Sanción 21200 de 2024 — SIC

(29 de abril de 2024) “Por la cual se impone una sanción y se imparten órdenes administrativas” Radicación 22-183535 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, identificada con NIT. 900.311.581-7, por lo que decidió iniciar investigación administrativa de acuerdo con el traslado ordenado por medio de la Resolución N° 61649 del 27 de septiembre de 2021, en consideración a los siguientes hechos contenidos en la queja interpuesta por el denunciante en fecha 9 de mayo del 2022 y radicado 22-183535-0, quien alegó que: “[…] me llegan varios mensajes de texto y correos electrónicos con publicidad que no deseo recibir.

Por lo anterior, acudí a MAC Center en innumerables ocasiones para radicar la solicitud y/o revocar cualquier autorización que hubiere podido haber dado. A pesar de las solicitudes que he realizado, no han eliminado mis datos de sus bases de datos, me siguen llegando mensajes de texto y correos electrónicos. Así, adjunto todos los soportes y respuestas que he recibido, así como algunos de los mensajes de texto y correos que todavía sigo recibiendo […]”1 SEGUNDO: Que, dentro de la actuación administrativa adelantada por el Grupo de Trabajo de Habeas Data, se recolectaron los elementos materiales de prueba que se enlistan a continuación: 2.1.

Requerimiento de información 21-192415-3 del 19 de mayo de 2021 dirigido a la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA. 2.2. Comunicación remitida 21-192415-4 del 10 de junio de 2021 de la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA.

TERCERO: Que, con base en los hechos anotados y de acuerdo con las pruebas recaudadas, a partir de los cuales se advierte la presunta violación de las normas sobre protección de datos personales el 29 de agosto de 2022 se inició la presente investigación administrativa mediante la expedición de la Resolución N°. 58042 por medio de la cual se formuló cargos a la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, por la presunta contravención de lo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma Ley, así como el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015. 1 Radicado 22-183535-0 del 9 de mayo del 2022, pág. 2, folio 18 “Por la cual se impone una sanción y se imparten órdenes administrativas” La mencionada resolución le fue notificada a la investigada el día 8 de septiembre de 2023 mediante Aviso N°. 22118 de conformidad con la certificación de la misma fecha expedida por la Secretaría General de esta Superintendencia bajo el radicado 22-183535-8.

CUARTO: Que la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, por intermedio de apoderado aportó escrito de descargos, junto con anexos bajo el radicado 22-183535-10 del 29 de septiembre de 2023, argumentando, entre otras cosas, lo siguiente: 4.1. Inicialmente, realiza un recuento de los antecedentes de hecho y de derecho de esta investigación, así como frente a la oportunidad procesal para presentar descargos, antecedido por la transcripción de la formulación del cargo único y se allana a dicho cargo. 4.2.

Inicialmente y frente a la solicitud de revocatoria de uso de datos de la quejosa, señala que el 18 de octubre del 2019 se comunicó con la Titular para que esta le indicara por cual medio está recibiendo publicidad y que, una vez recibida la respuesta, señala que el área de atención al cliente se comunica con el área de mercadeo para pedir la desactivación del servicio de envío de mensajería y publicidad el 21 de octubre del 2019.

Posteriormente, agrega que, tras la desactivación de datos, tras requerimiento de la Titular del 30 de enero del 2020, la sociedad adelantó las gestiones para garantizar el envío de información no se estuviera haciendo. Por ello, el Director de Servicio al Cliente insistió en la necesidad de desactivar datos de la Titular. Señala que el Director del área de Mercadeo Digital confirmó que los datos de la señora XXXXXXXX ya no se encontraban dentro de la plataforma de control de clientes o CRM de Mac Center.

Como prueba de ello, envía correo al Director de Servicio al Cliente el día 30 de enero del 2020, aseverando que los datos de la quejosa ya nos e encontraban en la base de datos de mailing. No obstante lo anterior, indica que la Titular el día 9 de febrero del 2021 presentó una nueva solicitud de revocatoria de sus datos, por lo cual se realizó un requerimiento interno para garantizar el ejercicio de los derechos de la quejosa Sobre este punto, señala que una vez revisada la información de la quejosa, los datos de esta figuraban como desactivados, por lo que señala que desconocía la causa del envío de los correos electrónicos a esta.

Al respecto, señala que el 12 de febrero del 2021 se confirma la baja de los datos de la Titular del fichero de la investigada. Por tercera vez, indica que la Titular se comunicó el 8 de mayo del 2021 reiterando la solicitud de eliminación. Por ello, la investigada decidió profundizar sus averiguaciones internas, concluyendo que se debió a un error informático del software de la sociedad, por un cambio de la plataforma.

Así, la investigada concluye que no desatendió la solicitud de revocatoria. En este sentido, señala que la investigada con el apoyo de sus funcionarios, le daba el trámite correspondiente de la manera más pronta posible, adelantando las gestiones internas para eliminar los datos de la titular de los datos. Sobre el allanamiento parcial, señala que lo hace respecto de la no materialización del derecho a la supresión del dato de la quejosa.

Sin embargo, insiste en que el envío de información posterior a la primera solicitud de la Titular se hizo de manera no intencional. Al respecto, alega que no puede prever la situación fortuita como es la falla del proceso de migración de un sistema de gestión de datos, haciendo hincapié en que cada vez que la Titular presentaba una petición, los datos de la Titular figuraban como retirados.

Sobre la plataforma CRM de la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, señala que a través de esta herramienta se enviaba publicidad a los clientes, entre ellos, a la quejosa. Sin embargo, alega que cuando la titular solicitó que no se le enviará más publicidad, la sociedad llevó a cabo tal modificación en la plataforma.

“Por la cual se impone una sanción y se imparten órdenes administrativas” Posteriormente, la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA cambió su plataforma de publicidad de CRM a “CRM INFOBIP”, razón por la que los datos almacenados en “CRM EMBLUE”, es decir, la anterior plataforma, migraron a la nueva, en la cual se reactivaron los datos de la Titular.

Sobre este tema, afirma tajantemente que “Aunque se tenía la firme creencia en que los datos de la señora Xxxxxxxx habían mutado a la nueva plataforma desactivados, y así se reafirmaba con las múltiples consultas del equipo interno de Mac center, se halló que en la migración de los datos de la titular estos se reactivaron para el envío de correos”2. 4.3.

Finalmente, aporta las pruebas que pretende hacer valer en el proceso y no aporta pretensiones. QUINTO Que mediante Resolución N°. 52396 del 31 de agosto de 2023, este Despacho determinó que cuenta con todos los elementos de juicio necesarios para decidir la presente investigación, por tal motivo corrió traslado para alegar y procedió a incorporar las pruebas obrantes en el expediente, las cuales se relacionan a continuación. 5.1.

Escrito de queja interpuesto por la denunciante, bajo radicado 21-192415-0 del 10 de mayo de 2021, junto con sus anexos3: 5.1.1 Correo electrónico del 18 de octubre de 2019, remitido desde la cuenta de correo electrónico tiendaonline@mac-center.com, dirigido a la cuenta de correo electrónico xxxxxxxxxxxxxxx@gmail.com. 5.1.2 Correo electrónico del 19 de octubre de 2019, remitido desde la cuenta de correo electrónico xxxxxxxxxxxxxxx@gmail.com, dirigido a la cuenta de correo electrónico tiendaonline@maccenter.com5 5.1.3.

Correo electrónico del 18 de octubre de 2019, remitido desde la cuenta de correo electrónico xxxxxxxxxxxxxxx@gmail.com, dirigido a la cuenta de correo electrónico tiendaonline@maccenter.com6. 5.1.4 Correo electrónico del 7 de enero de 2021, remitido desde la cuenta de correo electrónico consultas@mac-center.com, dirigido a la cuenta de correo electrónico xxxxxxxxxxxxxxx@gmail.com7. 5.1.5 Correo electrónico del 10 de enero de 2021, remitido desde la cuenta de correo electrónico consultas@mac-center.com, dirigido a la cuenta de correo electrónico xxxxxxxxxxxxxxx@gmail.com8. 5.1.6 Correo electrónico del 29 de enero de 2020, remitido desde la cuenta de correo electrónico xxxxxxxxxxxxxxx@gmail.com, dirigido a la cuenta de correo electrónico tiendaonline@maccenter.com, en el cual se aporta copia de mensajes de texto enviados a la titular9. 5.1.7 Correo electrónico del 24 de octubre de 2019, remitido desde la cuenta de correo electrónico xxxxxxxxxxxxxxx@gmail.com, dirigido a la cuenta de correo electrónico tiendaonline@maccenter.com, en el cual se aporta copia de mensajes de texto enviados a la titular10. 5.1.8 Correo electrónico del 12 de mayo de 2020, remitido desde la cuenta de correo electrónico xxxxxxxxxxxxxxx@gmail.com, dirigido a la cuenta de correo electrónico tiendaonline@maccenter.com11. 5.1.9 Correo electrónico del 31 de enero de 2020, remitido desde la cuenta de correo electrónico xxxxxxxxxxxxxxx@gmail.com, dirigido a la cuenta de correo electrónico tiendaonline@maccenter.com, en el cual se aporta copia de mensajes de texto enviados a la titular12. 2 Radicado 22-183535-10, página 5, Folio 9 3 Radicado 22-183535-0 Página 2.

Folio 18 4 Radicado 22-183535-0 Página 2. Folio 19 5 Radicado 22-183535-0 Página 2. Folio 20 6 Radicado 22-183535-0 Página 2. Folio 21 7 Radicado 22-183535-0 Página 2. Folios 22 al 25 8 Radicado 22-183535-0 Página 2. Folios 26 al 29 9 Radicado 22-183535-0 Página 2. Folios 30 y 31 10 Radicado 22-183535-0 Página 2. Folios 32 y 33 11 Radicado 22-183535-0 Página 2.

Folio 34 12 Radicado 22-183535-0 Página 2. Folios 35 y 36 “Por la cual se impone una sanción y se imparten órdenes administrativas” 5.1.10 Correo electrónico del 9 de febrero de 2021, remitido desde la cuenta de correo electrónico xxxxxxxxxxxxxxx@gmail.com, dirigido a la cuenta de correo electrónico tiendaonline@maccenter.com13. 5.1.11 Correo electrónico del 8 de mayo de 2021, remitido desde la cuenta de correo electrónico xxxxxxxxxxxxxxx@gmail.com, dirigido a la cuenta de correo electrónico tiendaonline@maccenter.com14. 5.1.12 Correo electrónico del 18 de octubre de 2019, remitido desde la cuenta de correo electrónico xxxxxxxxxxxxxxx@gmail.com, dirigido a la cuenta de correo electrónico tiendaonline@maccenter.com15. 5.1.13 Correo electrónico del 6 de enero de 2021, remitido desde la cuenta de correo electrónico consultas@mac-center.com, dirigido a la cuenta de correo electrónico xxxxxxxxxxxxxxx@gmail.com, en el cual se aporta copia de mensajes de texto enviados a la titular16. 5.2 Requerimiento de información dirigido a la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA bajo radicado 21-192415-3 del 19 de mayo de 202117. 5.3.

Respuesta al requerimiento de información procedente de la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, bajo radicado 21-192415-4 del 10 de junio de 202118, con los siguientes anexos: 5.3.1 Facturas emitidas por la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA a la denunciante19. 5.3.2 Programa Integral de Gestión de Datos Personales de Mac Center20. 5.3.3 Manual de observancia y cumplimiento de las normas de protección de datos personales de Mac Center Colombia S.A.S21. 5.3.4 Resolución N° 61649 del 27 de septiembre de 202122. 5.3.5 Correo electrónico del 22 de noviembre de 2021, con cumplimiento a la orden administrativa impartida en la Resolución 61649 del 27 de septiembre de 202123. 5.3.6 Escrito de acreditación de cumplimiento a la orden administrativa por parte de la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA24. 5.3.7 Documento “POLÍTICA INTERNA SISTEMA DE CUMPLIMIENTO NORMAS DE PROTECCIÓN AL CONSUMIDOR CONSUMO 180°” de la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA25. 5.3.8 Certificado de existencia y representación legal de la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA26. 5.4 Correo electrónico del 29 de septiembre de 2022, mediante el cual la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, allega escrito de descargos y sus anexos27: 5.4.1 Estados financieros y notas al 31 de diciembre de 2021 y 202228. 13 Radicado 22-183535-0 Página 2.

Folio 37 14 Radicado 22-183535-0 Página 2. Folio 38 15 Radicado 22-183535-0 Página 2. Folio 39 16 Radicado 22-183535-0 Página 2. Folios 32 y 33 17 Radicado 22-183535-0 Página 2. Folios 50 y 51 18 Radicado 22-183535-0 Página 2. Folios 53 al 58 19 Radicado 22-183535-0 Página 2. Folios 59 al 61 20 Radicado 22-183535-0 Página 2. Folio 62 al 75 21 Radicado 22-183535-0 Página 2.

Folios 76 al 92 22 Radicado 22-183535-0 Página 2. Folios 127 al 143 23 Radicado 22-183535-0 Página 2. Folio 187 24 Radicado 22-183535-0 Página 2. Folios 188 al 189 25 Radicado 22-183535-0 Página 2. Folios 190 al 194 26 Radicado 22-183535-0 Página 2. Folios 197 al 207 27 Radicado 22-183535-10 Página 1. 28 Radicado 22-183535-10 Página 2 “Por la cual se impone una sanción y se imparten órdenes administrativas” 5.4.2 Escrito suscrito por la representante legal de la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, mediante el cual certifica la eliminación de la información de la titular de sus bases de datos29. 5.4.3 Escrito de descargos allegado por la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA30. 5.4.4 Correo electrónico del 30 de enero de 2020, remitido desde la cuenta de correo electrónico Xxxxxxxx@grupodavissa.com, dirigido a la cuenta de correo electrónico Xxxxxxxx@mac-center.com31. 5.4.5 Correo electrónico del 30 de enero de 2020, remitido desde la cuenta de correo electrónico j Xxxxxxxx@mac-center.com, dirigido a la cuenta de correo electrónico Xxxxxxxx@grupodavissa.com32. 5.4.6.

Correo electrónico del 30 de enero de 2020, remitido desde la cuenta de correo electrónico j Xxxxxxxx@mac-center.com, dirigido a la cuenta de correo electrónico Xxxxxxxx@grupodavissa.com33. 5.4.7 Correo electrónico del 25 de octubre de 2019, remitido desde la cuenta de correo electrónico consultas@mac-center.com, dirigido a la cuenta de correo electrónico tiendaonline@maccenter.com34. 5.4.8 Correo electrónico del 25 de mayo de 2021, remitido desde la cuenta de correo electrónico XXXXXxXXX@mac-center.com, dirigido a la cuenta de correo electrónico Xxxxxxxx@grupodavissa.com. 5.4.9 Correo electrónico del 12 de febrero de 2021, remitido desde la cuenta de correo electrónico practicantemercadeo@mac-center.com, dirigido a la cuenta de correo electrónico tiendaonline@maccenter.com36 La mencionada resolución le fue comunicada a la investigada el día 1 de septiembre de 2023 mediante de conformidad con la certificación del 3 de octubre de 2023 expedida por la Secretaría General de esta Superintendencia bajo el radicado 22-183535-15.

SEXTO: Que mediante comunicación radicada bajo 22-183535-14 de fecha 21 de septiembre de 2023, la investigada reiteró lo mencionado en el escrito de descargos, solicitando la aplicación de los criterios de graduación de sanción y señala que “4.1. La dimensión del daño o peligro a los intereses jurídicos tutelados por lapresente ley En el caso que nos ocupa, los datos sujetos a la presunta infracción son el número telefónico y correo electrónico de una única persona.

Dichos datos no poseen carácter de sensibles y podrían clasificarse como semiprivados. Por consiguiente, aparte de afectar su derecho a no recibir más publicidad, la Sra. Xxxxxxxx no sufrió un daño significativo ni una afectación severa a sus intereses jurídicos. No se vulneró la confidencialidad de sus datos, ni estos se expusieron al uso público.

Por otra parte, a través de los diversos correos electrónicos proporcionados, se evidencia que Mac Center sí atendió la queja de la Sra. Xxxxxxx. Sin embargo, debido a un error tecnológico no identificado a tiempo por Mac Center, no se pudo concretar el ejercicio del derecho de cancelación de los datos. 4.2 El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción Mac Center no obtuvo beneficio económico alguno por el uso de los datos después de la fecha en que la Sra. Xxxxxxxx presentó la queja ante la Superintendencia. 29 Radicado 22-183535-10 Página 3 30 Radicado 22-183535-10 Página 5 31 Radicado 22-183535-10 Página 6 32 Radicado 22-183535-10 Página 7 33 Radicado 22-183535-10 Página 8 34 Radicado 22-183535-10 Página 9 35 Radicado 22-183535-10 Página 10 36 Radicado 22-183535-10 Página 11.

“Por la cual se impone una sanción y se imparten órdenes administrativas” Es importante destacar que, para Mac Center y en particular para su equipo de mercadeo, los datos de la Sra. Xxxxxxxx no estaban en uso. Debido a un error técnico, se continuó enviando información publicitaria sin el conocimiento del equipo de mercadeo. 4.3 La reincidencia en la comisión de la infracción Mac Center no ha sido condenada en el pasado por infracción de los derechos a que refiere la Ley 1581. 4.4 La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la Mac Center, desde el inicio de la investigación preliminar bajo el expediente No. 21-192415, ha dado cumplimiento a las órdenes y solicitudes efectuadas por la Superintendencia, entregando toda la información que ha sido requerida. 4.5 La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio.

Mac Center, desde el inicio de la investigación preliminar bajo el expediente No.21-192415, ha dado cumplimiento a las órdenes y solicitudes efectuadas por la Superintendencia, entregando toda la información que ha sido requerida. 4.6. El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.

A partir de los descargos, Mac Center ha reconocido como cierto el hecho de que existió un retardo en hacer efectivo el derecho a la revocatoria de la autorización de datos y supresión de la información de la Sra. Xxxxxxxx”

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

OCTAVO: Análisis del caso 8.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 201137, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “(…) En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato.

(…) Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma Ley, así como el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015. 37 Cfr. Corte Constitucional, sentencia C 1011 del 2008, de fecha 16 de octubre del 2008.

M.P.: Jaime Córdoba Triviño. Considerando 3.6.2. Sanciones y criterios para su graduación. “Por la cual se impone una sanción y se imparten órdenes administrativas” En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por la denunciante, los argumentos de hechos y de derecho esgrimidos por la sociedad investigada, así como el conjunto de pruebas allegadas al expediente. 8.2 Valoración probatoria y conclusiones 8.2.1.

Respecto del deber garantizar el pleno y efectivo ejercicio del derecho de hábeas data La Ley 1581 de 2012 establece en el artículo 8 que los Titulares tendrán derecho, entre otros, a: “e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.

La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución”. Dicha garantía, en concordancia con el artículo 17 de la Ley en mención, le exige a los Responsable del Tratamiento de los Datos Personales que estos deben cumplir con: “a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data”.

De igual modo dicha facultad se encuentra contenida en el artículo 2.2.2.25.4.3 del Decreto 1074 de 2015 de la siguiente manera: “Artículo 2.2.2.25.4.3 Del derecho de actualización, rectificación y supresión. En desarrollo del principio de veracidad o calidad, en el tratamiento de los datos personales deberán adoptarse las medidas razonables para asegurar que los datos personales que reposan en las bases de datos sean precisos y suficientes y, cuando así lo solicite el Titular o cuando el Responsable haya podido advertirlo, sean actualizados, rectificados o suprimidos, de tal manera que satisfagan los propósitos del tratamiento (…)”.

Al respecto, es oportuno señalar que los citados artículos establecen que los titulares pueden solicitar la actualización, rectificación y supresión de su información personal cuando en el dato resulte, inexacto, incompleto, fraccionado, induzca a error o aquellos cuyo tratamiento este expresamente prohibido o no haya sido autorizado; pero siempre y cuando la Superintendencia de Industria y Comercio “haya determinado que en el tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley (la 1581 de 2012)”38.

Ahora bien, respecto a la revocatoria de la autorización el artículo 2.2.2.25.2.6. del Decreto 1074 de 2015 establece lo siguiente: “Artículo 2.2.2.25.2.6. Revocatoria de la autorización y/o supresión del dato. Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.

La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos. El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.

Si vencido el término legal respectivo, el responsable y/o el encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012”. Entonces, es claro que de conformidad con los principios que regulan la administración de datos personales, el ejercicio del derecho fundamental de hábeas data permite a los titulares solicitar la supresión de información que haya sido recogida en bases de datos y la revocatoria de la autorización 38 Corte Constitucional, sentencia C-748 de 2011.

M.P.: Jorge Ignacio Pretelt Chaljub “Por la cual se impone una sanción y se imparten órdenes administrativas” para tratamiento de datos personales, de suerte que la Corte consideró que la interpretación adecuada del señalado literal e) del artículo de la Ley 1581 de 2012 es aquella en virtud de la cual el titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales, caso en el cual, en aras de garantizar el debido proceso, la Superintendencia de Industria y Comercio deberá determinar que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos, consideración que fue recogida por el inciso segundo del artículo 2.2.2.25.2.6 del Decreto 1074 de 2015.

En este sentido, esta Dirección encontró preliminarmente que la Titular allegó copia de las comunicaciones enviadas a la sociedad investigada, vía correo electrónico desde el 18 de octubre de 2019 hasta el 8 de mayo de 2021 a través de las cuales solicitó revocar su autorización para el tratamiento de sus datos personales y así no recibir mensajes publicitarios a su número de celular y correo electrónico.

Así, aun a pesar de que la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA contestó a cada una de las peticiones de la Titular, de forma preliminar se evidenció que tras un periodo de un año seis meses y diecinueve días la señora XXXXXXX XXXXXXX XXX XXX XXXXXX seguía recibiendo mensajes a su correo electrónico xxxxxxxxxxxxxxxxxxx @gmail.com En cuanto al cargo único endilgado, la investigadaseñala que el 18 de octubre del 2019 se comunicó con la Titular para que esta le indicara por cual medio está recibiendo publicidad y que, una vez recibida la respuesta, procedió a solicitarle al área de mercadeo que eliminara los datos el 21 de octubre del 2019.

Posteriormente, agrega que, tras la desactivación de datos, tras requerimiento de la Titular del 30 de enero del 2020, la sociedad adelantó las gestiones para garantizar que el envío de información no se estuviera haciendo. Señala que el día 30 de enero del 2020, el Director del área de Mercadeo Digital confirmó que los datos de la señora Xxxxxxxx ya no se encontraban de la plataforma de control de clientes o CRM de Mac Center.

No obstante, indica que la Titular el día 9 de febrero del 2021 presentó una nueva solicitud de revocatoria de sus datos, por lo cual se realizo un requerimiento interno para garantizar el ejercicio de los derechos de la quejosa Sobre este punto, señala que, una vez revisada la información de la quejosa, los datos de esta figuraban como desactivados, por lo que señala que desconocía la causa del envío de los correos electrónicos a esta.

Así las cosas, revisado el material probatorio, se encuentra que: El 18 de octubre de 201939, la reclamante presentó ante la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA una solicitud de revocatoria de la autorización para tratamiento de datos personales y sostuvo que, si volvía a recibir publicidad, procedería a denunciar ante esta entidad lo pertinente, conforme a la siguiente imagen 39 Consecutivo N°. 21-192415-0 “Por la cual se impone una sanción y se imparten órdenes administrativas” Frente a dicha solicitud, la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA le respondió el mismo día a la Titular para que esta la indicara por cual medio estaba recibiendo la publicidad, según la siguiente imagen.

No obstante, el día 19 de octubre del 2019, la quejosa alega que recibió un nuevo mensaje y que por tal razón considera que está haciendo caso omiso a la revocatoria de la autorización presentada Así desde el área de Servicio al Cliente de MAC CENTER se comunican con el área de Mercadeo Digital; área que confirmo la desactivación del envío de información al cliente, No obstante, la quejosa continúo recibiendo mensajes de texto por parte de la investigada, según lo denuncia la Titular en fecha 24 de octubre del 2019, según la siguiente imagen: Posteriormente, el 29 de enero del 2020 la Titular volvió a interponer la solicitud de revocatoria de la autorización para el tratamiento de los datos personales, conforme a la siguiente imagen: “Por la cual se impone una sanción y se imparten órdenes administrativas” Dicha situación por la cual la Titular volvió a interponer la solicitud de revocatoria se presentó en fechas el 31 de enero de 2020, el 13 de noviembre de 2020, el 17 de diciembre de 2020, el 6 de enero de 2021, el 9 de febrero del 2021, el 7 de mayo de 2021 y el 8 de mayo del 2021.

Lo anterior conforme a las siguientes imágenes: “Por la cual se impone una sanción y se imparten órdenes administrativas” Igualmente, mediante solicitud de explicaciones realizado por el Grupo de Trabajo de Hábeas Data dirigido a la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA., fechado el 19 de mayo de 2021 en consecutivo número 21-192415-3, dentro del cual se le solicitó que informara si la Titular había presentado una reclamación. Frente al requerimiento realizado a la investigada, en la etapa preliminar, la misma dio respuesta mediante comunicación radicada 21-192415-4 de fecha 10 de junio del 2021 que “Sí, la titular del dato, la Sra. xxxxxxx xxxxxxx xxx xxx, presentó una queja el día 18 de octubre de 2019, luego de lo cual se le hizo la solicitud a las áreas encargadas para el tratamiento de los datos con la finalidad de enviar información. Para aquel momento, la sociedad Mac Center estaba usado el aplicativo de bases de datos de cliente – CRM- denominado Emblue y desde ahí se canceló el envío de cualquier tipo de comunicación de carácter comercial.

Posteriormente, se hizo una migración a un nuevo CRM, Infobip, donde por alguna circunstancia tecnológica que se está analizando, la información de la Sra. Xxxxxxxx se activó bajo la funcionalidad de envío de información comercial de forma automatizada. Mac Center hizo las indagaciones del caso, y pudo constatar que en las áreas internas se dio la alerta para desactivar todo tipo de envío de información relacionada con la Sra. Xxxxxxxx.

Las áreas involucradas notificaban que la desactivación estaba hecha, pero a pesar de ello la información se seguía enviando de forma automática en razón al error técnico que se presentó en la migración de la información” En dicha línea, la investigada alegó en sede de descargos sus mismos argumentos presentados en la etapa preliminar. Sin embargo, dentro de su escrito destaca que solamente hasta el 12 de febrero del 2021 se confirmó la baja de los datos de la Titular de su fichero.

Adicionalmente, la investigada alega que se allana de manera parcial al cargo al señalar que la no materialización del derecho a la supresión del dato de la quejosa se debió a una alegada situación fortuita como es la falla del proceso de migración de un sistema de gestión de datos, haciendo hincapié en que cada vez que la Titular presentaba una petición, los datos de la Titular figuraban como retirados.

“Por la cual se impone una sanción y se imparten órdenes administrativas” Sobre este tema, afirma tajantemente que “Aunque se tenía la firme creencia en que los datos de la señora Xxxxxxxx habían mutado a la nueva plataforma desactivados, y así se reafirmaba con las múltiples consultas del equipo interno de Mac center, se halló que en la migración de los datos de la titular estos se reactivaron para el envío de correos.” Sobre esta afirmación, es claro que la investigada debió haber desplegado una conducta de mayor diligencia y que no puede ser aceptado el caso fortuito en un proceso de migración de datos.

En el ordenamiento jurídico colombiano, el hecho fortuito40 se ha considerado como aquel fenómeno que proviene de la estructura de la actividad de aquél, y puede ser desconocido permanecer oculto, y en la forma que ha sido definido, no constituye una verdadera causa extraña, con virtualidad para suprimir la imputabilidad del daño. En esta medida, tal fenómeno no puede ser alegado, ya que en ningún momento la investigada había eliminado los datos de la Titular, ya que de su escrito de descargos se evidencia que la misma procedió a la desactivación de datos.

En términos semánticos, según el Diccionario de la Real Academia Española, el termino “desactivar”, significa lo siguiente: “Anular cualquier potencia activa, como la de procesos fisicoquímicos, planes económicos, etc.”41 Por el contrario, según la misma fuente, menciona que eliminar hace referencia a “Quitar o separar algo, prescindir de ello.” Nótese que la diferencia en el uso de los verbos rectores desactivar y eliminar es radical cuando el primer concepto hace referencia al hecho de anular un componente o un dato del sistema, mientras que la eliminación hace clara referencia a separar el dato.

Aunado a ello, recuérdese que la Ley 1581 de 2012 es muy clara al mencionar que el Titular tiene derecho a solicitar la revocatoria de la autorización para el tratamiento de sus datos Por ello, la investigada tiene la carga de proceder de conformidad. Al respecto, este Despacho se permite hacer las siguientes precisiones: La Ley 1581 de 2012 no señala un plazo máximo legal para atender el ejercicio efectivo del derecho al habeas data.

No obstante, si lo dispone para responder a las peticiones en las que se solicite, por ejemplo, la supresión de la información. Situaciones diferentes puesto que el primero se trata del amparo efectivo del derecho de los titulares a “conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y o privadas (…)” al tenor de lo dispuesto en el artículo 15 de la Constitución Política de 1991.

Mientras que el segundo se refiere al termino máximo en que se debe dar respuesta al Titular a una petición hecha, que puede abarcar el ejercicio del Derecho de Habeas Data. En otros términos, el primero corresponde, al ejercicio del Derecho, mientras que el segundo puede ser el medio dispuesto por la ley para tal ejercicio. De manera que el ejercicio del derecho no se satisface con la respuesta al reclamo presentado, ni garantizar la supresión satisface el deber de responder la petición (reclamo) de forma oportuna y de fondo.

En consecuencia, este Despacho encuentra que para el caso en concreto debió haber plena garantía del derecho protegido, es decir, el de Habeas Data al menos desde que la denunciante solicitó la revocatoria de la autorización para el tratamiento de sus datos el día 18 de octubre del 2019. De acuerdo con el acervo probatorio obrante en el expediente, la señora XXXXXXX XXXXXXX XXX XXX XXXXXX solicitó desde el 18 de octubre de 2019 la revocatoria de su autorización para el tratamiento de sus datos personales por parte de la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA.

Por esta razón, la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA debía atender la solicitud de la Titular, accediendo a su solicitud y eliminando la 40 Cfr. Corte Constitucional, sentencia SU 449 del 22 de agosto del 2016. M.P.: JORGE IGNACIO PRETELT CHALJUB 41 Cfr. Reala Academia de la Lengua Española. Url: https://dle.rae.es/desactivar “Por la cual se impone una sanción y se imparten órdenes administrativas” información de la quejosa de su base de datos a más tardar el 12 de noviembre del 2019.

Situación que no se materializó, ya que la Titular continuó recibiendo publicidad sobre los productos de la sociedad hasta el 8 de mayo del 2021. Finalmente, se tiene que la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA incorporó el día 10 de mayo de 2021 en su “Do Not Contact List” el número de celular personal XXX y el correo electrónico xxxxxxxxxxxxxxx@gmail.com, en una especie de “lista negra” –para no volver a contactar a la Titular.

Por todo lo anterior, riñe lo alegado por la investigada con la necesidad del cumplimiento legal en la medida en que se pretenda dar por cumplido el cargo endilgado cuando es evidente que sigue haciendo tratamiento de los datos de la quejosa, cuando incorporó los mismos a su base de datos de no contactar a Titulares. Sobre esta cuestión, la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA no aportó prueba a partir de la cual se pueda determinar que contaba con la autorización o mandato legal para conservar los datos de Titulares que han solicitado la revocatoria de su autorización. Al respecto debe recordarse que la Ley 1581 de 2012 trae una definición muy clara de tratamiento de datos personales, la cual consiste en tratarse de “[c]ualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión”.

En este sentido, la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA al mantener los datos de la quejosa en una lista negra de no contactos aún sigue haciendo tratamiento de ellos, al conservarlos en un fichero propio; situación que se enmarca en el verbo rector “usar”. En suma, se tiene que la Titular realizó un total doce (12) veces la revocatoria de su autorización para el tratamiento de sus datos personales por parte de la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA entre el 18 de octubre del 2019 hasta el 10 de mayo del 2021, por lo que tras un periodo aproximado de un año y seis meses los datos de la señora XXXXXXX XXXXXXX XXX XXX XXXXXX seguían siendo tratados por la investigada, sin autorización. En resumen, es claro que los datos no han sido eliminados, sino que meramente fueron puestos en una lista de contactos para no ser contactados.

Por ello, es claro que la investigada aún posee los datos, vulnerando la regulación contenida en la Ley 1581 de 2012. Por lo anterior, se encuentra probada la violación del cargo, razón por la cual que se impondrá una sanción, para lo cual se tendrá en cuenta el reconocimiento del mismo para el cálculo del monto.

NOVENO: ÓRDENES ADMINISTRATIVAS En este orden de ideas, de acuerdo con lo expuesto en líneas precedentes, una vez analizadas las pruebas obrantes en el expediente, en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, esta Superintendencia el “( ) impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley ( )”, esta Instancia procederá a impartir las siguiente instrucciones: “Por la cual se impone una sanción y se imparten órdenes administrativas” • La sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA deberá implementar un mecanismo para dar respuesta dentro del término legal establecido en la Ley 1581 de 2012 a las solicitudes de revocatoria de la autorización de los Titulares de información. • La sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA deberá eliminar cualquier información sobre la quejosa y sobre aquellos Titulares de quienes no tenga autorización para la recolección, uso, almacenamiento y circulación de sus datos personales.

En virtud de lo anterior, EXHORTAMOS a los Representantes Legales de la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, para que se adopten las medidas pertinentes, útiles, efectivas y verificables con el propósito de: 1) Evitar que se repitan hechos como los que dieron origen a la presente investigación. 2) 3) Respetar y garantizar los derechos de los titulares de los datos.

Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre el tratamiento de datos personales. 4) Aplicar el principio de responsabilidad demostrada, observando las orientaciones de la del principio de responsabilidad demostrada (accountability)”, con especial énfasis en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los titulares de los datos personales. 5) Demostrar, en los casos que se requiera, que los procedimientos adecuados al interior de la entidad se apliquen en debida forma. 6) Hacer efectivo el pleno respeto del derecho fundamental a la protección de datos de las personas DÉCIMO: FRENTE A LA APLICACIÓN DEL PRINCIPIO DE RESPONSABILIDAD DEMOSTRADA En vista de todas los hechos y situaciones probadas en este expediente, este Despacho encuentra pertinente hacer unas anotaciones relativas a la aplicación del principio de responsabilidad demostrada.

Esta Superintendencia ha sido enfática en señalar que las disposiciones contenidas en los artículos 2.2.2.25.6.1 y siguientes del Decreto 1074 de 2015, en relación con la adopción de políticas y procedimientos efectivos para el adecuado cumplimiento de la Ley 1581 de 2012 implica que concurran una serie de presupuestos que permitan evidenciar que los procedimientos implementados, en la práctica son reales y efectivos.

Así, la regulación colombiana le impone al Responsable o al Encargado del tratamiento la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica ni formal, sino real y demostrable. Téngase presente que según nuestra jurisprudencia “existe un deber constitucional de administrar correctamente y de proteger los archivos y las bases de datos que contengan información personal o socialmente relevante”42.

Adicionalmente, los Responsables o Encargados del tratamiento no son dueños de los de los datos personales que reposan en sus bases de datos o archivos. En efecto, ellos son meros tenedores que están en el deber de administrar de manera correcta, apropiada y acertada la información de las personas porque su negligencia afecta los derechos humanos de los titulares de los datos.

En virtud de lo anterior, el capítulo III del Decreto 1377 del 27 de junio de 2013 -incorporado en el decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2643 -titulado DEMOSTRACIÓN- establece que “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y 42 Corte Constitucional, Sentencia T-227 de 2003 43 El texto completo del artículo 26 del decreto 1377 de 2013 ordena lo siguiente: Artículo 26.

Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: “Por la cual se impone una sanción y se imparten órdenes administrativas” Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”.

Así resulta imposible ignorar la forma en que el responsable o encargado del tratamiento debe probar que pone en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

Con el propósito de dar orientaciones sobre la materia, esta Superintendencia expidió el 28 de mayo de 2015 la “Guía para la implementación del principio de responsabilidad demostrada (accountability)”44. El término “accountability” a pesar de los diferentes significados ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, consisten principalmente en diseñar y activar un Programa Integral de Gestión de Datos Personales (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente, requiere la implementación de controles de diversa naturaleza, desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP, y demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales.

El principio de responsabilidad demostrada -accountability- demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. El mismo, exige que los Responsables y Encargados del tratamiento implementen medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia.

Dichas medidas deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales. El principio de responsabilidad demostrada precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones por parte de las organizaciones para garantizar el debido tratamiento de los datos personales.

El éxito de la aplicación y efectiva implementación de este principio dependerá del compromiso y demostración real por parte de todos los miembros de la organización, pero especialmente, de los directivos de las organizaciones, ya que sin su dirección y apoyo, todo esfuerzo será insuficiente para diseñar, implementar, revisar, actualizar y evaluar los programas de gestión de datos personales.

El principio de responsabilidad demostrada se articula con el concepto de “compliance” en la medida que este hace referencia “al conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos” 45.

Así las cosas, la identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del “compliance” y de la efectiva aplicación del principio de responsabilidad demostrada (accountability). De ahí que, se considere fundamental que las organizaciones desarrollen y pongan en marcha, entre otros, un sistema de administración de riesgos asociados al tratamiento de datos personales, que les permita identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales. 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta sí se trata de una micro pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza jurídica de los datos personales objeto del tratamiento. 3. El tipo de tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables deberán suministrar a esta una descripción de los procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta evidencia sobre la implementación efectiva de las medidas de seguridad apropiadas”. 44 El texto de la guía puede consultarse en https://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf 45 Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/que-es-compliance.php (última consulta 20 de abril de 2020) “Por la cual se impone una sanción y se imparten órdenes administrativas” Aunado a lo anterior, el cumplimiento de tal principio implica necesariamente garantizar y velar por el cumplimiento estricto de la normatividad aplicable al caso y poder demostrar que los documentos elaborados han sido diligenciados e implementados para que, a través de estos, se pueda demostrar el cumplimiento de la normatividad consagrada en el régimen de protección de datos personales contenido en la Ley Estatutaria 1581 de 2012.

Además de lo anterior, el cumplimiento de este principio busca que el Responsable del Tratamiento, demuestre que dentro de su organización se cuenta con: (i) Una estructura de gobierno corporativo en el sentido de que la formulación de políticas y procedimientos para el tratamiento reflejen una cultura de respeto a la protección de los datos personales;

(ii) Un programa corporativo que tenga controles efectivos, que responda al tamaño y estructura de la organización, destinado al cumplimiento, implementación y consolidación del régimen de protección de datos; y (iii) Una evaluación y revisión continúa de los controles que lo integran, con el fin de determinar la pertinencia y eficacia del plan de gestión para lo cual deberán desarrollarse auditorías internas para evaluar, en una fase preliminar, el grado de cumplimiento con la normatividad de protección de datos.

Así las cosas, este Despacho se permite reiterar que no basta con tener una cultura que propenda por el respeto en la teoría, sino que dicha cultura debe materializarse en la práctica a través del efectivo cumplimiento de la Ley 1581 de 2012, más allá de que esta autoridad requiera a la investigada sobre su cumplimiento, ya que es un deber de la organización dar pleno cumplimiento a tal normatividad y es un derecho constitucional del ciudadano que se le respeten sus datos personales DÉCIMO PRIMERO: CONCLUSIÓN Por lo expuesto, es claro para esta Dirección que la Titular tuvo que solicitar un total de doce (12) veces la revocatoria de su autorización para el tratamiento de sus datos personales por parte de la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, situación que se presentó entre el 18 de octubre del 2019 hasta el 10 de mayo del 2021, por lo que cerca de un año y seis meses los datos de la señora XXXXXXX XXXXXXX XXX XXX XXXXXX seguían siendo tratados por la investigada.

Además, considerando que la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA aún mantiene los datos de la quejosa en una lista negra para evitar contactos con ella, implica que aun realiza tratamiento de dichos datos.

DÉCIMO SEGUNDO: Imposición y graduación de la sanción 12.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en su artículo 2346. Esta potestad sancionatoria, que es una manifestación del poder punitivo del Estado, derivado de los artículos 247, 448 y 649 de la Constitución, 46Ley 1266 de 2008, artículo 18: “Sanciones.

La Superintendencia de Industria y Comercio y la Superintendencia Financiera podrán imponer a los operadores, fuentes o usuarios de información financiera, crediticia, comercial, de servicios y la proveniente de terceros países previas explicaciones de acuerdo con el procedimiento aplicable, las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

(…) Las autoridades de la República están instituidas para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades, y para asegurar el cumplimiento de los deberes sociales del Estado y de los particulares. (negrita añadida) 48 Artículo 4. La Constitución es norma de normas.

(…) Es deber de los nacionales y de los extranjeros en Colombia acatar la Constitución y las leyes, y respetar y obedecer a las autoridades. (negrita añadida) 49 Artículo 6. Los particulares sólo son responsables ante las autoridades por infringir la Constitución y las leyes. Los servidores públicos lo son por la misma causa y por omisión o extralimitación en el ejercicio de sus funciones.

(negrita añadida) “Por la cual se impone una sanción y se imparten órdenes administrativas” debe respetar las garantías constitucionales fijadas en el artículo 29 Superior, que hacen parte del derecho fundamental al debido proceso administrativo50. La Corte Constitucional señaló sobre este asunto: "La sanción administrativa, como respuesta del Estado a la inobservancia por parte de los administrados de las obligaciones, deberes y mandatos generales o específicos que se han ideado para el adecuado funcionamiento y marcha de la administración entre otros, y consecuencia concreta del poder punitivo del Estado, no debe ser ajena a los principios que rigen el derecho al debido proceso.

(…)”51 (negrita añadida) Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional52.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 313 de la Ley 2294 de 2023, mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026, establece lo siguiente: “ARTÍCULO 313. UNIDAD DE VALOR BÁSICO -UVB-. Créase la Unidad de Valor Básico -UVB-. El valor de la Unidad de Valor Básico -UVB- se reajustará anualmente en la variación del Índice de Precios al Consumidor-IPC- sin alimentos ni regulados, certificado por el Departamento Administrativo Nacional de Estadística DANE-, en el periodo comprendido entre el primero (1) de octubre del año anterior al año considerado y la misma fecha del año inmediatamente anterior a este.

El Ministerio de Hacienda y Crédito Público publicará mediante Resolución antes del primero (1) de enero de cada año, el valor de la Unidad de Valor Básico -UVB aplicable para el año siguiente. El valor de la UVB para el año 2023 será de diez mil pesos ($10.000.00). Todos los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, actualmente denominados y establecidos con base en salarios mínimos o en Unidades de Valor Tributario - 50 Al respecto ver las sentencias: Corte Constitucional, Sala Plena, C-564 de 2000, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000);

Corte Constitucional, Sala Octava de Revisión, T-010 de 2017, Magistrado Ponente Alberto Rojas Ríos, veinte (20) de enero de dos mil diecisiete (2017); Corte Constitucional, Sala Plena, C-034 de 2014, Magistrada Ponente María Victoria Calle, veintinueve (29) de enero de dos mil catorce (2014). 51 Corte Constitucional, Magistrado Ponente Alfredo Beltrán Sierra, diecisiete (17) de mayo del dos mil (2000).

Considerando 5.5.2. 52 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción y se imparten órdenes administrativas” UVT-, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- del año 2023, conforme lo dispuesto en este artículo.

PARÁGRAFO PRIMERO. Si como consecuencia de la aplicación de lo dispuesto en el presente artículo el valor de los conceptos objeto de indexación no es un número entero, se deberá aproximar dicho valor a la cifra con dos (2) decimales más cercana; y si es inferior a una (1) Unidad de Valor Básico -UVB, se deberá aproximar a la cifra con tres (3) decimales más cercana.

PARÁGRAFO SEGUNDO. Lo dispuesto en este artículo no será aplicable a las cifras y valores aplicables a tributos, sanciones y, en general, a los asuntos previstos en las disposiciones tributarias, ni en relación con los asuntos de índole aduanera ni de fiscalización cambiaria, que se encuentren medidos o tasados en Unidades de Valor Tributario - UVT.

PARÁGRAFO TERCERO. Los cobros; sanciones; multas; tarifas; requisitos financieros para la constitución, la habilitación, la operación o el funcionamiento de empresas públicas y/o privadas; requisitos de capital, patrimonio o ingresos para acceder y/o ser beneficiario de programas del estado; montos máximos establecidos para realizar operaciones financieras; montos mínimos establecidos para el pago de comisiones y contraprestaciones definidas por el legislador; cuotas asociadas al desarrollo de actividades agropecuarias y de salud; clasificaciones de hogares, personas naturales y personas jurídicas en función de su patrimonio y/o sus ingresos; incentivos para la prestación de servicio público de aseo; y honorarios de los miembros de juntas o consejos directivos, que se encuentren en firme o ejecutoriados con anterioridad al 1 de enero de 2024, se mantendrán determinados en salarios mínimos o en Unidades de Valor Tributario -UVT-, según el caso.

PARÁGRAFO CUARTO. Los valores que se encuentren definidos en salarios mínimos o en UVT en la presente ley, deberán ser calculados con base en su equivalencia en términos de la Unidad de Valor Básico -UVB- conforme lo dispuesto en el presente artículo, con excepción de lo previsto en el artículo 291 de esta ley en relación con el concepto de vivienda de interés social”.

De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor Básico UVB. De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 23 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional53 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2011, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos Personales, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionatorio, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”54 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener para efectos de la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, 53 Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 54 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción y se imparten órdenes administrativas” patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 18 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros 55. La imposición de sanciones por violación de la Ley 1266 de 2008 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución Política de 1991.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”56.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”, por lo que no debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia57. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio la potestad sancionatoria que se concreta en el artículo 2358 de la misma.

Asimismo, el artículo 24 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO 24. Criterios para graduar las sanciones. Las sanciones por infracciones a que se refiere el artículo anterior se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley. b) El beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar. c) La reincidencia en la comisión de la infracción. d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la 55 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 56 Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos 57 Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 58 Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles.” “Por la cual se impone una sanción y se imparten órdenes administrativas” e) La renuencia o desacato a cumplir, con las órdenes impartidas por la Superintendencia de Industria y Comercio. f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De manera que resulta aplicable el criterio de graduación señalado en el literal a) del artículo 19 de la Ley 1266 de 2008.

Ahora bien, la Corte Constitucional indicó lo siguiente respecto de las sanciones consistentes en multas: “2.23. EXÁMEN DEL ARTÍCULO 24: CRITERIOS PARA GRADUAR LAS SANCIONES (…) 2.23.3. La constitucionalidad del artículo 24 Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” (…)59 Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 12.1.1 Literal a): La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta con que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine, quedó probado, frente al cargo único sobre por el presunto incumplimiento contenido en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma Ley, así como el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, que MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, no acató la solicitud de revocatoria de la autorización para el tratamiento de datos de la quejosa.

Por lo tanto, se impondrá la siguiente sanción: Por tanto, se impondrá como sanción, de CIENTO SESENTA (160) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – los cuales para el cálculo de la vigencia 2024 corresponden a 18560 Unidades de Valor Básico – UVB Vigentes para el año 2024 – correspondientes DOSCIENTOS TRES MILLONES DOSCIENTOS CINCUENTA MIL QUINIENTOS SESENTA PESOS M/CTE ($203.250.560)60,por la vulneración a lo dispuesto en literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma Ley, así como el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

La sanción se calcula en Unidades de Valor Básico, utilizando el procedimiento de aproximación a la cifra de dos decimales más cercana, cuando el resultado de la conversión del salario mínimo legal vigente no resulte un número entero, de conformidad con el parágrafo primero del artículo 313 de la Ley 2294 de 2023. 59Corte Constitucional, Sentencia C-748 de 2011, M.P: Jorge Ignacio Pretelt Chaljub. 60 Cálculo aplicado atendiendo las instrucciones y metodología de la Circular Interna 005 del 19 de febrero de 2024 “Por la cual se impone una sanción y se imparten órdenes administrativas” 12.1.2 Reconocimiento o aceptación sobre la comisión de la infracción En la medida en que la investigada alega que “A partir de los descargos, Mac Center ha reconocido como cierto el hecho de que existió un retardo en hacer efectivo el derecho a la revocatoria de la autorización de datos y supresión de la información de la Sra. Xxxxxxxx”, este Despacho tendrá en cuenta la aceptación como criterio atenuante de la sanción. Por ello, el monto de la sanción impuesta será reducido a de OCHENTA Y SIETE (87) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – los cuales para el cálculo de la vigencia 2024 corresponden DIEZ MIL NOVENTA Y DOS (10.092) Unidades de Valor Básico – UVB Vigentes para el año 2024, equivalentes a CIENTO DIEZ MILLONES QUINIENTOS DIECISIETE MIL CUATROCIENTOS NOVENTA Y DOS PESOS M/CTE ($110.517.492), por la vulneración a lo dispuesto en literal e) del artículo 8 de la misma Ley, así como el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

DÉCIMO TERCERO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del presente expediente a la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, identificada con NIT. 900.311.581-7, con el correo electrónico de notificación judicial contabilidad1@mac-center.com, quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el N° 22-183535. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.

Si tienen alguna duda o presentan algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, identificada con NIT. 900.311.581-7 de OCHENTA Y SIETE (87) SALARIOS MÍNIMOS LEGALES VIGENTES para el año 2023 – los cuales para el cálculo de la vigencia 2024 corresponden DIEZ MIL NOVENTA Y DOS (10092) Unidades de Valor Básico – UVB, equivalentes a CIENTO DIEZ MILLONES QUINIENTOS DIECISIETE MIL CUATROCIENTOS NOVENTA Y DOS PESOS M/CTE ($110.517.492), por la vulneración a lo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma Ley, así como el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

Parágrafo: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y “Por la cual se impone una sanción y se imparten órdenes administrativas” acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO 2: ORDENAR a la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, identificada con NIT. 900.311.581-7, cumplir con las siguientes instrucciones: • La sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA deberá implementar un mecanismo para dar respuesta dentro del término legal establecido en la Ley 1581 de 2012 a las solicitudes de revocatoria de la autorización de los Titulares de información. • La sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA deberá eliminar cualquier información sobre quejosa y sobre aquellos Titulares de quienes no tenga autorización para la recolección, uso, almacenamiento y circulación de sus datos personales.

Parágrafo Primero: La sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, identificada con NIT. 900.311.581-7 deberá cumplir lo ordenado en esta resolución dentro de los noventa (90) días hábiles siguientes a la ejecutoria del presente acto administrativo. Parágrafo Segundo: Para demostrar el cumplimiento, se deberá́ remitir a esta Dirección una certificación suscrita por el representante legal de la sociedad, mediante la cual acredite que se han implementado las medidas ordenadas, sin perjuicio de que las misma puedan ser verificadas con posterioridad por parte de la Superintendencia de Industria y Comercio.

Parágrafo Tercero: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, identificada con NIT. 900.311.581-7, acreedora de las sanciones previstas en la ley ARTÍCULO 3: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA, identificada con NIT. 900.311.581-7 a través de su representante legal y/o apoderado, en calidad de investigada, entregándole copia de esta e informándole que contra ella procede recurso de reposición, ante la Directora de Investigaciones de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO 4: COMUNICAR el contenido de la presente resolución a la señora XXXXXXX XXXXXXX XXXXX, identificado con cédula de ciudadanía número XXXXXXXXXXX.

ARTÍCULO 5: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co. Sede alterna: Carrera 7 No. 31ª - 36, Pisos 3 y 3A en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m. a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 29 de abril de 2024 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, CAROLINA GARCIA MOLINA Firmado digitalmente por CAROLINA GARCIA MOLINA Fecha: 2024.04.29 15:25:12 -05'00' CAROLINA GARCÍA MOLINA Elaboró: Santiago Ruiz Revisó: Adriana Castelblanco Aprobó: Carolina García “Por la cual se impone una sanción y se imparten órdenes administrativas” NOTIFICACIÓN Sociedad: MAC CENTER COLOMBIA SOCIEDAD POR ACCIONES SIMPLIFICADA Identificación: Nit. 900.311.581-7 Representante Legal: Maria Juliana Rengifo Murillo Identificación: C.C. N°. 40.990.455 Dirección: Avenida Carrera 19 # 146-81 Ciudad: Bogotá D.C. Correos electrónicos: contabilidad1@mac-center.com COMUNICACIÓN: Nombre: XXXXXXX XXXXXXX XXX XXX XXXXXX Identificación: C.C. N°. xxxxxxxxxxxxxxx Correo electrónico: xxxxxxxxxxxxxxxXXXXXxxxx

Resolución sancionatoria N° 21200 de 2024

CONSIDERANDO

RESUELVE