personales de carácter financiero.

De esta manera quedó plenamente acreditada la conducta trasgresora de las normas de protección de datos personales por parte de la sociedad RAPPI S.A.S.

NOVENO: CONCLUSIÓN Por lo expuesto, es claro para esta Dirección que contrastadas las finalidades bajo las cuales el usuario de información puede acceder de manera legítima a la información crediticia de un Titular, se encuentra que la sociedad RAPPI S.A.S. no acreditó contar con una finalidad legítima para acceder a la información crediticia de la Titular, en tanto (i) no hay ánimo de celebrar una relación contractual por parte de la Titular, (ii) no hay motivos para realizar una valoración de los riesgos derivados de una relación contractual vigente, (iii) no se realizaron estudios de mercado y (iv) el acceso no fue efectuado para adelantar un trámite ante autoridad judicial o administrativa.

Por ello, la sociedad debía contar con el soporte de la autorización de la Titular, la señora xxxxxxxxxxxxxx, a efectos de estar legitimada para acceder a su historial crediticio. Por tanto, en la medida en que, de acuerdo con el acervo probatorio, la sociedad en cuestión no demuestra contar con la autorización de la Titular, se concluye de manera razonable que el acceso realizado el día 05 de septiembre de 2022, por parte de la sociedad RAPPI S.A.S. a la historia de crédito de la Titular fue un acceso ilegítimo.

“Por la cual se impone una sanción administrativa”.

DÉCIMO: Imposición y graduación de la sanción 10.1 Facultad sancionatoria La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 189. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 210, 411 y 612 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo13.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”14 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por Ley 1266 de 2008, artículo 18: Sanciones.

La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades.

(negrita añadida) Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones. (negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000);

Corte Constitucional, Sala Octava de Revisión, T010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000).

Considerando 5.5.2. “Por la cual se impone una sanción administrativa”. parte de todas las entidades de orden nacional15. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994. En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313.

UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB-, se deberá aproximar a la cifra con tres (3) decimales más cercana.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción administrativa”. de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social.” De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB.

De otra parte, dentro del marco de la Ley 1266 de 2008, con relación a la imposición de la sanción, el artículo 19 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional16 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-1011 de 2008, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”17 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 19 de la Ley 1266 de 2008 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1266 de 2008, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción administrativa”. 1266 de 2008. Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros18.

La imposición de sanciones por violación de la Ley 1266 de 2008 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”19.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia20. La Ley 1266 de 2008 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 1821 de la misma.

Asimismo, el artículo 19 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Ley 1266 de 2008, artículo 19: “Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1266 de 2008, artículo 18: Sanciones.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción administrativa”. f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 19 de la Ley 1266 de 2008.

Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “3.6.2. Sanciones y criterios para su graduación (Artículos 18 y 19) Los artículos 18 y 19 del proyecto concurren a establecer un sistema de sanciones con el siguiente contenido: Destinatarios. Son los operadores, las fuentes y los usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, que incurran en responsabilidad administrativa derivada del incumplimiento de la ley de hábeas data o de las órdenes o instrucciones impartidas por el organismo de vigilancia respectivo (Arts. 17 num. 6 y 18).

Órganos de investigación y sanción. La Superintendencia de Industria y Comercio, y la Superintendencia Financiera, cuando se trate de una entidad sometida a su vigilancia. Sanciones: se contempla una serie de sanciones con diverso nivel de intensidad, aplicables a supuestos de hecho distintos, así: Multas: pueden ser de carácter personal o institucional, con un tope máximo de mil quinientos salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Se aplican por “violación de la presente ley, de las normas que la reglamenten, así como por la inobservancia de las órdenes e instrucciones impartidas” por la respectiva Superintendencia. Estas multas pueden ser sucesivas, mientras subsista el incumplimiento que las generó. Suspensión de actividades: se establece un límite máximo de seis (6) meses, y se aplica en los siguientes eventos: a) Cuando la administración de la información se estuviere ejecutando con violación grave de las condiciones y requisitos previstos en la presente ley; b) Cuando se establezca la inobservancia de las órdenes e instrucciones impartidas por la Superintendencia para corregir tales violaciones.

Cierre o clausura de operaciones del banco de datos: se aplica cuando, transcurrido el término de suspensión, la entidad vigilada no hubiese adecuado su operación técnica y logística, sus normas, y sus procedimientos a los requisitos de ley, de conformidad con la resolución que ordenó la suspensión. Cierre inmediato y definitivo de la operación de bancos de datos: los supuestos de administración de datos prohibidos. se aplica a Criterios de graduación de las sanciones (Art. 19).

En cuanto resulten aplicables, se contemplan los siguientes criterios agravantes de la responsabilidad: (i) la dimensión del daño o peligro para los intereses jurídicamente tutelados; (ii) el beneficio económico que la infracción hubiere reportado para el infractor o para terceros; (iii) la reincidencia en la comisión de la infracción; (iv) la resistencia, negativa u obstrucción a la acción investigadora o de vigilancia “de la cumplir con las órdenes impartidas “por la Superintendencia de Industria y Comercio”.

Como único criterio de atenuación de la responsabilidad se contempla: (i) el reconocimiento o aceptación expresos, proveniente del investigado, sobre la “Por la cual se impone una sanción administrativa”. comisión de la infracción, efectuado antes de la imposición de la sanción a que hubiere lugar. (…)22 Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 10.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por el investigado haya puesto en peligro los intereses jurídicos tutelados por la Ley 1266 de 2008.

De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

En el caso sub-examine, con base en el literal a) del artículo 19 de la Ley 1266 de 2008, esta Dirección evidencia que el cargo comprobado en contra de la sociedad RAPPI S.A.S. afectó de forma real y concreta los derechos fundamentales de la señora xxxxxxxxxxx. A partir del análisis del material probatorio, quedó demostrada la vulneración del numeral 1 del artículo 9 de la Ley 1266 de 2008, en concordancia con el artículo 15 de la misma Ley al demostrarse que la sociedad RAPPI S.A.S. no acreditó una finalidad legítima para acceder a la información crediticia de la Titular, por lo cual debía contar con el soporte de la autorización de la Titular, la señora xxxxxxxxxxxxx, a efectos de poder estar legitimada para acceder a su historial crediticio.

Por tanto, se impondrá como sanción, dentro del margen que le otorga el literal a) del artículo 19 de la Ley 1266 de 2008, una multa de DOSCIENTOS QUINCE (215) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– equivalentes a VEINTICUATRO MIL NOVECIENTOS CUARENTA (24.940) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DOSCIENTOS OCHENTA Y OCHO MILLONES CIENTO SEIS MIL OCHOCIENTOS OCHENTA PESOS M/CTE (288.106.880)23, por la vulneración a lo dispuesto en el numeral 1) del artículo 9 en concordancia con el literal d) del artículo 4 y el artículo 15 de la Ley 1266 de 2008.

Se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 19 de la Ley 1266 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

Tampoco se tendrá en cuenta el criterio de atenuación contemplado en el literal f), por cuanto la investigada no aceptó la comisión de la infracción. Corte Constitucional, Sentencia C-1011 de 2008, M.P: Jaime Córdoba Triviño. FJ: 3.6.2. Sanciones y criterios para su graduación (Artículos 18 y 19). Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción administrativa”.

DÉCIMO PRIMERO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del expediente 22402342 a la sociedad RAPPI S.A.S., identificada con el Nit 900.843.898-9, con el correo electrónico de notificación judicial notificacionesrappi@rappi.com quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el No 22-402342. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad RAPPI S.A.S., identificada con Nit 900.843.898-9 de DOSCIENTOS QUINCE (215) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– equivalentes a VEINTICUATRO MIL NOVECIENTOS CUARENTA (24.940) Unidades de Valor Básico – UVB Vigentes para el año 2025 –equivalentes a DOSCIENTOS OCHENTA Y OCHO MILLONES CIENTO SEIS MIL OCHOCIENTOS OCHENTA PESOS M/CTE (288.106.880), por la vulneración de lo dispuesto en el numeral 1) del artículo 9 en concordancia con el literal d) del artículo 4 y el artículo 15 de la Ley 1266 de 2008.

Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad sociedad RAPPI S.A.S., identificada con Nit 900.843.898-9, a través de su representante legal y/o su apoderado, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO 3: COMUNICAR el contenido de la presente resolución a la señora xxxxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía xxxxxxxxxxxxxxx, en calidad de denunciante.

ARTÍCULO 4: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: “Por la cual se impone una sanción administrativa”. - Correo de la Superintendencia Comercio: contactenos@sic.gov.co. de Industria y - Sede principal: Carrera 13 # 27-00 piso 3, edificio Bochica en la ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 19 de junio de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2025.06.19 12:14:11 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Elaboró: LR Revisó: CG Aprobó: CG NOTIFICACIÓN Sociedad: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: RAPPI S.A.S. Nit: 900.843.898-9 FELIPE VILLAMARÍN LAFAURIE C.C. 1.136.881.540 notificacionesrappi@rappi.com Calle 63 16 A 02 Bogotá D.C. Apoderado: Doctor: Identificación: Correo electrónico: Dirección: Ciudad: Alejandro Acevedo Escallón C.C.1.018.414.692 litigios.alejandroacevedo@raddf.com Calle 70 No. 4 – 36 Bogotá D.C. COMUNICACIÓN: Denunciante: Señora: Identificación: Correo electrónico: Ciudad: xxxxxxxxxxxxx C.C. xxxxxxxxxxxx xxxxxxxxxxxxxxxxx Cali, Valle del Cauca

Resolución sancionatoria N° 24761 de 2025

CONSIDERANDO

RESUELVE