Sanción 51357 de 2025 — SIC

(31 de marzo de 2025) “Por la cual se impone una sanción y se imparten órdenes administrativas” Radicación 22-301462 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales (a) y (b) del artículo 21 de la Ley 1581 de 2012, y el numeral (4) artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que mediante Resolución 51357 del 29 de agosto de 2023, la Dirección de Investigación de Protección de Datos Personales (e) resolvió abrir investigación administrativa y, en consecuencia, formular pliego de cargos a la sociedad MERCADOLIBRE COLOMBIA LTDA., identificada con Nit 830.067.394-6 (en adelante la investigada), por la presunta vulneración de las normas de protección de datos personales contenidas en la Ley 1581 de 2012, en particular en: i) “El literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5°, 6°y 9° de la precitada ley; en concordancia con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015. ii) ii) El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015; y, iii) iii) El literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012”.

Que mediante escrito radicado bajo el número 22-301462-0 del 03 de agosto de 2022, el señor XXXXXXXXXXXXXXXXXXXXXX puso en conocimiento de esta Superintendencia la ocurrencia de unos hechos presuntamente infractores de las normas de protección de datos personales por parte de la sociedad comercial MERCADOLIBRE COLOMBIA LTDA., identificada con NIT. 830.067.394-6.

De la denuncia se extrajeron los siguientes supuestos fácticos: 1.1 En primer lugar, señaló el denunciante que “Mercadolibre quiere obligarme a registrar reconocimiento facial en la aplicacion (sic) de celular. He tenido mi cuenta de mercadolibre por años, puedo verificar mi identidad por medio de mi telefono (sic) y correo electronico (sic), sin embargo, ahora mercadolibre me quiere obligar a que registre mi rostro para poder entrar a mi cuenta, que he usado por años sin problemas”. 1.2 En el mismo sentido, expuso que “(…) yo no quiero usar el reconocimiento facial ni quiero que esta empresa tenga fotos de mi rostro, ya no me permiten entrar mas (sic) a mi cuenta si no registro fotos de mi cara, he puesto varias solicitudes y me dicen que no es posible desactivar esta opción” “Por la cual se impone una sanción y se imparten órdenes administrativas”. 1.3 Finalmente, manifestó que “Mercadolibre es una empresa de comercio y no tiene por qué tener datos de reconocimiento facial de sus clientes, ni siquiera los bancos piden eso, no pueden obligar a sus usuarios a enviar fotos de sus rostros e impedir que entren a sus cuentas si no lo hacen.

Quiero poder seguir usando mi cuenta sin tener que poner el reconocimiento facial”.

SEGUNDO: Que la Resolución 51357 del 29 de agosto de 2023 le fue notificada mediante aviso 21543 del 07 de septiembre de 2023 a LINA MONSALVE SOTO, en representación de la sociedad MERCADO LIBRE COLOMBIA LTDA., según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, obrante bajo el radicado 22-301462-- 29 del 27 de septiembre de 2023.

Así mismo, el referido acto administrativo le fue comunicado al denunciante dentro de la presente actuación administrativa.

TERCERO: Que dentro del término concedido para el efecto, esto es, la sumatoria de los quince (15) días otorgados en el traslado del acto de formulación de cargos y los concedidos por el Despacho mediante comunicación radicada bajo el número 22-301462-30 del 02 de octubre de 2023, la sociedad investigada, por medio de su apoderado especial el Doctor Carlos Andrés Esguerra Cifuentes, presentó sus descargos1.

CUARTO: Que mediante Resolución 12413 del 21 de marzo de 2024, la Dirección de Investigaciones de Protección de Datos Personales resolvió incorporar y tener como prueba las obrantes en el expediente, con el valor que les corresponda. 4.1.1 Denuncia, junto con sus respectivos anexos, presentada por el señor XXXXXXXXXXXXXXXXXXXXXX en contra de la sociedad MERCADO LIBRE COLOMBIA LTDA, obrante bajo el radicado 22-301462- 0 del 03 de agosto de 2022. 4.1.2 Requerimiento de información de la Dirección de Investigación de Protección de Datos Personales a la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-301462-1 del 30 de septiembre de 2022. 4.1.3 Acta de análisis técnico de expedientes de suscrito por un ingeniero adscrito a la Delegatura para la Protección de Datos Personales, obrante bajo el radicado 22-301462- 3 del 03 de octubre de 2023. 4.1.4.

Solicitud de prórroga remitida por la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-301462-4 del 19 de octubre de 2022. 4.1.5 Segunda solicitud de prórroga remitida por la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-301462-6 del 16 de noviembre de 2022. 4.1.6 Respuesta al requerimiento entregada por la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-301462-7 del 17 de noviembre de 2022. 4.1.7 Respuesta a solicitud de prórroga, obrante bajo el radicado 22-301462- 8 del 18 de noviembre de 2022. 4.1.8 Respuesta al requerimiento entregada por la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-301462-9 del 24 de octubre de 2022. 4.1.9 Respuesta al requerimiento entregada por la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-301462-10 del 01 de diciembre de 2022. 4.1.10 Requerimiento de información de la Dirección de Investigación de Protección de Datos Personales a la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-301462-11 del 08 de febrero de 2023.

Escrito de descargos junto con sus respectivos anexos, obrante en el expediente digital bajo el radicado 22301462-31 del 18 de octubre de 2023. “Por la cual se impone una sanción y se imparten órdenes administrativas”. 4.1.11 Respuesta al requerimiento entregada por la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-301462-13 del 09 de febrero de 2023. 4.1.12 Requerimiento de información de la Dirección de Investigación de Protección de Datos Personales a la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-301462-14 del 14 de febrero de 2023. 4.1.13 Respuesta al requerimiento entregada por la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-301462-16 del 16 de febrero de 2023. 4.1.14 Acta de preservación de páginas web, suscrito por el Grupo de Trabajo de Informática Forense y Seguridad Digital de la Superintendencia de Industria y Comercio, obrante bajo el radicado 22-301462- 17 del 27 de febrero de 2023. 4.1.15 Acta de análisis técnico de expedientes de suscrito por un ingeniero adscrito a la Delegatura para la Protección de Datos Personales, obrante bajo el radicado 22-301462- 18 del 17 de marzo de 2023. 4.2.

Pruebas obrantes en el expediente 23-26901 (acumulado al expediente 22-301462) 4.2.1. Denuncia presentada por el señor xxxxxxxxxxxxxx, en contra de la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 2326901-0 del 23 de enero de 2023. 4.3. Pruebas obrantes en el expediente 22-200903 (acumulado al expediente 22-301462) 4.3.1 Denuncia, junto con sus respectivos anexos, presentada por la señora XXXXXXXXXXXXXXXXXXXX, obrante bajo el radicado 22-200903-0 del 20 de mayo de 2022. 4.3.2 Requerimiento de información de la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-200903-2 del 19 de junio de 2022. 4.3.3 Respuesta al requerimiento entregada por la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-200903 -5 del 07 de julio de 2022. 4.3.4 Respuesta al requerimiento entregada por la sociedad MERCADO LIBRE COLOMBIA LTDA., obrante bajo el radicado 22-200903 -6 del 22 de julio de 2022. 4.3.5 Requerimiento de información de la Coordinación del Grupo de Trabajo de Investigaciones Administrativas a la denunciante, obrante bajo el radicado 22200903-7 del 22 de septiembre de 2022. 4.3.6 Respuesta al requerimiento entregada por denunciante, obrante bajo el radicado 22-200903 -9 del 22 de septiembre de 2022. 4.4 Pruebas aportadas por la sociedad investigada 4.4.1 Pruebas aportadas al interior del escrito de descargos 4.4.1.1 Imagen denominada “Datos solicitados para crear una cuenta”, obrante a folio 16. 4.4.1.2 Imagen denominada “Tabla N° 1- Proceso de creación de una cuenta personal en la app móvil”, obrante a folio 17. 4.4.1.3 Imágenes del paso a paso para la creación de una cuenta personal de la aplicación móvil de MERCADOLIBRE, obrantes de folios 17 al 19. 4.4.1.4 Imagen denominada “Proceso de creación de una cuenta personal en la página web”. 4.4.1.5 Imágenes del paso a paso para la creación de una cuenta personal en la página web de MERCADOLIBRE, obrantes de folios 19 al 21.

“Por la cual se impone una sanción y se imparten órdenes administrativas”. 4.4.1.6 Imágenes del paso a paso para acceder a una cuenta personal existente con contraseña en la aplicación de MERCADOLIBRE, obrantes de folios 22 a 23. 4.4.1.7 Imágenes del paso a paso para acceder a una cuenta personal creada con código de seguridad en la aplicación de MERCADOLIBRE, obrante de folios 23 a 24. 4.4.1.8 Imágenes del paso a paso para acceder a una cuenta personal creada con contraseña en el sitio web de MERCADOLIBRE, obrante a folio 25. 4.4.1.9 Imágenes del paso a paso para activar la identidad a través de la App móvil de MERCADOLIBRE, obrante a folios 28 y 29. 4.4.1.10 Imágenes del paso a paso para activar la identidad a través del sitio web MERCADOLIBRE, obrantes de folios 29 a 32. 4.4.1.11 Imágenes del paso a paso para activar o desactivar “Desbloquear la app”, a través de la aplicación móvil de MERCADOLIBRE, obrantes de folios 32 a 34. 4.4.1.12 Imágenes del paso a paso para validar la identidad y activar el reconocimiento facial como alternativa de verificación a través de la aplicación móvil de MERCADOLIBRE, obrantes de folios 35 a 37. 4.4.1.13 Imagen denominada “extracto del acta de preservación No 015-23”, obrante a folio 40. 4.4.1.14 Imágenes del paso a paso para crear una cuenta de correo corporativo, obrantes de folios 43 a 44. 4.4.1.15 Imagen denominada “Ausencia de información en el proceso de creación de una cuenta adelantado por la SIC a través de la página web de MercadoLibre”, obrante a folio 46. 4.4.1.16 Imagen denominada “Tabla N° 11- Cumplimiento por parte de MercadoLibre (cargo primero)”, obrante de folios 74 a 78. 4.4.1.17 Imagen denominada “Canales habilitados por MercadoLibre para que los titulares ejerzan sus derechos y solicitar la supresión de sus datos”, obrante a folio 80. 4.4.1.18 Imagen denominada “Opción de eliminar cuenta brindada por MercadoLibre”, obrante a folio 80. 4.4.1.19 Imagen denominada “Tabla N° 12- Cumplimiento por parte de MercadoLibre (cargo segundo)”, obrante a folios 88 y 89. 4.4.1.20 Imágenes denominadas “Alta solicitud de acceso”, obrantes a folios 94 y 95. 4.4.1.21 Imagen denominada “aprobación de la solicitud”, obrante a folio 96. 4.4.1.22 Imagen denominada “Revisión por los líderes técnicos”, obrante a folio 96. 4.4.1.23 Imagen denominada “Tabla N° 13- Cumplimiento por parte de MercadoLibre (cargo segundo)”, obrante a folio 98.

“Por la cual se impone una sanción y se imparten órdenes administrativas”. 4.4.2 Pruebas adjuntas al escrito de descargos 4.4.2.1 Certificación expedida por el Representante legal para asuntos judiciales de MercadoLibre. 4.4.2.2 Trazabilidad de la queja presentada por el señor XXXXXXX – cuenta 243302121. 4.4.2.3 Proceso de creación de una cuenta, acceso a una cuenta y activación de las funciones que utilizan el reconocimiento facial. 4.4.2.4 Declaración de Privacidad y Confidencialidad de la Información de MercadoLibre. 4.4.2.5 Documento denominado “Tu privacidad, tus derechos y nuestro compromiso” de MercadoLibre. 4.4.2.6 Copia del modelo de Autorización para el tratamiento de datos personales de MercadoLibre. 4.4.2.7 Copia del Manual de Procedimientos del Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos, Financiamiento del Terrorismo y Financiamiento de la Proliferación de Armas de Destrucción Masiva (SAGRILAFT) de MercadoLibre. 4.4.2.8 Copia del Manual de Procedimientos para la Atención de Solicitudes, Denuncias y Requerimientos Vinculados a la Protección de Datos. 4.4.2.9 Documento denominado “Reporte de transparencia” de MercadoLibre. 4.4.2.10 Copia del Código de Ética de MercadoLibre. 4.4.2.11 Copia del “MANUAL DE PROCEDIMIENTO PARA PLAN DE CULTURA & AWARENESS DE DATA PRIVACY” de MercadoLibre. 4.4.2.12 Documento denominado “NORMA DE CONTROL DE ACCESO, ADMINISTRACIÓN E IDENTIFICACIÓN DE USUARIOS” de MercadoLibre. 4.4.2.13 Copia del Anexo de Seguridad en Ambientes Cloud de MercadoLibre. 4.4.2.14 Copia del documento denominado “Gestión de la Seguridad ZeroTrust”. 4.4.2.15 Copia del documento denominado “Face Recognition-Reunión de Presentación de Resultados”. 4.4.2.16 Copia del documento denominado “Face Recognition-Resumen de gestión”. 4.4.2.17 Copia del contrato entre MELI URUGUAY S.R.L. y AWS. 4.4.2.18 copia del contrato entre MELI URUGUAY S.R.L. y MercadoLibre.

En el mismo acto se corrió traslado a la sociedad investigada por el término de diez (10) días hábiles, para presentar sus respectivos alegatos de conclusión.

QUINTO: Que la Resolución 21413 del 21 de marzo de 2024 le fue comunicada a CARLOS ANDRÉS ESGUERRA CIFUENTES, en representación de la sociedad MERCADOLIBRE COLOMBIA LTDA el 21 de marzo de 2024, según consta en la certificación expedida para el efecto por la Secretaría General Ad-Hoc de esta Superintendencia, obrante bajo el radicado 22-301462-35 del 27 de marzo de 2024.

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

SEXTO: Que, dentro del término concedido para el efecto, la sociedad investigada presentó a través de su apoderado especial, los alegatos de conclusión, reiterando los argumentos expuestos en sus descargos. Asimismo, se pronunció respecto de los expedientes 23-26901 y 22-200903, acumulados al radicado 22-301462. Adicionalmente, conforme a lo previsto en el artículo 40 de la Ley 1437 de 2011 aportó las siguientes pruebas: 6.1 Copia del documento denominado “Términos y condiciones de la plataforma Mercadolibre” 6.2 Copia del documento denominado “Términos y Condiciones del Marketplace de MercadoLibre” 6.3 Copia del documento “Política de Artículos Prohibidos de MercadoLibre”.

SÉPTIMO: competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la Superintendencia de Industria y Comercio para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

OCTAVO: Análisis del caso 8.1 Consideraciones previas a la decisión 8.1.1 Con el fin de garantizar plenamente los derechos que le asisten a la sociedad MERCADOLIBRE COLOMBIA LTDA, en su calidad de investigada dentro de la presente causa y de satisfacer los principios que orientan la función administrativa este Despacho considera imperioso hacer las siguientes precisiones: Mediante Resolución 12413 del 21 de marzo de 2024, la Dirección de Investigaciones de Protección de Datos Personales ordenó incorporar al expediente 22-301462 las pruebas contenidas en los expedientes 23-26901 y 22-200903.

Lo anterior en razón a que, una vez analizados los hechos denunciados por parte del Grupo de Trabajo de Investigaciones Administrativas2, se pudo establecer que guardan similitud con aquellos investigados en esta actuación administrativa. En tal sentido, dicho procedimiento se surtió con el fin de que, luego de ser adoptada una decisión que verse sobre la misma conducta, esta pueda ser puesta en conocimiento de todos los denunciantes.

Entonces, tal como se anunció en líneas precedentes atendiendo a que ni los hechos de los radicados acumulados, ni las pruebas, como tampoco el concepto de vulneración normativa fueron incluidos en el acto de formulación de cargos, estos no serán objeto de análisis en la presente decisión; por lo que, en virtud del principio de congruencia solo se ceñirá a aquello expresamente contenido en la Resolución 51357 del 29 de agosto de 2023. 8.2 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20113, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.

(…) De acuerdo con las comunicaciones radicadas bajo los números 2336901-5-1 del 12 de septiembre de 2023 y 22-200903-10 del 16 de febrero de 2024. Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008. M.P. Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación. “Por la cual se impone una sanción y se imparten órdenes administrativas”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en: i) El literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5°, 6°y 9° de la precitada ley; en concordancia con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015; ii) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015 y iii) El literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, los argumentos de hecho y de derecho esgrimidos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente. 8.3 Valoración probatoria y conclusiones 8.3.1 Del deber de solicitar y conservar copia de la respectiva autorización para el tratamiento de los datos personales en las condiciones previstas por la normativa.

El artículo 15 de nuestra Constitución contempla el derecho fundamental que tienen todas las personas a conocer, actualizar y rectificar toda la información que sobre ellas se haya recogido en las bases de datos. De esta prerrogativa de orden superior se derivan unos principios y deberes cuya observancia corresponde a quienes intervengan en el proceso de recolección, tratamiento y circulación de datos personales, en los términos señalados por la Corte Constitucional en la sentencia C-748 de 2011, así: “DERECHO AL HABEAS DATA EN TRATAMIENTO PERSONALES-Principios y garantías constitucionales DE DATOS El proyecto de ley estatutaria establece en materia de tratamiento de datos personales los principios de legalidad, el de finalidad, de libertad, de veracidad o calidad, de transparencia, de acceso y circulación restringida, de seguridad y el principio de confidencialidad, principios éstos que no obstan para que en el proceso de administración de bases de datos se dé aplicación a los principios rectores derivados directamente de la Constitución al igual que a aquellos derivados del núcleo temático del proyecto de ley estatutaria, los cuales pese a no encontrase numerados se entiende incorporados en razón de una lectura sistemática del proyecto de Ley Estatutaria”.

En el citado pronunciamiento también se determinan las características de los datos personales, a saber: i) estar referido a aspectos exclusivos y propios de una persona natural, ii) permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otros datos; iii) su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera lícita o ilícita, y iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su “Por la cual se impone una sanción y se imparten órdenes administrativas”. captación, administración y divulgación.”4, peculiaridades que se armonizan con el concepto de dato personal establecido en la Ley, consistente en un derecho que al asociarse a una persona natural, radica precisamente en cabeza del titular.

Ahora bien, el artículo 17 de ese cuerpo normativo contempla los deberes que les asisten, en particular a los responsables, siendo este “aquel que define los fines y medios esenciales para el tratamiento del dato5”, con el propósito de garantizar, de una parte el pleno ejercicio del derecho fundamental de hábeas data, y de otra, una correcta administración de la información personal.

Dentro de esos deberes se encuentra enlistado el de obtener la autorización previa, expresa e informada por parte de los titulares, para el tratamiento de sus datos personales. A su turno los principios de legalidad y libertad establecen un marco en el cual solo el consentimiento de los titulares faculta para realizar tratamiento sobre los datos que les sean asociados.

En palabras de la Honorable Corte Constitucional es el “(…) pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

(…) En igual sentido, en la Sentencia SU-082 de 1995, la Corte basó toda la ratio decidendi, en el concepto de autodeterminación informática, cuyo elemento esencial recaía en el consentimiento. Sobre la particular la Corte se preguntó: “¿Cuál es el núcleo esencial del habeas data? A juicio de la Corte, está integrado por el derecho a la autodeterminación informática y por la libertad, en general, y en especial económica.

La autodeterminación informática es la facultad de la persona a la cual se refieren los datos, para autorizar su conservación, uso y circulación, de conformidad con las regulaciones legales.” Esa posición ha sido reiterada, entre muchas otras, en las Sentencias T-580 de 1995, T-448 de 2004, T-526 de 2004, T-657 de 2005, TT-684 de 2006, C-1011 de 2008, T-017 de 2011”.

De igual manera, el Gobierno Nacional reglamentó lo ateniente al mencionado deber, por medio de la sección 2 del Capítulo 25 del Decreto 1074 de 2015, respecto del cual se ha destacado para los fines de esta investigación, el artículo 2.2.2.25.2.3. En este orden de ideas, corresponde a los responsables del tratamiento de datos dar plena observancia a los deberes establecidos por el legislador en materia estatutaria, de solicitar y conservar copia de la autorización bajo las condiciones previstas en la norma, para realizar operaciones de uso, recolección, almacenamiento y/o circulación de su información personal y en particular de los datos biométricos.

En el caso que nos ocupa, se observa que la presente investigación administrativa tuvo origen en la denuncia interpuesta por el XXXXXXXXXXXXXXXXXXXXXXXX quien expuso lo que, a continuación se cita: “Mercadolibre quiere obligarme a registrar reconocimiento facial en la aplicacion (sic) de celular. He tenido mi cuenta de mercadolibre por años, puedo verificar mi identidad por medio de mi teléfono(sic) y correo electronico (sic), sin embargo, ahora mercadolibre me quiere obligar a que registre mi rostro para poder entrar a mi cuenta, que he usado por años sin problemas”.

(se destaca) Ahora bien, a fin de dilucidar los hechos advertidos y de, establecer las condiciones en que la sociedad MERCADOLIBRE se encuentra realizando el Corte Constitucional, C-748 de 2011. Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011). Corte Constitucional, C-748 de 2011. Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

“Por la cual se impone una sanción y se imparten órdenes administrativas”. tratamiento de los datos de sus usuarios, esta Dirección solicitó al Grupo de Informática Forense y Seguridad Digital aplicación móvil Mercado Libre y del sitio web https://www.mercadolibre.com.co, a efectos de determinar la forma en que la sociedad recolecta datos biométricos de reconocimiento facial y de validación de identidad.

El proceso de inspección quedó documentado así6: • Frente al proceso de creación de usuario en la App móvil. “Una vez finalizado este proceso se ingresa al perfil creado, en este se encuentra un menú con varias opciones entre estas la opción “Mi Cuenta”, en esta opción se encuentran varias sub-opciones entre estas “Mi Perfil”, En la opción mi perfil se encuentran varias sub-opciones entre estas la opción “Mis Datos”, al seleccionar esta se encuentran las opciones: • E-mail. • Validar identidad. • Teléfono validado. • Nombre elegido. • Usuario.

Como se pueden ver a continuación: Acta de preservación obrante en el expediente digital, bajo el número de radicado 22-301462- 17-0 del 27 de febrero de 2023. “Por la cual se impone una sanción y se imparten órdenes administrativas”. Al otorgar los permisos recomendaciones: solicitados, la aplicación da las siguientes “Al dar clic en “Continuar”, la aplicación solicita que se seleccione el tipo de documento de identidad, como se puede ver a continuación:” “Por la cual se impone una sanción y se imparten órdenes administrativas”.

“Una vez se selecciona el tipo de cédula y se da clic en el botón “Continuar”, la aplicación accede a la cámara para ingresar los dos lados de la cédula, una vez se ingresan las imágenes de la cédula, la aplicación solicita realizar el reconocimiento facial, como se puede ver a continuación": Al dar clic en “Continuar”, se accede a la cámara para el proceso de reconocimiento facial, una vez se finaliza este proceso (…) la aplicación muestra el siguiente mensaje: • Frente a la recolección de datos por medio de la página web.

“Al ingresar al sitio web, en la esquina superior derecha se encuentra la opción “Crear tu cuenta” (Imagen 9, página 9) al seleccionar esta opción la página dirige al enlace “https://www.mercadolibre.com.co/hub/registration/landing#navheader”, en este se encuentra un chequeo con el siguiente mensaje: “Autorizo el uso de mis datos de acuerdo con la Declaración de Privacidad y acepto los Términos y condiciones.” (…)” (…) “Al seleccionar el chequeo y dar clic en el botón “Continuar” (Imagen 31, página 22), la página solicita ingresar los siguientes datos:” “Por la cual se impone una sanción y se imparten órdenes administrativas”.

(…) “Una vez se ingresa el e-mail y al dar clic en “Continuar”, se puede seleccionar la opción “Confirmar identidad”, al dar clic en Confirmar, la página solicita verificar la identidad con fotos de la cédula, como se puede ver a continuación”: Al seleccionar la opción “Elige como prefieres subir las fotos”, la página pregunta el tipo de cédula que se va a subir, como se puede ver a continuación: “Por la cual se impone una sanción y se imparten órdenes administrativas”.

Una vez se selecciona el tipo de cédula, la página solicita ingresar la cara frontal y dorsal del documento, como se puede ver a continuación: “Al seleccionar la cara frontal se solicita subir un archivo en formato.jpg,.jpeg, o.png, una vez se sube esta, se selecciona “Dorso” y se solicita seleccionar un archivo con las mismas extensiones, una vez se han subido las dos imágenes del documento, se solicita realizar el reconocimiento facial, como se puede ver a continuación”: (…) Al seleccionar la cara frontal se solicita subir un archivo en formato.jpg,.jpeg, o.png, una vez se sube esta, se selecciona “Dorso” y se solicita seleccionar un archivo con las mismas extensiones, una vez se han subido las dos imágenes del documento, se solicita realizar el reconocimiento facial, como se puede ver a continuación: “Por la cual se impone una sanción y se imparten órdenes administrativas”.

Una vez se finaliza el proceso de debe esperar el proceso de validación de los datos. Para este proceso la página solicita ingresar imágenes del documento de identidad y el reconocimiento facial del usuario”. De acuerdo con lo expuesto, se puede apreciar que tanto la aplicación móvil como el sitio web tiene establecido dentro de su procedimiento para la creación y activación de usuario el suministro de información biométrica a través de reconocimiento facial.

Lo propio quedó acreditado en el trámite de las averiguaciones previas adelantadas por esta Dirección, en las cuales también se recolectaron las piezas probatorias que sirvieron como sustento para la apertura de la investigación administrativa que nos ocupa. Así, quien en su momento representó los intereses de la sociedad investigada, en respuesta a los requerimientos de esta Autoridad, aportó los documentos contentivos del formato de autorización para el tratamiento de los datos personales de los titulares/usuarios de sus servicios.

En tal sentido, se observa en los documentos aportados por la apoderada CAMILA ANDREA CADAVID AYARZA que en efecto, el proceso de registro de usuario y utilización de los servicios se encuentra condicionado a la entrega de información biométrica del titular, tal como “patrones vinculados a tus características faciales (tamaño de la cabeza, distancia entre los ojos, el ancho de la nariz, entre otros) con fines de validación de identidad”, “Nombre, imagen personal (foto personal o foto del documento de identificación)” y “Información obtenida de la captura fotográfica del documento, como por ejemplo la foto personal”7.

Información tomada de la ruta: 1. URL https://www.mercadolibre.com.co/ayuda/terminos-y-condicionesde-uso_991 2. URL https://www.mercadolibre.com.co/privacidad/declaracionprivacidad/30988 Respuestas obrantes en el expediente digital bajo consecutivos 7, 9 y 10. “Por la cual se impone una sanción y se imparten órdenes administrativas”. Situación que contrasta con los argumentos y pruebas aportados por el apoderado especial de la sociedad investigada luego de iniciada esta investigación administrativa, pues en el escrito de descargos él señala que: De una parte, “independientemente de si la cuenta personal se crea a través de la aplicación móvil o en el sitio web de Mercado Libre, salvo que exista una inconsistencia con el correo electrónico suministrado y sea necesario verificar la identidad del titular que otorgó la autorización para el tratamiento de sus datos personales (…), MercadoLibre no condiciona el proceso de creación de una cuenta al suministro de imágenes de reconocimiento facial del usuario8”; y de otra que, en los casos en que el usuario accede con su contraseña previamente determinada9, que “por regla general, independientemente de si se accede a una cuenta personal a través de la aplicación móvil o en el sitio web, MercadoLibre sólo le solicita al usuario que ingrese su contraseña y el código enviado al teléfono registrado.

MercadoLibre verifica la identidad de la persona que está accediendo a la cuenta a través de este método, salvo que el usuario este (sic) accediendo desde un dispositivo desconocido tras voluntariamente haber elegido, entre las cuatro (4) opciones disponibles, el reconocimiento facial como alternativa de verificación en 2 pasos”. (subraya adicionada) Para el efecto, aporta a la investigación la documentación de los siguientes procesos: 1.

Proceso de creación de una cuenta personal a través de la aplicación móvil de MercadoLibre Escrito de descargos, folio 21. Ver imágenes tituladas “Tabla N° 3”, Tabla N°4” y “Tabla N°5” escrito de descargos, folios 22 al 25. “Por la cual se impone una sanción y se imparten órdenes administrativas”. 2. Proceso de creación de una cuenta personal en el sitio web de MercadoLibre “Por la cual se impone una sanción y se imparten órdenes administrativas”. 3.

Proceso de acceso a una cuenta personal a través de la aplicación móvil de MercadoLibre “Por la cual se impone una sanción y se imparten órdenes administrativas”. 4. Proceso de acceso a una cuenta personal a través del sitio web de MercadoLibre Sobre el particular, manifiesta que “A pesar de que estas herramientas son de gran relevancia por los objetivos que persiguen, MercadoLibre tiene establecido que su activación es libre y voluntaria, salvo que existan razones de seguridad que ameriten lo contrario”.

(énfasis añadido) En ese sentido, informa que “MercadoLibre ha puesto a disposición de ellos tres (3) funciones que, si bien utilizan el reconocimiento facial, no son obligatorias, sino que el usuario libre y voluntariamente puede escoger activarlas. Estas herramientas están diseñadas para reforzar la seguridad de la información de los usuarios y evitar, de esa manera, el acceso no autorizado a la misma y otras acciones fraudulentas como la suplantación de identidad”.

(énfasis añadido), señalando posteriormente el paso a paso de los procedimientos de “validación de identidad”, “Desbloqueo de la App” y “verificación en dos pasos”. “Por la cual se impone una sanción y se imparten órdenes administrativas”. De esta manera, respecto a la conducta objeto de reproche a la sociedad investigada en el primer cargo, la defensa argumenta que el procedimiento para la verificación de identidad del titular por medio de reconocimiento facial no es obligatoria ni condicionante para el acceso a sus productos, y que tan solo se genera en alguno de los siguientes escenarios: i) ii) iii) Como consecuencia de la selección voluntaria de verificación de seguridad por parte del usuario, Cuando una persona natural crea la cuenta con un correo electrónico corporativo, y Con el propósito de minimizar el riesgo de fraude y suplantaciones de identidad.

Ahora bien, en este punto es relevante para el Despacho destacar que, respecto a los mecanismos alternos que ofrece la sociedad MERCADOLIBRE en calidad de responsable del tratamiento de datos personales a los titulares, para la verificación de su identidad, no se informó ni acreditó en el curso de las indagaciones previas que esta ofreciera opciones distintas al suministro de datos de biometría facial; ello se desprende de la respuesta entregada por la entonces representante de la sociedad, cuando se limitó a señalar en su comunicación, al respecto, que “(…) MercadoLibre, por ser un portal de contacto, tiene el deber de verificación de la identidad de los usuarios que se registran dentro de su plataforma con el fin de garantizar sus derechos y obligaciones para con otros usuarios de la plataforma.

La verificación de identidad con datos biométricos permite corroborar que la información otorgada al momento de su registro sea fidedigna, y que no existan riesgos de suplantación de identidad10”. Así las cosas, causan sorpresa las múltiples opciones expuestas ahora por el Doctor Carlos Esguerra quien en su escrito de descargos informa que “si un usuario desea activar una alternativa diferente de verificación en 2 pasos, MercadoLibre le brinda la posibilidad de escoger entre cuatro (4) opciones: (i) reconocimiento facial;

(ii) Código QR; (iii) Google Authenticator; y (iv) teléfono”; además de proponer la existencia de otros métodos para corroborar la identidad del usuario al interior de las distintas plataformas de MercadoLibre. Entonces, no pasa inadvertido para el Despacho que previo a la apertura de la investigación administrativa sancionatoria, la investigada fuera enfática al señalar la necesidad de realizar dicha verificación por medio de información biométrica, como efectivamente se puede apreciar en las pruebas ya referenciadas, postura que se pretende modular con las imágenes que se aportan en los descargos11, proponiendo que el reconocimiento facial es completamente facultativo para el titular.

Lo anterior se refuerza al revisar en detalle las respuestas entregadas por la sociedad MercadoLibre en la etapa preliminar, respecto a las circunstancias que rodearon la solicitud de reconocimiento facial al denunciante, pues en esa instancia le fue informado a esta Dirección que “(…) el factor de seguridad que había sido activado buscaba y busca garantizar que ningún tercero acceda a la cuenta del señor Cristancho, configurándose así el mejor factor de seguridad para cada ocasión en que el usuario acceda a su cuenta desde un nuevo dispositivo (…) buscando evitar que terceros no autorizados en algún momento puedan acceder a la cuenta del usuario.12”, empero de acuerdo con lo que se expresa en los descargos “La decisión del área de Prevención de Fraude de MercadoLibre se fundamentó en una protección de los derechos de los consumidores en el Comercio Electrónico, toda vez que, si no se verifica la identidad de los vendedores que, a través del comercio electrónico, ofrecen productos incluidos en categorías de riesgo, se incrementa el riesgo de que los consumidores sean estafados por vendedores inescrupulosos”.

(subraya adicionada) Respuesta al requerimiento de información obrante bajo el radicado 22-301462-7 del 17 de noviembre de 2022. De acuerdo con las imágenes aportadas en el escrito de descargos. Folios 16 al 37. Respuesta al requerimiento de información, obrante bajo el radicado 22-301462-10 del 01 de diciembre de 2022. “Por la cual se impone una sanción y se imparten órdenes administrativas”.

De modo que, tampoco ha sido clara la posición de la investigada frente a las consideraciones, fines y en general requisitos para que acceder a la información biométrica de los titulares, pues si bien asegura que esta Dirección incurrió en una interpretación errónea de los pasos que debe surtir un usuario para hacer uso, bien sea de la plataforma o de la aplicación de Mercadolibre, las explicaciones dadas así como las pruebas en que se sustentan, demuestran que efectivamente, para la sociedad investigada existen múltiples razones por las cuales exige el proceso de verificación de identidad por medio del reconocimiento facial, para el acceso a la cuenta de usuarios.

Así, se observa que la causal de “prevención de fraude” puede subyacer, además en la existencia de una denuncia por desconocimiento de una cuenta o, en el ofrecimiento de un producto que está incluido en una categoría de riesgo13, entre otras razones. Es así como en el caso del señor XXXXXXXXXXXXXXXXX, de acuerdo con lo expresado por la investigada, se generó una marcación por motivos de seguridad en “la cuenta XXXXXXXXXX con el tag “pausa_iv”14 (cuya puesta en conocimiento previo del titular no ha sido acreditada), de ahí que se considere como intempestiva, lo que en efecto le obligó a validar su identidad por medio de reconocimiento facial, para acceder a esa cuenta.

Lo anterior se corrobora si se tiene en cuenta que las opciones brindadas luego de dicha marcación fueron: (i) continuar usando alguna de las otras cuentas que tenía creadas en MercadoLibre” o “(ii) crear una nueva cuenta”15. Conforme a todo lo descrito, es claro para el Despacho que al margen de que se configure una cualquiera de las causas que originan la limitación en la creación o acceso a la cuenta de usuario por parte MercadoLibre, conforme a las disposiciones del Gobierno Nacional en el inciso final del artículo 2.2.2.25.2.3 “Ninguna actividad podrá condicionarse a que el Titular suministre datos personales sensibles”.

Al respecto, resulta imperioso también recordar que el legislador proscribió en el artículo 6° de la Ley 1581 de 2012, el tratamiento de datos sensibles salvo las excepciones previstas en ese mismo cuerpo normativo. Así las cosas, los Responsables del tratamiento de datos personales no podrán a su consideración establecer eventos distintos a aquellos taxativamente contemplados en la Ley Estatutaria y con ello desconocer la prohibición expresa respecto al condicionamiento de una actividad al suministro de datos sensibles, para el caso que nos ocupa, información biométrica.

Ahora bien, frente a lo que señala el representante de la sociedad investigada en cuanto a la afectación de la intimidad en los casos en que se trate un dato catalogado como sensible, es importante precisar que de la redacción del texto normativo, el legislador estatutario de una parte estableció la definición de los datos que deben ser categorizados como sensibles, precisando que son “aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación”16, y de otra, enlistó de manera enunciativa, pero expresa, aquellos que se enmarcan en dicha categoría, incluyendo a los datos biométricos.

Dicho esto, el Despacho comparte la posición del apoderado en cuanto a que hay excepciones que la misma Corte Constitucional, mediante sentencia C-748 de 2011, consideró admisibles para el tratamiento de los datos sensibles, valga decir, realizó una declaratoria de exequibilidad a las causales previamente determinadas en el artículo 6° del entonces proyecto de Ley.

En este orden de ideas, cobra total relevancia el texto que convenientemente se omite en el escrito de descargos, pues si bien en la Sentencia se indica “que en ciertas ocasiones el tratamiento de tales datos es indispensable para la adecuada prestación de servicios”, la Alta Corporación se refirió en la misma línea de análisis a servicios “como la atención médica y la educación- o para la realización de derechos ligados precisamente a la esfera íntima de las personas –como la libertad de asociación y el ejercicio de las libertades religiosas y de opinión. Las Escrito de descargos, folio 47.

Escrito de descargos, folio 49. Idem Artículo 5 de la Ley 1581 de 2012. “Por la cual se impone una sanción y se imparten órdenes administrativas”. excepciones del artículo 6 responden precisamente a la necesidad del tratamiento de datos sensible en dichos escenarios”17. Así, el marco normativo señalado en la Resolución 51357 del 29 de agosto de 2023 es claro en cuanto se sustenta en los lineamientos establecidos por la Ley 1581 de 2012, la Sentencia C-748 de 2011 y la reglamentación del Gobierno Nacional en el Decreto 1074 de 2015, por lo que se destaca que las decisiones de Tutela citadas por la investigada a más de tener efectos solamente entre las partes del respectivo litigio, no guardan relación con los hechos materia de investigación en la presente causa.

En ese sentido, se tiene que las excepciones propuestas por la sociedad investigada no fueron contempladas por el Gobierno Nacional en el artículo 2.2.2.25.2.3, y por tanto no pueden ser adicionadas, de acuerdo con los fines requeridos en el ejercicio de la actividad empresarial. Entonces, aun cuando las normas de protección al consumidor, las de comercio electrónico, SAGRILAFT, DIAN, etc. prevén algunos lineamientos para el perfeccionamiento de la compraventa de bienes y servicios, así como la de verificar la identidad de las partes, esa razón no se erige como justificación para condicionar, así sea de manera excepcional, el uso o acceso la cuenta de usuario al titular de proporcionar su información biométrica.

De modo que, en estricta observancia de la normativa, en relación con el principio de finalidad, es deber de la sociedad MercadoLibre implementar mecanismos que permitan verificar la plena identidad de sus suscriptores sin que esta derive en la exigencia inexorable de acceder a su registro facial y otros datos de biometría. De acuerdo con las consideraciones expuestas, esta Dirección encuentra plenamente acreditada la conducta trasgresora de las normas de protección de datos personales por parte de la sociedad Mercado Libre Colombia Ltda., en el sentido de condicionar la prestación de sus servicios al suministro de un dato sensible, en particular de reconocimiento facial, contraviniendo así lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5°, 6°y 9° de la precitada ley; en concordancia con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015, razón por la cual se impondrá como sanción una multa de OCHENTA (80) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a NUEVE MIL DOSCIENTOS OCHENTA (9.280) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 – equivalentes a CIENTO SIETE MILLONES DOSCIENTOS DOS MIL QUINIENTOS SESENTA PESOS M/ CTE (107.202.560). 8.3.2 Del deber de garantizar, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

Al respecto, pertinente recordar que la Ley 1581 de 2012 establece en el artículo 8 que los Titulares tendrán derecho, entre otros, a: “a) Conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado” Dicha garantía, en concordancia con el artículo 17 de la Ley en mención, les exige a los Responsable del Tratamiento de los Datos Personales que estos deben cumplir con: “a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data”.

Sentencia C-748 del 06 de octubre de 2011. M.P. Dr. Jorge Ignacio Pretelt Chaljub “Por la cual se impone una sanción y se imparten órdenes administrativas”. Respecto a la revocatoria de la autorización el artículo 2.2.2.25.2.6. del Decreto 1074 de 2015 establece lo siguiente: “Artículo 2.2.2.25.2.6. Revocatoria de la autorización y/o supresión del dato.

Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012. La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos.

El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada. Si vencido el término legal respectivo, el responsable y/o el encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la revocatoria de la autorización y/o la supresión de los datos personales.

Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012”. Entonces, es claro que de conformidad con los principios que regulan la administración de datos personales, el ejercicio del derecho fundamental de hábeas data permite a los titulares conocer plenamente cuál es la información que sobre ellos reposa en las distintas bases de datos, y en caso de ser procedente, solicitar la supresión de información que haya sido recogida y la revocatoria de la autorización para el tratamiento de datos personales.

De modo que la Corte consideró que la interpretación adecuada del señalado literal e) del artículo de la Ley 1581 de 2012 es aquella en virtud de la cual el titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales, caso en el cual, en aras de garantizar el debido proceso, la Superintendencia de Industria y Comercio deberá determinar que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos, consideración que fue recogida por el inciso segundo del artículo 2.2.2.25.2.6 del Decreto 1074 de 2015.

En el caso que sub examine, observó el Despacho que que el señor XXXXXXXXXXXXXXXXXXXXXXXXXX aportó, junto con la denuncia instaurada, copia de la petición que radicó ante la sociedad MERCADOLIBRE a fin de ejercer su derecho de hábeas data, mediante la solicitud de supresión de los datos biométricos que le fueron recolectados por medio de la aplicación móvil, como se cita: “Por la cual se impone una sanción y se imparten órdenes administrativas”.

En respuesta a la referida comunicación, la sociedad investigada informó al Titular, que: Por lo anterior, en el curso de las actuaciones preliminares la Dirección de Investigaciones de Protección de Datos Personales requirió, mediante escrito radicado bajo el número 22-301462- -1 del 30 de septiembre de 2022, a la investigada, con el propósito de que informara a esta autoridad “cuál fue el trámite adelantado respecto a la petición radicada bajo el número XXXXXXXXXX, presentada por el señor XXXXXXXXXXXXXXX y allegue copia de la respuesta entregada” y “(…) cuál es el sustento de la comunicación entregada al titular en la que se le informó que “( ) por este motivo una vez registrado no es posible desactivar el reconocimiento facial”.

Sobre el particular, la sociedad MercadoLibre, mediante comunicación radicada bajo el número 22-301462- 10 del 01 de diciembre de 2022, se refirió en los siguientes términos: “Por la cual se impone una sanción y se imparten órdenes administrativas”. (…) en el Anexo No. 4 se puede verificar la petición presentada por el señor Cristancho y la respuesta que le fue dada” Al punto, la defensa de la sociedad investigada manifestó en su escrito de descargos que “(…) el 2 de agosto de 2022 el señor XXXXXXX se contactó con MercadoLibre utilizando el canal de E-mail.

En esa oportunidad, el señor XXXXXXXX solicitó desactivar la función de verificación en 2 pasos con reconocimiento facial en los siguientes términos: “(…) Tengo una petición, hace dos días mi app de mercadolibre empezó a pedirme reconocimiento facial para poder usar mi cuenta, yo no quiero usar ese servicio de “seguridad” (…)” (Subrayado fuera del texto original).

Esta petición, posteriormente fue reiterada por el señor XXXXXXXXX así: “Por la cual se impone una sanción y se imparten órdenes administrativas”. i) Petición del 3 de agosto de 2023: “(…) Lo que pasa es que yo nunca me registré para esto, estuve usando mi cuenta normalmente durante años, y luego de la nada me saca de mi cuenta y me pide reconocimiento facial.

Quiero que no me pida esto para entrar a mi cuenta. No me interesa su seguridad extra. Gracias” (Subrayado fuera del texto original). ii) Petición del 4 de agosto de 2023: “No me interesa, quiero desactivarlo”. (Subrayado fuera del texto original). “Las anteriores peticiones coinciden en que a través de ellas el señor XXXXXXXX manifestó su inconformidad respecto de la funcionalidad de la aplicación móvil de MercadoLibre; inconformidad que buscó eliminar solicitando la desactivación de una función específica.

Bajo ese entendido, es claro que las peticiones del señor XXXXXXXX incluidas en las tres (3) solicitudes presentadas versaron sobre un punto en específico: desactivar una función de seguridad disponible en la aplicación móvil de MercadoLibre. Lo anterior, da cuenta de que las peticiones radicadas por el señor XXXXXXXX no correspondieron al ejercicio de sus derechos como titular de la información, sino a la manifestación de una inconformidad frente al funcionamiento de una aplicación móvil.

Esto tiene su fundamento no sólo en lo señalado en el párrafo anterior, sino también en que en ninguna de sus tres (3) peticiones el señor XXXXXXXXX le solicitó a MercadoLibre la revocatoria de la autorización y/o la supresión de sus datos biométricos. Basta con revisar las tres (3) peticiones transcritas anteriormente para percatarse que en ninguna de ellas se solicita esto último.

Debido a ello, dada la ausencia de una petición en ese sentido, MercadoLibre no pudo atender la misma. Algo totalmente distinto hubiera ocurrido si el señor XXXXXXX, en vez de limitarse a solicitar desactivar una función de seguridad incluida en la aplicación móvil, le hubiera solicitado a MercadoLibre la supresión de sus datos biométricos.

De haberse solicitado esto último, MercadoLibre habría analizado esa petición y le habría brindado una respuesta frente a la misma; respuesta en la habría tenido en cuenta tanto las obligaciones legales a su cargo (ver numeral 4.6), como el hecho de que existe una disposición legal que obliga a MercadoLibre a que ese tipo de información deba permanecer en su base de datos (ver numeral 5.3).

En resumen, habida cuenta que el señor XXXXXXX nunca le solicitó a MercadoLibre suprimir sus datos biométricos, no es cierto que MercadoLibre se negó a suprimir sus datos de reconocimiento facial. Para haberse podido negar, MercadoLibre tuvo primero que haber recibido una petición en ese sentido; circunstancia que no ocurrió. Finalmente, en este punto se resalta que, tal y como se indicó en los antecedentes, el 30 de mayo de 2023, voluntariamente el señor XXXXXXXX decidió eliminar su cuenta XXXXXXXXX.

Debido a esto, actualmente no es posible apagarle la alternativa de “reconocimiento facial” como factor de verificación en dos pasos. Sin embargo, no sobra señalar que, si la cuenta XXXXXXXXXX estuviera activa, se podría proceder con la solicitud de eliminar la alternativa de “reconocimiento facial” como factor de verificación en dos pasos.

Con el fin de establecer las motivaciones y por tanto, el alcance de la solicitud incoada por el señor XXXXXXXXXXXXXXXXXX, es necesario remitirse nuevamente al contenido de la denuncia radicada ante esta Superintendencia, a través de la cual el titular manifestó “Mercadolibre quiere obligarme a registrar reconocimiento facial en la aplicación (sic) de celular.

He tenido mi cuenta de mercadolibre por años, puedo verificar mi identidad por medio de mi telefono (sic) y correo electronico (sic), sin embargo, ahora mercadolibre me quiere obligar a que registre mi rostro para poder entrar a mi cuenta, que he usado por “Por la cual se impone una sanción y se imparten órdenes administrativas”. años sin problemas, yo no quiero usar el reconocimiento facial ni quiero que esta empresa tenga fotos de mi rostro, ya no me permiten entrar mas (sic) a mi cuenta si no registro fotos de mi cara, he puesto varias solicitudes y me dicen que no es posible desactivar esta opción (sic).

Mercadolibre es una empresa de comercio y no tiene por qué tener datos de reconocimiento facial de sus clientes” (subraya adicionada) Con base en lo anterior, es dable concluir: 1. La inconformidad del titular estaba relacionada con la obligación (condicionamiento) de suministrar sus datos de biometría facial a la sociedad investigada. De esa manera, luego de no encontrar una elección distinta para acceder a su cuenta de usuario, procedió a solicitarle a MercadoLibre desactivar esa función toda vez que, como se ha dicho, la información biométrica fue proporcionada de manera forzada, sin permitirle optar por otro mecanismo para la validación de identidad. 2.

Si bien el “reconocimiento facial” es una función de la aplicación de MercadoLibre, se puede constatar de lo expresado por el denunciante al señalar que esa plataforma “de la nada me saca de mi cuenta y me pide reconocimiento facial”18, que estaba ejerciendo su derecho como titular a que su información biométrica, entregada por obligación, fuera suprimida y adicionalmente nunca más le fuera requerida.

Ahora bien, es oportuno destacar que el procedimiento dado a la petición del señor XXXXXXXXXXXXXXXXXX también desconoció el manual que para el efecto, acreditó tener implementado la sociedad investigada en el curso de las averiguaciones previas. Al respecto, se observa en el documento aportado bajo el radicado 22-301462-10 del 01 de diciembre de 2022, allegado también por la investigada como “prueba documental 8” de título “MANUAL DE PROCEDIMIENTO PARA LA ATENCIÓN DE SOLICITUDES, DENUNCIAS Y REQUERIMIENTOS VINCULADOS A LA PROTECCIÓN DE DATOS PERSONALES” que: “Cuando sea notificada una Solicitud por alguno de los canales indicados en el apartado 3.1. el área de Legales (local) de la Sociedad Requerida, tomará a su cargo la respuesta19.

Para los casos de ejercicio de Derechos ARCO (acceso, rectificación, cancelación/supresión, oposición) el área de legales de la Sociedad Requerida remitirá la Solicitud a CAP Legales (cap_legales@mercadolibre.com) En todos los casos deberá remitirse copia al área de Data Privacy a efectos de su correspondiente registro.” En virtud de lo anterior, era responsabilidad del área legal de la sociedad MercadoLibre revisar la solicitud de supresión del titular y no del área de servicio al cliente, como en realidad sucedió, tal como se aprecia en las pruebas obrantes en el expediente20: Prueba documental N° 2, anexo al escrito de descargos.

De acuerdo con lo expresado en el escrito de descargos, folio 80 “el 2 de agosto de 2022 el señor xxxxxxxx se contactó con MercadoLibre utilizando el canal de E-mail”. Radicado 22-301462-10 del 01 de diciembre de 2022. “Por la cual se impone una sanción y se imparten órdenes administrativas”. De manera que, en la respuesta escueta dada por MercadoLibre al titular no solo le fue negada la solicitud, sino que tampoco se le indicó el sustento legal de la renuencia a suprimir el mecanismo por medio del cual le habían sido previamente recolectados sus datos biométricos.

Actuación que es contraria a la actual posición del representante de MercadoLibre, quien luego de abierta esta investigación sancionatoria expresa al Despacho que “no sobra señalar que, si la cuenta XXXXXXXXXXXX estuviera activa, se podría proceder con la solicitud de eliminar la alternativa de “reconocimiento facial” como factor de verificación en dos pasos21”.

De otra parte, en cuanto al argumento de que existe un deber legal o contractual para permanecer en la base de datos como criterio para no acceder a la solicitud de supresión del titular XXXXXXXXXXXXXXXX, es procedente señalar que, si bien es cierto, en cumplimiento de las diversas normas que impactan los servicios ofrecidos por las plataformas de MercadoLibre, deriva una obligación de conservar cierta información que permita, por ejemplo corroborar la plena identidad de las partes o la trazabilidad de una transacción, no puede obviarse que la información biométrica obtenida por la investigada fue producto de la supeditación que esta hiciera al Titular para concederle el acceso a su cuenta personal.

En ese sentido, se insiste que el dato fue suministrado viciando el consentimiento del titular y vulnerando la prohibición varias veces señalada por el Despacho. Adicionalmente, es de absoluta relevancia recordar que para los fines de la prestación de los servicios proveídos por MercadoLibre no se encuentra una obligación legal que exija recolectar, almacenar y conservar los datos de reconocimiento facial de los usuarios, de ahí que la sociedad pueda optar por implementar tantos otros medios para verificar la identidad de sus suscriptores, sin que ello implique el tratamiento de datos sensibles.

Conforme a todo lo expuesto, esta Dirección concluye que la sociedad MercadoLibre Colombia Ltda desconoció el deber que le asiste en su calidad de Responsable del tratamiento de datos personales de garantizar en todo tiempo el goce pleno y efectivo del derecho de hábeas data, vulnerando así lo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015, razón por la cual se impondrá como sanción una multa de OCHENTA (80) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023 – equivalentes a NUEVE MIL DOSCIENTOS OCHENTA (9.280) UNIDADES DE VALOR BÁSICO – vigentes para el año 2025 – equivalentes a CIENTO SIETE MILLONES DOSCIENTOS DOS MIL QUINIENTOS SESENTA PESOS M/ CTE (107.202.560).

Adicionalmente, considera imperioso el Despacho impartir una orden administrativa a la sociedad MERCADOLIBRE encaminada a suprimir la obligación de suministrar datos de reconocimiento facial tanto en su aplicación móvil como en la página web, de manera que en ningún caso se condicione el acceso a la cuenta de usuario a los titulares a que entreguen datos biométricos.

CARGO TERCERO: Del deber de conservar la información bajo las condiciones de seguridad y confidencialidad necesarias para impedir adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. En primer lugar, se debe señalar que el presente cargo tiene fundamento principalmente en los hallazgos obtenidos del acta de análisis técnico, obrante en el expediente digital bajo el radicado 22-301462 – 18- 0 del 17 de marzo de 2023.

Escrito de descargos, folio 81. “Por la cual se impone una sanción y se imparten órdenes administrativas”. Por tal motivo, frente a los argumentos y pruebas expuestos por el representante de la sociedad investigada esta Dirección realizó un análisis técnico que permitiera constatar si la conducta materia de investigación fue desvirtuada en el curso de la actuación administrativa.

De manera que, las conclusiones arrojadas en el respectivo informe, obrante bajo el radicado 22-301462- 37 del 03 de marzo de 2025, son las que se citan a continuación: “Frente al cargo tercero formulado en la RESOLUCIÓN NÚMERO 51357 DE 2023 a la sociedad MERCADOLIBRE LTDA., por no conservar información bajo medidas de seguridad la sociedad presentó en el Memorial de descargos las medidas adoptadas a proteger la información de los usuarios de sus plataformas (…) (…) MercadoLibre La empresa presentó un reporte sobre las vulnerabilidades detectadas en el sistema de reconocimiento facial.

El análisis, actualizado a septiembre de 2023, clasifica los fallos de seguridad según su nivel de criticidad. Se identificó una vulnerabilidad de alta criticidad, dos de criticidad media y seis de baja. Todas las vulnerabilidades encontradas han sido resueltas. Entre ellas, se corrigió una falla crítica que permitía la extracción no autorizada de imágenes faciales de los usuarios debido a un Access Group (AG) público.

Asimismo, se solucionó una vulnerabilidad de nivel medio que permitía evadir el proceso de reconocimiento facial. Así, pues en línea con las conclusiones del estudio técnico, en esta etapa del procedimiento administrativo sancionatorio no existen elementos de juicio que permitan concluir una vulneración al deber objeto de estudio por parte de la sociedad MercadoLibre, motivo por el cual el presente cargo será archivado.

NOVENO: CONCLUSIÓN Por todo lo expuesto, quedó demostrado que la sociedad MERCADOLIBRE COLOMBIA LTDA: • • Desconoció las disposiciones relativas a la autorización para el tratamiento de datos personales en tanto condicionó una actividad al suministro de información biométrica, considerada sensible en el marco jurídico aplicable. Incumplió el deber que le asiste de garantizar el derecho de hábeas data del titular XXXXXXXXXXXXXXXXXXX, mediante de la negativa de suprimir los datos de reconocimiento facial y el procedimiento de solicitud futura.

DÉCIMO: Imposición y graduación de la sanción 10.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 2322. Esta potestad ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

(…)” “Por la cual se impone una sanción y se imparten órdenes administrativas”. sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 223, 424 y 625 de la Constitución, debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo26.

La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”27 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional28.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: Artículo 2. (…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares.

(negrita añadida) Artículo 4. La Constitución es norma de normas. (…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.

(negrita añadida) Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000); Corte Constitucional, Sala Octava de Revisión, T010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014).

Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000). Considerando 5.5.2. Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción y se imparten órdenes administrativas”.

“ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB, se deberá aproximar a la cifra con tres (3) decimales más cercana.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

“Por la cual se impone una sanción y se imparten órdenes administrativas”.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social”.

De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB. De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 23 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional29 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”30 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción y se imparten órdenes administrativas”. 1581 de 2012. Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros31.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca trascendencia. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí solo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido.

Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”32. Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia33.

La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2334 de la misma. Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO 24. Criterios para graduar las sanciones. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio. e) La renuencia o desacato a cumplir, con las órdenes impartidas por la Superintendencia de Industria y Comercio.

Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5; Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas.

Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción y se imparten órdenes administrativas”. f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 24 de la Ley 1581 de 2012, que a su tenor literal expresa: “Artículo 24.

Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; (…)” 10.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine quedó probado el incumplimiento de las disposiciones contenidas en el literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5°, 6°y 9° de la precitada ley; en concordancia con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015; y en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015.

A partir de lo anterior, con la conducta desplegada por la sociedad MERCADOLIBRE se ha evidenciado la puesta en peligro al interés jurídico tutelado por el legislador toda vez que desconoció el derecho fundamental que le asiste al titular de autorizar la recolección y almacenamiento de su información, enmarcada en la especial categoría de datos sensibles.

Por tanto, se impondrá como sanción la suma de CIENTO SESENTA (160) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– equivalentes a DIECIOCHO MIL QUINIENTOS SESENTA (18.560) Unidades de Valor Básico – UVB Vigentes para el año 2025 – correspondientes a DOSCIENTOS CATORCE MILLONES CUATROCIENTOS CINCO MIL CIENTO VEINTE PESOS M/CTE (214.405.120)35 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción y se imparten órdenes administrativas”.

La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 10.1.2 Otros criterios de graduación Se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

Tampoco se tendrá en cuenta el criterio de atenuación contemplado en el literal f), por cuanto la investigada no aceptó la comisión de la infracción.

DÉCIMO PRIMERO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad MERCADOLIBRE COLOMBIA LTDA. identificada con el Nit 830.067.394-6, con el correo electrónico de notificación judicial notijudicialmco@mercadolibre.com.co, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberán ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 22-301462. Las sociedades son responsables de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberán adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,

RESUELVE

ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad MERCADOLIBRE COLOMBIA LTDA., identificada con Nit 830.067.394-6 de CIENTO SESENTA (160) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– equivalentes a DIECIOCHO MIL QUINIENTOS SESENTA (18.560) Unidades de Valor Básico – UVB Vigentes para el año 2025 –equivalentes a DOSCIENTOS CATORCE MILLONES CUATROCIENTOS CINCO MIL CIENTO VEINTE PESOS M/CTE (214.405.120), por la vulneración de lo dispuesto en: i) El literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5°, 6°y 9° de la precitada ley; en concordancia con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015; y ii) En el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición y con el artículo “Por la cual se impone una sanción y se imparten órdenes administrativas”. 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015, conforme a lo expuesto en la parte motiva del presente acto administrativo.

Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2: IMPARTIR una orden administrativa a la sociedad MERCADOLIBRE COLOMBIA LTDA., identificada con Nit 830.067.394-6 consistente en suprimir cualquier procedimiento en su aplicación móvil o sitio web que condicione el acceso o creación de cuentas de usuario al suministro de datos biométricos. Para ello deberá ofrecer varias opciones que permitan a los titulares decidir el mecanismo de autenticación. Parágrafo: La sociedad deberá acreditar el cumplimiento de lo ordenado, aportando prueba técnica del procedimiento ajustado conforme a las directrices señaladas en el artículo segundo, dentro de los (30) treinta días siguientes a la ejecutoria del presente acto administrativo.

ARTÍCULO 3: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad MERCADOLIBRE COLOMBIA LTDA., identificada con Nit 830.067.394-6, a través de su representante legal y/o su apoderado, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO 4: COMUNICAR el contenido de la presente resolución a los señores: XXXXXXXXXXXXXXXXXX, identificado con cédula de ciudadanía XXXXXXXXXXXXXX, XXXXXXXXXXXXXXXX, identificado con cédula de ciudadanía XXXXXXXXXXX y XXXXXXXXXXXXXXXX, identificada con cédula de ciudadanía XXXXXXXXXXXXX en calidad de denunciantes.

ARTÍCULO 5: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia Comercio: contactenos@sic.gov.co. de Industria y - Sede principal: Carrera 13 # 27-00 piso 3, edificio Bochica en la ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 31 de marzo de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2025.03.31 14:40:21 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Elaboró: LR Revisó: CG Aprobó: CG “Por la cual se impone una sanción y se imparten órdenes administrativas”.

NOTIFICACIÓN Investigada Sociedad: Identificación: Representante Legal: Identificación: Correo electrónico: Dirección: Ciudad: MERCADOLIBRE COLOMBIA LTDA. Nit: 830.067.394-6 LINA MONSALVE SOTO C.C.35.197.791 notijudicialmco@mercadolibre.com.co Carrera 17 # 93-09 Piso 3 Bogotá D.C. Apoderado especial: Doctor: Identificación: Correo electrónico: Dirección: Ciudad: Carlos Andrés Esguerra Cifuentes C.C.1.070.916.420 Carlos.esguerra@bealegal.com Calle 71 N° 5-97 Oficina 502 Bogotá D.C. COMUNICACIÓN: Señor: Identificación: Correo electrónico: XXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXX Señor: Identificación: Correo electrónico: XXXXXXXXXXXXXXX XXXXXXXXXXXXXXX XXXXXXXXXXXXXXX Señora: Identificación: Correo electrónico: XXXXXXXXXXXXXXX XXXXXXXXXXXXXXX XXXXXXXXXXXXXXX

Resolución sancionatoria N° 51357 de 2025

CONSIDERANDO

RESUELVE