Decisión 7092 de 2020 — SIC

(28 OCTUBRE 2020) VERSIÓN PÙBLICA “Por la cual se impone una sanción y se imparten órdenes administrativas” Radicación 18-283845 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que, esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad ALMACENES ÉXITO S.A identificada con Nit 890.900.608-9 en calidad de Responsable del Tratamiento, y la sociedad CDISCOUNT hoy ÉXITO INDUSTRIAS S.A.S identificada con Nit 900.744.408-9, en calidad de Encargada, por lo que en virtud del traslado efectuado por el Grupo de Trabajo de Habeas Data, mediante Resolución No 13916 de 28 de marzo 2017 1,confirmada mediante resolución 2164 del 17 de enero de 20182, esta Dirección decidió iniciar investigación administrativa, en consideración a los siguientes hechos narrados por la señora Xxxxxxxxxxxxxxxxxxxxxxxxxxx en la denuncia3 así: 1.1 Señaló la titular: “Constantemte (sic) recibo correos por parte de CDISCOUNT en mi dirección xxxxxxxxxxxxxxx” 1.2 Adicionalmente, indicó que: “He intentado mas (sic) de 4 veces que me eliminen de la lista de envíos de ese correo por medio del link que aparece en la parte inferior de cada correo donde dice: “si no quieres recibir mas (sic) correos ingresa a este enlace”.

Sin embargo, de nada ha servido porque me siguen mandando correos y no me interesa. “ 1.3 Finalmente, solicitó “por favor retirarme de esa lista.”

SEGUNDO: Que a partir del análisis de las pruebas recolectadas por esta Dirección, este Despacho encontró que se habrían ejecutado conductas presuntamente violatorias de las normas sobre protección de datos personales, y en virtud de lo dispuesto en el artículo 19 y el literal b) del artículo 21 del de la Ley 1581 de 2012; razón por la cual procedió con la apertura de la investigación administrativa de la referencia y formuló cargos a través de la Resolución 84800 del 20 de noviembre de 2018, en contra de las sociedades investigadas, así: 2.1 CARGOS A LA SOCIEDAD ALMACENES ÉXITO S.A En el literal h) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 9 de la misma ley y el artículo 2.2.2.25.2.5 del decreto único reglamentario 1074 de 2015 2.2 CARGOS A LA SOCIEDAD ÉXITO INDUSTRIAS S.A.S En el literal a) del artículo 18 de la ley 1581 de 2012 en concordancia con el artículo 2.2.2.25.2.6 del decreto único reglamentario 1074 de 2015 Que la Resolución 84800 del 20 de noviembre de 2018 le fue notificada mediante Aviso 67856 a la sociedad ALMACENES ÉXITO S.A. del 21 de diciembre de 2018, y a la sociedad ÉXITO INDUSTRIAS S.A.S.mediante Aviso 67857 del 21 de diciembre de 2018, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, radicado bajo el número 18-283845- -12 del 28 de enero de 2019, para que se pronunciara sobre los hechos Resolución 13916 del 28 de marzo de 2017 radicado bajo el número 16-33261-12-0 del 29 de marzo de 2017.

Resolución 2164 del 17 de enero de 2018 radicado bajo el número 16-33261-38-0 del 18 de enero de 2018. Denuncia radicada por el Titular de la información ante esta Superintendencia radicada bajo el número 16-33261-0 el día 11 de febrero de 2016. HOJA N 2, “Por la cual se impone una sanción y se imparten órdenes administrativas” materia de investigación y aportara y/o solicitara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción. De la misma manera, esta actuación fue comunicada al denunciante.

TERCERO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 18-283845-11 de fecha 15 de enero 2019 la sociedad ALMACENES EXITO S.A presentó escrito de descargos a través de apoderado especial, manifestando, entre otras cosas, lo siguiente: 3.1 En primer lugar, la sociedad investigada hace una breve descripción de los antecedentes de la presente actuación administrativa, señalando que, “ (…) 3.1 La señora xxxxxxxxxxxxxx. identificada con cédula de ciudadanía No. xxxxx, presentó queja ante su despacho por la presunta vulneración de su derecho al habeas data por parte de Cdiscount.

En su escrito de queja, la señora Xxxxxxxxxxxxxx afirma que en más de cuatro (4) oportunidades solicitó la eliminación de su correo electrónico de las bases de datos de Éxito a través de un link dispuesto en la página web Cdiscount.com que decía: "si no quieres recibir más correos ingrese a este enlace", pero afirma que al entrar a este Línk se abre una página que decía "El formulario solicitado no está disponible más" y aún seguía recibiendo correos electrónicos. 3.2 El día 21 de junio de 2016, esta Superintendencia requirió a Cdiscount mediante documento de solicitud de explicaciones, en cuya respuesta se debía adjuntar una serie de información asociada a la queja, así como a las prácticas de gestión de datos personales. 3.3 El día 10 de enero de 2017 Éxito respondió dicha solicitud de explicaciones a esta Superintendencia indicando que los datos personales de la señora Xxxxxxxxxxxxxxxxxxxxxxxxxxx fueron recolectados a través de las páginas de Cdiscount.com y exito.com y que de conformidad con la autorización recolectada en dichas páginas.

Éxito adquirió la calidad de responsable del tratamiento de datos personales. En dicha respuesta se acreditó el bloqueo preventivo que se realizó a la cuenta de la señora Xxxxxxxxxxxxxx para el envío de información, pues en aquel momento no era claro para Éxito el motivo de la reclamación de la titular de datos. 3.4 Mediante Resolución No. 13916 de 28 de marzo de 2017, su despacho ordenó a Éxito adelantar el procedimiento pertinente para suprimir de sus bases de datos la información asociada al correo electrónico de Xxxxxxxxxxxxxxxxxxxxxxxxxxx.

En esta misma Resolución, manifestó que se iba a "Remitir copia del Expediente al Grupo de Trabajo de investigaciones administrativas para lo de su competencia ( )", 3.5 Éxito, a través de documento radicado el 18 de abril de 2017, dio respuesta a la orden impartida mediante la Resolución No. 13916 del 28 de marzo de 2017 indicándole a esta entidad: (i) "Que la señora xxxxxxxxx no acreditó prueba sobre la existencia de alguna solicitud de supresión automática que generaba la adecuada activación del link "si no quieres recibir más correos ingrese a este enlace", así como tampoco se halló en el histórico de la empresa registro de algún tipo de requerimiento de su parte a través de los canales para el ejercicio del derecho de habeas data".

(¡i) En esta respuesta a la referida orden de supresión, se reiteró que al no haber recibido copia de la queja de la titular, como acción preventiva, Éxito procedió a bloquear su correo, mientras se recibía instrucción concreta sobre la voluntad de la titular. (iii) Se dio respuesta a la orden de supresión acreditando la eliminación de la cuenta de correo electrónico de la señora xxxxxxxxxxxxxxx 3.6 El 25 de abril de 2017 Éxito presentó recurso de reposición y en subsidio apelación contra la decisión de remisión del expediente al Grupo de Trabajo de investigaciones administrativas, al considerar que se habla dado respuesta oportuna y suficiente sobre los requerimientos de esta Superintendencia. No obstante, la Superintendencia resolvió el recurso de reposición el día 31 de julio de 2017 mediante Resolución No. 45782 en la cual confirmó la decisión, y el 17 de enero de 2018, mediante Resolución 2164. resolvió el recurso de apelación y confirmó la decisión de remitir el expediente al Grupo de Trabajo de Investigaciones Administrativas. 3.7 La Superintendencia abrió investigación administrativa por los hechos descritos en los numerales anteriores y formuló cargos a Éxito por la presunta violación de los deberes contenidos en el literal h) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 9 de la misma ley y el artículo 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 de 2015.” 3.2 De otra parte, se refiere al cargo único formulado por esta Dirección, expresando que: HOJA N 3, “Por la cual se impone una sanción y se imparten órdenes administrativas” “(…) 4.

Descargos de Éxito frente al cargo único imputado mediante la Resolución No. 84800 del 20 de noviembre de 2018: Como se desprende del cargo único imputado, vista la información aportada en anteriores comunicaciones, no se encuentra motivo para asegurar que Éxito no cuenta con la debida autorización para el tratamiento de datos personales, sin embargo, en las siguientes secciones se explicaran de forma clara y precisa las imágenes, logos y demás pruebas aportadas al expediente donde se puede constatar que Éxito cumple con la obligación de solicitar y conservar autorización previa, expresa e informada para el tratamiento de datos personales de sus respectivos titulares”. 4.1 Prueba de Autorización de tratamiento de datos personales de Éxito En torno al requisito normativo de obtener autorización previa, expresa e informada de los titulares de datos como condición para su adecuado tratamiento, Éxito ha dispuesto en cada proceso de registro de información que realizan los titulares de los datos personales, a través de los diferentes canales de comunicación que tiene establecidos; el respectivo aviso de privacidad y autorización para el tratamiento de datos personales, cumpliendo así, con el artículo 9 de la Ley 1581 de 2012, el cual establece: "se requiere autorización previa e informada del titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior.

En el caso particular de la señora ccccccccccccccc, tal como se ha mencionado en comunicaciones anteriores, esta situación no es diferente, por lo cual a continuación se pasa a demostrar cada una de las características de la autorización tomada por Éxito en el registro de la información de la señora Xxxxxxxxxxxxxx y su respectiva explicación para una mejor comprensión de las pruebas adjuntas.

En este punto, es importante aclarar que la composición de la prueba de la autorización del tratamiento de la titular, no está caracterizada únicamente por un procedimiento previo de registro condicionado a la marcación y aceptación del check box como se explicó en la comunicación mediante la cual la compañía interpuso y sustentó los recursos de reposición, y en subsidio de apelación en contra de la Resolución 13916 del 28 de marzo de 2017.

Esta característica o condición, aunque es relevante para garantizar un adecuado procedimiento de recolección de datos personales acompañado de la prueba de autorización de tratamiento de datos personales, no es suficiente por sí sola, y así lo entiende Éxito. Por esta razón, se pasará a demostrar que la prueba de autorización para el tratamiento de datos personales otorgada por la titular, está dotada de otras características técnicas encaminadas a dar estricto cumplimiento a los requisitos establecidos en la normativa vigente para una prueba de autorización de tratamiento de datos personales válida y acorde a las finalidades de la norma. 4.1.1.

Autorización previa Como se mencionó, la norma del artículo 9 de la Ley 1581 de 2012, indica que "se requiere autorización previa e informada del titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior" {negrita fuera de texto). En este orden de ideas, la Corte Constitucional en Sentencia C-748 de 2011, reiterando jurisprudencia, dio alcance al concepto "previo" de la autorización así: "En relación con el carácter previo, la autorización debe ser suministrada, en una etapa anterior a la incorporación del dato".

Asimismo, mediante la reglamentación de la ley en el Decreto 1074 de 2015, en el artículo 2.2.2.25.2.2 se consagra que "El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos ( ) (negrita fuera de texto). De acuerdo con este alcance es posible afirmar que la autorización para el tratamiento de datos personales de la titular es previa por cuanto fue suministrada por ella en una etapa anterior a la incorporación del dato a nuestra base de datos en el preciso momento de su recolección como lo precisan las normas y lo desarrolla la jurisprudencia. Lo cual se acredita así: - Procedimiento de registro y aceptación de las condiciones de tratamiento, condicionado a la marcación voluntaria e intencional del campo de aceptación por parte de la titular - check box.

El registro de la señora Xxxxxxxxxxxxxxxxxxxxxxxxxxx se dio a través de las páginas web exito.com y Cdiscount.com, estos, así como todos los formularios que se disponen en las páginas web de la compañía donde se recolectan datos, cuentan con pop ups de registro de los datos (o ventanas de registro), los cuales estaban condicionados a la aplicación del check box, el cual implica la manifestación expresa del consentimiento por parte del titular de los datos en la aceptación de los términos y condiciones, la cual se efectúa al momento de dar click en el recuadro correspondiente a efectos de chequear esta opción para concluir con el registro y consecuente almacenamiento de sus datos.

Dicho de otro modo, el check box HOJA N 4, “Por la cual se impone una sanción y se imparten órdenes administrativas” supone de manera necesaria el acto voluntario del titular del tratamiento de los datos de activar la función del portal web en la cual se consulta por la aceptación de los términos y condiciones informados para el tratamiento de los datos.

Sin esta acción por parte del titular de datos, el registro no puede realizarse. En la imagen que se muestra a continuación, se puede observar el campo en el cual, el titular de los datos debe hacer la marcación en señal de su aceptación de los términos informados para el tratamiento de sus datos, el cual se denomina "Acepto términos y condiciones legales" que es anterior y necesariamente requerido para dar continuidad al siguiente paso que consiste en activar el botón de "Crear cuenta" y poder así generar la incorporación de los datos suministrados a la respectiva base de datos: Para ilustrar al despacho sobre esta condición, desde el inicio de la actuación se efectuó una prueba con un usuario interno de la compañía, quien intentó ingresar sus datos en la página web y crear una cuenta sin activar el campo "Acepto términos y condiciones legales", ante lo cual, en virtud del procedimiento establecido en la página, no se permitió continuar con el registro de la usuaria.

Se adjunta pantallazo de la alerta generada por el sistema que indica que "Este campo es requerido" (ver aparte señalado en el círculo): Como se puede observar, si no se marca el campo de aceptación o check box, la persona que está registrando sus datos no puede continuar con el proceso, situación que permite afirmar que la señora Xxxxxxxxxxxxxxxxxxxxxxxxxxx debió marcar el check box para registrarse exitosamente en los sitios web.” “Registro en el sistema de información que permite constatar la acción voluntaria de registro por parte del titular de los datos.

Campo "Fecha de registro". Una vez el cliente acepta los términos y condiciones y procede a registrarse en la página mediante la creación de una cuenta, se genera en el sistema una constancia consistente en una estampa del tiempo, conformada por el día, el mes, el año y la hora en la cual se creó el registro en la base de datos, como se ensena a continuación:” HOJA N 5, “Por la cual se impone una sanción y se imparten órdenes administrativas” “Registro en el sistema de información que permite constatar la acción de aceptación del aviso de privacidad y autorización para el tratamiento de datos personales por parte de su titular.

Campo "Fecha Habeas data". Al consultar nuestros sistemas de información, se puede evidenciar que, adicional a la constancia que se genera sobre el registro en la página, también queda consignada la fecha exacta en la cual el titular procedió con la aceptación de la autorización para el tratamiento de datos mediante la generación de una estampa del tiempo, conformada por el día, el mes y el año, dentro del campo "Fecha de Habeas data", tal como se muestra a continuación: Es importante recalcar además que en el caso concreto, la fecha de registro y de aceptación para el tratamiento de datos (o de habeas data) coinciden, de manera que se refleja el cumplimiento del carácter previo de la autorización para el tratamiento de datos, en los términos descritos en las normas enunciadas inicialmente, esto es, la compañía ha implementado los procedimientos idóneos para solicitar la mencionada autorización a más tardar al momento de la recolección de los datos y de forma anterior a su incorporación en el sistema.

Se encuentra pertinente en este punto aludir a la situación abordada en la Resolución sancionatoria No. 78899 del 17 de noviembre de 2017 en contra de Inversiones CRM S.A.S., en la cual el despacho impuso sanción a dicha sociedad, entre otras razones, por no contar con la respectiva prueba de autorización, aduciendo que "no demuestra ni es posible saber si así funcionaba el registro cuando se crearon los usuarios de quienes no presentó evidencia de la autorización, más aun cuando la creación de dichos usuarios es previa a cuando sucedieron los hechos el 15 de febrero de 2015".

De acuerdo con lo expuesto, y la caracterización realizada de la prueba que se genera del procedimiento de registro y aceptación que agotó la titular de los datos personales, es posible afirmar que la situación particular que se aborda en la presente actuación no se corresponde con aquella que fue objeto de la sanción descrita. Se ha demostrado hasta el momento con suficiencia, que los registros que reposan en los sistemas de información de Éxito permiten evidenciar que, en calidad de responsable del tratamiento de datos personales, adoptó un procedimiento técnicamente condicionado para obtener autorización previa de la titular de datos, de manera que esta se produce antes de la creación de su cuenta y por ello, tanto la fecha de registro como la fecha de "habeas data", corresponden al mismo día. De esta manera, al describir los diferentes elementos con que cuenta el sistema para probar la correcta ejecución del procedimiento de registro se logra probar el momento específico en que la persona aceptó el tratamiento de sus datos previo al ingreso de los mismos a la base de datos y así consta en el respectivo sistema. 4.1.2.

Autorización Expresa La Ley 1581 de 2012 define autorización como el "Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales" (negrita fuera de texto). A su vez, el artículo 4 de la misma ley, en su literal c), describe el principio de libertad indicando "El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular ( )" (negrita fuera de texto).

Sobre este requisito normativo, la Sentencia C-748 de 2011, manifiesta: HOJA N 6, “Por la cual se impone una sanción y se imparten órdenes administrativas” "En relación con el carácter expreso, la autorización debe ser inequívoca, razón por la cual, al contrario de lo sostenido por algunos intervinientes, no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito.

( )" De este modo se pasa a explicar como la prueba de autorización para el tratamiento de datos personale s aportada a la presente actuación da cuenta del carácter expreso del consentimiento otorgado por la titular de los datos personales en cumplimiento de la normativa aplicable. Procedimiento condicionado necesariamente a la manifestación expresa de la autorización por parte del titular de los datos personales mediante su acción voluntaria e intencional de marcar el campo de aceptación: Como ya se ha mencionado ampliamente en el anterior acápite, se prueba la calidad expresa de la autorización del tratamiento de datos personales, toda vez que, para poder efectuar el registro exitoso en la página web, es preciso hacer clíck en el check box o campo para la aceptación de los términos informados, lo cual implica al acción inequívoca y consciente de la persona, pues de lo contrario no es posible continuar con el proceso de registro.

De esta manera, bajo el procedimiento de registro instalado, no es admisible el consentimiento tácito. - Evidencia en el sistema de información mediante el campo "isLegal": No obstante lo anterior, además del recurso lógico del procedimiento mencionado, el sistema genera un campo específico en la base de datos que denota la aceptación expresa por parte del titular de los términos y condiciones para el tratamiento de sus datos personales, pues como se muestra en la imagen inferior, en el ítem "isLegal" el cual está marcado como "Sí", se refleja el consentimiento expreso de la titular de los datos: Evidencia en el sistema de información mediante el campo "Habeas Data": Al consultar nuestros sistemas internos, se refleja también la aceptación expresa de autorización para el tratamiento de datos, en el campo especifico de "Habeas data" que está marcado con una letra Y, que significa "yes", en virtud de la acción inequívoca de aceptación de la señora Xxxxxxxxxxxxxxxxxxxxxxxxxxx sobre el mencionado texto de autorización: Haciendo remisión nuevamente a la mencionada Resolución sancionatoria impuesta al tercero Inversiones CRM S.A.S., su despacho menciona que una de las razones para considerar que no existe prueba de autorización es que "en los "logs" aportados no se evidencia que existía la validación del check para aceptar los términos y condiciones y tratamiento de datos personales", mientras que en el caso concreto objeto de análisis se han aportado los logs que genera el sistema de gestión de clientes de las distintas acciones efectuadas en el procedimiento de registro y donde se pueden consultar de forma posterior las evidencias del consentimiento expresado en la marcación de los campos ya referidos por parte de la titular de los datos. 4.1.3.

Consentimiento Informado En cuanto al principio de información consagrado en la Ley 1581 de 2012: HOJA N 7, “Por la cual se impone una sanción y se imparten órdenes administrativas”

ARTÍCULO

12. DEBER DE INFORMAR AL TITULAR. El Responsable del Tratamiento, al momento de solicitar al Titular la autorización, deberá informarle de manera clara y expresa lo siguiente: a) El Tratamiento al cual serán sometidos sus datos personales y la finalidad del mismo; b) El carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes; c) Los derechos que le asisten como Titular; d) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento.

PARÁGRAFO. El Responsable del Tratamiento deberá conservar prueba del cumplimiento de lo previsto en el presente artículo y, cuando el Titular lo solicite, entregarle copia de esta. Y de acuerdo con la Sentencia C-748 de 2011: "En relación con el carácter informado, el titular no sólo debe aceptar el Tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización. ( )".

El formulario de registro en la extinta página de Cdiscount.com tenía en su formulario de registro el siguiente texto de autorización: En el mismo se observa la identificación del responsable del tratamiento de datos personales en cabeza de "Almacenes Éxito S.A." y se le informan las finalidades específicas para el tratamiento de datos personales, incluidas aquellas que habilitaban la entrega y uso de los datos por parte de Cdiscount, las cuales eran: 'Recolectar, registrar, procesar, difundir, compilar, intercambiar, actualizar y disponer para fines propios e inherentes a la prestación del servicio, de los datos personales suministrados al momento de registro en el sitio web www.cdiscount.com.co.

Con lo anterior, es posible afirmar que la autorización cumple con el deber de información a cargo de Éxito como responsable del tratamiento de datos personales, pues se le suministraron al titular todos los datos requeridos por la normativa en el preciso momento de la recolección de sus datos, tal como son la razón social del responsable, las finalidades y tratamientos para las que se recolectan sus datos, los derechos que le asisten como titular, la política y los canales para poderlos ejercer.

De conformidad con lo expuesto a lo largo del presente numeral 4.1. Éxito ha pretendido ¡lustrar y demostrar al despacho que en desarrollo del deber que le asiste como responsable de tratamiento de los datos personales de la señora Xxxxxxxxxxxxxxxxxxxxxxxxxxx, ha dispuesto de forma diligente sus procedimientos, mecanismos y sistemas de información para obtener de su parte una autorización previa, expresa e informada para el tratamiento de sus datos y para generar una prueba que permite su consulta posterior.

HOJA N 8, “Por la cual se impone una sanción y se imparten órdenes administrativas” 3.3 Con respecto al principio de responsabilidad demostrada (Accountability), manifiesta que implementó un programa integral de protección de datos así: “En un caso como el presente, quedaron demostradas las medidas que han sido desplegadas por Éxito para implementar dentro de la Compañía un programa integral de protección de datos personales, que está acorde al modelo consagrado por la de Responsabilidad Demostrada.

En este caso (i) la prueba de autorización para el tratamiento de datos personales suministrado en esta actuación y, por el otro, (¡i) la implementación de medidas efectivas y verificables, que permitan establecer la existencia de un programa integral de gestión de datos personales; hacen concluir lo que debería ser en consecuencia el archivo de la investigación de carácter administrativo. 4.3 Programa Integral de Protección de Datos de Éxito Éxito, comprometido con la protección de la información personal de sus diferentes grupos de interés, ha desarrollado un Programa integral de protección de datos personales, teniendo en cuenta tres (3) componentes fundamentales para la creación de un programa, según la Guía para la Implementación del Principio de Responsabilidad Demostrada: 1.Compromiso de la organización: entendiendo que debe existir un compromiso corporativo por la protección de datos personales y la construcción de un programa integral. 2.Controles efectivos del programa: deben existir medidas operativas que puedan desplegar de forma verificable el programa dentro de la organización. 3.Evaluación y revisión continua: el programa no es estático, debe existir una revisión continua para asegurar la revisión de su pertinencia, efectividad, cambios e implementación. 4.3.1 Compromiso de la Organización Las Directivas de Éxito han apoyado desde su creación el programa de protección de datos personales, tal y como se puede constatar en la documentación que se adjunta a este memorial.

La organización ha realizado acciones de (i) involucramiento de la Alta Dirección y (ii) creación de un Área de Protección de Datos para desarrollar y mantener el programa en el que se incluye el nombramiento de un Oficial de Protección de Datos. Con el fin de demostrar el compromiso de la Alta Dirección de Éxito en el desarrollo del programa, se adjuntan las copias de los extractos de las Actas Nos. 59 y 62 de la Junta Directiva de Éxito en conjunto con el Comité de Auditoría y Riesgos(Ver Anexo No. 3), con constancia de asistencia de los altos Directivos de la Compañía, donde se evidencia el nivel de involucramiento de dichos ejecutivos en la toma de decisiones que afectan el desarrollo, implementación y gestión del programa de gestión de datos personales.

Como se observa en el acta No. 59, en dicha sesión se presentó ante la Junta Directiva el proceso de implementación del programa, incluyendo los avances en materia de inscripción de bases de datos en el RNBD, inventario, capacitaciones a empleados, instrumentos jurídicos y procedimientos de gestión. Igualmente, en el documento denominado Extracto de Comité julio y noviembre de 2017 (ver Anexo No. 4 de este memorial) se hace énfasis en el contenido del numeral 10 (Informe de Cumplimiento) donde se describen los avances del Programa.

Dentro de los avances de las denominadas en la implementación y desarrollo del Programa se destacan: 1. 2. 3. 4. 5. Registro Nacional de Bases de Datos Capacitaciones Instrumentos jurídicos: políticas, avisos, cláusulas contractuales, guiones de comunicaciones, etc. Procedimiento de Gestión de Datos Personales; y Procedimiento de Gestión de Incidentes.

Como se evidencia en los anteriores documentos, Éxito ha apostado por desarrollar su Programa con el compromiso de la Alta Dirección, de forma que se asegure una implementación efectiva y con recursos suficientes de una serie de medidas apropiadas a su estructura organizacional, a su tamaño y a la naturaleza de la información sobre la que hace tratamiento, con el compromiso de proteger adecuadamente los datos de los titulares. - Área de Cumplimiento: HOJA N 9, “Por la cual se impone una sanción y se imparten órdenes administrativas” Como parte del Programa de Protección de Datos de Éxito, y reconociendo la importancia de contar con un equipo especializado para gestionar dicho programa, la Junta Directiva nombró como oficial para la protección de datos personales al Jefe del Departamento de Gestión Integral de Riesgos, dentro del cual se creó el Área de Cumplimiento, la cual tiene como propósito gestionar entre otros, los riesgos asociados al tratamiento de datos personales.

El área de cumplimiento está integrada por un equipo interdisciplinario compuesto por un coordinador, dos analistas y dos auxiliares encargados de brindar acompañamiento permanente a las áreas en la gestión de los mencionados riesgos (entre otros: lavado de activos y financiación del terrorismo, fraude, soborno y corrupción). Adicionalmente, con el ánimo de fortalecer la estructura organizacional para la protección de datos, en las distintas áreas en la Compañía se han asignado unos roles especiales para el adecuado uso de los datos personales que se tienen de los distintos grupos de interés y que conforman las bases de datos.

Así las cosas, respecto de cada base de datos la Compañía cuenta con (i) un responsable principal, quien tiene la función de custodiar la base de datos, los usos que se hacen de ella y cumplir con las obligaciones de registro ante el RNBD, y (ii) un usuario operativo, encargado de apoyarlo en estas labores, ambos con el apoyo del área de Cumplimiento.

La Compañía conformó un Comité para la Protección de Datos Personales, integrado por la Alta Dirección orientado al seguimiento de la implementación del programa y los riesgos asociados. A continuación, se muestra la estructura del equipo de cumplimiento Éxito: Como se puede constatar en lo anteriormente señalado y en la documentación aportada ante su Despacho, Éxito ha desarrollado su Programa Integral de Protección de Datos Personales, en el que se garantizan recursos adecuados para su correcto despliegue e implementación transversal en la organización: el involucramiento de la Alta Dirección acompañado de un sistema de reporte interno que asegure el seguimiento efectivo. 4.3.2 Controles del Programa En cuanto al diseño e implementación de controles efectivos que le permitan a la organización articular las políticas definidas y aprobadas por la alta dirección y los lineamientos y estrategias definidas por el Área de Cumplimiento en cabeza del Oficial de Protección de Datos designado por la organización, se resaltan, entre otros, los siguientes controles: •Política de protección de datos personales.

(Ver Anexo No. 5). •Capacitaciones en protección de datos a los empleados clave de la organización. (Ver Anexo No. 6) •Boletines de Cumplimiento para comunicar dentro de la organización novedades en protección de datos personales. (Ver Anexo No. 7) •Política de Seguridad de la Información. (Documento confidencial, favor incluir en cuaderno separado y restringir su reproducción pública.

(Ver Anexo No. 8). •Manual Detallado de Seguridad de la Información. (Documento confidencial, favor incluir en cuaderno separado y restringir su reproducción pública. (Ver Anexo No. 9). •Sistema de Gestión de Seguridad de la Información: Procedimiento de Gestión de Incidentes de Seguridad de la Información. (Documento confidencial, favor incluir en cuaderno separado y restringir su reproducción pública.

(Ver Anexo No. 10) •Procedimiento de Gestión de las Bases de Datos de Personas Naturales. (Documento confidencial, favor incluir en cuaderno separado y restringir su reproducción pública. Ver Anexo No. 11). HOJA N 10, “Por la cual se impone una sanción y se imparten órdenes administrativas” •Contratos laborales que incluyen disposiciones sobre (i) protección de datos personales y (ii) confidencialidad.

(Documento confidencial, favor incluir en cuaderno separado y restringir su reproducción pública. Ver Anexo No. 12). •Modelos de otrosíes a los contratos laborales para empleados que en función de su cargo gestionan información sensible, confidencial y/o privilegiada. (Documento confidencial, favor incluir en cuaderno separado y restringir su reproducción pública.

Ver Anexo No. 13). 4.3.3 Evaluación y revisión continua Finalmente, se destaca que Éxito ha diseñado su Programa Integral de Protección de Datos bajo el entendido que no se trata de un proyecto de ejecución inmediata en el tiempo, sino que requiere constante revisión y monitoreo. Como se muestra en el documento relacionado en el Anexo No. 4, el Área de Cumplimiento de la compañía hace seguimiento permanente al programa, con el fin de monitorear el estado de implementación, desarrollo del Programa y las distintas actividades implementadas”. 3.4 Concluye su escrito, solicitando el cierre de la investigación así: “(…) Éxito considera que ha acreditado la prueba de autorización para el tratamiento de datos personales y la existencia de un programa integral de protección de datos personales, lo cual, frente al demostrado interés de la Superintendencia, de la Delegataria y de la Dirección a su cargo, en el sentido de promover las buenas prácticas en el entorno empresarial para generar un impacto en pro de la protección de la información personal de los ciudadanos, se debería concluir con el cierre de la presente actuación administrativa con el archivo de la misma.”

CUARTO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 18-283845-10 de fecha 15 de enero 2019 la sociedad ÉXITO INDUSTRIAS S.A.S. presentó escrito de descargos a través de apoderado especial, manifestando, entre otras cosas, lo siguiente: 4.1 En primer lugar, hace una descripción de los antecedentes de la presente actuación administrativa, precisando que: “(…) 1.

Consideraciones previas El presente documento se origina a raíz del cargo único formulado en contra de Cdiscount, según el cual:

ARTÍCULO SEGUNDO: ABRIR INVESTIGACIÓN y FORMULAR PLIEGO DE CARGOS contra la sociedad ÉXITO INDUSTRIAS S.A.S., identificada con el Nit. 900.744.408-9, en su condición de Encargado del Tratamiento, por la presunta contravención de lo dispuesto en el literal a) del artículo 18 de la Ley 1581 de 2012 en concordancia del artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, de conformidad con lo establecido en la parte motiva de la presente resolución. Así las cosas, el artículo referenciado por esta Superintendencia y que presuntamente Cdiscount habría vulnerado fue:

ARTÍCULO

Presupuestos procesales El presente documento que contiene el memorial de descargos formulado en virtud de la Resolución 84800 del 20 de noviembre de 2018 se interpone observando los presupuestos procesales establecidos en el artículo 47 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (en adelante, el "CPACA"), pues: - Se presenta por el apoderado de Éxito Industrias S.A.S. Se formula por escrito y se relacionan las pruebas que se pretende hacer valer.

Se interpone dentro del término legal establecido de quince (15) días contados a partir de la notificación de la resolución recurrida, actuación que tuvo lugar el día 20 de diciembre de 2018. HOJA N 11, “Por la cual se impone una sanción y se imparten órdenes administrativas” 3. Hechos El presente memorial y sus argumentos se fundamentan en los siguientes hechos: 3.1 La señora Xxxxxxxxxxxxxxxxxxxxxxxxxxx, identificada con cédula de ciudadanía No. xxxxxxxxxxx, presentó queja ante su despacho por la presunta vulneración de su derecho de habeas data por parte de Cdiscount.

El día 10 de enero de 2017, Almacenes Éxito S.A respondió dicha solicitud de explicaciones ante su Despacho indicando que, si bien los datos personales de la señora Xxxxxxxxxxxxxxxxxxxxxxxxxxx fueron recolectados a través de las páginas de Cdiscount.com y exito.com, en dichas páginas la autorización recolectada correspondía de forma clara a Éxito como responsable del tratamiento.

En dicha respuesta se acreditó el bloqueo preventivo que se realizó a la cuenta de la xxxxxxxxxxxxxxxxxx Mediante Resolución No. 13916 de 28 de marzo de 2017, su Despacho manifestó que la no atención de las quejas presentadas por la titular de la información, configuraban una vulneración del derecho de hábeas data de la señora xxxxxxxx y en consecuencia ordenó a Éxito adelantar el procedimiento pertinente para suprimir de sus bases de datos la información asociada al correo electrónico de Xxxxxxxxxxxxxxxxxxxxxxxxxxx.

En esta misma Resolución, manifestó que se iba a "Remitir copia del Expediente al Grupo de Trabajo de investigaciones administrativas para lo de su competencia ( )". 3.5 Éxito, a través de documento radicado el 18 de abril de 2017, dio respuesta a la orden impartida mediante la Resolución No. 13916 del 28 de marzo de 2017 indicándole a esta entidad: i. Que la señora Xxxxxxxxxxxxxxxxxxxxxxxxxxx no acreditó prueba sobre la existencia de alguna solicitud de supresión automática que generaba la adecuada activación del link "si no quieres recibir más correos ingrese a este enlace", así como tampoco se halló en el histórico de la empresa registro de algún tipo de requerimiento de su parte a través de los canales para el ejercicio del derecho de habeas data ii.

En esta respuesta a la referida orden de supresión, se reiteró que, al no haber recibido copia de la queja de la titular, como acción preventiva, Éxito procedió a bloquear su correo, mientras recibíamos instrucción concreta sobre la voluntad de la titular. iii. Se dio respuesta a la orden de supresión acreditando la eliminación de la cuenta de correo electrónico de la señora Xxxxxxxxxxxxxxxxxxxxxxxxxxx El 25 de abril de 2017 Éxito presentó recurso de reposición y en subsidio apelación contra la decisión de remisión del expediente al Grupo de Trabajo de investigaciones administrativas, al considerar que Éxito había dado respuesta oportuna y suficiente sobre los requerimientos de la Superintendencia. 3.6 La Superintendencia resolvió recurso de reposición el día 31 de julio de 2017 mediante Resolución No. 45782 confirmando la decisión, y el 17 de enero de 2018, mediante Resolución 2164, resolvió el recurso de apelación confirmando la decisión de remisión del expediente al Grupo de Trabajo de Investigaciones Administrativas. 3.7 El despacho abrió investigación administrativa por los hechos descritos en los numerales anteriores y formuló cargos a Cdiscount por la presunta violación de los deberes contenidos en el literal a) del artículo 18 de la Ley 1581 de 2012 en concordancia del artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015”. 4.2 De otra parte, se refiere al cargo único formulado por esta Dirección, expresando que: HOJA N 12, “Por la cual se impone una sanción y se imparten órdenes administrativas” “A continuación, se pondrán a consideración del despacho los hechos sobre el cumplimiento de la voluntad del titular, la supresión de su información personal de la base de datos y algunas cuestiones relevantes sobre la denuncia presentada por la señora xxxxxxx. 4.

Descargos de Cdiscount frente al cargo único imputado mediante la Resolución No. 84800 del 20 de noviembre de 2018. En las siguientes secciones se pondrán de presente ante el despacho los argumentos y pruebas sobre la atención de la voluntad de la titular Xxxxxxxxxxxxxxxxxxxxxxxxxxx sobre sus datos personales; a nivel informativo el cambio de actividades de Cdiscount que influye en el tratamiento de datos personales; el compromiso de la Compañía con la protección de datos personales y la inexistencia de antecedentes con relación a la posible vulneración de la normatividad vigente en la materia. 4.1.

Atención de la solicitud de la titular de datos La señora Xxxxxxxxxxxxxxxxxxxxxxxxxxx asegura haber activado en cuatro (4) oportunidades el link "si no quieres recibir más correos ingrese a este enlace", pero que al activarlo la redirigía a una página web que asegura no tenía servicio. Sobre lo anterior, Cdiscount presume la buena fe en el testimonio de la señora xxxxxxx en el reporte de las fallas de dicho enlace, por lo cual reconoce los hechos narrados en la denuncia, acudiendo a la causal de graduación de la sanción, si es que hay lugar a una, de la Ley 1581 de 2012:

ARTÍCULO

De acuerdo a lo enunciado Cdiscount lamenta no haber podido dar un trámite efectivo a la solicitud realizada por la titular, pues en su actuar siempre se propendió por respetar los derechos de los titulares de la información, tal cual se consagraba en el texto de autorización que se disponía en el sitio web de la citada compañía: Como se puede constatar, de la lectura del texto referido, se consagra que "el usuario tendrá derecho a ser excluido de la base de datos administradas por Cdiscount.com.co, en la cual se encuentran almacenados sus datos personales, previa solicitud que realice el usuario - La información personal suministrada por el Usuario, no será circulada o transferida a terceros no autorizados. - Almacenes Éxito S.A. garantiza que cuenta con una Política para el Tratamiento de Datos Personales, la cual se encuentra publicada en el sitio web www.qrupoexito.com - Así mismo tiene a disposición del Usuario el correo electrónico: protección,datos@cdiscount.com.co o a través del cual atenderá las peticiones, quejas o reclamos que presente el usuario", es decir que, en el caso objeto de estudio se dio cumplimiento estricto con el deber de información previo, y específicamente sobre los derechos de los titulares sobre su información y la manera adecuada de ejercerlos.

HOJA N 13, “Por la cual se impone una sanción y se imparten órdenes administrativas” A pesar de que Cdiscount lamenta que la señora Xxxxxxxxxxxxxxxxxxxxxxxxxxx no haya podido ejercer su derecho a través de la página referida, se quiere indagar ante su despacho, qué se entiende por el requisito de procedibilidad consagrado en la Ley 1581 de 2012: Artículo 16.

Requisito de procedibilidad. El Titular o causahabiente sólo podrá elevar queja ante la el Responsable del Tratamiento o Encargado del Tratamiento. Lo anterior, porque si bien Cdiscount confía en el obrar de buena fe de la señora Xxxxxxxxxxxxxxxxxxxxxxxxxxx ¿hasta qué punto se puede llamar a esto una reclamación directa ante el encargado de los datos? en este caso Cdiscount, pues si bien el link se supone no funcionó, según la declaración de la señora xxxxx, en el aviso de privacidad mencionado se resaltó cual era el canal para el ejercicio de los derechos de Habeas Data y como si esto no fuese suficiente se puso a disposición la información sobre dónde encontrar la política de tratamiento de datos donde figura la dirección del Responsable donde podía también allegar su reclamo.

A pesar de la información suministrada a la titular de datos, ella no se dirigió a Cdiscount por otros medios consagrados expresamente, por lo cual Cdiscount no tuvo oportunidad de conocer y mucho menos gestionar su reclamo. Con respecto a lo anterior, Cdiscount quiere aclarar que el área encargada, tras la información suministrada por la titular de los datos por medio de la queja presentada ante el despacho, procedió a efectuar una revisión de la situación reportada en el histórico de la empresa sin hallar registro de algún tipo de falla como la referenciada por la señora Xxxxxxxxxxxxxxxxxxxxxxxxxxx, además esta es la única reclamación de la que se tiene conocimiento donde nos informen que el link en cuestión estuviese fuera de servicio.

En este punto, dado que había transcurrido cierto tiempo entre la presunta falla y el reporte de la misma, no es posible acreditar el funcionamiento de dicho sitio web, pues como se ha mencionado en otras oportunidades dentro de este trámite, la página Cdiscount dejó de funcionar desde mediados del año 2016, como se informa a las personas que intentan acceder a la misma, tal como se muestra a continuación: Ahora bien, en torno a la atención de la voluntad de la titular de datos personales, como ya se ha expresado, Cdiscount no tenía dentro de su historial la petición de supresión de la señora xxxxxxx, razón por la cual no tuvo la posibilidad de proceder en dicho momento con la eliminación de su cuenta de correo electrónico como era su deseo, pero como es ya conocido por este despacho, en cuanto tuvo conocimiento de la reclamación de la titular y se pudo verificar la voluntad específica de la misma, procedió a eliminar la cuenta de correo electrónico de sus repositorios y acreditó su supresión tal como se demostró en el cumplimiento de la orden de supresión emitida por la Superintendencia. En su momento el área encargada de comercio directo adelantó el procedimiento interno de eliminación de la cuenta de correo de la señora Xxxxxxxxxxxxxxxxxxxxxxxxxxx, correspondiente a xxxxxxxxxxxxxxxxxxxxxxxx como se evidencia en la consulta de los sistemas que a continuación se adjuntan: HOJA N 14, “Por la cual se impone una sanción y se imparten órdenes administrativas” Como se observa en la consulta del sistema, la cuenta de correo electrónico xxxxxxx, arroja el siguiente mensaje "No ítems returned by this query: login = xxxxxxxxxxxxxx lo cual quiere significar que no hay resultados para la búsqueda, en señal de que el correo electrónico no se encuentra en la base de datos.

Con lo anterior, Cdiscount expresa su disculpa ante la señora xxxxxxxx por no poder haber tenido la posibilidad de dar trámite inmediato a su petición frente a sus datos personales, pero se reitera que la Compañía no conocía de su requerimiento y tampoco tuvo reporte alguno del inconveniente de la plataforma. 4.2 Cdiscount y su fusión En este punto es importante resaltar que la página Cdiscount.com era administrada por la Compañía Cdiscount Colombia S.A.S., pero para el año de 2017, tal como consta en el certificado de existencia y representación (Ver Anexo 1) se fusionó con la Compañía Distribuidora de Textiles y Confecciones S.A.S., pasando a llevar el nombre de Éxito Industrias S.A.S. y cambiando el giro de sus negocios, pues para el momento de la presentación de este memorial tiene como actividad principal la "Confección de prendas de vestir, excepto prendas de piel".

De acuerdo a lo anterior queremos expresar, que Cdiscount no tiene dentro del giro principal de sus negocios el envío de publicidad a clientes de Almacenes Éxito S.A., es decir que, en principio, no actúa en este punto como encargado de información de clientes de las plataformas de comercio electrónico, ni efectúa procesos de recolección de datos personales vía web, pues como ya se mencionó en el numeral 4.1., la página Cdiscount.com lleva alrededor de dos (2) años y medio fuera de servicio.

Con lo anterior, se considera pertinente dejar claro el cambio en el giro de los negocios de Cdiscount, para que a lo largo de este memorial de descargos su despacho pueda evaluar las Políticas implementadas para el tratamiento de datos personales de acuerdo al contexto actual de la compañía en relación con el tratamiento de los datos personales de los titulares.” 4.3 De otro lado, hace mención de la Responsabilidad Demostrada (Accountability), así: “4.3.

Compromiso con la protección de datos e inexistencia de antecedentes en materia de protección de datos personales En Colombia se ha consagrado dentro de la normatividad el principio de Responsabilidad Demostrada con la intención de promover un modelo jurídico de protección de datos basado en el reconocimiento de las organizaciones comprometidas en la materia, a través de modelos y programas verificables.

Este mecanismo fue implementado por la Delegatura de Protección de Datos de la Superintendencia de Industria y Comercio mediante la expedición de la Guía para la Implementación del Principio de Responsabilidad Demostrada en 2015, pero su consagración se incluyó en el Decreto reglamentario 1377 de 2013: "Responsabilidad demostrada frente al tratamiento de datos personales Artículo 26.

Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: - La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa de acuerdo con la normativa vigente. - La naturaleza de los datos personales objeto del tratamiento. - El tipo de Tratamiento. - Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

( ) Artículo 27. Políticas internas efectivas ( ) Dichas políticas deberán garantizar: HOJA N 15, “Por la cual se impone una sanción y se imparten órdenes administrativas” a) La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. b) La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. c)La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento.

La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto".

(Subrayas y negrillas fuera del texto original). En este punto resulta relevante resaltar que la Superintendencia, como autoridad competente en la materia, debe de tener en cuenta la implementación de programas integrales de protección de datos, por parte de una organización, como un criterio de decisión frente a la imposición o no de una sanción de carácter administrativo por violación al régimen de protección de datos.

Cdiscount está comprometido con la protección de datos personales, a pesar de que su objeto no es principalmente el envío de publicidad o cualquier otra actividad que implique el tratamiento de datos personales de clientes. Como referente de lo anterior se adjunta la política de protección de datos personales (Ver anexo 3) implementada por la Compañía y oficializada por la misma a través de los sistemas de comunicación internos. A su vez, la sociedad tiene nombrado su propio oficial de protección de datos, tal como consta en la carta firmada por el Representante Legal de la Compañía y por el nombrado oficial (Ver Anexo 4).

Por otro lado, Éxito Industrias S.A.S. cuenta con una Política de Seguridad de la Información (Ver Anexo No. 5) y un Manual Detallado de Seguridad de la Información (Ver Anexo No. 6) lo cual denota la preocupación por la seguridad de la información al interior de la Compañía, cumpliendo con el principio de seguridad consagrado en la Ley 1581 de 2012: Artículo 4°.

Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley. se aplicarán, de manera armónica e integral, los siguientes principios: ( ) g) Principio de seguridad: La información sujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Cdiscount en su historial no tenía investigaciones o casos que hayan dado lugar a sanciones por la violación de protección de datos personales, de lo cual puede concluirse que el presente es un caso aislado y la sociedad Cdiscount Colombia S.A.S. ahora fusionada bajo el nombre Éxito Industrias S.A.S. han sido responsables en el tratamiento de datos personales, por lo cual ante una posible sanción, su despacho debe considerar como fuente para su imposición las causales de graduación consagradas en el artículo 24 del Decreto Reglamentario 1377 de 2013, más específicamente su literal c): "Artículo 24.

Criterios para graduar las sanciones Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: ( ) HOJA N 16, “Por la cual se impone una sanción y se imparten órdenes administrativas” d) La reincidencia en la comisión de la infracción;" 4.4 Finaliza su escrito, solicitando el cierre de la investigación así: “Cdiscount lamenta no haber atendido en primer momento la voluntad de la titular Xxxxxxxxxxxxxxxxxxxxxxxxxxx de acuerdo a su narración y acudiendo a la buena fe sobre su testimonio, aclarando que en nuestros sistemas no existe historial de la petición hecha por la titular, sin embargo, Cdiscount está comprometido con la protección de datos personales de acuerdo a los tratamientos que ejerce sobre la información personal, tal como consta en el numeral 4.3 de este documento.

Por otro lado, es el primer caso que se tiene por parte de Cdiscount respecto a una posible vulneración de protección de datos. Teniendo en cuenta lo anterior se solicita se de cierre a la presente actuación administrativa con el archivo del caso o dado lugar a una posible sanción a consideración del despacho: se tengan en cuenta todos los argumentos mencionados en torno a la protección de datos que Cdiscount ejerce sobre la información, tal como lo preceptúan las causales de graduación del artículo 24 del Decreto Reglamentario 1377 de 2013.”

QUINTO: Que mediante Resolución 7092 del 28 de marzo de 2019, radicada bajo el número 18283845-13-0 del 3 de abril de 2019, esta Dirección incorporó las pruebas obrantes en la totalidad del expediente radicado bajo el número 18-283845, en el mismo acto administrativo se decretó la práctica de una prueba consistente en: “se requerirá a la sociedad ALMACENES ÉXITO S.A, aportar evidencia técnica donde se acredite que para el día 11 de febrero de 2016 (i) se condicionaba el registro de los titulares atreves de la página web (ii) a la aceptación del check box, (iii) había puesto a disposición de los titulares las políticas de privacidad de la sociedad y (iv) que a través del registro de información los titulares aceptaba la política de privacidad de la sociedad, la prueba técnica deberá visualizar o permita trazabilidad, con el fin de verificar el versionamiento del citado check box”, se concedió un término de diez (10) días hábiles para que remitiera prueba técnica.

SEXTO: Que, la Resolución 7092 del 18 de marzo de 2019, fue notificada personalmente el 3 de abril de 2019 según consta en comunicación radicada bajo el número 18-283845 -19 del 7 de mayo de 2019, expedida por la Secretaria General de esta Superintendencia, a MARCELA TREJOS en calidad de apoderada de la sociedad ALMACENES ÉXITO S.A, y a ANGIE PEÑA en calidad de apoderada de ÉXITO INDUSTRIAS S.A.S. 6.1 Que mediante oficio radicado bajo el número No 18-283845- -00018-0000 de fecha 16 de abril de 2019, mediante apoderado especial César Hernando Bernal León de la sociedad ALMACENES ÉXITO S.A solicitó prórroga. 6.2 Que mediante oficio radicado bajo el número 18- 283845- 21, el día 23 de mayo de 2019, la Coordinación del Grupo de Trabajo de Investigaciones Administrativas dio respuesta a la solicitud de prórroga presentada por la sociedad investigada, concediéndole un término adicional de 5 días. 6.3 Que mediante escrito radicado bajo el número 18-283845-00022-0000 del 30 de mayo 2019 y 18-283845-00023-0000 del 31 de mayo 2019 la sociedad ALMACENES ÉXITO S.A dio respuesta a lo ordenado por esta Dirección, mediante Resolución 7092 de 2019, documento a través del cual manifestó lo siguiente: (…) (i) Se condicionada el registro de los titulares a través de la página web, (ii) a la aceptación del check box " En las páginas web de la compaña, tal como se ha referenciado en los diferentes escritos y respuestas allegadas a su dirección en este caso, se ha mostrado que para culminar el registro de información se dispone de un check box que debe estar marcado o aceptado para poder continuar.

Sin dicha aceptación no pueden ingresarse los datos personales. La práctica referenciada no fue distinta para nuestra página web en la fecha 11 de febrero de 2016, como puede consultarse en la prueba técnica anexa a esta respuesta, la cual contiene el código fuente del sitio web de exito.com, donde se puede visualizar la versión del sitio que se desplego y entro a producción el 8 de febrero de 2016.

Dicha versión estuvo vigente hasta el siguiente despliegue, el cual se realizó el día 22 de febrero de 2016, como se puede verificar en la siguiente imagen, que corresponde a las versiones almacenadas en el software de versionamiento de los códigos fuente del sitio web: HOJA N 17, “Por la cual se impone una sanción y se imparten órdenes administrativas” En consecuencia, en la prueba técnica anexa se puede verificar que para el periodo de tiempo indicado por su despacho, 11 de febrero de 2016, el registro de información en el sitio web se condicionaba a la aceptación del check box por parte del titular.

De lo contrario el sistema no permitía finalizar la inscripción en la página web.” De acuerdo a lo anterior, se puede concluir que para la versión del sitio web desplegada entre el 8 de febrero de 2016 y 22 de febrero de 2016, se disponía de un check box que condicionaba el registro de la información de cualquier titula de datos a su aceptación. “…(iii) Había puesto a disposición de los titulares las políticas de privacidad de la sociedad " Como se ha soportado en el trámite del presente caso, el aviso de privacidad y autorización se encontraban dispuestos de forma clara y visible para los titulares, acerca de lo cual se puede concluir que se realizaba la toma de autorización previa, expresa e informada; para la fecha indicada por su despacho este era el texto que se disponía en el formulario web de registro: La disposición e implementación del anterior aviso de privacidad en el sitio web en la fecha indicada por su despacho, se encuentra soportada en el código fuente anexo a esta respuesta.

Con lo anterior, Éxito, demuestra que cumpla con el deber informativo al disponer el texto que establecía las condiciones en las cuales el titular de datos aceptaba el tratamiento de su información personal.” “…(iv) Que a través del registro de información los titulares aceptaban la política de privacidad de la sociedad " Para la fecha 11 de febrero de 2016 esta situación no era distinta conforme se ha demostrado en los anteriores acápites, pues se dispuso en la página web un check box, el cual no permita continuar al titular de datos con su registro si no se encontraba marcado, además se disponía el respectivo texto de autorización para el tratamiento de datos personales.” HOJA N 18, “Por la cual se impone una sanción y se imparten órdenes administrativas” ”Tal como se dispone en el texto de autorización, se informa de forma expresa al titular que "al aceptar los términos legales, indicas que conoces y autorizas de manera previa expresa e informada a Almacenes Éxito S.A.", es decir que la persona conoce o por lo menos le fue informado que al aceptar los términos y condiciones mediante el check box, autorizaba asimismo el tratamiento de sus datos personales en los términos señalados en el aviso dispuesto, lo anterior se puede constatar en los apartes resaltados del siguiente soporte:” Cuando el titular aceptaba el check box, se generaba, además, una estampa en el registro donde consta que al estar marcado dicho check box, el titular de datos personales está aceptando de forma expresa el tratamiento de datos personales, tal como se puede visualizar en la imagen que fue extraída del anexo que contiene la prueba técnica que adjuntamos a la presente respuesta:” A través de la consulta de la prueba técnica, se constata que para el 11 de febrero de 2016 estaba vigente la disposición de un check box, el aviso de privacidad y autorización para el tratamiento de datos personales, su asocio a la marcación del check box, y la estampa de aceptación en el sistema.

Con lo anterior damos cumplimiento al requerimiento de información emanado de su despacho en el caso radicado 19-283845 en virtud de la resolución 7092 de 2019, si mismo, estamos atentos a cualquier otra información que sea requerida sobre el particular.” SÈPTIMO: Que, la Dirección de Investigación de Protección de Datos Personales, a través de un ingeniero de la Delegatura, realizó informe técnico de la prueba aportada por la sociedad ALMACENES ÉXITO S.A4. radicado bajo el número 18- 283845-00028-0000 del 25 de septiembre de 2019.

OCTAVO: Que mediante oficio radicado bajo el número 18-283845-24-0 de 18 de junio 2019, este Despacho corrió traslado a la sociedad ALMACENES ÉXITO S.A por un término de 10 días, para que presentaran los respectivos alegatos de conclusión, así mismo mediante escrito radicado bajo el número 18-283845-00026-0000 del 5 de julio 2019 encontrándose dentro del término, presentó alegatos de conclusión reiterando lo señalado en el escrito de descargos.

NOVENO: Que mediante oficio radicado bajo el número 18-283845-25-0 de 18 de junio 2019, este Despacho corrió traslado a la sociedad ÉXITO INDUSTRIAS S.A.S.por un término de 10 días, para que presentaran los respectivos alegatos de conclusión así mismo mediante escrito radicado bajo 4 Prueba técnica allegada por Almacenes Éxito S.A radicado bajo el número 18- 283845-00022-0000 del 30 de mayo de 2019 y 18- 283845-00023- 0000 del 31 de mayo de 2019 HOJA N 19, “Por la cual se impone una sanción y se imparten órdenes administrativas” el número 18-283845-00027-0000 del 5 de julio 2019 encontrándose dentro del término, presentó alegatos de conclusión reiterando lo señalado en el escrito de descargos.

DÉCIMO: Que mediante comunicación radicado bajo el número 18-283845-00031-0000 y 18 283845-00032-0000 del 29 de octubre de 2019, la sociedad ALMACENES ÉXITO S.A allegó: “prueba técnica contenida en la unidad de CD- ROM, atendiendo las fallas y errores de lectura que se presentaron, de conformidad con lo aducido en el documento de la referencia” No obstante, esta dirección al revisar los elementos adjuntos, no evidenció prueba alguna aportada en medio digital (CD) y, en consecuencia, la prueba técnica correspondiente, por lo que mediante requerimiento radicado bajo el número 18-283845-33-0 del 16 de julio de 2020, se solicitó a la investigada que allegara nuevamente la prueba, en el término de cinco (5) días hábiles siguientes a la recepción de la comunicación. En respuesta al requerimiento radicado bajo el número 18-283845-33-0 del 16 de julio de 2020, la sociedad investigada, se pronunció mediante escrito de fecha 24 de julio de 2020, radicado bajo el número 18-283845-34-0 y 18-283845-35-0 del 27 de julio de 2020, manifestando lo siguiente: (…) Los componentes OrionProfileFormHandler y GenericContentLookupDroplet, fueron implementación de nuestro primer proveedor llamado DESATO que construyó el portal de exito.com en el año 2010.

Basado en la tecnología Oracle Commerce ATG. Ambos componentes software son de propiedad de DESATO y lo usaron en su momento como agilizadores en implementaciones de este tipo y customizaciones del negocio ecommerce como lo requiere la compañía. Este es el portal de DESATO donde hacen mención a su producto Orion como acelerador de implementaciones http://www.desato.com/service/orion-accelerate/.

Actualmente la compañía no tiene ninguna relación comercial desde que se terminó la implementación del portal éxito.com Cabe aclarar que Almacenes Éxito S.A. cuando tenía la versión de ATG instalada en su página web siempre ha tenido sus procesos de desarrollo bien definidos y en su gestión de la configuración, además siempre se ha establecido versionar todo su código con SVN y clasificar todos sus fuentes en las ramas Master, Branch (Cuando había que hacer hotfix o nuevos desarrollos) y Tag (Como respaldo de los pasos a producción).

Las fuentes compartidas corresponden a un TAG de la versión del sitio que se desplego y se encontraba en producción, para la fecha indicada a lo largo del proceso, en el sitio web de éxito.com. De acuerdo a esta explicación, evidenciamos que la prueba técnica no está presentando errores o fallas de lectura, sino que la versión completa que se tenía en su momento documentada con los componentes y códigos fuentes respectivos ya no puede ser remitida técnicamente, atendiendo a que los puntos que no permiten su visualización son de propiedad de un tercero con el que la compañía ya no posee un vínculo contractual vigente.” Dado lo anterior, la Dirección de Investigación de Protección de Datos Personales, a través de un ingeniero de la Delegatura, realizó informe técnico de la comunicación aportada por la sociedad ALMACENES ÉXITO S.A., radicado bajo el número 18- 283845-00036-0000 del 24 de agosto de 2020.

DÉCIMO PRIMERO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley. Análisis del caso 10.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20115, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que, pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

HOJA N 20, “Por la cual se impone una sanción y se imparten órdenes administrativas” hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”. Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares.

El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012. (ii) De conformidad con los hechos alegados por los reclamantes y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada ALMACENES ÉXITO S.A en calidad de responsable se concreta en la posible vulneración a (i) el literal h) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 9 de la misma ley y el artículo 2.2.2.25.2.5. del Decreto Único Reglamentario 1074 de 2015, y en condición de Encargado del Tratamiento a ÉXITO INDUSTRIAS S.A.S por la presunta contravención de lo dispuesto en el literal a) del artículo 18 de la Ley 1581 de 2012 en concordancia del artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015 En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción para lo cual se deberán tener en cuenta los hechos narrados por el denunciante, así como las razones de hecho y de derecho aducidas por la investigada en los escritos de descargos y los alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 10.1 Valoración probatoria y conclusiones frente a la sociedad ALMACENES ÉXITO S.A 10.1.1 Respecto del deber del Responsable de suministrar al Encargado del Tratamiento únicamente datos previamente autorizados.

El artículo 15 de la Constitución Política establece que las personas, en desarrollo de sus derechos a la autodeterminación informática y el principio de libertad, son quienes de forma expresa deben autorizar que la información que sobre ellos sea recaudada pueda ser incluida en una base datos. At respecto la Corte Constitucional ha señalado lo siguiente: "Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del titular.

Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. Este principio, pilar fundamental de la administración de datos, permite al ciudadano elegir voluntariamente si su información personal puede ser utilizada o no en bases de datos. También impide que la información ya registrada de un usuario, la cual ha sido obtenida con su consentimiento, pueda pasar a otro organismo que la utilice con fines distintos para los que fue autorizado inicialmente.

El literal c) del Proyecto de Ley Estatutaria no sólo desarrolla el objeto fundamental de la protección del habeas data, sino que se encuentra en íntima relación con otros derechos fundamentales como el de intimidad y el libre desarrollo de la personalidad. En efecto, el ser humano goza de la garantía de determinar qué datos quiere sean conocidos y tiene el derecho a determinar lo que podría denominarse su 'imagen informática"7.

Los principios rectores, además, deben confluir en cuanto a su aplicación con Los deberes y derechos contenidos en la Ley 1581 de 2012, específicamente en el presente caso, es relevante mencionar los deberes que tienen los Responsables de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data. Al respecto la Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realiza el análisis constitucional de la Ley estatutaria 1581 de 2012, manifestó: "De conformidad con la jurisprudencia de esta Corporación, dentro de las prerrogativas - contenidos mínimosque se desprenden de este derecho encontramos por lo menos las siguientes: (i) el derecho de las personas a conocer -acceso- la información que sobre ellas están recogidas en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información;

(ii) el derecho a incluir nuevos datos con el fin de se provea una imagen completa del titular; (iii) el derecho a actualizar la información, es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada o corregida, de tal manera que concuerde con la realidad;

(v) el derecho a excluir información de HOJA N 21, “Por la cual se impone una sanción y se imparten órdenes administrativas” una base de datos, bien por qué se está haciendo un uso indebido de ella, o por simple voluntad del titularsalvo las excepciones previstas en la normativa." De esta manera, debe precisar este Despacho que, tal como lo manifiesta la Corte Constitucional, el derecho de habeas data otorga la facultad al Titular de los datos personales de exigir el acceso, corrección, adición, actualización y eliminación de su información, por lo que resulta apenas claro, que los Responsables y Encargados de la información deben implementar mecanismos que le permita al Titular acceder en cualquier momento a su información. De lo anterior, vale la pena precisar que la jurisprudencia constitucional, en sentencia mencionada líneas atrás, se refiere a las características de los datos personales al analizar la constitucionalidad del proyecto de ley de protección de datos personales, a saber: "i) Estar referidos a aspectos exclusivos y propios de una persona natural; ii) Permitir identificar a la persona, en mayor o menor medida, gracias a la visión de conjunto que se logre con el mismo y con otro datos; \iii) Su propiedad reside exclusivamente en el titular del mismo, situación que no se altera por su obtención por parte de un tercero de manera licita o ilícita; iv) su tratamiento está sometido a reglas especiales (principios) en lo relativo a su captación, administración y divulgación", características que se adicionan al concepto de dato personal establecido en la Ley, consistente en un derecho de propiedad sobre éste, que se radica en cabeza del titular.

Por su parte, el artículo 9 de la ley 1581 de 2012 indica Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. Así mismo el artículo17 de la ley 1581 de 2012 indica, Los Responsables del Tratamiento deberán cumplir los siguientes deberes. sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: en su literal h), así: ( ) h) Suministrar al Encargado del Tratamiento. según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado de conformidad con lo previsto en la presente ley" Decreto Único Reglamentario 1074 de 2015 "Artículo 2.2.2.25.2.5.

Prueba de la autorización. Los Responsables deberán conservar prueba de la autorización otorgada por los Titulares de datos personales para el Tratamiento de los mismos". En el caso objeto de estudio, se encuentra que la señora XXXXXXXXXXXXXXXXXXXXXXXXXXX, puso en conocimiento de esta Superintendencia, a través de denuncia radicada bajo el número 16-033261- -00000-000 del 11 de febrero de 2016, que la sociedad ÉXITO INDUSTRIAS S.A.S. estaba incumpliendo presuntamente las normas sobre protección de datos personales, manifestando lo siguiente: “Constantemte (sic) recibo correos por parte de CDISCOUNT en mi dirección XXXXXXXXXXXXXXXXXXXXX He intentado mas (sic) de 4 veces que me eliminen de la lista de envíos de ese correo por medio del link que aparece en la parte inferior de cada correo donde dice: “si no quieres recibir mas (sic) correos ingresa a este enlace”.

Sin embargo, de nada ha servido porque me siguen mandando correos y no me interesa. por favor retirarme de esa lista.” Ahora bien, con el propósito de contar con más elementos de juicio, la Coordinación del Grupo de Trabajo de Habeas Data, requirió a la sociedad ÉXITO INDUSTRIAS S.A.S., mediante oficio radicado bajo el número 16-033261- -00003-000 del 03 de marzo de 2016, con el propósito de que informará, entre otras cosas, lo siguiente: “(…) “2.

En caso de contar con la respectiva autorización, aportar prueba mediante la cual se informe al Titular de información la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. 3. Si ustedes han tratado la información del Titular en calidad de Encargado o Responsable. En caso de ser en calidad de Encargado favor indicar el nombre e identificación del Responsable del tratamiento de la información.” “(…) En respuesta al citado requerimiento, la sociedad investigada, mediante escrito radicado bajo el número 16-033261- -00011-000 del 10 de enero de 2017, informó: HOJA N 22, “Por la cual se impone una sanción y se imparten órdenes administrativas” (…) “1.

Acreditar prueba de la autorización (previa e informada) otorgada por el titular de la información para el tratamiento de sus datos personales. Una vez realizadas las averiguaciones pertinentes, con relación a los datos de la señora identificada como Xxxxxxxxxxxxxxxxxxxxxxxxxxx; hemos identificado que está registrada en la base de datos de compradores de www.exito.com ya que realizó unas compras por este canal y aceptó compartir algunos de sus datos personales.

Es así como, nuestro proveedor de registro de correos electrónicos Bounce Exchange, nos suministra los siguientes datos de prueba que se tienen almacenados con relación a la persona indicada: ” (…) De acuerdo con las imágenes aportadas por la investigada, en el curso de las actuaciones preliminares adelantadas por el Grupo de Habeas Data, no se evidenció autorización susceptible de consulta posterior conforme con lo dispuesto en el artículo 9 de la Ley 1581 de 2012.

Por tanto, el deber que le asiste al Responsable del Tratamiento no es otro que previo a la recolección de los datos personales, solicitar el consentimiento del Titular, de manera que pueda ser objeto de consulta posterior. En consecuencia, este Despacho formuló cargos mediante la Resolución 84800 del 20 de noviembre de 2018, por la cual se abre una investigación y formulan cargos, radicada bajo consecutivo número 18-283845-1-0 del 21 de noviembre de 2018, y sustentó este cargo en las siguientes consideraciones: “En el caso analizado, dentro de la actuación administrativa surtida por el Grupo de Trabajo de Hábeas Data, la sociedad ALMACENES ÉXITO S.A. no remitió prueba conducente de la autorización previa, expresa e informada otorgada a su favor por la Titular XXXXXXXXXXXXXXXXXXXXXXXXXXX para el Tratamiento de sus datos personales; al respecto, es necesario mencionar que remitió una serie de capturas en las cuales no se observa que la Titular haya dado su consentimiento para realizar operaciones sobre la información asociada a su persona, así las cosas, este Despacho advierte que la investigada no acreditó contar con la misma e infiere de manera preliminar que si fue obtenida mediante pop ups de registro condicionados a la aplicación del check box -conforme con los argumentos expuestos en la impugnación de la orden impartidala supuesta autorización no es susceptible de consulta posterior conforme con lo dispuesto en el artículo 9o de la Ley 1581 de 2012.

HOJA N 23, “Por la cual se impone una sanción y se imparten órdenes administrativas” En relación con lo anterior, en la denuncia presentada ante esta Superintendencia la Titular asegura haber recibido un correo electrónico por parte de CDISCOUNT, hecho que no fue controvertido por la investigada. Por otra parte, ALMACENES ÉXITO S.A. manifestó es la Responsable del Tratamiento y, consecuentemente, CDISCOUNT -hoy ÉXITO INDUSTRIAS S.A.S.- funge como Encargada, así las cosas, se deduce de manera preliminar que la investigada suministró a la sociedad CDISCOUNT -hoy ÉXITO INDUSTRIAS S.A.S.- los datos personales de la denunciante para que realizara el Tratamiento del mismo en calidad de Encargada sin contar con autorización otorgada por la Titular para tal propósito.” La investigada en su escrito de descargos6, sustenta su defensa afirmando que: (…)”Procedimiento condicionado necesariamente a la manifestación expresa de la autorización por parte del titular de los datos personales mediante su acción voluntaria e intencional de marcar el campo de aceptación: Como ya se ha mencionado ampliamente en el anterior acápite, se prueba la calidad expresa de la autorización del tratamiento de datos personales, toda vez que, para poder efectuar el registro exitoso en la página web, es preciso hacer clíck en el check box o campo para la aceptación de los términos informados, lo cual implica al acción inequívoca y consciente de la persona, pues de lo contrario no es posible continuar con el proceso de registro.

De esta manera, bajo el procedimiento de registro instalado, no es admisible el consentimiento tácito.” (…) El formulario de registro en la extinta página de Cdiscount.com tenía en su formulario de registro el siguiente texto de autorización: En el mismo se observa la identificación del responsable del tratamiento de datos personales en cabeza de "Almacenes Éxito S.A." y se le informan las finalidades específicas para el tratamiento de datos personales, incluidas aquellas que habilitaban la entrega y uso de los datos por parte de Cdiscount, las cuales eran: 'Recolectar, registrar, procesar, difundir, compilar, intercambiar, actualizar y disponer para fines propios e inherentes a la prestación del servicio, de los datos personales suministrados al momento de registro en el sitio web www,cdiscount.com.co.

Así mismo en virtud de la autorización aquí otorgada, cdiscount.com.co podrá ofrecer sus productos y servicios a los usuarios de una manera más personalizada y directa, e igualmente podrá circular información personal del usuario a las filiales de Almacenes Éxito S.A.( )" Respecto lo anterior, en el caso bajo estudio, según los argumentos expuestos por la sociedad investigada, este Despacho pudo constatar que la sociedad ALMACENES ÉXITO S.A. llevó a cabo 6 Escrito de descargos presentado por el apoderado especial de la sociedad investigada el día 15 de enero de 2019, radicado bajo el número 18- 283845-00011-0000 del 15 de enero de 2019.

HOJA N 24, “Por la cual se impone una sanción y se imparten órdenes administrativas” actividades de Tratamiento de Datos sin el lleno de los requisitos legales impuestos por la Ley 1581 de 2012, toda vez que la investigada en calidad de responsable del tratamiento suministró a la sociedad ÉXITO INDUSTRIAS S.A.S.en calidad de Encargada, datos personales de naturaleza no pública de la titular, como lo es su correo electronico sin contar con la autorización para el tratamiento, teniendo en cuenta que dicha autorización es obtenida mediante pop ups de registro condicionados a la aplicación del check box, por lo que este Despacho reitera que dicha autorización debe ser previa, expresa e informada, así mismo susceptible de consulta posterior conforme con lo dispuesto en el artículo 9 de la Ley 1581 de 2012.

Por otro lado, frente a la prueba decretada por esta Dirección7, y pese a que la investigada allegó lo ordenado8 la Dirección de Investigaciones de Protección de Datos Personales, a través de un Ingeniero de esta Delegatura, realizó un informe técnico9 cuyas conclusiones son las que, a continuación se citan: “1. El sistema contiene una página cuyos componentes concuerdan con la imagen descrita en el documento enviado el 30 de mayo de 2019 y radicado con el número 18-283845-00022-0000 2.La configuración del campo denominado "Acepto Términos y Condiciones Legales" determina que esta casilla aparece marcada por defecto, por lo cual el usuario NO requiere hacer click sobre la misma para seleccionarla. 3.Aunque se evidencia una validación del campo "Acepto Términos y Condiciones Legales" NO se puede asegurar que este error detiene la ejecución del proceso puesto que no existe el código fuente de la clase "OrionProfileFormHandler". 4.No es posible establecer si el código fuente de la clase "OrionProfileFormHandler" no fue enviado por la entidad o se encuentra dentro de los archivos que presentan error de lectura. 5.Se evidencia un enlace a una página que puede ser la política de privacidad de la sociedad ALMACENES ÉXITO, pero no es posible establecer el contenido de la misma puesto que no se encuentra el código fuente del componente "GenericContentLookupDroplet" 6 No es posible establecer si el código fuente del componente "GenericContentLookupDroplet" no fue enviado por la entidad o se encuentra dentro de los archivos que presentan error de lectura. 7.Aunque la sociedad ALMACENES ÉXITO entregó el código fuente correspondiente, no es posible certificar que esta versión se encontraba desplegadas en los servidores de esta sociedad en la fecha especificada.” De acuerdo con lo anterior, es evidente que la prueba allegada por la investigada en esta instancia, no logra desvirtuar el presente cargo, pues no se vislumbra que se haya obtenido la autorización previa para el tratamiento de datos personales por parte de la titular, pues según el informe realizado, queda claro que frente al campo de acepto términos y condiciones legales, este se encuentra marcado automáticamente, es decir, la titular no requirió hacer click para seleccionar estar opción. Así mismo, es importante mencionar que mediante radicado bajo el número 18-283845-00031-0000 y 18-283845-00032-0000 del día 29 de octubre de 2019 la sociedad allegó nuevamente prueba técnica indicando lo siguiente: (…) “adjuntamos nuevamente la prueba técnica contenida en la unidad de almacenamiento CD-ROM, atendiendo a las fallas y errores de lectura que se presentaron, de conformidad con lo aducido en el documento de la referencia. De igual manera, informamos que el día 28 de octubre de 2019.

Se envió a la entidad, la prueba técnica, a través de correo electrónico -contactenos@sic.gov.co-. Pero, teniendo en cuenta que el archivo ostenta con una cantidad elevada de megabytes. Éxito desconoce si llegaron a la entidad, todos los archivos correspondientes al informe técnico. Por ello se remite nuevamente en físico.” Sin embargo, esta Dirección al revisar los elementos adjuntos, no evidenció la correspondiente prueba técnica aportada en medio digital (CD), por lo que mediante requerimiento radicado bajo el número 18-283845-00033-0 del 16 de julio de 2020, se solicitó a la investigada que allegara la prueba correspondiente, la cual fue aportada, mediante escrito de fecha 24 de julio radicado bajo el número 18-283845-34-0 y 18-283845-35-0 del 27 de julio de 2020; no obstante, a través de un ingeniero de la Delegatura, se realizó el informe técnico10 de la prueba allegada por la sociedad ALMACENES ÉXITO S.A. cuyas conclusiones son las que a continuación se citan: Resolución No. 7092 del 28 de marzo de 2019 por la cual se incorporan pruebas dentro de una actuación administrativa y se dec reta la práctica de una prueba, visible bajo radicado número 18-283845-13-0 del 3 de abril de 2019.

Prueba allegada por la sociedad ALMACENES EXITO radicada bajo el número 18-283845-00022-0000 del 30 de mayo 2019. Prueba técnica mediante escrito radicado bajo el número 18- 283845-00028-0000 del 25 de septiembre de 2019. Informe técnico a prueba allegada por ALMACENES ÉXITO SA el día 27 de julio de 2020, realizado por un ingeniero de la Delegat ura radicado bajo el número 18-283845-00036 del 24 de agosto de 2020 HOJA N 25, “Por la cual se impone una sanción y se imparten órdenes administrativas” “1.

No se adjunta código fuente complementario que permita validar la funcionalidad del aplicativo, por lo cual las conclusiones iniciales no se modifican 2. La configuración del campo denominado “Acepto Términos y Condiciones Legales” determina que esta casilla aparezca marcada por defecto, y el usuario NO requiere hacer click sobre la misma para seleccionarla. 3.

La sociedad no adjunta evidencia técnica suficiente para asegurar que se hace una validación adecuada del campo “Acepto Términos y Condiciones Legales” y que el hecho de NO seleccionarlo detiene el proceso de registro de un usuario. 4. Se evidencia un enlace a una página que puede ser la política de privacidad de la sociedad ALMACENES ÉXITO, pero no es posible establecer el contenido de la misma puesto que no se encuentra el código fuente del componente “GenericContentLookupDroplet”.

Según la comunicación enviada, la Sociedad ALMACENES ÉXITO, tampoco tiene acceso a este código fuente por ser de un tercero quien implementó la versión inicial de esta plataforma. De acuerdo con lo anterior, no existe evidencia que permita asegurar que el enlace encontrado muestra la política de privacidad y que la Sociedad ALMACENES ÉXITO tenga acceso y control al texto que muestra como política de privacidad de la información en el formulario de registro de usuarios.” Respecto lo anterior, esta Dirección reitera que la sociedad realizó tratamiento datos personales de naturaleza no pública de la titular, sin contar con la respectiva autorización, pues según el informe realizado, queda claro que frente al campo de acepto términos y condiciones legales, este se encuentra marcado automáticamente, es decir la titular no requirió hacer click para seleccionar estar opción. Sobre el particular la Corte constitucional en sentencia C – 748 de 2011, precisó: “El consentimiento de titular de la información es un presupuesto para la legitimidad constitucional de los procesos de administración de datos personales, tratándose de un consentimiento calificado: ya que debe ser previo, esto es, que la autorización debe ser suministrada en una etapa anterior a la incorporación del dato; expreso, en la medida que deber ser inequívoco: e informado: toda vez que el titular no solo debe aceptar el tratamiento del dato, sino también tiene que estar plenamente consciente de los efectos de su autorización”11 Precisado lo anterior y retomando el asunto bajo estudio, se observa que el Régimen General de Protección de Datos contempló de manera expresa el deber que les asiste al Responsable del Tratamiento previo a la recolección de los datos personales, de solicitar el consentimiento del Titular, y que este pueda ser objeto de consulta posterior.

De acuerdo con los argumentos expuestos en líneas precedentes, encuentra este Despacho que, contrario a lo señalado por la sociedad investigada, no se evidencia manifestación por el Titular de la información dirigida a otorgar su consentimiento para el tratamiento de sus datos personales, conforme a lo establecido en el literal b artículo 17 de la ley 1581 de 2012.

Es evidente que la documentación allegada por la sociedad investigada, así como las piezas probatorias recolectadas a lo largo de la investigación, no lograron desvirtuar el presente cargo, pues no se demostró que la sociedad ALMACENES ÉXITO S.A en calidad de responsable del tratamiento haya obtenido la autorización previa, expresa e informada para el tratamiento de datos personales previstos en la ley, por parte de la señora XXXXXXXXXXXXXXXXXXXXXXXXXXX para así poder suministrarlos a la sociedad ÈXITO INDUSTRIAS S.A.S. en calidad de Encargada, enfatizando que, si bien durante la investigación fueron aportadas pruebas técnicas, las mismas de ninguna manera demostraron que efectivamente la Titular haya otorgado su consentimiento para el tratamiento de sus datos personales.

Como consecuencia de lo anterior, esta Dirección encuentra que la sociedad investigada incumplió con el deber establecido en el literal h) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 9 de la misma ley y el artículo 2.2.2.25.2 5. del Decreto Único Reglamentario 1074 de 2015, razón por la cual se impondrá una sanción pecuniaria de CIENTO CUARENTA Y CINCO MILLONES OCHOCIENTOS CUARENTA Y SEIS MIL DOSCIENTOS SETENTA Y DOS PESOS M/CTE ($145.846.272), equivalente a cuatro mil noventa y seis (4.096) en UVT Unidades de Valor Tributario.

En el mismo sentido, se encuentra procedente impartir una orden a la sociedad ALMACENES ÉXITO S.A dirigida a que: Corte Constitucional Sentencia C 748 del 6 de octubre de 2011 MP Jorge Ignacio Pretelt Chaljub. HOJA N 26, “Por la cual se impone una sanción y se imparten órdenes administrativas” a. Deberá cesar la utilización de “pop ups de registro condicionados a la aplicación del check box” como mecanismo para obtener la autorización para el tratamiento de datos personales de los titulares. b. Así mismo, deberá proceder con la supresión de todos los datos personales, de los titulares cuyo consentimiento haya obtenido mediante “pop ups de registro condicionados a la aplicación del check box”, conforme a lo expuesto en la presente decisión. De lo anteriormente ordenado, la sociedad ALMACENES ÉXITO S.A deberá aportar una certificación expedida por un auditor externo cualificado, dentro del término señalado en la parte resolutiva del presente acto administrativo. 10.1.1 De la aplicación del principio de Responsabilidad Demostrada En el escrito de descargos y alegatos, la sociedad ALMACENES ÉXITO S.A, adicionalmente, hizo referencia a los postulados de la Responsabilidad Demostrada, aseverando a ese respecto que ha venido implementando y consolidando una serie de documentos para la acreditación de dicho principio, hecho que, a su juicio, debe ser valorado por este Despacho como criterio para la imposición de una sanción pecuniaria.

Dicho Programa consta de los componentes que a continuación se citan12: (…) Dentro de los avances de las denominadas en la implementación y desarrollo del Programa se destacan: 1. Registro Nacional de Bases de Datos 2. Capacitaciones 3. Instrumentos jurídicos: políticas, avisos, cláusulas contractuales, guiones de comunicaciones, etc. 4.

Procedimiento de Gestión de Datos Personales; y 5. Procedimiento de Gestión de Incidentes. Como se evidencia en los anteriores documentos, Éxito ha apostado por desarrollar su Programa con el compromiso de la Alta Dirección, de forma que se asegure una implementación efectiva y con recursos suficientes de una serie de medidas apropiadas a su estructura organizacional, a su tamaño y a la naturaleza de la información sobre la que hace tratamiento, con el compromiso de proteger adecuadamente los datos de los titulares. - Área de Cumplimiento: Como parte del Programa de Protección de Datos de Éxito, y reconociendo la importancia de contar con un equipo especializado para gestionar dicho programa, la Junta Directiva nombró como oficial para la protección de datos personales al Jefe del Departamento de Gestión Integral de Riesgos, dentro del cual se creó el Área de Cumplimiento, la cual tiene como propósito gestionar entre otros, los riesgos asociados al tratamiento de datos personales.

Escrito de descargos bajo radicado número 18-283845-00011-0000 de la fecha 15 de enero de 2019, y alegatos de conclusión bajo radicado número 18-283845-00026-0000 del 5 de julio de 2019. HOJA N 27, “Por la cual se impone una sanción y se imparten órdenes administrativas” La Compañía conformó un Comité para la Protección de Datos Personales, integrado por la Alta Dirección orientado al seguimiento de la implementación del programa y los riesgos asociados.

A continuación, se muestra la estructura del equipo de cumplimiento Éxito: Como se puede constatar en lo anteriormente señalado y en la documentación aportada ante su Despacho, Éxito ha desarrollado su Programa Integral de Protección de Datos Personales, en el que se garantizan recursos adecuados para su correcto despliegue e implementación transversal en la organización: el involucramiento de la Alta Dirección acompañado de un sistema de reporte interno que asegure el seguimiento efectivo. 4.3.2 Controles del Programa En cuanto al diseño e implementación de controles efectivos que le permitan a la organización articular las políticas definidas y aprobadas por la alta dirección y los lineamientos y estrategias definidas por el Área de Cumplimiento en cabeza del Oficial de Protección de Datos designado por la organización, se resaltan, entre otros, los siguientes controles: •Política de protección de datos personales.

Ver Anexo No. 8). •Manual Detallado de Seguridad de la Información. (Documento confidencial, favor incluir en cuaderno separado y restringir su reproducción pública. Ver Anexo No. 9). •Sistema de Gestión de Seguridad de la Información: Procedimiento de Gestión de Incidentes de Seguridad de la Información. (Documento confidencial, favor incluir en cuaderno separado y restringir su reproducción pública.

Ver Anexo No. 10) •Procedimiento de Gestión de las Bases de Datos de Personas Naturales. (Documento confidencial, favor incluir en cuaderno separado y restringir su reproducción pública. Ver Anexo No. 11). •Contratos laborales que incluyen disposiciones sobre (i) protección de datos personales y (ii) confidencialidad. (Documento confidencial, favor incluir en cuaderno separado y restringir su reproducción pública.

Ver Anexo No. 12). •Modelos de otrosíes a los contratos laborales para empleados que en función de su cargo gestionan información sensible, confidencial y/o privilegiada. (Documento confidencial, favor incluir en cuaderno separado y restringir su reproducción pública. Ver Anexo No. 13). 4.3.3 Evaluación y revisión continua Finalmente, se destaca que Éxito ha diseñado su Programa Integral de Protección de Datos bajo el entendido que no se trata de un proyecto de ejecución inmediata en el tiempo, sino que requiere constante revisión y monitoreo.

Como se muestra en el documento relacionado en el Anexo No. 4, el Área de Cumplimiento de la compañía hace seguimiento permanente al programa, con el fin de monitorear el estado de implementación, desarrollo del Programa y las distintas actividades implementadas”. Sin embargo, esta Superintendencia ha sido enfática en señalar que las disposiciones contenidas en los artículos 2.2.2.25.6.1 y siguientes del Decreto 1074 de 2015, en relación con la adopción de políticas y procedimientos efectivos para el adecuado cumplimiento de la Ley 1581 de 2012 implican HOJA N 28, “Por la cual se impone una sanción y se imparten órdenes administrativas” que concurran una serie de presupuestos que permitan evidenciar que los procedimientos implementados, en la práctica son reales y efectivos.

Así, la regulación colombiana le impone al Responsable o al Encargado del tratamiento la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica ni formal, sino real y demostrable. Téngase presente que según nuestra jurisprudencia "existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante 13.

Adicionalmente, los Responsables o Encargados del tratamiento no son dueños de los datos personales que reposan en sus bases de datos o archivos. En efecto, ellos son meros tenedores que están en el deber de administrar de manera correcta, apropiada y acertada la información de las personas porque su negligencia o dolo en esta materia afecta los derechos humanos de los titulares de los datos.

En virtud de lo anterior, el capítulo III del Decreto 1377 del 27 de junio de 2013 -incorporado en el decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada. El artículo 2614 -titulado DEMOSTRACIÓN- establece que "los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012".

Así resulta imposible ignorar la forma en que el responsable o encargado del tratamiento debe probar que pone en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengas como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la 'Guía para implementación del principio de responsabilidad demostrada (accountability)"15. El término 'accountability" a pesar de los diferentes significados ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente.

Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la ley 1581 de 2012: Diseñar y activar un programa integral de gestión de datos (en adelante PÍGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza.

Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP, y demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales. El principio de responsabilidad demostrada -accountability- demanda implementar acciones de diversa naturaleza16 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales.

El mismo, exige que los Responsables y Encargados del tratamiento implementen medidas apropiadas, efectivas y verificables que le Cfr. Corte Constitucional, sentencia T-227 de 2003 El texto completo del artículo 36 del decreto 1377 de 2013 ordena lo siguiente: Articulo 25. Demostración. Los responsables d el tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o eran empresa, de acuerdo con la normativa vigente.

La naturaleza de los datos personales objeto del tratamiento. El tipo de Tratamiento. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los Responsables debería suministrar a esta u na descripción de tos procedimientos usados para la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre tal relevancia de los datos personales en cada caso.

En respuesta a un requerimiento de la implementación efectiva de las medidas de seguridad apropiadas* El texto de la guía puede consultarse en: https://www.sic.gov.co/sites/default/files/files/Publicaciones/Guia-Accountability.pdf Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humanas y de gestión que Inv olucran procesas y procedimientos HOJA N 29, “Por la cual se impone una sanción y se imparten órdenes administrativas” permitan evidenciar la observancia de las normas sobre la materia.

Dichas medidas deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales. El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales.

El éxito del mismo dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos. Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas.

Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. Precisado lo anterior, retomando el caso objeto de análisis, la sociedad ALMACENES ÉXITO S.A asegura tener implementado un Programa Integral de gestión de Datos Personales, a través del cual garantiza una debida diligencia en el cumplimiento de las normas que gobiernan la protección de datos.

Postura que no comparte esta Dirección por cuanto, si bien las medidas adoptadas descritas en sus descargos dan cuenta de la descripción de unos procedimientos para el tratamiento de la información, véase la investigada aportó los documentos que soportan la adopción de algunos mecanismos, como implementación de una política y procedimiento de protección de datos, nombramiento del cargo de oficial de privacidad en la organización, entre sus funciones están dar trámite y establecer la política de atención de solicitudes de datos personales, conformación de comités de indicadores de gestión y seguimiento de políticas de protección de datos, implementación de seguridad de la información donde se incorporan estándares y procedimientos para la seguridad y confidencialidad de la información. De esta manera, es deber de la sociedad ALMACENES ÉXITO S.A demostrar la debida diligencia en el tratamiento de datos personales, es imperioso recordar que los hechos materia de investigación no denotan apego a dichos procedimientos por parte de la sociedad.

Por el contrario, este Despacho evidenció un actuar negligente en la administración de los datos personales; de la sociedad ALMACENES ÉXITO S.A, en cuanto suministró a la sociedad ÉXITO INDUSTRIAS S.A.S los datos personales de naturaleza no pública de la titular XXXXXXXXXXXXXXXXXXXXXXXXXXX para que realizara el tratamiento del mismo en calidad de Encargada sin contar con autorización previa expresa e informada otorgada por la titular para tal propósito.

En este orden de ideas, no resulta suficiente demostrar que se cuenta con medidas adoptadas conforme al tamaño y características de la sociedad ALMACENES ÉXITO S.A, sino que adicionalmente se requiere que se materialice la adopción de esas medidas en la mitigación de los riesgos asociados a un indebido tratamiento de los datos y la consecuente afectación de los intereses jurídicamente tutelados por el legislador estatutario.

Entonces, encuentra este Despacho que los documentos aportados por la sociedad ALMACENES ÉXITO S.A si bien demuestran, el cumplimiento de otros deberes que también le asisten, de acuerdo con el caudal de información que administra y el tamaño empresarial que posee, ello no es suficiente para asegurar un adecuado cumplimiento de la Ley, en relación con los hechos materia de esta investigación, pues como se ha expuesto, sus procedimientos y políticas internos no impidieron que suministrara a la sociedad ÉXITO INDUSTRIAS S.A.S en calidad de Encargada datos personales de la denunciante sin contar con autorización otorgada por la titular para esos fines. 10.2 Valoración probatoria y conclusiones frente a ÉXITO INDUSTRIAS S.A.S 10.2.1 Respecto del deber garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data.

El artículo 18 en el numeral a) de la ley 1581 de 2012 establece los deberes que les asisten a los encargados del tratamiento respecto del manejo de los datos personales de los titulares así: HOJA N 30, “Por la cual se impone una sanción y se imparten órdenes administrativas” Artículo 18. El cual indica Los Encargados del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

En relación con el deber de Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data. Señalo l corte mediante sentencia C – 748 de 2011: “…. se debe entender que cuando los literales a) de los artículos 17 y 18 imponen como deberes tanto del responsable como del encargado del tratamiento, garantizar al titular en todo tiempo, el pleno y efectivo derecho de habeas data, ello incluye que se cumplan los principios para la administración de datos y los derechos de los titulares” En ese sentido, es deber del Responsable garantizar que si un Titular quiere hacer uso del derecho de supresión de los datos de cualquier medio que los contenga, el Responsable debe proceder de conformidad.

Este punto es reiterado por el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, el cual establece que: "Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos. mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.

La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos. El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.

Si vencido el término legal respectivo, el responsable y/o el encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012" En el caso objeto de estudio, se encuentra que la señora XXXXXXXXXXXXXXXXXXXXXXXXXXX puso en conocimiento ante esta Superintendencia, a través de denuncia, la cual quedó radicada bajo el número 16-033261- -00000-000 del 11 de febrero de 2016, que la sociedad ÉXITO INDUSTRIAS S.A.S. estaba incumpliendo presuntamente las normas sobre protección de datos personales, manifestando lo siguiente: “Constantemente recibo correos por parte de CDISCOUNT en mi dirección XXXXXXXXXXXXXXXXXXXXX He intentado más de 4 veces que me eliminen de la lista de envíos de ese correo por medio del link que aparece en la parte inferior de cada correo donde dice: “si no quieres recibir más correos ingresa a este enlace”.

Sin embargo, de nada ha servido porque me siguen mandando correos y no me interesa. por favor retirarme de esa lista.” Respecto lo anterior, el Grupo de Trabajo de Hábeas Data mediante Resolución 13916 de 28 de marzo de 2017, ordenó suprimir de las bases de datos correo electrónico de la titular, datos que fueron eliminados por la investigada el día 18 de abril de 2017, así mismo, se ordenó el traslado del expediente al grupo de investigaciones administrativas así: “ARTÌCULO TERCERO: Remitir copia del expediente al grupo de trabajo de investigaciones para lo de su competencia, según lo expuesto en la parte motiva de la presente resolución.” En consecuencia, este Despacho formuló cargos mediante la Resolución 84800 del 20 de noviembre de 2018 por la cual se abre una investigación y formulan cargos, radicado bajo consecutivo número 18-283845-1 del 21 de noviembre de 2018 y sustentó este cargo en las siguientes consideraciones: “Sobre el caso particular, la denunciante manifiesta que intentó en cuatro oportunidades suprimir su dirección de correo electrónico de las bases de datos tratada por la sociedad ALMACENES ÉXITO S.A. a través del enlace dispuesto al final de cada mensaje titulado "si no quieres recibir más correos ingresa a este enlace'' sin que obtuviera resultado alguno ya que. conforme a la captura de pantalla suministrada por la Titular, emergía un mensaje que señalaba que "(e)l formulario solicitado no está disponible más", de manera que se infiere de preliminarmente que la sociedad ÉXITO INDUSTRIAS S.A.S. -antes CDISCOUNT COLOMBIA S.A.S.-, administradora en Colombia del sitio CDISCOUNT 20, HOJA N 31, “Por la cual se impone una sanción y se imparten órdenes administrativas” presuntamente no garantizó el derecho de habeas data de la Titular pues el mecanismo empleado para tal propósito resultaba inoperante.” La investigada en su escrito de descargos17, sustenta su defensa afirmando que: (…)” Cdiscount presume la buena fe en el testimonio de la señora xxxxxxxxxxxx en el reporte de las fallas de dicho enlace, por lo cual reconoce los hechos narrados en la denuncia, acudiendo a la causal de graduación de la sanción, si es que hay lugar a una, de la Ley 1581 de 2012:” (…) A pesar de que Cdiscount lamenta que la señora Xxxxxxxxxxxxxxxxxxxxxxxxxxx no haya podido ejercer su derecho a través de la página referida, se quiere indagar ante su despacho, qué se entiende por el requisito de procedibilidad consagrado en la Ley 1581 de 2012: Artículo 16.

Requisito de procedibilidad. El Titular o causahabiente sólo podrá elevar queja ante la el Responsable del Tratamiento o Encargado del Tratamiento. (…) “Ahora bien, en torno a la atención de la voluntad de la titular de datos personales, como ya se ha expresado, Cdiscount no tenía dentro de su historial la petición de supresión de la señora Xxxxxxxxxxxxxx, razón por la cual no tuvo la posibilidad de proceder en dicho momento con la eliminación de su cuenta de correo electrónico como era su deseo, pero como es ya conocido por este despacho, en cuanto tuvo conocimiento de la reclamación de la titular y se pudo verificar la voluntad específica de la misma, procedió a eliminar la cuenta de correo electrónico de sus repositorios y acreditó su supresión tal como se demostró en el cumplimiento de la orden de supresión emitida por la Superintendencia.” Dado lo anterior, se encuentra probado que, debido a la negligencia de la investigada frente a las cuatro solicitudes de supresión presentadas por la titular, quien debió acudir a la Superintendencia de Industria y Comercio buscando el amparo de su derecho, lo que concluyó con la expedición de la resolución 13916 de 28 de marzo de 2017, la cual ordenó suprimir de las bases de datos correo electrónico de la titular.

En ese sentido, los protocolos internos de las organizaciones no deben crear barreras para el ejercicio efectivo de los derechos de los titulares de los datos, razón por la cual el Decreto Único Reglamentario 1074 de 2015 ordenó lo siguiente: Artículo 2.2.2.25.3.6. Procedimientos para el adecuado tratamiento de los datos personales. Los procedimientos de acceso, actualización, supresión y rectificación de datos personales y de revocatoria de la autorización deben darse a conocer o ser fácilmente accesibles a los Titulares de la información e incluirse en la política de tratamiento de la información." Nótese que los procedimientos para ejercer los derechos deben ser fácilmente accesibles a los titulares para que la materialización de los derechos sea real y efectiva, más no formal o solemne.

Esto es precisamente lo que exige el principio de demostración (accountability). Por ende, crear mecanismos que impiden el ejercicio de los derechos de los titulares es inconsistente con la regulación colombiana sobre protección de datos personales. Es importante hacer mención de la norma objeto de reproche por la Dirección, así, el legislador estatutario estableció en el literal a artículo 18 de la ley 1581 de 2012 el deber que corresponde a los Encargados del Tratamiento de garantizar, en todo tiempo el pleno y efectivo goce del derecho fundamental de habeas data a los titulares de la información dicha normativa se relaciona a su vez con lo expresado en el artículo 8º, contentivo de los derechos que les a asiste a estos últimos.

“ARTÍCULO 8o. DERECHOS DE LOS TITULARES. El Titular de los datos personales tendrá los siguientes derechos: (…) 17 Escrito de descargos presentado por el apoderado especial de la sociedad investigada el día 15 283845-00010-0000 del 15 de enero de 2019. de enero de 2019, radicado bajo el número 18- HOJA N 32, “Por la cual se impone una sanción y se imparten órdenes administrativas” Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.

La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución;

ARTÍCULO

18. DEBERES DE LOS ENCARGADOS DEL TRATAMIENTO. Los Encargados del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data; (…) Respecto del requisito de procedibilidad, este Despacho se pronunció sobre este tema en Resolución 41510 del 2014, dentro del expediente 14-37937, en los siguientes términos: "En atención a que unos de los argumentos esgrimidos por la investigada ( ), se dirige a cuestionar el cumplimiento del debido proceso consagrado en la Ley 1581 de 2012, pues a su juicio, la Titular de la información no presentó previamente ( ) ningún reclamo relacionado con los mismos hechos que ahora son objeto de investigación, este Despacho se permite precisar lo siguiente: Al respecto es pertinente mencionar que el artículo 19 de la Ley 1581 de 2012 establece las facultades otorgadas a esta Superintendencia, para el ejercicio de la función de vigilancia para garantizar que, en el Tratamiento de datos personales, se respeten los principios, derechos y garantías y procedimientos previstos en dicha norma.

Igualmente, el literal b) del artículo 21 de la citada norma, señala que esta Superintendencia puede 'Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de habeas data. Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos;

( )' La disposición citada anteriormente significa que la reclamación previa presentada por la quejosa ante la investigada, es un requisito indispensable para que esta Superintendencia pueda ordenar la corrección, actualización o retiro de datos personales a petición de la interesada, pero no para iniciar investigaciones administrativas tendientes a establecer si hay lugar o no a la imposición de una sanción, facultad que per se le asiste a esta Entidad, sin necesidad de agotar ningún requisito de procedibilidad.

( )" (Subrayado y negrilla fuera del texto original). En consideración a lo expuesto, La potestad sancionatoria de la Superintendencia de Industria y Comercio, la faculta para que de manera oficiosa adelante investigaciones, y emita sanciones por el incumplimiento del régimen legal de protección de datos personales, el cual no exige ningún requisito de procedibilidad por parte del Titular, y en ese orden los argumentos de la investigada no serán acogidos.

No obstante, lo anterior, esta Dirección encuentra que la sociedad investigada aceptó que incumplió con el deber establecido en el literal a) del artículo 18 de la ley 1581 de 2012 en concordancia del artículo2.2.2.25.2.6 del decreto único reglamentario 1074 de 2015. Como consecuencia de esta aceptación, señaló que “Sobre lo anterior, Cdiscount presume la buena fe en el testimonio de la señora Xxxxxxxxxxxxxx en el reporte de las fallas de dicho enlace, por lo cual reconoce los hechos narrados en la denuncia, acudiendo a la causal de graduación de la sanción, si es que hay lugar a una, de la Ley 1581 de 2012:

ARTÍCULO

Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: (…)” (Negrilla fuera de texto) HOJA N 33, “Por la cual se impone una sanción y se imparten órdenes administrativas” Por lo transcrito, se tiene que la ley establece que los criterios relacionados en este artículo se tendrán en cuenta solo en cuanto los mismos resulten aplicables, es decir, en los casos en donde el investigado concurra en ellos, aclarando que los criterios dispuestos en los literales b), c), d) y e) del referido artículo son de carácter negativo, es decir, se refieren a conductas contrarias a la ley que agravan consecuentemente la sanción original.

Al respecto, la Corte Constitucional en la Sentencia C-748 de 2011, precisó, que: “Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En este sentido, el precepto analizado consagra en los primeros cinco literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” De acuerdo con lo expuesto, al evidenciar que para el presente caso la sociedad investigada no incurrió en ninguno de los literales b), c), d) y e), esta Superintendencia no los tendrá en cuenta para efectos de tasar el monto final de la sanción. En cuanto a los argumentos expuestos por la sociedad investigada en torno a la aplicación del criterio de atenuación contenido en el literal f) del artículo en cita y habida cuenta de la aceptación del único cargo, en los términos expuestos en líneas precedentes, este criterio de atenuación se tendrá en cuenta para graduar la sanción, de conformidad con lo dispuesto en el artículo 24 de la Ley Estatutaria 1581 de 2012.

En virtud de lo expuesto, este Despacho impondrá una sanción de SETENTA Y DOS MILLONES NOVECIENTOS VEINTITRES MIL CIENTO TREINTA Y SEIS PESOS M/CTE ($72.923.136), equivalentes a dos mil cuarenta y ocho (2.048) Unidades de Valor Tributario, por la violación a lo dispuesto en literal a) artículo18 de la Ley 1581 de 2012 en concordancia del artículo2.2.2.25.2.6 del decreto único reglamentario 1074 de 2015, Reiterando que, en virtud de la aplicación del literal f) del artículo 24 de la ley en comento, se redujo la sanción para el cargo único en un cincuenta por ciento (50%) del valor inicialmente tasado, es decir, en un total de SETENTA Y DOS MILLONES NOVECIENTOS VEINTITRES MIL CIENTO TREINTA Y SEIS PESOS M/CTE ($72.923.136), equivalentes a dos mil cuarenta y ocho (2.048) Unidades de Valor Tributario, respecto del monto original de la sanción, el cual obedecía a la suma de CIENTO CUARENTA Y CINCO MILLONES OCHOCIENTOS CUARENTA Y SEIS MIL DOSCIENTOS SETENTA Y DOS PESOS M/CTE ($145.846.272), equivalente a cuatro mil noventa y seis (4.096),en UVT Unidades de Valor Tributario.

En el mismo sentido, se encuentra procedente impartir una orden a la sociedad ÉXITO INDUSTRIAS S.A.S dirigida a que: a) Suprimir de manera definitiva y oportuna los datos personales de los Titulares cuya información es recolectada, usada o tratada por la sociedad ÉXITO INDUSTRIAS S.A.S., una vez cualquier Titular del dato le solicite por cualquier medio la eliminación de sus datos o revoque la autorización del tratamiento de sus datos personales frente a todos los servicios ofrecidos o para servicios específicos que no desea seguir recibiendo. b) Responder de manera oportuna y de fondo las consultas o reclamos que presenten los Titulares de los datos, eliminando cualquier barrera innecesaria para garantizar los derechos de los titulares. c) Poner a disposición del Titular mecanismos gratuitos, útiles, de fácil acceso y efectivos para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.

De lo anteriormente ordenado, la sociedad ÉXITO INDUSTRIAS S.A.S deberá aportar una certificación expedida por un auditor externo cualificado, dentro del término señalado en la parte resolutiva del presente acto administrativo. 10.2.1 De la aplicación del principio de Responsabilidad Demostrada HOJA N 34, “Por la cual se impone una sanción y se imparten órdenes administrativas” En el escrito de descargos, la sociedad ÉXITO INDUSTRIAS S.A.S, adicionalmente, hizo referencia a los postulados de la Responsabilidad Demostrada, aseverando a ese respecto que ha venido implementando y consolidando una serie de documentos para la acreditación de dicho principio, hecho que, a su juicio, debe ser valorado por este Despacho como criterio para la imposición de una sanción pecuniaria.

Dicho Programa consta de los componentes que a continuación se citan 18: (…) Cdiscount está comprometido con la protección de datos personales, a pesar de que su objeto no es principalmente el envío de publicidad o cualquier otra actividad que implique el tratamiento de datos personales de clientes. Como referente de lo anterior se adjunta la política de protección de datos personales (Ver anexo 3) implementada por la Compañía y oficializada por la misma a través de los sistemas de comunicación internos. A su vez, la sociedad tiene nombrado su propio oficial de protección de datos, tal como consta en la carta firmada por el Representante Legal de la Compañía y por el nombrado oficial (Ver Anexo 4).

Se reitera que la sociedad Éxito Industrias S.A.S. no tiene como actividad principal o dentro del giro normal de sus negocios el tratamiento de datos personales, por lo cual su Programa integral de Protección de datos se ajusta a las necesidades de la compañía en el tratamiento de información, esto puede concluirse del historial de reclamaciones en esta materia.” Frente a esto, el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, estableció la obligación de las empresas de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012, señalando que dichas medidas deben ser proporcionales a: (i) la naturaleza jurídica del responsable, su tamaño empresarial;

(ii) la naturaleza de los datos personales objeto de tratamiento; (iii) el tipo de tratamiento; (iv) los riesgos potenciales que el tratamiento podría causar sobre los derechos de los titulares. Así mismo, el artículo 2.2.2.25.6.2 del Decreto mencionado, frente a las políticas internas efectivas que deben implementar los Responsables, dispuso: "Artículo 2.2.2.25.6.2.

Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1. 2, 3 y 4 del artículo 2.2.2.25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: - La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo. - La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación. entrenamiento y programas de educación. Escrito de descargos presentado por el apoderado especial de la sociedad investigada el día 15 de enero de 2019, radicado bajo el número 18283845-00010-0000 del 15 de enero de 2019.

HOJA N 35, “Por la cual se impone una sanción y se imparten órdenes administrativas” - La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la Superintendencia de Industria y Comercio de la existencia de medidas y políticas específicas para el manejo adecuado de los datos personales que administra un Responsable será tenida en cuenta al momento de evaluarla imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo." Respecto lo anterior, en el presente caso, ÉXITO INDUSTRIAS S.A.S manifiesta que: “cuenta con una Política de Seguridad de la Información (Ver Anexo No. 5) y un Manual Detallado de Seguridad de la Información (Ver Anexo No. 6) lo cual denota la preocupación por la seguridad de la información al interior de la Compañía, cumpliendo con el principio de seguridad consagrado en la Ley 1581 de 2012”, a través del cual garantiza una debida diligencia en el cumplimiento de las normas que gobiernan la protección de datos.

Argumento que para este Despacho no es válido en tanto que, si bien las medidas adoptadas descritas en sus descargos dan cuenta de la descripción de unos procedimientos para el tratamiento de la información, pues la sociedad aportó los documentos que soportan la adopción de algunos mecanismos, como implementación de una política y procedimiento de protección de datos, nombramiento del cargo de oficial de privacidad en la organización, entre sus funciones están dar trámite y establecer la política de atención de solicitudes de datos personales, conformación de comités de indicadores de gestión y seguimiento de políticas de protección de datos, implementación de seguridad de la información donde se incorporan estándares y procedimientos para la seguridad y confidencialidad de la información. De esta manera, es deber de la sociedad ÉXITO INDUSTRIAS S.A.S demostrar la debida diligencia en el tratamiento de datos personales, no obstante, este Despacho evidenció un actuar negligente en la administración de los datos personales; de ÉXITO INDUSTRIAS S.A.S, en cuanto vulneró el Derecho de Habeas Data de la titular, pues el link disponible para no recibir más correos fue ineficaz.

Así las cosas, no resulta suficiente demostrar que se cuenta con medidas adoptadas conforme al tamaño y características de ÉXITO INDUSTRIAS S.A.S, sino que adicionalmente se requiere que se materialice la adopción de esas medidas en la mitigación de los riesgos asociados a una indebida vulneración al derecho de habeas data y la consecuente afectación de los intereses jurídicamente tutelados por el legislador estatutario.

Por lo anterior, considera el Despacho, que la sociedad ÉXITO INDUSTRIAS S.A.S debe continuar con el proceso para lograr políticas internas efectivas, con el propósito principal de garantizar en todo momento el Derecho fundamental de Habeas Data de los titulares, pues el mecanismo empleado para tal propósito resultó inoperante.

DÉCIMO SEGUNDO: Imposición y graduación de la sanción 11.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. HOJA N 36, “Por la cual se impone una sanción y se imparten órdenes administrativas” Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional 19.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ARTICÙLO. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: Multa en UVT De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibídem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional20 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994.

Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) HOJA N 37, “Por la cual se impone una sanción y se imparten órdenes administrativas” razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad” 21 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros22. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”23.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia24. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2325 de la misma ley.

Asimismo, el artículo 24 de la Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; HOJA N 38, “Por la cual se impone una sanción y se imparten órdenes administrativas” norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 11.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”26 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados27. c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento e n el cual la remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” Corte Constitucional, Sala Plena, Sentencia C-125 del 18 de febrero de 2003, Exp. Rad. D-4059, Magistrado Ponente Dr. Marco Gerardo Monroy Cabra.

Ley 1581 de 2012 “Artículo 23. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.0 00) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artícul o sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” HOJA N 39, “Por la cual se impone una sanción y se imparten órdenes administrativas” También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Así como, la conducta de la investigada durante el trámite de la investigación administrativa. • En el caso sub-examine, quedó demostrado que la sociedad investigada ALMACENES ÉXITO S.A vulneró el precepto normativo dispuesto en el literal h ) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo9 de la misma ley y el artículo 2.2.2.25.2.5 del decreto único reglamentario 1074 de 2015.Teniendo en cuenta que suministró datos personales a la sociedad ÉXITO INDUSTRIAS S.A.S. en calidad de Encargado del tratamiento, sin contar con autorización previa, otorgada por la titular bajo las condiciones previstas en la ley, la cual debe ser previa expresa e informada.

De este modo, y para efectos de establecer la dimensión del daño producido con la conducta y el consecuente monto de la sanción a imponer, esta superintendencia considera que, respecto a la violación del deber de la sociedad investigada, impondrá como sanción en un valor equivalente a CIENTO CUARENTA Y CINCO MILLONES OCHOCIENTOS CUARENTA Y SEIS MIL DOSCIENTOS SETENTA Y DOS PESOS M/CTE ($145.846.272), equivalente a cuatro mil noventa y seis (4.096) en UVT Unidades de Valor Tributario • Así mismo, quedó demostrado que la sociedad investigada INDUSTRIAS ÉXITO S.A.S. en su calidad de Encargado del tratamiento vulneró el precepto normativo dispuesto en el literal a) artículo 18 de la Ley 1581 de 2012 en concordancia del artículo 2.2.2.25.2.6 del decreto único reglamentario 1074 de 2015, al no garantizar el Derecho de Habeas Data de la Titular al no atender las cuatro solicitudes de supresión de los datos personales en este caso su correo electrónico, no obstante, cabe resaltar que la sociedad reconoció los hechos de la denuncia y acudiendo a la causal de graduación de la sanción. De este modo, y para efectos de establecer la dimensión del daño producido con la conducta y el consecuente monto de la sanción a imponer, esta superintendencia considera que, respecto a la violación del deber de la sociedad investigada, impondrá como sanción en un valor equivalente a SETENTA Y DOS MILLONES NOVECIENTOS VEINTITRES MIL CIENTO TREINTA Y SEIS PESOS M/CTE ($72.923.136), equivalentes a dos mil cuarenta y ocho (2.048) Unidades de Valor Tributario, por la violación a lo dispuesto en literal a) artículo18 de la Ley 1581 de 2012 en concordancia del artículo 2.2.2.25.2.6 del decreto único reglamentario 1074 de 2015, Reiterando que, en virtud de la aplicación del literal f) del artículo 24 de la ley en comento, se redujo la sanción para el cargo único en un cincuenta por ciento (50%) del valor inicialmente tasado, es decir, en un total de SETENTA Y DOS MILLONES NOVECIENTOS VEINTITRES MIL CIENTO TREINTA Y SEIS PESOS M/CTE ($72.923.136), equivalentes a dos mil cuarenta y ocho (2.048) Unidades de Valor Tributario, respecto del monto original de la sanción, el cual obedecía a la suma de CIENTO CUARENTA Y CINCO MILLONES OCHOCIENTOS CUARENTA Y SEIS MIL DOSCIENTOS SETENTA Y DOS PESOS M/CTE ($145.846.272), equivalente a cuatro mil noventa y seis (4.096),en UVT Unidades de Valor Tributario la la sociedad ÉXITO INDUSTRIAS 11.1.3 El reconocimiento o aceptación de la comisión de una aceptación El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 se aplicará toda vez que la sociedad ÉXITO INDUSTRIAS S.A.S., en el escrito de descargos presentado el día 15 de enero de 2019 bajo radicado número 18-283845-00010-0000 del 15 de enero de 2019, reconoció la comisión de infracción al deber contemplado en literal a) artículo 18 de la Ley 1581 de 2012 en concordancia del artículo2.2.2.25.2.6 del decreto único reglamentario 1074 de 2015. indicando expresamente “La señora Xxxxxxxxxxxxxxxxxxxxxxxxxxx asegura haber activado en cuatro (4) oportunidades el link "si no quieres recibir más correos ingrese a este enlace", pero que al activarlo la redirigía a una página web que asegura no tenía servicio.

Sobre lo anterior, Cdiscount presume la buena fe en el testimonio de la señora Xxxxxxxxxxxxxx en el reporte de las fallas de dicho enlace, por lo cual reconoce los hechos narrados en la denuncia, acudiendo a la causal de graduación de la sanción, si es que hay lugar a una, de la Ley 1581 de 2012: HOJA N 40, “Por la cual se impone una sanción y se imparten órdenes administrativas”

ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: ( ) f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Razón por la cual este despacho procede a imponer la multa correspondiente a: SETENTA Y DOS MILLONES NOVECIENTOS VEINTITRES MIL CIENTO TREINTA Y SEIS PESOS M/CTE ($72.923.136), equivalentes a dos mil cuarenta y ocho (2.048) Unidades de Valor Tributario, por la violación a lo dispuesto en literal a) artículo18 de la Ley 1581 de 2012 en concordancia del artículo 2.2.2.25.2.6 del decreto único reglamentario 1074 de 2015, Reiterando que, en virtud de la aplicación del literal f) del artículo 24 de la ley en comento, se redujo la sanción para el cargo único en un cincuenta por ciento (50%) del valor inicialmente tasado, es decir, en un total de SETENTA Y DOS MILLONES NOVECIENTOS VEINTITRES MIL CIENTO TREINTA Y SEIS PESOS M/CTE ($72.923.136), equivalentes a dos mil cuarenta y ocho (2.048) Unidades de Valor Tributario, respecto del monto original de la sanción, el cual obedecía a la suma de CIENTO CUARENTA Y CINCO MILLONES OCHOCIENTOS CUARENTA Y SEIS MIL DOSCIENTOS SETENTA Y DOS PESOS M/CTE ($145.846.272), equivalente a cuatro mil noventa y seis (4.096),en UVT Unidades de Valor Tributario a la sociedad ÉXITO INDUSTRIAS S.A.S. 11.1.4 Otros criterios de graduación Por último se aclara que los criterios de graduación de la sanción señalados en los literales b), c), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo reincidencia en la comisión de la infracción, (iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y, (iv) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

DÉCIMO TERCERO: Una vez analizadas las pruebas obrantes en el expediente y en virtud del literal e ) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, a esta Superintendencia el "impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente Ley", esta Instancia procederá a impartir las siguientes órdenes así: A cargo de ALMACENES ÉXITO S.A en calidad de Responsable del Tratamiento: a) Deberá cesar la utilización de “pop ups de registro condicionados a la aplicación del check box” como mecanismo para obtener la autorización para el tratamiento de datos personales de los titulares. b) Así mismo, deberá proceder con la supresión de todos los datos personales, de los titulares cuyo consentimiento haya obtenido mediante “pop ups de registro condicionados a la aplicación del check box”, conforme a lo expuesto en la presente decisión. De lo anteriormente ordenado, la sociedad ALMACENES ÉXITO S.A deberá aportar una certificación expedida por un auditor externo cualificado, dentro del término señalado en la parte resolutiva del presente acto administrativo.

A cargo de ÉXITO INDUSTRIAS S.A.S en calidad de Encargada: a) Suprimir de manera definitiva y oportuna los datos personales de los Titulares cuya información es recolectada, usada o tratada por ÉXITO INDUSTRIAS S.A.S., una vez cualquier Titular del dato le solicite por cualquier medio la eliminación de sus datos o revoque la autorización del tratamiento de sus datos personales frente a todos los servicios ofrecidos o para servicios específicos que no desea seguir recibiendo.

HOJA N 41, “Por la cual se impone una sanción y se imparten órdenes administrativas” b) Responder de manera oportuna y de fondo las consultas o reclamos que presenten los Titulares de los datos, eliminando cualquier barrera innecesaria para garantizar los derechos de los titulares. c) Poner a disposición del Titular mecanismos gratuitos, útiles, de fácil acceso y efectivos para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.

Adicionalmente, ÉXITO INDUSTRIAS S.A.S deberá implementar un mecanismo de monitoreo permanente respecto de la efectividad de las medidas adoptadas para dar cumplimiento a las anteriores órdenes. De lo anteriormente ordenado, la sociedad ÉXITO INDUSTRIAS S.A.S deberá aportar una certificación expedida por un auditor externo cualificado, dentro del término señalado en la parte resolutiva del presente acto administrativo.

DÉCIMO CUARTO: CONCLUSIÓN Respecto de la sociedad ALMACENES ÉXITO S.A en calidad de Responsable: • Se comprobó que la sociedad investigada infringió abiertamente las normas sobre protección de datos personales consagradas literal h) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 9 de la misma ley y el artículo 2.2.2.25.2.5 del decreto único reglamentario 1074 de 2015 al suministrar a la sociedad ÉXITO INDUSTRIAS S.A.S datos personales de la titular para que realizara el Tratamiento del mismo en calidad de Encargada sin contar con autorización previa, expresa e informada.

Así mismo se ordenará a la sociedad ALMACENES ÉXITO S.A cesar la utilización y proceder con la supresión de todos los datos personales, de los titulares cuyo consentimiento haya sido obtenido mediante de “pop ups de registro condicionados a la aplicación del check box” motivo por el cual se impondrá como sanción una multa de CIENTO CUARENTA Y CINCO MILLONES OCHOCIENTOS CUARENTA Y SEIS MIL DOSCIENTOS SETENTA Y DOS PESOS M/CTE ($145.846.272), equivalente a cuatro mil noventa y seis (4.096), en UVT Unidades de Valor Tributario.

Respecto de la sociedad ÉXITO INDUSTRIAS S.A.S en calidad de Encargado: • Se comprobó que la sociedad investigada infringió abiertamente las normas sobre protección de datos personales consagradas en el literal a) del artículo 18 de la Ley 1581 de 2012 en concordancia del artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, al no garantizar el Derecho de Habeas Data de la Titular, en tanto no atendió los requerimientos de supresión de sus datos, en este caso, su correo electrónico; no obstante, cabe resaltar que la sociedad reconoció los hechos de la denuncia, en aras de que se aplique la causal de atenuación de la sanción. Así mismo se ordenará a la sociedad ÉXITO INDUSTRIAS S.A.S suprimir de manera definitiva y oportuna los datos personales del Titular, una vez sea solicitado por cualquier medio, responder de manera oportuna y de fondo las consultas o reclamos que presenten los Titulares, eliminando cualquier barrera innecesaria para garantizar los derechos, por último poner a disposición del Titular mecanismos gratuitos, útiles, de fácil acceso y efectivos para presentar solicitudes de supresión de datos o la revocatoria de la autorización otorgada.

Razón por la cual se impondrá como sanción una multa de SETENTA Y DOS MILLONES NOVECIENTOS VEINTITRES MIL CIENTO TREINTA Y SEIS PESOS M/CTE ($72.923.136), equivalentes a dos mil cuarenta y ocho (2.048) Unidades de Valor Tributario, por la violación a lo dispuesto en literal a) artículo18 de la Ley 1581 de 2012 en concordancia del artículo2.2.2.25.2.6 del decreto único reglamentario 1074 de 2015, Reiterando que, en virtud de la aplicación del literal f) del artículo 24 de la ley en comento, se redujo la sanción para el cargo único en un cincuenta por ciento (50%) del valor inicialmente tasado, es decir, en un total de SETENTA Y DOS MILLONES HOJA N 42, “Por la cual se impone una sanción y se imparten órdenes administrativas” NOVECIENTOS VEINTITRES MIL CIENTO TREINTA Y SEIS PESOS M/CTE ($72.923.136), equivalentes a dos mil cuarenta y ocho (2.048) Unidades de Valor Tributario, respecto del monto original de la sanción, el cual obedecía a la suma de CIENTO CUARENTA Y CINCO MILLONES OCHOCIENTOS CUARENTA Y SEIS MIL DOSCIENTOS SETENTA Y DOS PESOS M/CTE ($145.846.272), equivalente a cuatro mil noventa y seis (4.096)en UVT Unidades de Valor Tributario DÉCIMO QUINTO: Que, en virtud de la situación actual, teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes, por lo que las sociedades ALMACENES ÉXITO S.A Y ÉXITO INDUSTRIAS S.A.S deben: (i) (ii) Enviar un correo electrónico a contactenos@sic.gov.co o habeasdata@sic.gov.co, solicitando el acceso al expediente a través de la plataforma servicios en línea, indicando: número de radicado, nombre completo de la persona que va a consultar el expediente, número de identificación y correo electrónico autorizado;

Una vez reciba respuesta positiva respecto de la solicitud de acceso, la sociedad debe registrarse en servicios en línea link https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php y a través del mismo link posteriormente al registro puede consultar el expediente de manera digital. No obstante, en aras de garantizar los derechos de defensa y contradicción de la sociedad investigada, en el caso en que la misma considere necesario el acceso del expediente en físico, deberá enviar un correo electrónico a la dirección de correo habeasdata@sic.gov.co, solicitando que le asignen una cita para que pueda examinar el expediente, con el número de la referencia, en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá. Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad.

En mérito de lo expuesto, este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad ALMACENES ÉXITO S.A identificada con el Nit. 890.900.608-9 de CIENTO CUARENTA Y CINCO MILLONES OCHOCIENTOS CUARENTA Y SEIS MIL DOSCIENTOS SETENTA Y DOS PESOS M/CTE ($145.846.272), equivalente a cuatro mil noventa y seis (4.096), en UVT Unidades de Valor Tributario, por la violación a lo dispuesto en literal h) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 9 de la misma ley y el artículo 2.2.2.25.2.5 del decreto único reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: IMPARTIR dos órdenes administrativas a la sociedad ALMACENES ÉXITO S.A identificada con el Nit. 890.900.608-9 así: i. Deberá cesar la utilización de “pop ups de registro condicionados a la aplicación del check box” como mecanismo para obtener la autorización para el tratamiento de datos personales de los titulares. ii. Así mismo, deberá proceder con la supresión de todos los datos personales, de los titulares cuyo consentimiento haya obtenido mediante “pop ups de registro condicionados a la aplicación del check box”, conforme a lo expuesto en la presente decisión.

PARÁGRAFO PRIMERO: La sociedad ALMACENES ÉXITO S.A, identificada con el Nit. 890.900.608-9 deberá dar cumplimiento de lo ordenado dentro de los sesenta (60) días siguientes HOJA N 43, “Por la cual se impone una sanción y se imparten órdenes administrativas” a la ejecutoria del presente acto administrativo. Para ello deberá aportar una certificación de cumplimiento expedida por un auditor externo cualificado.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad ALMACENES ÉXITO S.A, identificada con el Nit. 890.900.608-9, acreedora de las sanciones previstas en la ley.

ARTÍCULO TERCERO: IMPONER una sanción pecuniaria a la sociedad ÉXITO INDUSTRIAS S.A.S. identificada con el Nit. 900.744.408-9 de SETENTA Y DOS MILLONES NOVECIENTOS VEINTITRES MIL CIENTO TREINTA Y SEIS PESOS M/CTE ($72.923.136), equivalentes a dos mil cuarenta y ocho (2.048) Unidades de Valor Tributario, por la violación a lo dispuesto en literal a) artículo18 de la Ley 1581 de 2012 en concordancia del artículo 2.2.2.25.2.6 del decreto único reglamentario 1074 de 2015, Reiterando que, en virtud de la aplicación del literal f) del artículo 24 de la ley en comento, se redujo la sanción para el cargo único en un cincuenta por ciento (50%) del valor inicialmente tasado, es decir, en un total de SETENTA Y DOS MILLONES NOVECIENTOS VEINTITRES MIL CIENTO TREINTA Y SEIS PESOS M/CTE ($72.923.136), equivalentes a dos mil cuarenta y ocho (2.048) Unidades de Valor Tributario, respecto del monto original de la sanción, el cual obedecía a la suma de CIENTO CUARENTA Y CINCO MILLONES OCHOCIENTOS CUARENTA Y SEIS MIL DOSCIENTOS SETENTA Y DOS PESOS M/CTE ($145.846.272), equivalente a cuatro mil noventa y seis (4.096),en UVT Unidades de Valor Tributario PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2.

El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria. Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO CUARTO: IMPARTIR tres órdenes administrativas a la sociedad ÉXITO INDUSTRIAS S.A.S., identificada con la Nit. No. 900.744.408-9 así: i. Suprimir de manera definitiva y oportuna los datos personales de los Titulares cuya información es recolectada, usada o tratada por ÉXITO INDUSTRIAS S.A.S, una vez cualquier Titular del dato le solicite por cualquier medio la eliminación de sus datos o revoque la autorización del tratamiento de sus datos personales frente a todos los servicios ofrecidos o para servicios específicos que no desea seguir recibiendo. ii.

Responder de manera oportuna y de fondo las consultas o reclamos que presenten los Titulares de los datos, eliminando cualquier barrera innecesaria para garantizar los derechos de los titulares. iii. Poner a disposición del Titular mecanismos gratuitos, útiles, de fácil acceso y efectivos para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.

PARÁGRAFO PRIMERO: La sociedad ÉXITO INDUSTRIAS S.A.S, identificada con el Nit. 900.744.408-9 deberá dar cumplimiento de lo ordenado dentro de los sesenta (60) días siguientes a la ejecutoria del presente acto administrativo. Para ello deberá aportar una certificación de cumplimiento expedida por un auditor externo cualificado.

PARÁGRAFO SEGUNDO: El incumplimiento de lo ordenado en el presente acto administrativo, hará a la sociedad ÉXITO INDUSTRIAS S.A.S, identificada con el Nit. 900.744.408-9, acreedora de las sanciones previstas en la ley.

ARTÍCULO QUINTO: Notificar personalmente el contenido de la presente resolución a la sociedad ALMACENES ÉXITO S.A identificada con el Nit. 890.900.608-9 a través de su representante legal, HOJA N 44, “Por la cual se impone una sanción y se imparten órdenes administrativas” en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO SEXTO: Notificar personalmente el contenido de la presente resolución a la sociedad ÉXITO INDUSTRIAS S.A.S. identificada con el Nit. 900.744.408-9 a través de su representante legal, en calidad de investigada, entregándole copia de la misma e informándole que contra ella procede recurso de reposición, ante el Director de Investigación de Protección de Datos Personales y de apelación ante el Superintendente Delegado para la Protección de Datos Personales dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO SÉPTIMO: COMUNICAR el contenido de la presente decisión a la señora XXXXXXXXXXXXXXXXXXXXXXXXXXX, identificado con C.C. xxxxxxxxxxx

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 28 OCTUBRE 2020 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2020.10.28 11:38:09 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JMBG Revisó: LMRZ Aprobó: CESM “Por la cual se impone una sanción y se imparten órdenes administrativas” NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identification: Apoderado: Identificación Correo electrònico: Direction: Ciudad: ALMACENES ÉXITO S.A. Nit. 890.900.608-9.

Carlos Mario Giraldo Moreno. C.C. No. 71.590.612. Marcela Trejos Ortiz C.C.52995087 njudiciales@grupo-exito.com Carrera 48 No. 32 B Sur 139. Envigado-Antioquia. Investigada: Identificación: Representante Legal: Identificación: Apoderado Identificación Correo electrónico: Dirección: Ciudad: ÉXITO INDUSTRIAS S.A.S. Nit. 900.744.408-9. Juan Esteban Valencia Gómez C.C. No. 80.626.64 Marcela Trejos Ortiz C.C. 52995087 didetexco@didetexco.com.co Cra 48 No 32 sur – 29 Envigado, Antioquia COMUNICACIÓN: Señora: Identificación: Dirección: Ciudad: Correo electrónico: Xxxxxxxxxxxxxxxxxxxxxxxxxxx C.C. No. xxxxxxxxxxx xxxxxxxx xxxxxxxxxx xxxxxxxxxxx HOJA N 45,

Resolución sancionatoria N° 7092 de 2020

CONSIDERANDO

ARTÍCULO

ARTÍCULO

ARTÍCULO

ARTÍCULO

ARTÍCULO

ARTÍCULO

RESUELVE