Resolución sancionatoria N° 8681 de 2020

(31 JULIO 2020) “Por la cual se impone una sanción y se imparten unas órdenes” Radicación: 19-131597 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que mediante la Resolución 9205 del 15 de abril de 2019, expedida por esta Dirección a través del Grupo de Trabajo de Hábeas Data, se ordenó lo siguiente: “ARTÍCULO TERCERO: Remitir copia de la presente Resolución al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección con el fin de que determine si existe o no mérito para adelantar una actuación administrativa de carácter sancionatorio y, conforme a la decisión adoptada, se informe al Grupo de Trabajo de Habeas Data lo pertinente.”

SEGUNDO: Que en la parte motiva de la Resolución 9205 del 15 de abril de 2019, expedida por esta Dirección a través del Grupo de Trabajo de Hábeas Data, de cara a la queja presentada ante esta Superintendencia por la señora Xxxxxxx xxxxxx xxxxxxxx, identificada con cédula de ciudadanía número xxxxxxxxxx, se consideró que no existía mérito para emitir una orden de carácter administrativo con el fin de suprimir los datos personales de la Titular, toda vez que la sociedad ALMACENES ÉXITO S.A., ya había realizado dicha eliminación de sus bases de datos; por tal motivo se decidió archivar la averiguación preliminar al estar ante un hecho superado.

No obstante, dentro cabe extrapolar los siguientes apartes de la citada resolución: “Aclarado lo anterior, es pertinente mencionar que en el presente caso la titular manifiesta que “Requiero conocer en que momento se tomaron ustedes las atribuciones para hacer uso de mis datos personales, QUE CATEGÓRICAMENTE HE PROHIBIDO usar. Requiero pruebas de los medios en los que según ustedes yo haya autorizado alguna vez que me envíen los muy molestos e-mails o mensajes de texto a mi celular” (fl.3).

Frente a lo anterior, este Despacho el día 9 de noviembre de 2018 requirió a la sociedad Almacenes Éxito para que se pronunciara sobre los hechos de la materia de la denuncia y aportara entre otros “prueba de la autorización (previa e informada) otorgada por el Titular de la información para el tratamiento de sus datos personales” (fls. 14 y 15), al respecto, dicha sociedad mediante respuesta de explicaciones del día 29 de noviembre de 2018 indicó que “(…) la señora Xxxxxxx xxxxxx xxxxxxxx ingresó en la base de datos de ÉXITO el día 14 de abril de 2015 a través de un formulario de asignación de clave para la entrada al programa de fidelización de clientes” (fl. 25) dentro del cual asegura se encuentra inmersa la autorización previa, expresa e informada otorgada por la titular para el tratamiento de su información personal.

Ante tal afirmación, este Despacho evaluó la documentación obrante en el expediente encontrado a folio 33 la enunciada sociedad allegó copia del documento denominado “Asignación de Clave” en el cual se encuentra diligenciado a nombre de la señora Xxxxxxx xxxxxx xxxxxxxx y contiene la siguiente autorización “Autorizo de manera previa expresa informada a Almacenes Éxito S.A. sus filiales y vinculada para que mis datos personales puedan ser almacenados y usados con el fin de lograr una eficiente comunicación durante el presente trámite o actividad y autorizo en los mismos términos que dicha información pueda ser tratada conforme a lo dispuesto en la Ley 1582 de 2012 y sus Decretos Reglamentarios con el fin de recibir información acerca de sus productos servicios ofertas promocionales (…).

(…) HOJA N 2, “Por la cual se impone una sanción y se imparten unas órdenes” Ahora bien, superada la anterior discusión, se observa que en el presente caso la reclamante manifiesta que presentó derecho de petición ante la sociedad Almacenes Éxito S.A. “(…) He expresado de manera contundente mi inconformidad con sus prácticas y el 21 de marzo escribí prohibiendo el uso de mi celular y cualquier otro dato, pero siguen violando mis derechos.

Siguen enviándome mensajes (…)” (fl. 1). Al respecto la sociedad Almacenes Éxito S.A. mediante respuesta de explicaciones del día 29 de noviembre de 2018 indicó que “(…) con el propósito de atender la voluntad del titular de datos personales se ha realizado la supresión de los datos personales de la señora Xxxxxxx xxxxxx xxxxxxxx de las bases de datos de Almacenes Éxito” (fl. 27), lo anterior lo corrobora sirviéndose a allegar pantallazos de consultas en el Sistema MDM – Master Data Management, Base de Datos de Clientes Fidelizados, Bases de Datos de Comercio Electrónico, Lista de Envíos de Mensajes y EMAILS en los cuales se evidencia que la información personal de la titular fue eliminada de las bases de datos de la sociedad (fls. 27 al 30).”

TERCERO: Que esta Dirección evidenció dentro del expediente 18-183704, correspondiente a la averiguación preliminar llevada a cabo por el Grupo de Trabajo de Hábeas Data, lo siguiente: 3. 1 Que el 12 de julio de 2018, acorde con el radicado 18-183704-00000, se presentó ante esta Superintendencia denuncia por la presunta violación de normas de protección de datos personales contenidas en la Ley 1581 de 2012, por parte de la sociedad ALMACENES ÉXITO S.A., identificada con NIT 890.900.608-9, encontrándose anexo a este radicado la petición realizada el 21 de marzo de 2018 por la denunciante a la investigada, en la cual señala: “(…) requiero que eliminen toda mi información de sus bases de datos y reitero que prohíbo el uso de cualquiera de mis datos personales para ningún fin mas que para dar respuesta a este requerimiento.” 3.2 Que, esta Superintendencia mediante el radicado 18-183704-00002 fechado del 10 de agosto de 2018 solicitó a la denunciante copia de la respuesta de la sociedad ALMACENES ÉXITO S.A. respecto de la petición del 21 de marzo de 2018. 3.3 Que mediante correo electrónico con número de radicado 18-183704-00003 del 13 de agosto de 2018, la denunciante dio respuesta al requerimiento con número de radicado 18-183704-00002 informando que ALMACENES ÉXITO S.A. no atendió su petición y que continúan contactándola con fines comerciales de forma directa por la sociedad investigada como por sus aliados comerciales.

Sobre esta última aseveración, la denunciante aportó las siguientes imágenes de los mensajes de texto enviados a su número celular: HOJA N 3, “Por la cual se impone una sanción y se imparten unas órdenes” 3.4 Que, con base a la denuncia interpuesta y conforme con las facultades conferidas a la oficio con radicado 18-183704-00005 del 24 de octubre de 2018 a la sociedad investigada, respecto de: “(…) 1.

Acreditar prueba de la autorización (previa e informada) otorgada por el Titular de la información para el tratamiento de sus datos personales. 2. En caso de contar con la respectiva autorización, aportar prueba mediante la cual se informe al Titular de información la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. 3.

Si ustedes han tratado la información del Titular en calidad de Encargado o Responsable. En caso de ser en calidad de Encargado favor indicar el nombre e identificación del Responsable del tratamiento de la información. 4. Informar si el Titular ha presentado una reclamación o petición ante ustedes, en caso de ser afirmativa su respuesta favor aportar copia de la(s) misma(s) con su respectiva respuesta.

(…).” 3.5 Que, la sociedad investigada mediante el oficio con radicado 18-183704-00007 del 29 de noviembre de 2018 atendió el requerimiento de esta Superintendencia, expresando lo siguiente: “(…) De acuerdo con lo anterior, la señora Xxxxxxx xxxxxx xxxxxxxx ingresó a la base de datos de Éxito el día 14 de Abril de 2015 a través de un formulario de asignación de clave para la entrada al programa de fidelización clientes (Anexo1).

Como se puede apreciar en dicho formulario se dispone de la autorización para el tratamiento de datos, (…). En el caso concreto éxito ha actuado como responsable del tratamiento de datos tal como consta en la autorización suministrada ante este despacho, según lo descrito en el aparte anterior. Ello de conformidad con la definición contenida en el literal e) del artículo 3° de la Ley 1581 de 2012, (…).

El 21 de marzo de 2018 la señora Xxxxxxx xxxxxx xxxxxxxx hizo ejercicio de su derecho de habeas data a través del correo protección.datos@grupo-exito.com, mediante la solicitud de supresión de datos, (…). HOJA N 4, “Por la cual se impone una sanción y se imparten unas órdenes” Por error, dicha solicitud no fue respondida dentro del término legal establecido, razón por la cual los datos de la señora Xxxxxxx xxxxxx xxxxxxxx aún reposaban en nuestras bases de datos.

No obstante, una vez conocida la solicitud de supresión de datos por parte del titular, hemos procedido de forma inmediata a indagar al interior de la compañía la causa que generó esta situación y a adoptar los correctivos pertinentes para que la misma no vuelva a ocurrir. Así las cosas, con el propósito de atender la voluntad del titular de datos personales se ha realizado la supresión de los datos personales de la señora Xxxxxxx xxxxxx xxxxxxxx de las bases de datos de Almacenes Éxito, tal como se refleja a continuación: ▪ Evidencia eliminación en la vista MDM En la siguiente imagen se describe la acción de eliminación del registro de datos personales de la titular, en el sistema MDM – Master Data Management – de la compañía y se valida la ejecución de la acción de eliminación ordenada al sistema, consultando el número de cédula xxxxxxxx, lo cual arroja una búsqueda “Proceso Borrado” asociados, (…). ▪ Evidencia eliminación de la Base de datos de clientes fidelizados De la base de datos de clientes fidelizados de nuestra compañía se procede a eliminar la información personal de la señora Xxxxxxx xxxxxx xxxxxxxx, para esto se concluyen sus datos en lista de supresión y para asegurarnos de su eliminación se procede a consultar con su número de cédula en la herramienta, búsqueda que no genera resultados y por el contrario muestra el aviso “El cliente no existe” tal como aparece en la siguiente imagen: (…) ▪ Supresión de base de datos de comercio electrónico La señora Xxxxxxx xxxxxx xxxxxxxx estaba también registrada en el sitio de comercio electrónico de Almacenes Éxito.

En atención a la solicitud de la señora xxxxxx se procedió a incluir sus datos personales en la lista de supresión, posteriormente se realizó la consulta de su cuenta, de la cual no se encontraron resultados tal como consta a en la siguiente imagen: (…) ▪ Supresión de la lista de envíos de SMS e EMAIL: Además de la eliminación de datos de la Xxxxxxx xxxxxx xxxxxxxx de las anteriores bases de datos, también se produjo la eliminación de los mismos de los servicios de envío de EMAIL y SMS de nuestra compañía, tal como consta en la imagen descrita a continuación: (…) Al realizar la respectiva revocatoria de datos personales de la señora Xxxxxxx xxxxxx xxxxxxxx se le envía comunicación confirmando la atención a su solicitud, mediante correo electrónico, según su solicitud previa tal y como se muestra a continuación: ” 3.6 Que la sociedad investigada a la petición presentada por la denunciante, anexa al oficio 18183704-00007 del 29 de noviembre de 2018, responde: HOJA N 5, “Por la cual se impone una sanción y se imparten unas órdenes” “Con respecto a su requerimiento, el artículo 9 de la Ley 1581 de 2012 establece: “se requiere autorización previa e informada del titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior”, de acuerdo a lo anterior adjuntamos formulario de inscripción al programa de fidelización de nuestra compañía, diligenciado en su momento por usted, específicamente para la asignación de clave de sus puntos, en el cual se dispone la respectiva autorización para el tratamiento de datos personales.

Referente a su solicitud, y en atención a lo dispuesto en la ley 1581 de 2012, el Decreto 1377 de 2013 y demás normas complementarias nos permitimos informarle que para tal efecto revisamos en nuestras bases de datos y realizamos la respectiva supresión de información, como consecuencia de lo anterior no seguirá recibiendo información publicitaria y así tampoco estará registrada en nuestras bases de datos, entre estos de nuestro programa de fidelización, sin poder recibir los beneficios del mismo.”

CUARTO: Que, con base a la denuncia, y las respuestas y pruebas aportadas por la denunciante por correo electrónico con número de radicado 18-183704-00003 del 13 de agosto de 2018 y por la sociedad investigada en el oficio con número de radicado 18-183704-00007 del 29 de noviembre de 2018 a esta Superintendencia, se advierte la presunta violación de las normas sobre protección de datos personales contenidas en la Ley 1581 de 2012, con la expedición de la Resolución No. 68625 del 29 de noviembre de 2019, se dio inicio a la presente actuación administrativa y se formularon cargos a la sociedad ALMACENES ÉXITO S.A. por la presunta violación de las disposiciones contenidas en: (i) en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015; y (ii) en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 ejúsdem.

QUINTO: Que la sociedad investigada fue notificada por aviso No. 29409 el 16 de diciembre de 2019 de la Resolución 68625 del 29 de noviembre de 2019, acorde con la constancia de notificación emitida por la Secretaria General Ad-Hoc de esta Superintendencia mediante el radicado 19131597- -8 del 30 de diciembre de 2019. A su vez, se comunicó la Resolución a la denunciante.

SEXTO: Que la sociedad investigada presentó descargos el 8 de enero de 2020 con oficio radicado 18-183704-00009, allanándose a los cargos en los siguientes términos: “Almacenes éxito S.A. acogiéndose a los principios de económica procesal, celeridad, eficiencia, eficacia, buena fe y lealtad procesal dispuestos por el legislador y que deben observar las partes en un proceso, en aras de garantizar el uso eficiente de los recursos humanos y físicos dispuestos por el Estado para impartir justicia, se allana de manera voluntaria y expresa a los cargos formulados, ante la insuficiencia de material probatorio y de la ausencia de elementos de juicio que controviertan con suficiente convicción los hallazgos encontrados en la averiguación preliminar.

(…). Es por ello que la compañía ha implementado un Programa Integral de Protección de Datos Personales acorde al modelo consagrado por la Superintendencia de Industria y Comercio en lo dictaminado por la Guía para la Implementación del Principio de Responsabilidad Demostrada. (…) A partir de lo dicho, se mostrará a continuación que Almacenes Éxito ha desplegado un Programa Integral de Protección de Datos Personales el cual obedece a su compromiso con la protección de la información personal de sus diferentes públicos de interés y el cumplimiento de las disposiciones legales estándares reglamentarios en la materia, además se dejará claro que la compañía se encuentra en mejora continua y en una búsqueda constante de oportunidades de perfeccionamiento para un amparo efectivo del derecho de habeas data de los titulares.”

SÉPTIMO: Que mediante la Resolución 8681 del 28 de febrero de 2020 este Despacho procedió a: (i) incorporar las pruebas obrantes en el expediente; (ii) prescindir del término para el periodo probatorio y; (iii) correr traslado a la sociedad investigada para presentar alegatos de conclusión. Esta resolución fue comunicada el 3 de marzo de 2020 a la sociedad investigada, a través de su apoderado especial, como consta en la certificación con número de radicado 19-131597- -13 de la Secretaria General Ad-Hoc de esta Superintendencia. HOJA N 6, “Por la cual se impone una sanción y se imparten unas órdenes”

OCTAVO: Que dentro del término señalado en la Resolución 8681 de 2020 para presentar alegatos de conclusión, correspondiente a diez (10) días hábiles, la sociedad investigada se abstuvo de presentarlos.

NOVENO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la personales se respeten los principios, derechos, garantías y procedimientos previstos en la ley.

DÉCIMO: Análisis del caso 10.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20111, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los Titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por el reclamante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de las disposiciones contenidas en: (i) en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem, en concordancia con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015; y (ii) en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 ejúsdem.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por la reclamante, así como las razones de hecho y de derecho aducidas por la investigada en los alegatos de conclusión, y el conjunto de pruebas allegadas al expediente. 10.2 Valoración probatoria y conclusiones A continuación, se realizará un análisis de cada uno de los cargos imputados a la investigada en la presente actuación, así como el acervo probatorio recaudado, para en cada caso establecer si se presentó una infracción al Régimen de Protección de Datos Personales. 10.2.1 Respecto al deber de garantizar el derecho de hábeas data El literal a) del artículo 17 de la Ley 1581 de 2012, establece uno de los deberes que deben cumplir los Responsables de la información en los siguientes términos: “(…) a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.” Corte Constitucional, sentencia C-748/11, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

HOJA N 7, “Por la cual se impone una sanción y se imparten unas órdenes” En relación, la Corte Constitucional ha definido el derecho de hábeas data en los siguientes términos: “El derecho fundamental de hábeas data, es aquel que otorga la facultad al titular de datos personales, de exigir a las administradoras de datos personales el acceso, inclusión, exclusión, corrección, adición, actualización, y certificación de los datos, así como la limitación en las posibilidades de divulgación, publicación o cesión de los mismos, conforme a los principios que informan el proceso de administración de bases de datos”. 2 (Negrilla fuera de texto) En este sentido, los deberes y derechos contenidos en la Ley 1581 de 2012, específicamente para el presente caso, es relevante mencionar los deberes que tienen los Responsables de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

La Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realiza el análisis constitucional de la Ley Estatutaria 1581 de 2012 manifestó: “De conformidad con la jurisprudencia de esta Corporación, dentro de las prerrogativas – contenidos mínimos- que se desprenden de este derecho encontramos por lo menos las siguientes: (i) el derecho de las personas a conocer –acceso- la información que sobre ellas están recogidas en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información;

(ii) el derecho a incluir nuevos datos con el fin de se provea una imagen completa del titular; (iii) el derecho a actualizar la información, es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada y corregida, de tal manera que concuerde con la realidad;

(v) el derecho a excluir información de una base de datos, bien porque se está haciendo un uso indebido de ella, o por simple voluntad del titular –salvo las excepciones previstas en la normativa.” (Negrilla fuera de texto) Al respecto, debe precisar este Despacho, que tal como lo manifiesta la Corte Constitucional, el derecho de hábeas data, otorga la facultad al Titular de los datos personales de exigir el acceso, corrección, adición, actualización y eliminación de su información, por lo que resulta apenas claro, que los Responsables y Encargados de la información, deben proceder de conformidad, implementando las medidas y procedimientos correctos, dirigidos a la protección de los datos personales y su adecuado tratamiento, garantizando al Titular de la información el libre acceso y el cumplimiento de las solicitudes que el mismo efectúe respecto de su información. En relación con lo anterior, y frente a la posibilidad que tienen los Titulares de revocar la autorización y/o solicitar la supresión de su información, el literal e) del artículo 8 de la Ley 1581 de 2012 establece lo siguiente: “Artículo 8°.

Derecho de los Titulares. El Titular de los datos personales tendrá los siguientes derechos: (…) e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución;

(…).” Al respecto, es oportuno señalar que el citado artículo 8 establece que los Titulares pueden solicitar la supresión de su información personal cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La Corte Constitucional en sentencia que analizó la exequibilidad de la citada ley3, determinó que: “(…) el individuo también es libre de decidir cuales informaciones desea que continúen y cuáles deben ser excluidas de una fuente de información, siempre y cuando no exista un mandato legal Ibídem.

Ibídem. HOJA N 8, “Por la cual se impone una sanción y se imparten unas órdenes” que imponga tal deber, o cuando exista alguna obligación contractual entre la persona y el controlador de datos, que haga necesaria la permanencia del dato. (…) En consecuencia, el literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales.

En este caso, y en aras de garantizar el debido proceso, siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos.” Ahora bien, superada la anterior discusión, en el presente caso se encuentra demostrado que la denunciante a través de la petición del 21 de marzo de 2018 solicitó a ALMACENES ÉXITO S.A. la eliminación de toda su información contenida en las bases de datos y prohibió completamente el uso de sus datos personales, salvo para dar respuesta a su petición. Asimismo, se evidencia que la sociedad investigada continuó contactando a la denunciante para fines comerciales, como consta en los mensajes de texto recibidos a su número celular.

Específicamente, con el oficio 18-183704-00003 del 13 de agosto de 2018 la denunciante aporta copia de estos mensajes, en los cuales se encuentra que los recibió el 13 y 17 de abril de 2018, el 29 y 30 de junio de 2018, y el 2 de julio de 2018. Además, si bien mediante el oficio 18-183704-00007 del 29 de noviembre de 2019 la sociedad investigada acredita que eliminó los datos personales de la denunciante en el sistema MDM – Master Data Management, en la base de datos de clientes fidelizados, en la base de datos de comercio electrónico y en la lista de envíos de e-mail y sms, y respecto de cada uno aporta los pantallazos de los sistemas en los que se evidencia la eliminación, es claro en estas mismas pruebas que la supresión de los datos fue realizada por la sociedad ALMACENES ÉXITO S.A. con posterioridad al término legal previsto para ello 4, ya que la eliminación oportuna debió efectuarla hasta el 13 de abril de 2018.

Dentro del acervo probatorio, específicamente con las pruebas obrantes en el mentado oficio, la supresión de los datos la llevaron a cabo en el mes de noviembre de 2018, aproximadamente 8 meses después de la solicitud de la denunciante. Al respecto, la investigada reconoció en el oficio 18-183704-00007 del 29 de noviembre de 20195, que por error no respondieron la petición de la denunciante y, consecuentemente sus datos personales se mantuvieron en las bases de datos; sin embargo, una vez tuvieron conocimiento de la solicitud adoptaron las medidas correspondientes.

Además, señaló que cuentan con una política de manejo de datos personales, canales y procedimientos para garantizar el cumplimiento de la Ley 1581 de 2012 y sus normas complementarias. En todo caso, este Despacho observa que la información de la denunciante no fue tratada con el debido cuidado, toda vez que aún después de que la Titular solicitó la eliminación de su información esta solo se produjo efectivamente hasta el mes de noviembre de 2018, como se señaló en líneas atrás, lo cual concuerda con la afirmación de la denunciante, según la cual, a pesar de haber solicitado la supresión de su información de las bases de datos de ALMACENES ÉXITO S.A., continuó recibiendo mensajes de texto por parte de la sociedad denunciada y sus aliados comerciales.

Por ello mismo, es importante traer a colación el artículo 2.2.2.25.2.6 del Decreto Reglamentario 1074 de 2015, el cual dispone lo siguiente: El artículo 15 de la Ley 1581 de 2012, establece el término dentro del cual se deben atender los reclamos los Responsables y Encargados de Tratamiento, entre ellos de supresión de datos. Este artículo indica: “ARTÍCULO 15.

RECLAMOS. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: (…) 3.

El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en q ue se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.” 5 Sobre el error que cometieron, en el oficio 18-183704-00007 del 29 de noviembre de 2019 la investigada menciona: “Por error, dicha solicitud no fue respondida dentro del término legal establecido, razón por la cual los datos de la señora xxxxxxxxxxxxxxxxxxxxxxx aún reposaban en nuestras bases de datos.

No obstante, una vez conocida la solicitud de supresión de datos por parte del titular, hemos procedido de forma inmediata a indagar al interior de la compañía la causa que generó esta situación y a adoptar los correctivos pertinentes para que la misma no vuelva a ocurrir. (…)” HOJA N 9, “Por la cual se impone una sanción y se imparten unas órdenes” “Artículo 2.2.2.25.2.6.

Revocatoria de la autorización y/o supresión del dato. Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.

La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en base de datos. El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.

Si vencido término legal respectivo, el responsable y/o el encargado, según el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo de la Ley 1581 de 2012.” Entonces, es claro que de conformidad con los principios que regulan la administración de datos personales, el ejercicio del derecho fundamental de hábeas data, permite a los Titulares solicitar la exclusión de información que haya sido recogida en todas las bases de datos, pues el Titular podrá revocar la autorización y solicitar la supresión del dato cuando, además de que no se respeten los principios, derechos y garantías constitucionales y legales, no exista una obligación legal o contractual que imponga al titular el deber de permanecer en la referida base de datos.

Así las cosas, se tiene que la sociedad ALMACENES ÉXITO S.A. trató la información de la Titular, aun después de que la Titular desde el 21 de marzo de 2018, solicitó que no se siguieran tratando sus datos personales para ninguna finalidad, lo que implica que no garantizó a la denunciante su derecho de hábeas data relacionado con la supresión de sus datos.

Además de lo anterior, la sociedad ALMACENES ÉXITO S.A. en el escrito de descargos con número de radicado 19-131597- -00009 del 8 de enero de 2019 se allanó a los cargos de forma voluntaria y expresa, ya que carecen de pruebas para controvertir los cargos. Como consecuencia de lo anterior, este Despacho encuentra demostrado el actuar negligente de la sociedad ALMACENES ÉXITO S.A. en el cumplimiento del deber previsto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto único Reglamentario 1074 de 2015, por lo cual se procederá a imponer una sanción de carácter pecuniario. 10.2.2 Respecto al deber de responder las peticiones y los reclamos presentados por los Titulares El literal j) del artículo 17 de la Ley 1581 de 2012 establece el deber de los Responsables y Encargados de atender los reclamos ante ellos presentados, así: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) j) Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley; (…).” Este deber se sustenta en el derecho fundamental de petición previsto en el artículo 23 de la Constitución Política que establece: “Toda persona tiene derecho a presentar peticiones respetuosas a las autoridades por motivos de interés general o particular y a obtener pronta resolución. El legislador podrá reglamentar su ejercicio ante organizaciones privadas para garantizar los derechos fundamentales”.

HOJA N 10, “Por la cual se impone una sanción y se imparten unas órdenes” Adicionalmente, la Corte Constitucional en la sentencia C-748 de 2011, al realizar el estudio de constitucionalidad de la Ley 1581 de 2012, respecto de las consultas y reclamos que los Titulares de la Información pueden realizar a los Responsables y Encargados del Tratamiento, expresó: “Este articulo regula un procedimiento similar al que contempla el artículo 16, II, numerales 1,2 y 3 de la Ley 1266 de 2008, hallado exequible por la Corte en la sentencia C-1011 de 2008.

Sobre este mecanismo de reclamos que se consagra ante los responsables y encargados del dato, se puede advertir que los términos que se dieron para que el obligado conteste los requerimientos hechos son los mismos que se consagran para el derecho de petición en el Código Contencioso Administrativo, razón por la que se pueden transpolar los comentarios que se dejaron consignados sobre el carácter instrumental del derecho de petición, en aras de permitir al titular del dato ejercer las facultades que se derivan del habeas data”.

De esta manera, los mecanismos de consultas y reclamos frente a los Responsables y Encargados del Tratamiento, constituye un desarrollo del artículo 23 de la Constitución Política, es decir, la reglamentación del derecho de petición frente a particulares que va específicamente orientado a la salvaguarda del derecho de hábeas data. Al respecto, se debe traer a colación el siguiente aparte de la Sentencia C-748 de 2011, que reza: “En consecuencia, el precepto revisado resulta ajustado a la Constitución. No obstante, la Sala debe advertir que la jurisprudencia constitucional ha perfilado unas características que debe tener la respuesta para que se entienda satisfecho el derecho de petición. En ese orden, tanto los responsables como los encargados del tratamiento están obligados a observar esos parámetros que en términos generales se pueden resumir de la siguiente manera: (i) la respuesta debe ser de fondo, es decir, no puede evadirse el objeto de la petición, (ii) que de forma completa y clara se respondan a los interrogantes planteados por el solicitante, (iii) oportuna, asunto que obliga a respetar los términos fijados en la norma acusada”.

Por tanto, es deber de los Responsables y Encargados del Tratamiento garantizar el ejercicio del derecho de hábeas data, así como garantizar el pleno y efectivo derecho de petición, consulta o reclamación, es decir, atender cada una de las solicitudes de los titulares, sin dilaciones ni atrasos y de manera completa y de fondo. Por su parte, el artículo 15 de la Ley 1581 de 2012, dentro del marco del derecho de hábeas data, desarrolla el mecanismo de presentación y respuesta de reclamos, al indicar: “ARTÍCULO 15.

RECLAMOS. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1.

El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas.

Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2.

Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.

Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se HOJA N 11, “Por la cual se impone una sanción y se imparten unas órdenes” atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.” Ahora bien, dentro del caso concreto, la denunciante presentó el 21 de marzo de 2018 a través del correo electrónico proteccion.datos@grupo-exito.com una petición a la sociedad ALMACENES ÉXITO S.A., anexa al oficio con número de radicado 18-183704-00000 del 12 de julio de 2018, requiriendo prueba de la autorización por ella otorgada para el tratamiento de sus datos y solicitando la eliminación de toda su información de las bases de datos de la compañía. Frente a esto, este Despacho mediante el oficio 18-183704-00002 del 10 de agosto de 2018 requirió a la denunciante lo siguiente: “Aportar copia de la respuesta desfavorable suministrada por éstos o la afirmación de que su petición no ha sido atendido en el término de quince (15) días hábiles establecido por la norma”.

Al respecto, mediante correo electrónico del 13 de agosto de 2018 dirigido esta Superintendencia, con número de radicado 18-183704-00002, la denunciante expresó que ALMACENES ÉXITO S.A. no atendió su solicitud. Por su parte, la sociedad investigada, con el oficio 18-183704- -00007 del 29 de noviembre de 2018, indica que la denunciante sí presentó peticiones refiriéndose a aquella del 21 de marzo de 2018 y expresa que por error no respondió la petición dentro del término legal.

Así mismo, aporta prueba de la contestación brindada a la denunciante mediante respuesta anexa en correo electrónico del 21 de noviembre de 2018, en la cual se refiere tanto a la autorización otorgada por la Titular como a la supresión de sus datos. En ese orden de ideas, del acervo probatorio obrante en el expediente este Despacho concluye que la respuesta que oportunamente debió atenderse por la sociedad investigada hasta el 13 de abril de 2018, se dio 7 meses y 7 días después del vencimiento del término para ello.

Así las cosas, ALMACENES ÉXITO S.A. desconoció uno de los parámetros que se deben garantizar en las respuestas a las peticiones, específicamente, el de oportunidad. Por su parte, la sociedad ALMACENES ÉXITO S.A. en el escrito de descargos con número de radicado 19-131597- -00009 del 8 de enero de 2019 se allanó a los cargos de forma voluntaria y expresa.

En virtud de lo expuesto, y demostrado el actuar negligente de ALMACENES ÉXITO S.A., se encuentra procedente imponer una sanción pecuniaria por el incumplimiento del deber establecido en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 ejúsdem. 10.2.3 El principio de Responsabilidad Demostrada – Accountability En los descargos presentados mediante oficio con número de radicado 19-131597- -00009 del 8 de enero de 2020, ALMACENES ÉXITO S.A. señala que ha implementado un Programa Integral de Protección de Datos Personales, respecto a lo cual este Despacho, en primera instancia, precisa que el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, estableció la obligación de las empresas de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012, señalando que dichas medidas deben ser proporcionales a: (i) la naturaleza jurídica del responsable, su tamaño empresarial;

(ii) la naturaleza de los datos personales objeto del tratamiento; (iii) el tipo de tratamiento y; (iv) los riesgos potenciales que el tratamiento podría causar sobre el derecho de los titulares. Así mismo, el artículo 2.2.2.25.6.2 del Decreto mencionado, frente a las políticas internas efectivas que deben implementar los Responsables, dispuso: “Artículo 2.2.2.25.6.2.

Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2.25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1.

La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo. HOJA N 12, “Por la cual se impone una sanción y se imparten unas órdenes” 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.

La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo.” Ahora bien, continuando con el análisis del escrito presentado, la sociedad investigada argumenta que su Programa Integral de Protección de Datos está compuesto por tres componentes principales, a saber: (i) compromiso de la organización;

(ii) controles efectivos del programa y; (iii) evaluación y revisión continua. Sobre el primero de ellos, señala que corresponde a “aquel compromiso corporativo por la protección de datos personales y la construcción de un programa integral. Teniendo en cuenta un involucramiento de la dirección y de la alta gerencia, contar con un oficial de protección de datos personales y la construcción de métricas e informes que permitan realizar un seguimiento al progreso del programa”6.

Sobre el particular, la sociedad investigada aporta como prueba el Acta No. 84 del 13 de agosto de 2019 de la reunión ordinaria Comité de Auditoría y Riesgos, anexa al oficio 19-131597- -00009, respecto de la cual el Despacho encuentra que: (i) corresponde a una reunión llevada a cabo con posterioridad a la ocurrencia de los hechos objeto de esta actuación administrativa, ya que los derechos de la denunciante se vulneraron hasta el 21 de noviembre de 2018, fecha en la cual se respondió la petición y ya se encontraba eliminada la información de la denunciante de las bases de datos de la sociedad investigada y;

(ii) en el orden del día previsto en el acta, en el numeral 5 el tema a tratar indicado es el de Cumplimiento – Protección de Datos Personales y en el numeral 3.3. del desarrollo de la reunión enuncian este tema; no obstante, dentro del título 3.3 Cumplimiento – Protección de Datos Personales no hay contenido alguno. Por su parte, dentro de este primer componente mencionan en el escrito de descargos 7 que aportan copia del informe mensual del Oficial para la protección de datos personales; sin embargo, este documento no fue aportado al expediente.

En relación al segundo componente, controles efectivos del programa, referente a la “existencia de medidas que permitan verificar el despliegue de los lineamientos del programa dentro de la organización, velando por la mejora continua” 8, este Despacho respecto de los documentos aportados en los descargos por la sociedad ALMACENES ÉXITO S.A. para acreditar la ejecución de este componente, encuentra lo siguiente: (i) La Política de Privacidad fue aprobada el 9 de agosto de 2019 por parte del representante legal de la sociedad investigada, como está consignado en la página 6 del documento.

En ese orden de ideas, estamos, nuevamente, ante un documento generado con posterioridad a la fecha de ocurrencia de los hechos materia de investigación. (ii) De las planillas de asistencia a las capacitaciones sobre protección de datos personales se demuestra que se llevaron a cabo del 6 de marzo de 2019 al 18 de noviembre de 2019, es decir con posterioridad a los hechos objeto de la conducta investigada.

(iii) Los boletines de cumplimiento informativos están fechados del 18 de julio de 2019, 5 de septiembre de 2019, 3 de octubre de 2019, 14 de noviembre de 2019 y 19 de diciembre de 2019, de manera que también son posteriores a los hechos objeto de investigación. (iv) La Política de Seguridad de la Información del 9 de agosto de 2017 no está suscrita por los responsables de su revisión y aprobación, al igual que el Procedimiento Gestión de Oficio 19-131597- -00009 del 8 de enero de 2020. 7 Ibídem.

Ibídem. HOJA N 13, “Por la cual se impone una sanción y se imparten unas órdenes” Incidentes de Seguridad de la Información de marzo de 2015 y el Manual Detallado Seguridad de Información con fecha de última revisión del 8 de agosto de 2017. (v) El Procedimiento de Gestión de Bases de Datos de Personales Naturales no se encuentra fechado y no está suscrito por los encargados de su revisión y aprobación. En cuanto al tercer componente, evaluación y revisión continua, la sociedad investigada indica que hace referencia a la “revisión y verificación de la pertinencia y efectividad del programa, el cual no es estático, sino que este debe adaptarse de conformidad con la dinámica de la organización y los cambios que se presentan en la normativa aplicable a la materia”.

Por otra parte, se reitera que el objeto de esta actuación administrativa ha sido investigar la presunta vulneración por parte de la sociedad investigada de los deberes previstos en: (i) en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015; y (ii) en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 ejúsdem.

De manera que, en esta actuación administrativa, en virtud del principio de responsabilidad demostrada, la sociedad investigada debió probar que para la época de los hechos contaban con las medidas pertinentes, útiles, efectivas y verificables para garantizar el debido ejercicio del derecho de hábeas data de los titulares y el cumplimiento del deber de responder las consultas y reclamaciones en los términos previstos en la ley.

Dentro de las pruebas aportadas en el escrito de descargos 9, como se indicó, se encuentran documentos generados con posterioridad a la fecha de ocurrencia de los hechos materia de investigación, por lo cual no se acredita la existencia de una Política Integral de Protección de Datos Personales, pertinente, útil, efectiva y verificable, para el periodo de la presunta vulneración de los deberes a cargo de la sociedad investigada.

Adicionalmente, respecto de los documentos de Política de Seguridad de la Información, el Procedimiento Gestión de Incidentes de Seguridad de la Información y el Procedimiento de Gestión de Bases de Datos de Personales Naturales10, si bien son anteriores a la fecha de ocurrencia de los hechos, no están relacionados directamente con los deberes investigados en esta actuación administrativa.

En todo caso, es importante que de estos documentos se tenga en cuenta lo señalado en los anteriores numerales (iv) y (v). De lo anterior, es claro que ALMACENES ÉXITO S.A. no acredita el cumplimiento efectivo del principio de responsabilidad demostrada a través de una Política Integral de Protección de Datos Personales. En primer lugar, si bien en el escrito de descargos indica que la mentada política se basa en la “Guía para la Implementación del Principio de Responsabilidad Demostrada (Accountability)” de esta Superintendencia, los documentos aportados: (i) Corresponden a la adopción de algunos mecanismos para la protección de los datos personales, los cuales en su mayoría son posteriores a la fecha de los hechos objeto de esta investigación, por lo cual este Despacho encuentra que la sociedad investigada no tenía las políticas y medidas necesarias previas a la fecha de la denuncia. Así mismo, las medidas, políticas y procedimientos adoptados para ese entonces no tienen una relación directa con los deberes objeto de estudio.

(ii) Como se indicó en renglones atrás, varios de los documentos son posteriores a la fecha de ocurrencia de los hechos materia de investigación, por lo cual no se evidencia que la sociedad investigada haya tenido estándares elevados de protección de datos personales, respecto de los deberes objeto de estudio, para la fecha de ocurrencia de los hechos, por lo cual no es posible tener en cuenta el principio de responsabilidad demostrada para determinar la sanción. (iii) La sociedad investigada no demuestra cumplimiento efectivo del principio de responsabilidad demostrada a través de una Política Integral de Protección de Datos Personales respecto de los deberes objeto de estudio de forma real y efectiva.

Ibídem. Anexos al oficio 19-131597- -00009 del 8 de enero de 2020. HOJA N 14, “Por la cual se impone una sanción y se imparten unas órdenes” Al respecto, es menester traer a colación lo expresado por la Delegatura de Protección de Datos Personales de esta Superintendencia en la Resolución 12192 del 1 de abril de 2012, en la cual se indica: “El término “accountability”, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

El reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Se trata de una actividad constante, que exige demostrar un cumplimiento real y efectivo en la práctica de sus labores. El Principio de Responsabilidad Demostrada –accountability- demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales.

El mismo, exige que los Responsables y Encargados del Tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales.

Medidas “apropiadas” son aquellas ajustadas a las necesidades del Tratamiento de Datos. Y “efectivas”, son las que permiten lograr el resultado o efecto que se desea o espera. En otras palabras, no se deben adoptar medidas inoperantes; inservibles; inanes o infructuosas. Solo se deben instaurar aquellas adecuadas; correctas; útiles; oportunas y eficientes con el propósito de cumplir los requerimientos legales para realizar Tratamiento de Datos personales.

El Principio de Responsabilidad Demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre Tratamiento de Datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido Tratamiento de los Datos personales. Adicionalmente, el reto de las organizaciones frente al Principio de Responsabilidad Demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas.

Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones.” Así las cosas, revisado el material probatorio obrante en el expediente y los argumentos de hecho y de derecho de la investigada, respecto del principio de responsabilidad demostrada, encontramos que para que el mismo sea tomado como atenuante de la sanción es necesario que la sociedad investigada (i) haya adoptado medidas pertinentes, útiles, efectivas y verificables, que respeten y garanticen el derecho de hábeas data de los titulares, respecto de los deberes objeto de estudio y previo a la fecha de la denuncia;

(ii) haya tomado, previo a la fecha de la denuncia, medidas que eviten los hechos objeto de esta investigación y haya aplicado el principio de responsabilidad demostrada de acuerdo con la “Guía de Implementación del Principio de Responsabilidad Demostrada (Accountability)” de esta Superintendencia, así como lo previsto en lo correspondiente en el Decreto Único Reglamentario 1074 de 2015, respecto de los deberes objeto de estudio..

De acuerdo con lo anterior, este Despacho encuentra que la mayoría de las medidas, políticas y procedimientos adoptados por la investigada, son posteriores a la fecha de los hechos objeto de investigación. En todo caso, los documentos aportados son insuficientes para acreditar una Política Integral de Protección de Datos Personales que efectivamente la sociedad investigada esté cumpliendo de forma material y real con la legislación vigente en materia de hábeas data, específicamente respecto de los deberes objeto de estudio.

En consideración a esto último, se trae a acotación lo previsto en la Resolución No. 83882 del 15 de noviembre de 2018 proferida por la Delegatura de Protección de Datos Personales de esta Superintendencia, en la cual se indica: “Responsabilidad de los administradores en materia de tratamiento de datos personales. El artículo 2 de la Constitución de la República de Colombia de 1991 señala que son fines esenciales del Estado, entre otros, “garantizar la efectividad de los principios, derechos y deberes consagrados en la Constitución”.

Nótese como la disposición constitucional reclama que se obtengan resultados positivos y concretos respecto de los derechos constitucionales como, por HOJA N 15, “Por la cual se impone una sanción y se imparten unas órdenes” ejemplo, el debido tratamiento de los datos personales o la protección de datos previsto en el artículo 15 de la Carta Política.

La efectividad de los derechos humanos es un asunto de gran importancia en la sociedad a tal punto que es una exigencia de naturaleza constitucional y del más alto nivel en el ordenamiento jurídico. Por eso, el citado artículo ordena que las “autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares”.

Como es sabido, la Constitución Política de Colombia establece en el artículo 333 que “la actividad económica y la iniciativa privada son libres, dentro de los límites del bien común”. Dicho “bien común” se refiere a cuestiones relevantes para una sociedad como, entre otros, la protección de los derechos humanos porque son imprescindibles para que cualquier ser humano sea tratado como una “persona” y no como un objeto o cosa.

En línea con lo anterior, nuestra Carta Política recalca que la “libre competencia económica es un derecho de todos que supone responsabilidades” y que la “empresa, como base del desarrollo tiene una función social que implica obligaciones”. Como se observa, la actividad empresarial no puede realizarse de cualquier manera y en el mundo empresarial no tiene cabida jurídica la afirmación según la cual “el fin justifica los medios”.

En efecto, no se trata de una libertad ilimitada, sino de una actividad “restringida” porque no solo puede ser respetuosa del bien común, sino que demanda el cumplimiento de obligaciones constitucionales y legales. El bien común al que se refiere el precitado artículo 333 exige que, entre otras, la realización de cualquier actividad económica garantice los derechos fundamentales de las personas.

Es por esto que la Constitución pone de presente que la participación en el mercado supone responsabilidades y que efectuar actividades empresariales implica cumplir con las obligaciones previstas en la ley. Ahora bien, según el artículo 22 de la ley 222 de 1995 la expresión administradores comprende al “representante legal, el liquidador, el factor, los miembros de juntas o consejos directivos y quienes de acuerdo con los estatutos ejerzan o detenten esas funciones”.

Cualquiera de ellos tiene la obligación legal de garantizar los derechos de los titulares de datos y de cumplir la ley 1581 de 2012 y cualquier otra norma. Es por eso que el artículo 23 de la ley en mención establece que los administradores no sólo deben “obrar de buena fe, con lealtad y con diligencia de un buen hombre de negocios”, sino que en el cumplimiento de sus funciones deben “velar por el estricto cumplimiento de las disposiciones legales o estatutarias”.

(Subrayamos) (…) Nótese que el artículo 24 de la ley en comento presume la culpa del administrador “en los casos de incumplimiento o extralimitación de sus funciones, violación de la ley o de los estatutos”. Dicha presunción de responsabilidad exige que los administradores estén en capacidad de probar que han obrado con lealtad y la diligencia de un experto, es decir, como un “buen hombre de negocios” tal como lo señala el precitado artículo 23.

Adicionalmente, no debe perderse de vista que los administradores jurídicamente responden “solidaria e ilimitadamente de los perjuicios que por dolo o culpa ocasionen a la sociedad, a los socios o a terceros”. En este sentido es de suma importancia resaltar la responsabilidad jurídica y económica, que radica no sólo en las personas jurídicas sino también en cabeza de sus administradores, de suerte que este Despacho es enfático en aclarar que los mismos deben obrar con diligencia en su gestión para el adecuado tratamiento de datos personales.

En virtud de lo anterior, en virtud del literal b) y c) del artículo 21 de la Ley 1581 de 2012, esta Superintendencia se ORDENERÁ al representante legal de la sociedad ALMACENES ÉXITO S.A., las siguientes instrucciones para que adopte las medidas pertinentes, útiles efectivas y verificables con el propósito de: i) Evitar que se repitan hechos como los que dieron origen a la presente investigación. ii) Respetar y garantizar los derechos de los titulares de los datos. iii) Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el tratamiento de datos personales.

HOJA N 16, “Por la cual se impone una sanción y se imparten unas órdenes” iv) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de esta Superintendencia en la “Guía para la implementación del principio de responsabilidad demostrada (accountability)”11, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales. v) Hacer efectivo el pleno respeto del derecho fundamental de Habeas Data.

DÉCIMO PRIMERO: Imposición y graduación de la sanción 11.1 Faculad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, la Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: Ver en: https://www.sic.gov.co/noticias/guia-para-la-implementacion-del-principio-de-responsabilidad-demostrada HOJA N 17, “Por la cual se impone una sanción y se imparten unas órdenes” ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2020 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibídem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional12 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”13. Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del 12 “Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. Nadie podrá ser juzgado sino conforme a leyes preexistentes al acto que se le imputa, ante juez o tribunal competente y con observancia de la plenitud de las formas propias de cada juicio. En materia penal, la ley permisiva o favorable, aun cuando sea posterior, se aplicará de preferencia a la restrictiva o desfavor able.

Toda persona se presume inocente mientras no se la haya declarado judicialmente culpable. Quien sea sindicado tiene derecho a la defensa y a la asistencia de un abogado escogido por él, o de oficio, durante la investigación y el juzgamiento; a un debido proceso público sin dilaciones i njustificadas; a presentar pruebas y a controvertir las que se alleguen en su contra; a impugnar la sentencia condenatoria, y a no ser juzgado dos veces por el mismo hecho.

Es nula, de pleno derecho, la prueba obtenida con violación del debido proceso.” 13 Ver en: Corte Constitucional Sentencia C-125 del 18 de febrero de 2003. MP. Marco Gerado Monroy Cabra. HOJA N 18, “Por la cual se impone una sanción y se imparten unas órdenes” artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”14.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”15. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el arriba transcrito artículo 23 de la misma ley.

Asimismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 11.1.1 Literal a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012. 14 Párrafo segundo del Preámbulo de la Declaración Universal de Derechos Humanos. Párrafo tercero del Preámbulo de la Declaración Universal de Derechos Humanos. HOJA N 19, “Por la cual se impone una sanción y se imparten unas órdenes” Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”.16 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados17.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub-examine, quedó demostrado que: • La sociedad ALMACENES ÉXITO S.A. actúo negligentemente al no atender efectivamente y de forma oportuna la solicitud de supresión de información en todas sus bases de datos, efectuada en ejercicio del derecho de hábeas data por la denunciante.

Por lo anterior, se impondrá una sanción pecuniaria equivalente a DOS MIL CIEN (2.100) UNIDADES DE VALOR TRIBUTARIO – UVT18 por la vulneración al deber establecido en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015. • La sociedad ALMACENES ÉXITO S.A. atendió de manera negligente la petición presentada por la titular en ejercicio de su derecho fundamental de hábeas data, en la medida en que tardó más de 8 meses en otorgar la respuesta a lo solicitado.

Por esto, se impondrá una sanción pecuniaria equivalente a DOS MIL CIEN (2.100) UNIDADES DE VALOR TRIBUTARIO – UVT por la vulneración al deber establecido en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 ejúsdem. 11.1.2 Literal c) el reconocimiento o aceptación de la comisión de una aceptación El criterio de atenuación señalado en el literal c) del artículo 24 de la Ley 1581 de 2012 se aplicará toda vez que la sociedad investigada, en la cuarta página del oficio 19-131597- -00009 del 8 de enero de 2020 correspondiente a su escrito de descargos, se allanó a los cargos formulados al indicar lo siguiente: “Almacenes éxito S.A. acogiéndose a los principios de economía procesal, celeridad, eficiencia, eficacia, buena fe y lealtad procesal dispuestos por el legislador y que deben observar las partes en un proceso, en aras de garantizar el uso eficiente de los recursos Ver en: Corte Constitucional, Sentencia C-125 del 18 de febrero de 2003.

M.P. Marco Gerardo Monroy Cabra. Ley 1266 de 2008 “Artículo 19. Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c ) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Superintendencia de Industria y Comercio; e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hub iere lugar.” Mediante Resolución 84 de 28 de noviembre de 2019 se fijó en $35.607 pesos el valor de la Unidad de Valor Tributario - UVT, que regirá durante el año 2020.

HOJA N 20, “Por la cual se impone una sanción y se imparten unas órdenes” humanos y físicos dispuestos por el Estado para impartir justicia, se allana de manera voluntaria y expresa a los cargos formulados, ante la insuficiencia de material probatorio y de la ausencia de elementos de juicio que controviertan con suficiente convicción los hallazgos encontrados en la averiguación preliminar.

(…)” Frente al anterior allanamiento por parte de la sociedad ALMACENES ÉXITO S.A., para el primer cargo, correspondiente a la vulneración del literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, se procederá a reducir la sanción impuesta en DOSCIENTAS DIEZ (210) UNIDADES DE VALOR TRIBUTARIO – UVT.

En cuanto a la vulneración del deber establecido en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 ejúsdem, se procederá a reducir la sanción impuesta en DOSCIENTAS DIEZ (210) UNIDADES DE VALOR TRIBUTARIO – UVT. 11.1.3 Literal f) reincidencia en la comisión de la infracción Será tenido en cuenta el criterio contenido en el literal f) del artículo 24 de la Ley 1581 de 2012 en la medida en que con anterioridad la sociedad ALMACENES ÉXITO S.A. ha sido sancionada por la misma conducta violatoria de la ley, esto es, que se ha generado reincidencia en el cumplimiento del deber previsto en el literal a) de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, razón por la cual este Despacho aumentará la sanción por el primer cargo en un valor equivalente a TRESCIENTOS QUINCE (315) UNIDADES DE VALOR TRIBUTARIO – UVT.

En efecto, enseguida se destaca la siguiente sanción impuesta por vulneración del deber contemplado en el literal a) de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015: Radicado 17-189730 En el que mediante la Resolución No. 44026 del 25 de junio de 2018 se sancionó a la sociedad ALMACENES ÉXITO S.A. por la violación del deber establecido en el literal a) de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 201519, al haberse demostrado que la sociedad: “En ese orden de ideas, resulta absolutamente evidente que la intención del denunciante, al hacer uso de su derecho de supresión ante la investigada, estaba estaba encaminada en que se eliminara toda la información personal asociada a su nombre y a no continuar recibiendo correos publicitarios, y por lo tanto el procedimiento que se debió adelantar tendría que estar dirigido a atender de manera integral la solicitud presentada por el Titular, suprimiendo toda la información personal que tenía almacenada en sus bases de datos, situación que en el caso particular no ocurrió, puesto que la titular continuó recibiendo prospección comercial tal como fue debidamente acreditado en el curso de la presente actuación administrativa.

Asi las cosas, está plenamente demostrado que en el caso en estudio el Responsable del Tratamiento omitió suprimir la dirección de correo electrónico de (…) por lo que continuó enviando correos electrónicos con contenido publicitario aun en contra de la Voluntad de la Titular, vulnerando de esta manera su derecho fundamental de habeas data.” Este Despacho dentro de la actuación administrativa, bajo el expediente con radicado 17-189730, sancionó a la citada sociedad por la suma de SETENTA MILLONES TRESCIENTOS ONCE MIL SETECIENTOS OCHENTA PESOS ($70.311.780), por el incumplimiento del deber contemplado en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015. 11.1.5 Otros criterios de graduación Esta decisión fue confirmada primero mediante la Resolución 60828 del 23 de agosto de 2018, por la cual se resolvió el recurso de reposición interpuesto contra la decisión de la Resolución No. 44026 del 25 de junio de 2018 y posteriormente, a través de la Resolución 21240 del 14 de junio de 2019, por medio de la cual se resolvió el recurso de apelación interpuesto contra la Resolución No. 44026 del 25 de junio de 2018.

HOJA N 21, “Por la cual se impone una sanción y se imparten unas órdenes” Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iii) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

En mérito de lo expuesto este Despacho,

RESUELVE

ARTÍCULO PRIMERO: Imponer una sanción pecuniaria a la sociedad ALMACENES ÉXITO S.A., identificada el NIT 890.900.608-9, de CIENTO CUARENTA Y CINCO MILLONES OCHOCIENTOS DIEZ MIL SEISCIENTOS SESENTA Y CINCO PESOS M/CTE ($ 145.810.665), equivalente a CUATRO MIL NOVENTA Y CINCO (4.095) UNIDADES DE VALOR TRIBUTARIO – UVT, por la vulneración de lo dispuesto en (i) en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015; y (ii) en el literal j) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 15 ejúsdem.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR al señor GIRALDO MORENO CARLOS MARIO identificado con Cédula de ciudadanía No. 71.590.612 en calidad de representante legal de la sociedad ALMACENES ÉXITO S.A., identificada el NIT 890.900.608-9 para que adopte las medidas pertinentes, útiles efectivas y verificables con el propósito de: 1. Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2.

Respetar y garantizar los derechos de los titulares de los datos. 3. Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4. Aplicar el principio de responsabilidad demostrada, observando las orientaciones de esta Superintendencia en la “Guía para la implementación del principio de responsabilidad demostrada (accountability)” con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los Titulares de los datos personales. 5.

Hacer efectivo el pleno respeto del derecho fundamental de Hábeas Data.

ARTÍCULO TERCERO: Notificar personalmente el contenido de la presente resolución a la sociedad ALMACENES ÉXITO S.A., identificada el NIT 890.900.608-9, a través de su representante legal o apoderado y al señor GIRALDO MORENO CARLOS MARIO identificado con Cédula de ciudadanía No. 71.590.612 en calidad de representante legal de la sociedad ALMACENES ÉXITO S.A., a través de su representante legal o apoderado, entregándoles copia de la misma e informándoles que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días hábiles siguientes a su notificación. HOJA N 22, “Por la cual se impone una sanción y se imparten unas órdenes”

ARTÍCULO CUARTO: Comunicar el contenido de la presente resolución a la señora XXXXXXX XXXXXX XXXXXXXX, identificada con cédula de ciudadanía xxxxxxxxxx.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 31 JULIO 2020 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2020.08.04 11:27:09 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: LACA Revisó: AMVJ Aprobó: CESM “Por la cual se impone una sanción y se imparten unas órdenes” NOTIFICACIÓN: Investigada: Sociedad: ALMACENES ÉXITO S.A. Identificación: Nit. 890.900.608-9 Representante Legal: Carlos Mario Giraldo Moreno Identificación: C.C. 71.590.612 Apoderado especial: Xxxxx Xxxxxx Xxxx Identificación: C.C. xxxxxxxxxx Dirección: Carrera 48 No. 32B SUR - 139 Ciudad: Envigado, Antioquia.

Correo electrónico: njudiciales@grupo-exito.com COMUNICACIÓN: Señora: XXXXXXX XXXXXX XXXXXXXX Identificación: C.C. xxxxxxxxxx Correo electrónico: xxxxxxxxxxxxxxxxxxxx HOJA N 23,