Resolución sancionatoria N° 8345 de 2021

(25 FEBRERO 2021) VERSIÓN PÙBLICA “Por la cual se resuelve un recurso de reposición” Radicación 18-283845 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 8 del artículo 17 del Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que mediante Resolución 68369 del 28 de octubre de 20201, la Dirección de Investigación de Protección de Datos Personales resolvió: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad ALMACENES ÉXITO S.A identificada con el Nit. 890.900.608-9 de CIENTO CUARENTA Y CINCO MILLONES OCHOCIENTOS CUARENTA Y SEIS MIL DOSCIENTOS SETENTA Y DOS PESOS M/CTE ($145.846.272), equivalente a cuatro mil noventa y seis (4.096), en UVT Unidades de Valor Tributario, por la violación a lo dispuesto en literal h) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 9 de la misma ley y el artículo 2.2.2.25.2.5 del decreto único reglamentario 1074 de 2015.

(…)

ARTÍCULO SEGUNDO: IMPARTIR dos órdenes administrativas a la sociedad ALMACENES ÉXITO S.A identificada con el Nit. 890.900.608-9 así: i. Deberá cesar la utilización de “pop ups de registro condicionados a la aplicación del check box” como mecanismo para obtener la autorización para el tratamiento de datos personales de los titulares. ii. Así mismo, deberá proceder con la supresión de todos los datos personales, de los titulares cuyo consentimiento haya obtenido mediante “pop ups de registro condicionados a la aplicación del check box”, conforme a lo expuesto en la presente decisión.

PARÁGRAFO PRIMERO: La sociedad ALMACENES ÉXITO S.A, identificada con el Nit. 890.900.608-9 deberá dar cumplimiento de lo ordenado dentro de los sesenta (60) días siguientes a la ejecutoria del presente acto administrativo. Para ello deberá aportar una certificación de cumplimiento expedida por un auditor externo cualificado.”

ARTÍCULO TERCERO: IMPONER una sanción pecuniaria a la sociedad ÉXITO INDUSTRIAS S.A.S. identificada con el Nit. 900.744.408-9 de SETENTA Y DOS MILLONES NOVECIENTOS VEINTITRES MIL CIENTO TREINTA Y SEIS PESOS M/CTE ($72.923.136), equivalentes a dos mil cuarenta y ocho (2.048) Unidades de Valor Tributario, por la violación a lo dispuesto en literal a) artículo18 de la Ley 1581 de 2012 en concordancia del artículo 2.2.2.25.2.6 del decreto único reglamentario 1074 de 2015, Reiterando que, en virtud de la aplicación del literal f) del artículo 24 de la ley en comento, se redujo la sanción para el cargo único en un cincuenta por ciento (50%) del valor inicialmente tasado, es decir, en un total de SETENTA Y DOS MILLONES NOVECIENTOS VEINTITRES MIL CIENTO TREINTA Y SEIS PESOS M/CTE ($72.923.136), equivalentes a dos mil cuarenta y ocho (2.048) Unidades de Valor Tributario, respecto del monto original de la sanción, el cual obedecía a la suma de CIENTO CUARENTA Y CINCO MILLONES OCHOCIENTOS CUARENTA Y SEIS MIL DOSCIENTOS SETENTA Y DOS PESOS M/CTE ($145.846.272), equivalente a cuatro mil noventa y seis (4.096),en UVT Unidades de Valor Tributario (…) “ARTÍCULO CUARTO: IMPARTIR tres órdenes administrativas a la sociedad ÉXITO INDUSTRIAS S.A.S., identificada con la Nit.

No. 900.744.408-9 así: Actuación radicada el 28 de octubre de 2020, bajo el número 18-283845-37 “Por la cual se resuelve un recurso de reposición” i. ii. iii. HOJA N, VERSIÓN PÙBLICA Suprimir de manera definitiva y oportuna los datos personales de los Titulares cuya información es recolectada, usada o tratada por ÉXITO INDUSTRIAS S.A.S, una vez cualquier Titular del dato le solicite por cualquier medio la eliminación de sus datos o revoque la autorización del tratamiento de sus datos personales frente a todos los servicios ofrecidos o para servicios específicos que no desea seguir recibiendo.

Responder de manera oportuna y de fondo las consultas o reclamos que presenten los Titulares de los datos, eliminando cualquier barrera innecesaria para garantizar los derechos de los titulares. Poner a disposición del Titular mecanismos gratuitos, útiles, de fácil acceso y efectivos para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.

PARÁGRAFO PRIMERO: La sociedad ÉXITO INDUSTRIAS S.A.S, identificada con el Nit. 900.744.408-9 deberá dar cumplimiento de lo ordenado dentro de los sesenta (60) días siguientes a la ejecutoria del presente acto administrativo. Para ello deberá aportar una certificación de cumplimiento expedida por un auditor externo cualificado.”

SEGUNDO: Que, la Resolución 68369 del 28 de octubre de 2020 se notificó por aviso No 29630 del día 9 de noviembre de 2020, al señor CARLOS MARIO GIRALDO MORENO, en representación de la sociedad ALMACENES EXITO S.A., según consta en la certificación expedida por la Secretaría General Ad-Hoc de este Superintendencia, radicada bajo el número 18-283845- -48 del 18 de noviembre de 2020.

TERCERO: Que, la Resolución 68369 del 28 de octubre de 2020 se notificó por aviso No 29631 del día 9 de noviembre de 2020, al señor JUAN ESTEBAN VALENCIA GOMEZ, en representación de la sociedad ÉXITO INDUSTRIAS S.A.S., según consta en la certificación expedida por la Secretaría General Ad-Hoc de este Superintendencia, radicada bajo el número 18-283845- -48 del 18 de noviembre de 2020.

CUARTO: Que, dentro del término concedido para el efecto, mediante escrito radicado por medio de correo electrónico el día fecha 24 de noviembre de 2020, bajo el número 18-283845-49, la sociedad ALMACENES ÉXITO S.A., a través de apoderado especial, interpuso recurso de reposición y en subsidio apelación contra la Resolución 68369 del 28 de octubre de 2020, el cual fundamentó en los siguientes motivos de inconformidad: 4.1 Inicia señalando los presupuestos procesales del recurso, establecidos en el código de Procedimiento Administrativo y de lo Contencioso Administrativo, así como la identificación del acto recurrido y las pretensiones del recurso: “(…) Dentro de dichos presupuestos, también hacemos mención a un principio rector del derecho correspondiente al principio de proporcionalidad, el cual propende por la garantía de los derechos dentro de cualquier proceso; posicionándose como aquel criterio universal de constitucionalidad y máxima expresión del Estado de Derecho, para que la limitación de los derechos se presente de manera racional y siguiendo unas métricas objetivas.

La proporcionalidad aplicada a los actos discrecionales la encontramos consagrada de manera expresa en el artículo 44 de la Ley 1437 de 2011, en donde se señala que: "en la medida en que el contenido de una decisión de carácter general o particular sea discrecional, debe ser adecuada a los fines de la norma que la autoriza, y proporcional a los hechos que le sirven de causa".

La Corte Constitucional también se ha pronunciado al respecto y en su sentencia C-008 del 2003 definió el principio de proporcionalidad como "la justa medida que debe existir entre los distintos instrumentos que se dicten para contrarrestar el orden perturbado y las situaciones o circunstancias de crisis que se pretende conjurar". De donde puede deducirse que la proporcionalidad "es la razonabilidad que debe mediar entre la medida y la gravedad de los hechos" De esta forma es importante resaltar que el principio sancionador debe establecer claramente cuáles son los límites de la autonomía sancionatoria del estado, en donde la autoridad no deberá imponer sanciones y castigos excesivos, sino que estos deberán estar en sintonía con el principio de proporcionalidad.

Concretamente, en el caso objeto del presente recurso, la validez jurídica del acto administrativo que se impugna está condicionada a que el acto que impone la sanción cumpla con todos los requisitos señalados para el efecto por las normas sustanciales pertinentes, por el Código de Procedimiento Administrativo y de lo Contencioso Administrativo y por las demás normas de orden procesal que le sean aplicables y, en “Por la cual se resuelve un recurso de reposición” HOJA N, VERSIÓN PÙBLICA particular, en lo que se refiere a la debida fundamentación y graduación de la multa que se impone, respetando todos los criterios que la ley ha contemplado para efectos de garantizar que el fin de la sanción está acorde con el principio de proporcionalidad.

(…) III. Identificación del acto recurrido El acto administrativo que se impugna es la Resolución No. 68369 del 28 de octubre de 2020, por medio de la cual se impone una multa a Almacenes Éxito S.A., proferida por Carlos Enrique Salazar Muñoz, en su calidad de Director de Investigación de Protección de Datos Personales, y notificada por aviso entregado a la dirección de correo electrónico njudiciales@grupo-exito.com, canal oficial de notificación de la compañía, el día 06 de noviembre de 2020.

Adicional, a través de la resolución 70723 del 06 de noviembre de 2020, se suspendieron los términos procesales de las actuaciones que se surten ante la término para presentar los recursos previstos por la ley corre hasta el día 24 de noviembre de 2020. IV. Pretensiones Mediante el presente recurso se solicita a la Dirección de Investigación de Protección de Datos, en sede de reposición, o al Superintendente Delegado de Protección de Datos, en sede de apelación, que revoque y/o modifique la orden impartida y la multa impuesta a Almacenes Éxito S.A. por cuanto en su tasación no se acogieron los lineamientos dados por las normas vigentes en materia de protección de datos personales y, por el contrario, se procedió con la imposición de una multa desproporcionada y una orden que desconocen: (i) El cumplimiento de la obligación de solicitar y conservar autorización previa, expresa e informada para el tratamiento de datos personales de sus respectivos titulares, (ii) las conductas desplegadas por la sociedad para minimizar el riesgo de ocurrencia de situaciones como la que dio origen a la sanción en un episodio no recurrente ni sistémico, (iii) el despliegue de un programa integral de protección de datos personales que ha tenido una implementación progresiva y una mejora continúa (sic) en su desarrollo.

En resumen, en este recurso se pone de presente cómo la sanción impuesta, así como su cuantía, no obedecen a los criterios legales de proporcionalidad y razonabilidad, ni fue debidamente graduada. 4.2 A continuación, expone los motivos de inconformidad con el acto impugnado, expresando que: (…) En términos generales, el motivo de inconformidad con la decisión se manifiesta en la indebida graduación de la sanción, que es absolutamente desproporcionada para la conducta llevada a cabo por Almacenes Éxito.

Adicionalmente, la Dirección de Investigación de Protección de Datos no tuvo en cuenta elementos adicionales que ha debido considerar en la decisión de la actuación: 1. No se valoró adecuada la conducta de cara a la dimensión del daño o peligro de la conducta. 2. No tuvo en cuenta la colaboración de Almacenes Éxito dentro de la investigación. 3.

No se valoró de forma adecuada, con toda la información que reposa en los distintos expedientes de la compañía, la creación e implementación que ha llevado a cabo la compañía de su programa integral de protección de datos personales, 1. Falta de proporcionalidad en la graduación de la sanción No podemos desconocer que la facultad sancionatoria de la Superintendencia tiene una función importante correspondiente a evitar que conductas gravemente lesivas del ordenamiento y del régimen legal de protección de datos personales sigan ocurriendo.

Ese poder sancionatorio de la Superintendencia de Industria y Comercio, como autoridad de protección de datos, tiene unos límites trazados, unos definidos por la norma, y otros trazados por la propia entidad administrativa. Como se observa, resulta fundamental para una correcta aplicación de la norma, de manera tal que sirva para el propósito con que fue concebida, que la autoridad a cargo de vigilar su cumplimiento, sea ponderada y aplique siempre un criterio de proporcionalidad en el momento de valorar la conveniencia de aplicar una sanción o de tasarla.” “Por la cual se resuelve un recurso de reposición” HOJA N, VERSIÓN PÙBLICA 4.3 De igual modo cita algunos pronunciamientos realizados por la Corte Constitucional y el Consejo de Estado en torno a la proporcionalidad y razonabilidad que deben guardar las sanciones impuestas por el Superintendente: “Ejemplo de cómo, desde la teoría general del derecho constitucional y administrativo, se ha resaltado la proporcionalidad que debe existir entre la gravedad de la falta y el monto de la sanción, se encuentra resaltado en el extracto jurisprudencial referido a continuación de la sentencia C-1161 de 2000: "El Superintendente no puede ejercer de manera arbitraria o discriminatoria la facultad que le confiere la disposición impugnada, sino que debe desarrollarla en forma razonable y proporcionada, tomando en consideración la finalidad de la misma, esto es, que las sanciones deben ser proporcionadas a la gravedad de las faltas cometidas por los funcionarios de las entidades sometidas a control.

Por ello la actuación del Superintendente no escapa del control judicial dado que es posible solicitar la anulación del acto discrecional ante la jurisdicción contenciosa administrativa". (Negrilla fuera de texto). Lo anterior ha sido reiterado también por el Consejo de Estado en materia tributaria, corporación que, refiriéndose a la graduación en la imposición de multas, sostuvo lo siguiente: "En cuanto a la graduación del monto de la tarifa de la sanción, la Sala ha reiterado, que cuando una norma sancionatoria utiliza la expresión "hasta", establece un margen de flexibilidad que permite a la Administración graduar la sanción; facultad que no puede ser utilizada de forma arbitraria, porque corresponde al funcionario fundamentar su decisión de imponer el tope máximo con argumentos que deben atender no solo a los criterios de justicia y equidad que deben regir estos casos, habida cuenta, que los mismos constituyen un mandato imperativo consagrado en el artículo 683 del Estatuto Tributario, sino que además debe obedecer a los criterios de razonabilidad y proporcionalidad de la sanción, tal como fue expuesto por la Corte Constitucional en sentencia C-160 de 1998".

(Negrilla fuera de texto). Con base en lo anterior, se puede concluir que, a pesar de que la administración tenga la facultad legal de establecer multas hasta un límite establecido legalmente, esta imposición debe hacerse con base en criterios como la razonabilidad y la proporcionalidad. Se desprende de lo anterior que la multa de cuatro mil noventa y cinco (4.096) Unidades de Valor Tributario (UVT) impuesta a Almacenes Éxito no ha sido proporcional a los hechos presentados para este caso y que en el evento de que este Despacho aún considerase que existió una infracción, esta se presenta como una situación excepcional y aislada de los estándares que posee la compañía con respecto a su compromiso organizacional frente a la protección y garantía efectiva del derecho de habeas data de los titulares. 4.4 Posteriormente, manifiesta que esta Dirección incurrió en una indebida valoración de la conducta, señalando que: “2.

No valoración adecuada de la conducta de cara a la dimensión del daño o peligro de la conducta La Dirección incurre en una clara falta al valorar la conducta, pues en ninguna parte de la Resolución recurrida cumple con su deber de establecer la dimensión del daño o peligro de la conducta. Su obligación consiste solo parcialmente en determinar si la conducta existió o no, pero la norma y los criterios de proporcionalidad arriba desarrollados y traídos a colación por la propia Superintendencia, le imponen el deber de determinar la dimensión bien del daño, si este ocurrió, o del peligro que la conducta generó para los derechos de la titular.

Para la tasación del monto de la multa se debe exponer los argumentos que la llevan a establecer la dimensión del daño y luego sí, hecha esa evaluación, podrá tasar una posible multa. Si la Dirección hubiera llevado a cabo dicho procedimiento, debería haber hecho una valoración completa sobre los distintos elementos que subyacen al tratamiento de datos, en los términos en que lo obliga la norma.

Dichos elementos incluyen haber hecho una valoración: (i) Sobre el tipo de tratamiento efectuado (el envío de correos publicitarios a una titular cliente de Almacenes Éxito, que anteriormente y de manera voluntaria había solicitado vincularse y ser cliente Éxito que le otorga beneficios en sus compras); “Por la cual se resuelve un recurso de reposición” (ii) (iii) HOJA N, VERSIÓN PÙBLICA Sobre la naturaleza de los datos tratados por Almacenes Éxito (el correo electrónico de la titular, asociado a su nombre); y Sobre los riesgos que implica para la titular dicho tratamiento (ninguno diferente a las posibles molestias de recibir correos electrónicos no deseados).

Ahí radica la verdadera evaluación de la dimensión del daño o peligro al/los intereses jurídicos tutelados, no simplemente en la afirmación de la ocurrencia de la conducta. Por lo cual se solicita respetuosamente que, atendiendo a lo argumentado en este recurso, se proceda a disminuir la sanción impuesta, tal y como lo ha hecho la Dirección en procesos adelantados a otras compañías y a Almacenes Éxito, teniendo en cuenta los criterios de graduación establecidos en la normativa sustancial y procesal aplicable en la materia.” 4.5 Manifiesta así mismo, respecto de la ocurrencia de un hecho aislado y no sistemático, que: “3.

Hecho aislado y no sistemático Almacenes Éxito S.A. es una organización comprometida con la Protección de los Datos Personales, por ello vela por un cumplimiento efectivo de las disposiciones establecidas en la normativa vigente en la materia y se rige por el principio de mejora continua de sus procesos para brindarle a sus grupos de interés un adecuado tratamiento de la información de carácter personal que trata con ocasión al desarrollo de su objeto social.

En dicho sentido, la Compañía cuenta con un Programa Integral de Protección de Datos Personales acorde al modelo propuesto por la Superintendencia de Industria y Comercio, el cual se encuentra en la búsqueda constante de oportunidades de perfeccionamiento para un amparo efectivo del derecho de habeas data de los titulares. Dentro de sus elementos estructurales se encuentra el desarrollo de un proceso para la atención efectiva de las peticiones, quejas y reclamos formuladas por los titulares acerca de su información de carácter personales.

En este caso en particular y como ya se ha argumentado en las diferentes etapas del proceso, la compañía cumplió con los lineamientos aplicables en materia de protección de datos personales, y en el evento de haberse configurado una infracción, esta se presenta como una situación excepcional y aislada de los estándares que posee la compañía con respecto a su compromiso organizacional frente a la protección y garantía efectiva del derecho de habeas data de los titulares.

Almacenes Éxito ha demostrado la implementación de buenas prácticas de gobierno corporativo y compliance en todos los ámbitos de su quehacer empresarial, incluyendo buenas prácticas de consumidor, estrictos códigos éticos y demás procesos”. 4.6 Posteriormente, se refiere a la aplicación del principio de responsabilidad demostrada, aduciendo lo siguiente: 4.

Despliegue de un programa integral de protección de datos personales que ha tenido una implementación progresiva y una mejora continua en su desarrollo. El principio de la responsabilidad demostrada, (sic) se ha consagrado dentro del ordenamiento jurídico, como un mecanismo que tiene la finalidad de promover el compromiso de las organizaciones frente a la protección de los datos personales, lo cual se desarrolla con la implementación de modelos y programas verificables que enriquezcan las garantías que se han desplegado dentro del ordenamiento colombiano, frente a la materia.

De dicho principio deriva un reconocimiento de aquellas organizaciones comprometidas con la protección de los datos, el cual puede verse materializado como un criterio diferenciador que adopta la imposición de sanciones de carácter administrativo por las violaciones al régimen de protección de datos. El programa de protección de datos de Almacenes Éxito se presenta como un vivo reflejo del compromiso que posee la compañía frente a la protección de la información personal.

Vale la pena resaltar, que este programa ha tenido una implementación continua y obedece al principio de mejora continua, además se sustenta en la normativa vigente sobre la materia y en el modelo consagrado por la Superintendencia de Industria y Comercio en lo dictaminado en su Guía para la Implementación del Principio de Responsabilidad Demostrada.

HOJA N, “Por la cual se resuelve un recurso de reposición” VERSIÓN PÙBLICA Componentes fundamentales del programa De conformidad con la referida guía expedida por la Superintendencia de Industria y Comercio, se establecen tres componentes fundamentales, que deberán tenerse en cuenta siempre que se vaya a proceder con la creación de un programa integral para la protección de los datos.

Compromiso de la organización: Frente a este componente se establece que debe existir un compromiso corporativo por la protección de datos personales y la construcción de un programa integral. Almacenes Éxito demuestra el compromiso de la Alta Dirección en el desarrollo de su programa, con su constante involucramiento en la toma de decisiones que afectan el desarrollo, implementación y gestión del programa de gestión de datos personales.

Como componentes de este punto se resalta además la importancia de contar con un equipo especializado para la gestión de los asuntos relacionados a la materia, por lo que la Junta Directiva nombro (sic) un Oficial de Protección de Datos para que sea el encargado de gestionar los riesgos asociados al tratamiento de datos personales. Controles efectivos del programa: Entendidas como aquellas medidas operativas que instrumenten el programa de la compañía. Dentro de este aspecto, Almacenes Éxito implementa unos controles efectivos que le permiten a la organización articular las políticas definidas y aprobadas por la alta dirección y los lineamientos y estrategias definidas por el Oficial de Protección de Datos.

Entre los controles que han sido puestos en conocimiento de su despacho se destacan entre otros: 1. Política de protección de datos personales. Boletines de Cumplimiento para comunicar dentro de la organización novedades en protección de datos personales. 2. 3. Política de Seguridad de la Información. 4. Manual Detallado de Seguridad de la Información. 5.

Procedimiento de Gestión de las Bases de Datos de Personas Naturales. Evaluación y revisión continúa (sic): Atendiendo al hecho de que un programa de protección de datos no es estático, requiere de un monitoreo constante que evalúe los posibles cambios internos o externos que puedan afectar el programa. Como ya se ha puesto de presente a este Despacho, Almacenes Éxito, cuenta con un área especializada, el Área de Cumplimiento, que hace un seguimiento permanente al programa, para monitorear el estado de su implementación y adecuado desarrollo.

En la resolución recurrida, la Superintendencia de Industria y Comercio descarta la reducción de la sanción impuesta por la implementación de buenas prácticas de protección de datos, que se reflejan en el programa integral desarrollado por la compañía. Al justificar su decisión, la Superintendencia no tiene en cuenta que en el pasado ya había hecho el mismo reconocimiento frente a Almacenes Éxito, y había reconocido que en efecto dicha sociedad sí cuenta con un programa integral de protección de datos, que efectivamente refleja el compromiso de la organización con el tratamiento de la información de los titulares en sus bases de datos.

Como se ha expuesto en este escrito, el programa integral de protección de datos no es una implementación única, que se despliegue una única vez, sino que se encuentra conformado por una serie de procedimientos, políticas, documentos, prácticas, procesos y decisiones de buen gobierno corporativo que, tomadas en su conjunto, le permiten a la compañía (como a cualquier otra compañía que implemente este tipo de prácticas), minimizar el riesgo de protección de datos personales.

Así entonces, Almacenes Éxito ha implementado un programa de protección de datos integral, que se encuentra en un proceso continuo de mejora y que es la evidencia de que ha sido un programa orientado en las buenas prácticas corporativas que propenden por proteger, cada vez de manera más efectiva, la información que recolecta y trata con ocasión a su objeto social.

Finalmente, traemos a colación de su Despacho que en el proceso que llevó a cabo esa Dirección, y que terminó con la imposición de una sanción a Almacenes Éxito se reconoció expresamente la “Por la cual se resuelve un recurso de reposición” HOJA N, VERSIÓN PÙBLICA implementación de prácticas de responsabilidad demostrada por parte de Almacenes Éxito.

En efecto, en la Resolución No. 44026 de 25 de junio de 2018, se disminuyó la sanción en más del 56% (de 160 a 90 SMLMV), por la implementación de un programa integral de protección de datos en la compañía. 4.7 Finaliza su escrito, solicitando revocar la sanción señalando, que: “VI. Conclusiones Según se ha argumentado y expuesto en el presente recurso, se solicita respetuosamente a la Dirección, al resolver el recurso de reposición, o al Superintendente Delegado para la Protección de Datos Personales, en sede de apelación, que proceda a modificar la Resolución recurrida, revocando íntegramente la sanción impuesta a Almacenes Éxito, o modificando sustancialmente su cuantía, por las razones que se reiteran a continuación: (i) La Dirección no tuvo adecuadamente en cuenta la dimensión del daño y peligro de la conducta y en consecuencia no disminuyó la multa de manera sustancial.

(ii) La Dirección no tuvo en cuenta la colaboración de Almacenes Éxito durante el trámite de las actuaciones adelantadas por el Grupo de Habeas Data y el Grupo de Investigaciones y en consecuencia no disminuyó la multa de manera sustancial. (iii) En caso de haberse presentado una falla, la Dirección no tuvo en cuenta el carácter excepcional y no sistemático de la misma.

(iv) La Dirección no tuvo en cuenta la creación y despliegue de un programa integral de protección de datos personales que ha presentado una implementación gradual y que se ha ajustado a las dinámicas del negocio en armonía con las disposiciones legales vigentes en la materia y a lo estipulado por la Dirección.”

QUINTO: Que, dentro del término concedido para el efecto, mediante escrito radicado por medio de correo electrónico el día fecha 24 de noviembre de 2020, bajo el número 18-283845-50, la sociedad ÉXITO INDUSTRIAS S.A.S a través de apoderado especial, interpuso recurso de reposición y en subsidio apelación contra la Resolución 68369 del 28 de octubre de 2020, el cual fundamentó en los siguientes motivos de inconformidad: 5.1 En primer lugar, señala los presupuestos procesales del recurso, establecidos en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo, así como la identificación del acto recurrido y las pretensiones del recurso. 5.2 A continuación, sostiene el recurrente que no hubo aplicación de los criterios de reconocimiento de la infracción y colaboración de la sociedad investigada, expresando que: “V. Motivos de inconformidad con la Resolución que se recurre A continuación, se sustentan los motivos de inconformidad con la decisión administrativa contenida en el acto que se impugna.

En términos generales, el motivo de inconformidad con la decisión se manifiesta en la indebida graduación de la sanción, que es absolutamente desproporcionada para la conducta llevada a cabo por Éxito Industrias. Adicionalmente, la Dirección de Investigación de Protección de Datos no tuvo en cuenta elementos adicionales que ha debido considerar en la decisión de la actuación: (i) (ii) (iii) Valoró el reconocimiento de la infracción por parte de Éxito Industrias, como uno de los atenuantes previstos por la ley de protección de datos personales, de forma insuficiente.

No tuvo en cuenta la colaboración de Éxito Industrias dentro de la investigación. No se valoró de forma adecuada la creación e implementación que ha llevado a cabo la compañía de su programa integral de protección de datos personales, 1. No aplicación de los criterios de reconocimiento de la infracción y colaboración de la investigada Dentro de las normas que se consagraron en el ordenamiento jurídico para la protección de los titulares, se previó la posibilidad de que la SIC, siguiendo una serie de pautas, adelantara investigaciones de carácter administrativo frente a conductas violatorias de la ley, para concluir dichas investigaciones bien con la imposición de una sanción (incluyendo una multa) o con la imposición de una orden.

“Por la cual se resuelve un recurso de reposición” HOJA N, VERSIÓN PÙBLICA No obstante, ese poder sancionatorio de la Superintendencia de Industria y Comercio, como autoridad de protección de datos, tiene no obstante (sic) límites trazados. Algunos de estos límites están definidos por la propia norma, y otros de esos límites, por el contrario, han sido trazados por la propia entidad administrativa, por vía del ejercicio de sus facultades a través del tiempo, y por su producción de guías e instructivos que orientan a los administrados sobre la forma en que se espera de ellos una apropiada aplicación de la ley.

Como se observa, resulta fundamental para una correcta aplicación de la norma, de manera tal que sirva para el propósito con que fue concebida, que la autoridad a cargo de vigilar su cumplimiento, sea ponderada y aplica un criterio de proporcionalidad. Con base en lo anterior, se puede concluir que, a pesar de que la administración tenga la facultad legal de establecer multas hasta un límite establecido legalmente, esta imposición debe hacerse con base en criterios como la razonabilidad y la proporcionalidad.

Adicionalmente, esta sustentación debe tener una carga de argumentación jurídica de la cual se pueda extraer el fundamento del por qué se impone un valor y no otro. Se desprende de lo anterior que la multa de dos mil cuarenta y ocho (2.048) UVT impuesta a Éxito Industrias, no ha sido proporcional a la conducta en que incurrió la compañía y que fue reconocida por esta: el envío de una serie de correos electrónicos de naturaleza publicitaria con posterioridad a la solicitud de la titular de que fuera retirado su correo electrónico de la base de datos a la que anteriormente se había vinculado voluntariamente con esa específica finalidad.

La Dirección de Investigación de Protección de Datos, cuando procede a evaluar la imposición y graduación de la sanción, empieza por reconocer que en dicho ejercicio debe tener en cuenta el principio de proporcionalidad que orienta el derecho administrativo sancionador para que ella, como autoridad administrativa y en "forma razonable y proporcionada ( ) logre el equilibrio entre la sanción y la finalidad de la norma que establezca (sic) así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada".

Así las cosas, resulta clarísimo del expediente, de la contestación del pliego de cargos, y de los alegatos de conclusión presentados por Éxito Industrias, que la sociedad investigada no tenía dentro de su historial la petición de supresión de la señora XXXXXXXXXXXXXXX, razón por la cual no tuvo la posibilidad de proceder en dicho momento con la eliminación de su cuenta de correo electrónico como era su deseo, sin embargo, en cuanto tuvo conocimiento de la reclamación de la titular y se pudo verificar la voluntad específica de la misma, se procedió de conformidad, atendiendo a los deseos de la señora XXXXXXXXXXXXXXXXXXX.

Frente a lo anterior, se debió tener en cuenta en la valoración del daño lo siguiente: a. Sobre el tipo de tratamiento efectuado (el envío de correos publicitarios a una titular que anteriormente y de manera voluntaria había solicitado vincularse a la compañía) b. Sobre la naturaleza de los datos tratados por Éxito Industrias (el correo electrónico de la titular, asociado a su nombre); y c. Sobre los riesgos que implica para la titular dicho tratamiento (ninguno diferente a las posibles molestias de recibir correo electrónico no deseado y tener que proceder a su borrado).

Ahí radica la verdadera evaluación de la dimensión del daño o peligro al/los intereses jurídicos tutelados, frente a la ocurrencia de la conducta, que, como se reitera, fue reconocida por la investigada a lo largo de todo el proceso. En atención a los principios de economía procesal, celeridad, eficiencia, eficacia, buena fe y lealtad procesal dispuestos por el legislador y que deben observar las partes en un proceso, y en aras de garantizar el uso eficiente de los recursos humanos y físicos dispuestos por el Estado para impartir justicia, la compañía procedió a allanarse de manera expresa y voluntaria a los cargos formulados dentro del presente proceso.

En concordancia con lo anterior, consideramos pertinente traer nuevamente a colación los criterios de graduación de la sanción dispuestos en el artículo 24 de la Ley 1581 de 2012, el cual se encuentra en concordancia con el artículo 50 de la Ley 1437 de 2011 y que a continuación se citan en su tenor literal: "ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: “Por la cual se resuelve un recurso de reposición” HOJA N, VERSIÓN PÙBLICA a. La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b. El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c. La reincidencia en la comisión de la infracción; d. La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e. La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f. El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar." - Negrilla por fuera de texto original.

Teniendo en cuenta lo mencionado, uno de los criterios a tener en cuenta para graduar las sanciones interpuestas por las entidades administrativas y en estos casos, por la Superintendencia de Industria y Comercio, será el reconocimiento por parte del investigado de la infracción cometida. En este caso resulta evidente que Éxito Industrias ante la insuficiencia del material probatorio y de la ausencia de elementos de juicio que controviertan con suficiente convicción los hallazgos encontrados en la averiguación preliminar, reconoció la infracción cometida, en aras del cumplimiento de los principios de economía y lealtad procesal, evitando así un desgaste innecesario de la administración. La Dirección debe, en consecuencia, disminuir la sanción impuesta a Éxito Industrias por cuanto (i) esta reconoció la infracción y (ii) colaboró con la Superintendencia tanto durante el trámite del expediente en el Grupo de Habeas Data, como en la etapa investigativa explicando los motivos por los cuales se presentó una falla humana, no sistemática, que le impidió haber actuado de forma más rápida ante la petición legítima de la titular.

Por lo cual se solicita respetuosamente que, atendiendo a lo argumentado en este recurso, se proceda a disminuir la sanción impuesta, tal y como lo ha hecho la Dirección en procesos adelantados a otras compañías, teniendo en cuenta este criterio de graduación establecido en la normativa sustancial y procesal aplicable en la materia.” 5.3 Adicionalmente, hace referencia a un hecho aislado y no sistemático así: “2.

Hecho aislado y no sistemático Éxito Industrias es una organización comprometida con la Protección de los Datos Personales, por ello vela por un cumplimiento efectivo de las disposiciones establecidas en la normativa vigente en la materia y se rige por el principio de mejora continua de sus procesos para brindarle a sus grupos de interés un adecuado tratamiento de la información de carácter personal que trata con ocasión al desarrollo de su objeto social.

En dicho sentido, de reitera que, a pesar de que Éxito industrias no tiene como objeto principal el envío de publicidad o cualquier otra actividad que implique el tratamiento de datos personales de clientes, es una sociedad comprometida con la protección de los datos personales, como se detalló en el memorial de descargos y en los alegatos de conclusión del presente caso.

En donde se deja de presente que la compañía cuenta con un Programa integral de Protección de datos que se ajusta a las necesidades de la organización en el tratamiento de información. Dicho programa, también se encuentra en la búsqueda constante de oportunidades de perfeccionamiento para un amparo efectivo del derecho de habeas data de los titulares.

Dentro de sus elementos estructurales se encuentra el desarrollo de un proceso para la atención efectiva de las peticiones, quejas y reclamos formuladas por los titulares acerca de su información de carácter personales. En este caso en particular, la supresión extemporánea de los datos de la titular se presenta como una situación excepcional y aislada de los estándares que posee la compañía con respecto a su compromiso organizacional frente a la protección y garantía efectiva del derecho de habeas data de los titulares.” 5.4 De otra parte, sostiene el recurrente que en la presente causa se cumplió la voluntad del titular operando así la figura de hecho superado, toda vez que: “(…) Como se ha reiterado en varias etapas del proceso, una vez se le informó al área encargada de la queja presentada por la señora XXXXXXXXXXXXXXXXXXXXXXXXXXX ante su Despacho, fue en este momento en que se tuvo conocimiento de la solicitud que estaba presentado la titular de los datos y se procedió con la eliminación de su cuenta de correo electrónico de los repositorios de la compañía, y se acreditó su supresión tal y como consta, en las pruebas aportadas en el memorial de descargos.

“Por la cual se resuelve un recurso de reposición” HOJA N 10, VERSIÓN PÙBLICA Como ya es conocido por este despacho, Cdiscount no tenía dentro de su historial la petición de supresión de la señora XXXXXXXXXXXXXXX, razón por la cual no tuvo la posibilidad de proceder en dicho momento con la eliminación de su cuenta de correo electrónico como era su deseo, sin embargo, en cuanto tuvo conocimiento de la reclamación de la titular y se pudo verificar la voluntad específica de la misma, se procedió de conformidad, atendiendo a los deseos de la señora XXXXXXXXXXXXXXXXXXX, encontrándonos así ante un hecho superado. 5.5 Concluye su escrito, solicitando la revocatoria de la sanción, en los siguientes términos: “VI.

Conclusiones Según se ha argumentado y expuesto en el presente recurso, se solicita respetuosamente a la Dirección, al resolver el recurso de reposición, o al Superintendente Delegado para la Protección de Datos Personales, en sede de apelación, que proceda a modificar la Resolución recurrida, revocando íntegramente la sanción impuesta a Éxito Industrias, o modificando sustancialmente su cuantía, por las razones que se reiteran a continuación: (i) (ii) (iii) La Dirección no tuvo adecuadamente en cuenta el reconocimiento que la propia investigada hizo frente a la comisión de la infracción y en consecuencia no disminuyó la multa de manera sustancial.

La Dirección no tuvo en cuenta la colaboración de Éxito Industrias durante el trámite de las actuaciones adelantadas por el Grupo de Habeas Data y el Grupo de Investigaciones y en consecuencia no disminuyó la multa de manera sustancial como en efecto lo ha hecho en otras investigaciones. La Dirección no tuvo en cuenta el carácter excepcional y no sistemático de esta falla y que nos encontramos ante un hecho superado.

La Dirección no tuvo en cuenta el despliegue de un programa integral de protección de datos personales que ha presentado una implementación gradual y acorde a la dinámica del negocio.”

SEXTO: Que una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo y con base en lo expuesto por el recurrente ALMACENES ÉXITO S.A, este Despacho procede a realizar las siguientes consideraciones: 6.1 Respecto del principio de proporcionalidad de la imposición y graduación de la sanción Sobre este punto, el recurrente señala que: “(…) Con base en lo anterior, se puede concluir que, a pesar de que la administración tenga la facultad legal de establecer multas hasta un límite establecido legalmente, esta imposición debe hacerse con base en criterios como la razonabilidad y la proporcionalidad.

Se desprende de lo anterior que la multa de cuatro mil noventa y cinco (4.096) Unidades de Valor Tributario (UVT) impuesta a Almacenes Éxito no ha sido proporcional a los hechos presentados para este caso”. En lo que respecta al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal y que la misma sea aplicada sin afectar irrazonablemente los intereses del investigado, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.

Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 24 de la Ley 1581 de 2012 para tasar el monto de la sanción, veamos: "ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la “Por la cual se resuelve un recurso de reposición” HOJA N 11, VERSIÓN PÙBLICA e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar." Al respecto, la Corte Constitucional sobre la constitucionalidad de este artículo manifestó en sentencia C-748/11, lo siguiente: "Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución." De acuerdo con estos criterios de graduación, este Despacho, en primer lugar, se refiere al previsto en el literal a) del artículo 24 de la Ley 1581 de 2012.

Dentro de su marco, se encuentra que a lo largo de la presente investigación se demostró la infracción cometida por el recurrente, específicamente respecto de los deberes previstos en literal h) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 9 de la misma ley y el artículo 2.2.2.25.2.5 del decreto único reglamentario 1074 de 2015.

Ahora bien, este Despacho aclara al recurrente que para la disminución del monto de la sanción impuesta en la resolución recurrida, la Ley 1581 de 2012 en el artículo 23, le confiere la facultad a la Superintendencia de Industria y Comercio para ejercer la función de vigilancia de los Responsables y Encargados del tratamiento, para garantizar que se respeten los principios, derechos, garantías y procedimientos previstos en la ley.

Este artículo dispone: "ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva." Al respecto, es pertinente resaltar que la valoración de los criterios señalados no comporta la existencia de un procedimiento cuantitativo en el que se indique, a manera de ejemplo, el valor con que será sancionada una determinada falta, pues lo que este Despacho analiza es que una vez demostrada la infracción de una disposición y valoradas las circunstancias particulares de cada caso, con apego a los criterios legales expuestos, haya lugar a la imposición de la sanción pecuniaria dentro de los rangos indicados en la norma.

Sobre las sanciones que se imponen por la infracción a los deberes contenidos en la Ley 1581 de 2012, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionadora en forma razonable y proporcionada, de modo en que logre el equilibrio entre la sanción y la finalidad de la norma que fue trasgredida, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Así las cosas, es claro que los parámetros que condicionan el ejercicio de la facultad sancionatoria “Por la cual se resuelve un recurso de reposición” HOJA N 12, VERSIÓN PÙBLICA por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que sin lugar a dudas se tuvieron en cuenta en el caso sub examine, comoquiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la sociedad recurrente puso en peligro y vulneró el régimen de protección de datos, ya que se demostró que la sociedad incumplió con los deberes previstos en literal h) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 9 de la misma ley y el artículo 2.2.2.25.2.5 del decreto único reglamentario 1074 de 2015.

Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales analizó todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplicaban al caso concreto y, de esa forma, seleccionó y graduó la sanción impuesta.

Para esta finalidad, también se tuvieron en cuenta para la dosificación de la sanción el tamaño de la empresa, y las condiciones de tiempo modo y lugar en las que se dieron los hechos materia de investigación, ello bajo los parámetros dispuestos en el artículo 24 de la ley 1581 de 2012. Ahora bien, frente a los varios argumentos del recurrente que refutan el monto de la sanción impuesta y sus criterios de graduación, en los numerales siguientes de este artículo, se analizará de forma específica lo referente a lo invocado en el recurso de reposición y en subsidio de apelación, sobre no valoración adecuada de la conducta de cara a la dimensión del daño o peligro de la conducta, así como a la ocurrencia de un hecho aislado y no sistemático y, sobre la implementación de un Programa Integral de Protección de Datos Personales. 6.2 No valoración adecuada de la conducta de cara a la dimensión del daño o peligro de la conducta.

La sociedad recurrente Inicia su argumentación, manifestando que: (…) “Para la tasación del monto de la multa se debe exponer los argumentos que la llevan a establecer la dimensión del daño y luego sí, hecha esa evaluación, podrá tasar una posible multa.” Este argumento no es del recibo del Despacho, puesto que, como se expuso en la Resolución 68369 del 28 de octubre de 2020, quedó demostrada la negligencia del recurrente respecto del cumplimiento del “deber del Responsable de suministrar al Encargado del Tratamiento únicamente datos previamente autorizados” deber, cuyo desconocimiento se demostró al evidenciarse que la sociedad ALMACENES ÉXITO S.A en calidad de responsable del tratamiento no obtuvo la autorización previa, expresa e informada para el tratamiento de datos personales en la forma prevista en la Ley, por parte de la señora XXXXXXXXXXXXXXXXXXXXXXXXXXX para así poder suministrarlos a la sociedad ÉXITO INDUSTRIAS S.A.S. en calidad de Encargada, vulnerando el Régimen General de Protección de Datos.

Ahora bien, la sociedad ALMACENES ÉXITO S.A expone tres criterios que a su juicio son los que se debieron tener en cuenta para establecer el daño a los intereses jurídicos tutelados por la ley así: En primer lugar, expone lo siguiente: “Sobre el tipo de tratamiento efectuado (el envío de correos publicitarios a una titular cliente de Almacenes Éxito, que anteriormente y de manera voluntaria había solicitado vincularse y ser cliente Éxito que le otorga beneficios en sus compras);” Con relación a lo anterior, esta Dirección se permite manifestar que en la resolución 68369 del 28 de octubre de 2020, quedó demostrado que la señora XXXXXXXXXXXXXXXXXXXXXXXXXXX no otorgó autorización previa, expresa e informada, pues ALMACENES ÉXITO S.A utilizó pop ups de registro condicionados a la aplicación del check box como mecanismo para obtener la autorización para el tratamiento de datos personales de la titular, el cual no cumplió con los requisitos establecidos en el literal b artículo 17 de la ley 1581 de 2012.

En segundo lugar, indica que: “Sobre la naturaleza de los datos tratados por Almacenes Éxito (el correo electrónico de la titular, asociado a su nombre); y” Al respecto, es importante señalar que en el acto recurrido, quedó demostrado de manera inequívoca la comisión de la infracción al Régimen General de Protección de Datos, se configuró un peligro a los intereses de la Titular contemplados en la Ley 1581 de 2012, pues ALMACENES ÉXITO S.A. suministró a ÉXITO INDUSTRIAS S.A.S. el correo electrónico de la señora “Por la cual se resuelve un recurso de reposición” HOJA N 13, VERSIÓN PÙBLICA XXXXXXXXXXXXXXXXXXXXXXXXXXX siendo este de naturaleza no pública, sin contar con el consentimiento para el tratamiento, teniendo en cuenta que dicha autorización fue obtenida mediante pop ups de registro condicionados a la aplicación del check box, por lo que este Despacho reitera que dicha autorización debe ser previa, expresa e informada, así mismo susceptible de consulta posterior conforme con lo dispuesto en el artículo 9 de la Ley 1581 de 2012.

En tercer lugar, manifiesta que: “Sobre los riesgos que implica para la titular dicho tratamiento (ninguno diferente a las posibles molestias de recibir correos electrónicos no deseados).” Dado lo anterior, este Despacho no comparte el argumento esgrimido por el recurrente, en la medida en que este se fundamenta en torno a desestimar la importancia del Derecho Fundamental de Habeas Data, así como las situaciones particulares de personas que se sienten incomodas de ser receptoras de comunicaciones comerciales no deseadas.

La afirmación de ALMACENES ÉXITO S.A en cuanto a: " Sobre los riesgos que implica para la titular dicho tratamiento (ninguno diferente a las posibles molestias de recibir correos electrónicos no deseados)." han afectado tanto a la señora XXXXXXXXXXXXXXXXXXXXXXXXXXX que en calidad del Titular del Dato solicitó en cuatro (4) oportunidades la eliminación de su correo para que le dejaran de enviar más comunicaciones; sin embargo se encuentra acreditado que la sociedad investigada no suprimió el dato, pues le siguió enviado correos.

Es probable que a algunas personas no les moleste ser destinatarias de comunicaciones publicitarias no deseadas, pero ello no quiere decir que sea un tema menor o irrelevante para aquellos que están cansados o molestos de recibir ese tipo de mensajes. Ya que esta conducta es una flagrante vulneración al Derecho de Habeas Data en cabeza del titular de los datos.

Por eso, es necesario que los Responsables y/o Encargados del Tratamiento: i) solo contacten a personas respecto de las cuales posean prueba de la autorización previa, expresa e informada que exige la Ley 1581 de 2012 para poder recolectar, usar o tratar sus datos personales privados, semiprivados o sensibles para fines publicitarios ii) respeten y garanticen el derecho de supresión de aquellos cuando son utilizados para fines de prospección comercial, y iii) suspendan el uso los Datos para fines publicitarios, comerciales no deseados cuando así lo requiera o solicite el Titular.

Esas "molestias" a que se refiere la recurrente son las que, entre otras, han generado que la Corte Constitucional se refiera al "derecho a la tranquilidad" en los siguientes términos: • " Ahora bien, uno de los derechos que deben ser garantizados por el Estado, y que ha ido cobrando importancia dentro de la doctrina constitucional, es el derecho a la tranquilidad, inherente a la persona humana, que le permite al individuo desarrollar una vida digna y sosegada.

El derecho a la tranquilidad, lo ha dicho esta Sala, asume el carácter de fundamental por su estrecha relación con la dignidad humana que, necesariamente, conlleva a la paz individual la cual es necesaria para vivir adecuadamente. Sobre el derecho a la tranquilidad, la Corte se ha referido en estos términos: "Es evidente que el ser humano tiende a la tranquilidad en su vida.

Se trata de una tendencia inherente al ser personal, y por ello constituye un bien jurídicamente protegido como fundamental, ya que la dignidad humana conlleva la natural inviolabilidad del sosiego necesario para vivir adecuadamente, y es así cómo la tranquilidad es uno de los derechos inherentes a la persona humana a que se refiere el artículo 94 superior" (Cfr. Corte Constitucional.

Sala Novena de revisión. Sentencia T-028 del 31 de enero de 1994. M.P.: doctor Vladimiro Naranjo Mesa). Como derecho inherente a la persona, el derecho a la tranquilidad debe ser protegido por el Estado de tal forma que permita un ambiente propicio para la convivencia humana, de manera que los individuos puedan realizar sus actividades en un ambiente sano y exento de cualquier molestia que tienda a vulnerar la paz y el sosiego.

"2 En suma, este Despacho no comparte que la recurrente demerite el derecho que tiene la Titular a su tranquilidad3, y a exigir que sus Datos Personales no sigan siendo usados para contactarlo con Corte Constitucional, sentencia T-459 de 1998 Sentencia T-343 de 2015 "( ) en la Sentencia T-028 de 1994, la Sala Novena de Revisión reconoció "la tranquilidad como bien jurídico protegido", afirmando que una vida tranquila hace parte del ámbito de protección del derecho a la vida digna contemplado en el artículo 94 de la Constitución: "Si bien es cierto que la tranquilidad tiene una dimensión subjetiva, indeterminable, y por lo tanto imposible de ser objeto jurídico, también es cierto que existen elementos objetivos para garantizar ese bienestar íntimo de ta persona, dada la influencia del entorno sobre el nivel emocional propio.

A nadie se le puede perturbar la estabilidad de su vivencia sin justo título fundado en el bien común. Y esto obedece a una razón jurisprudencial evidente: el orden social justo parte del goce efectivo de la tranquilidad vital de cada uno de los asociados, de suerte que, al no perturbar el derecho “Por la cual se resuelve un recurso de reposición” HOJA N 14, VERSIÓN PÙBLICA fines publicitarios por parte de ALMACENES ÉXITO S.A.y, en cambio, se limite a afirmar que el único riesgo que genera la no supresión de los datos radica en “(ninguno diferente a las posibles molestias de recibir correos electrónicos no deseados)." Concluye este Despacho que, en el presente caso ALMACENES ÉXITO S.A demuestra su falta de compromiso con el régimen de protección de datos, al no tener en cuenta que: i) el derecho del Titular a solicitar la supresión de sus Datos (literal e) del artículo 8 de la Ley 1581 de 2012); ií) el deber especial como Responsable del Tratamiento, de garantizar al Titular en todo tiempo, el pleno y efectivo ejercicio de su Derecho Constitucional de Habeas Data (literal a) del artículo 17 de la Ley 1581 de 2012); y iii) el derecho del Titular a solicitar en cualquier momento al Responsable o Encargado la supresión de sus Datos Personales (artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015). 6.3 Ocurrencia de hecho aislado y no sistemático Señala el recurrente que: “(…) En este caso en particular y como ya se ha argumentado en las diferentes etapas del proceso, la compañía cumplió con los lineamientos aplicables en materia de protección de datos personales, y en el evento de haberse configurado una infracción, esta se presenta como una situación excepcional y aislada de los estándares que posee la compañía con respecto a su compromiso organizacional frente a la protección y garantía efectiva del derecho de habeas data de los titulares.” El anterior argumento no es del recibo por este Despacho, por cuanto en el acto recurrido quedó demostrado que se configuró un peligro a los interés de la Titular contemplados en la Ley 1581 de 2012, teniendo en cuenta que la recurrente suministró a la sociedad ÉXITO INDUSTRIAS S.A.S. en calidad de Encargada, datos personales de naturaleza no pública de la señora XXXXXXXXXXXXXXXXXXX, como lo es su correo electrònico sin contar con la autorización para el tratamiento, conforme con lo dispuesto en el artículo 9 de la Ley 1581 de 2012.

Ahora bien, es importante resaltar que la vulneración del deber previsto en el literal h) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 9 de la misma ley y el artículo 2.2.2.25.2 5. del Decreto Único Reglamentario 1074 de 2015, no corresponde a un hecho aislado y no sistemático, en razón a que dentro del acervo probatorio no obra prueba alguna que evidencie lo anterior.

Adicionalmente el hecho de que se haya vulnerado el derecho de un (1) titular, pone en riesgo el derecho de los más de catorce millones (14‘000.000) de personas a los cuales la recurrente realiza el tratamiento de datos. Aun cuando la sociedad recurrente afirme que la conducta por la cual fue sancionada sea “aislada y no sistemática”, no es óbice para que esta Dirección no actúe con el rigor necesario que le demanda la función legal de sancionar las vulneraciones al Régimen General de Protección de Datos. 6.4 Despliegue de un programa integral de protección de datos personales que ha tenido una implementación progresiva y una mejora continua en su desarrollo.

Señala el Recurrente que: “(…) Almacenes Éxito ha implementado un programa de protección de datos integral, que se encuentra en un proceso continuo de mejora y que es la evidencia de que ha sido un programa orientado en las buenas prácticas corporativas que propenden por proteger, cada vez de manera más efectiva, la información que recolecta y trata con ocasión a su objeto social.” En sincronía con esta afirmación, reitera la sociedad ALMACENES ÉXITO S.A lo dicho en el escrito de descargos4 manifestando que cuenta con un programa de gestión de datos personales, el cual está compuesto de forma general por los elementos y medidas que se enuncian a continuación: “Controles efectivos del programa: Entendidas como aquellas medidas operativas que instrumenten el programa de la compañía. Dentro de este aspecto, Almacenes Éxito implementa unos controles efectivos que le permiten a la organización articular las políticas definidas y aprobadas por la alta dirección y los lineamientos y estrategias definidas por el Oficial de Protección de Datos.

Entre los controles que han sido puestos en conocimiento de su despacho se destacan entre otros: ajeno, se logra la común unidad en el bienestar, es decir, la armonía perfeccionante de los individuos que integran la sociedad organizada, bajo el imperio de la ley, en forma de Estado". Escrito de descargos bajo radicado número 18-283845-11 de fecha 15 de enero 2019.

“Por la cual se resuelve un recurso de reposición” HOJA N 15, VERSIÓN PÙBLICA • Política de protección de datos personales. • Boletines de Cumplimiento para comunicar dentro de la organización novedades en protección de datos personales. • Política de Seguridad de la Información. • Manual Detallado de Seguridad de la Información. • Procedimiento de Gestión de las Bases de Datos de Personas Naturales.

Evaluación y revisión continúa: Atendiendo al hecho de que un programa de protección de datos no es estático, requiere de un monitoreo constante que evalúe los posibles cambios internos o externos que puedan afectar el programa. Como ya se ha puesto de presente a este Despacho, Almacenes Éxito, cuenta con un área especializada, el Área de Cumplimiento, que hace un seguimiento permanente al programa, para monitorear el estado de su implementación y adecuado desarrollo.” Estas afirmaciones no son del recibo de esta Dirección, pues no basta con que el responsable de la administración de datos aporte una serie de políticas implementadas, sino que, adicionalmente es necesario que dichas conductas se vean materializadas en la práctica.

Lo anterior guarda relación con el principio de responsabilidad demostrada, el cual demanda implementar acciones de diversa naturaleza para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamientos de datos personales, los cuales ya fueron mencionados por esta Dirección de manera amplia y suficiente en la parte motiva del acto administrativo recurrido.

Sin embargo, se reiterarán algunos aspectos, en tanto el Recurrente insiste en la presunta implementación material del programa integral de gestión y protección de datos personales por la sociedad ALMACENES ÉXITO S.A, pese a que todo el material probatorio obrante en el expediente, conduce a que la sociedad investigada no adoptó las medidas apropiadas, efectivas y verificables que permitan, por un lado, evidenciar un actuar diligente en el caso bajo examen y, por el otro, den cuenta de la observancia y puesta en marcha de los preceptos normativos en materia de protección de datos personales.

Así las cosas, la regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad; por el contrario, debe ser real y demostrable. Al respecto, nuestra jurisprudencia ha determinado que "existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante"5.

Ahora bien, revisado el expediente 17-189730, dentro del cual se profirió la Resolución 44026 del 25 de junio de 2018 a la que se refiere la recurrente, se encuentra que la sociedad ALMACENES ÉXITO S.A. aportó el 10 de enero de 2018 con el escrito de descargos con radicado 17-18973000009 los documentos que soportan Programa Integral de Protección de Datos Personales y en dicha oportunidad mediante la citada resolución se indicó que: “Así las cosas, si bien, la sociedad investigada acredito que cuenta con procesos para demostrar su compromiso con incrementar sus estándares de protección de los datos de los ciudadanos, con la implementación de un programa de gestión de datos personales, en el caso concreto se observa que dicho sistema no fue efectivo para evitar la vulneración del derecho de habeas data de la señora par cuanto, se insiste, no atendió en debida forma y de acuerdo con sus propios procedimientos la solicitud de supresión del data de esta.” Así mismo, en la Resolución 44026 del 25 de junio de 2018 se disminuyó el monto de la sanción impuesta en aplicación del principio de responsabilidad demostrada; no obstante, es claro para este Despacho que el hecho que la sociedad haya incurrido, nuevamente en la vulneración del deber previsto en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, representa que el citado programa de la recurrente es un compendio de documentos y procedimientos que no están teniendo una eficacia real para la salvaguarda del derecho de hábeas data de los titulares, resaltando este Despacho que el principio de responsabilidad demostrada busca que se realicen acciones concretas que efectivamente garanticen este derecho.

Conforme con lo anterior, los documentos y procedimientos aportados en esta investigación como en otras por la recurrente, son insuficientes para demostrar el principio de responsabilidad Corte Constitucional, sentencia T-227 de 2003 “Por la cual se resuelve un recurso de reposición” HOJA N 16, VERSIÓN PÙBLICA demostrada de los artículos 2.2.2.25.6.1 y 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, tendientes a disminuir el monto de la sanción impuesta, ya que no se evidencia que sean eficaces y efectivos para la garantía del derecho de hábeas data de los titulares, específicamente respecto del deber de “Suministrar al Encargado del Tratamiento. según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado de conformidad con lo previsto en la presente ley ” previsto en el literal h) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 9 de la misma ley y el artículo 2.2.2.25.2 5. del Decreto Único Reglamentario 1074 de 2015. 6.5 Frente a las solicitudes realizadas por el recurrente El recurrente solicitó que se "(…) revoque y/o modifique la orden impartida y la multa impuesta a ALMACENES ÉXITO S.A, por cuanto en su tasación no se acogieron los lineamientos dados por las normas vigentes en materia de protección de datos personales".

Al respecto, al haberse probado la conducta negligente del recurrente por del incumplimiento del deber consagrado en el literal h) del artículo 17 de la ley 1581 de 2012 en concordancia con el artículo 9 de la misma ley y el artículo 2.2.2.25.2.5 del decreto único reglamentario 1074 de 2015, al suministrar a la sociedad ÉXITO INDUSTRIAS S.A.S en calidad de Encargada, datos personales de la titular sin contar con autorización previa, expresa e informada.

A su vez, este Despacho tasó la sanción de acuerdo con los parámetros legales pertinentes y en vista del bien jurídico tutelado. Por su parte, el recurrente solicita la revocatoria o modificación de la orden impartida en la Resolución 68369 del 28 de octubre de 2020; no obstante, los argumentos expuestos en el recurso de reposición y en subsidio de apelación solo están relacionados con la solicitud de revocatoria y/o modificación de la sanción impuesta.

En todo caso, dentro de las funciones previstas por el artículo 21 de la Ley 1581 de 2012 se encuentra que la Delegatura de Protección de Datos Personales como autoridad de protección de datos personales tiene dentro de sus funciones, la siguiente: "ARTÍCULO 21. FUNCIONES. La Superintendencia de Industria y Comercio ejercerá las siguientes funciones: ( ) b) Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.

Para el efecto, siempre que se desconozca el derecho, podrá disponer que se conceda el acceso y suministro de los datos, la rectificación, actualización o supresión de los mismos; ( )." De acuerdo con la anterior norma, este Despacho tiene la potestad de impartir órdenes, incluso de oficio, para garantizar la salvaguarda del derecho fundamental de hábeas data y su efectivo ejercicio.

En síntesis, no es procedente revocar ninguna de las partes de la Resolución 68369 del 28 de octubre de 2020, por lo cual se mantendrá la sanción impuesta y la orden impartida en dicha resolución.

SÉPTIMO: Que una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo y con base en lo expuesto por el recurrente ÉXITO INDUSTRIAS S.A.S, este Despacho procede a realizar las siguientes consideraciones: 7.1 No aplicación de los criterios de reconocimiento de la infracción y colaboración de la investigada El recurrente expresa que reconoció el incumplimiento de los cargos objeto de esta investigación "( ) Teniendo en cuenta lo mencionado, uno de los criterios a tener en cuenta para graduar las sanciones interpuestas por las entidades administrativas y en estos casos, por la Superintendencia de Industria y Comercio, será el reconocimiento por parte del investigado de la infracción cometida.

En este caso resulta evidente que Éxito Industrias ante la insuficiencia del material probatorio y de la ausencia de elementos de “Por la cual se resuelve un recurso de reposición” HOJA N 17, VERSIÓN PÙBLICA juicio que controviertan con suficiente convicción los hallazgos encontrados en la averiguación preliminar, reconoció la infracción cometida, en aras del cumplimiento de los principios de economía y lealtad procesal, evitando así un desgaste innecesario de la administración. ( )".

Estas afirmaciones no son del recibo de esta Dirección, pues efectivamente se procedió con la aplicación del literal f) del artículo 24 de la ley 1581 de 2012, la cual se redujo la sanción para el cargo único en un cincuenta por ciento (50%) del valor inicialmente tasado, es decir, en un total de SETENTA Y DOS MILLONES NOVECIENTOS VEINTITRES MIL CIENTO TREINTA Y SEIS PESOS M/CTE ($72.923.136), equivalentes a dos mil cuarenta y ocho (2.048) Unidades de Valor Tributario, respecto del monto original de la sanción, el cual obedecía a la suma de CIENTO CUARENTA Y CINCO MILLONES OCHOCIENTOS CUARENTA Y SEIS MIL DOSCIENTOS SETENTA Y DOS PESOS M/CTE ($145.846.272), equivalente a cuatro mil noventa y seis (4.096),en UVT Unidades de Valor Tributario.

Adicionalmente, el recurrente señala que: “(…) Por lo cual se solicita respetuosamente que, atendiendo a lo argumentado en este recurso, se proceda a disminuir la sanción impuesta, tal y como lo ha hecho la Dirección en procesos adelantados a otras compañías, teniendo en cuenta este criterio de graduación establecido en la normativa sustancial y procesal aplicable en la materia” Sobre la objeción presentada por el recurrente respecto al monto de disminución de la sanción por su allanamiento a los cargos, este Despacho señala que no es dable comparar la disminución impuesta a otras compañías por el reconocimiento de los hechos, ya que la dosificación de la sanción es valorada de forma concreta y particular en cada investigación administrativa, de acuerdo con factores mencionados en el numeral anterior, como lo son el tamaño de la empresa del recurrente, sus ingresos operacionales, el patrimonio, y, en general, su información financiera.

Además, el objeto principal del Régimen de Protección de Hábeas Data es salvaguardar el derecho de los Titulares de la información respecto de sus datos personales, por lo cual el allanamiento a los cargos, si bien implica una disminución del monto de la sanción, no conlleva per sé a una reducción sustancial de la sanción porque se debe valorar la incidencia e impacto de la vulneración del derecho de hábeas data frente a sus Titulares, así como los criterios señalados en el párrafo anterior.

Adicionalmente, quienes vulneran el Régimen de Protección de Datos Personales no pueden escudarse en el allanamiento a los cargos para obtener una reducción significativa de la sanción, que sí podría resultar desproporcionada frente a los daños y peligros causados a los Titulares por la vulneración de su derecho de hábeas data. Por otra parte, frente a lo manifestado por el recurrente sobre: “(…)La Dirección debe, en consecuencia, disminuir la sanción impuesta a Éxito Industrias por cuanto (i) esta reconoció la infracción y (ii) colaboró con la Superintendencia tanto durante el trámite del expediente en el Grupo de Habeas Data, como en la etapa investigativa explicando los motivos por los cuales se presentó una falla humana, no sistemática, que le impidió haber actuado de forma más rápida ante la petición legítima de la titular”.

Dicho argumento no es del recibo por esta Dirección, pues se aclara que el literal i) del artículo 18 de la Ley 1581 de 2012 establece que es deber de los Encargados de la información " cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio". En ese entendido, el requerimiento realizado a el recurrente por el Grupo de Trabajo de Hábeas Data de esta Dirección, era de obligatoria respuesta por parte de la sociedad ÉXITO INDUSTRIAS S.A.S. so pena de incurrir en incumplimiento del señalado deber.

Nótese, que en una y otra etapa ante este Despacho, la información aportada por la sociedad ÉXITO INDUSTRIAS S.A.S no era de carácter facultativo sino que, correspondía, de una parte a una obligación frente a la autoridad administrativa, y de otra a los derechos que le asisten de debido proceso, defensa y contradicción. También, es necesario destacar que el criterio que señala la sociedad investigada de colaboración tanto en la etapa de averiguaciones preliminares como en la etapa de investigación, no es un criterio previsto en el artículo 24 de la Ley 1581 de 2012 para atenuar la sanción impuesta, ya que bajo esta norma la única causal de atenuación es " el reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar".

Sobre esto, la Corte Constitucional en sentencia C-748/11 de control de constitucionalidad de la Ley 1581 de 2012, preceptuó: "Este precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer “Por la cual se resuelve un recurso de reposición” HOJA N 18, VERSIÓN PÙBLICA graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución." De acuerdo con todo lo anterior, la reducción impuesta del dos mil cuarenta y ocho (2.048) Unidades de Valor Tributario, respecto del monto original de la sanción, el cual obedecía a la suma de CIENTO CUARENTA Y CINCO MILLONES OCHOCIENTOS CUARENTA Y SEIS MIL DOSCIENTOS SETENTA Y DOS PESOS M/CTE ($145.846.272), equivalente a cuatro mil noventa y seis (4.096),en UVT Unidades de Valor Tributario, por la infracción al literal a) artículo18 de la Ley 1581 de 2012 en concordancia del artículo 2.2.2.25.2.6 del decreto único reglamentario 1074 de 2015, por aceptar la comisión de los hechos infractores, se valoró adecuadamente de acuerdo con lo indicado, por lo cual no procede disminuir la sanción en un monto inferior al impuesto. 7.2 Hecho aislado y no sistemático Manifiesta el recurrente lo siguiente (…) En este caso en particular, la supresión extemporánea de los datos de la titular se presenta como una situación excepcional y aislada de los estándares que posee la compañía con respecto a su compromiso organizacional frente a la protección y garantía efectiva del derecho de habeas data de los titulares”.

Respecto lo anterior, para esta Dirección, dicho argumento no es compartido, teniendo en cuenta que mediante resolución No 68369 del 28 de octubre de 2020 quedó demostrado que se configuró un peligro a los interés de la Titular contemplados en la Ley 1581 de 2012, al continuarse con el tratamiento de sus datos personales a pesar de las cuatro 4 solicitudes de supresión, debido a la falta de respuesta frente a la eliminación del dato, la titular acudió a esta Superintendencia buscando el amparo de su derecho, la cual ordenó suprimir de las bases de datos correo electrónico de la titular.

Así las cosas, aun cuando la sociedad recurrente afirme que su “conducta fue aislada y no sistemática” es evidente que hubo una flagrante vulneración del bien jurídico tutelado de la titular contemplado en el literal a) artículo18 de la Ley 1581 de 2012 en concordancia del artículo 2.2.2.25.2.6 del decreto único reglamentario 1074 de 2015, y ese solo hecho basta para proceder con las sanciones que contempla el artículo 23 de la Ley 1581 de 2012. 7.3 Cumplimiento de la voluntad de la titular – Hecho superado Señala el Recurrente que “(…)Como ya es conocido por este despacho, Cdiscount no tenía dentro de su historial la petición de supresión de la señora XXXXXXXXXXXXXXX, razón por la cual no tuvo la posibilidad de proceder en dicho momento con la eliminación de su cuenta de correo electrónico como era su deseo, sin embargo, en cuanto tuvo conocimiento de la reclamación de la titular y se pudo verificar la voluntad específica de la misma, se procedió de conformidad, atendiendo a los deseos de la señora XXXXXXXXXXXXXXXXXXX, encontrándonos así ante un hecho superado.” Frente a lo anterior, el argumento esgrimido no es compartido por esta Dirección, debido a que en el acto recurrido quedó demostrada la negligencia de sociedad ÉXITO INDUSTRIAS S.A.S frente a las cuatro solicitudes de supresión presentadas por la titular, quien debió acudir a la la expedición de la resolución 13916 de 28 de marzo de 2017, la cual ordenó suprimir de las bases de datos correo electrónico de la titular.

Así mismo, la Superintendencia de Industria y Comercio, al evidenciar la comisión de una conducta presuntamente infractora de las normas que gobiernan la protección de datos, está investida también con la potestad sancionatoria, en virtud de la cual puede adelantar la investigación administrativa correspondiente para determinar si existe responsabilidad administrativa de los operadores, fuentes o usuarios de información derivada del incumplimiento de dicha ley y, si es del caso, imponer las sanciones a que haya lugar. 7.4 Frente a las solicitudes realizadas por el recurrente El recurrente solicitó que se "(…) revoque y/o modifique la orden impartida y la multa impuesta a ÉXITO INDUSTRIAS S.A.S. por cuanto en su tasación no se acogieron los lineamientos dados por las normas vigentes en materia de protección de datos personales".

“Por la cual se resuelve un recurso de reposición” HOJA N 19, VERSIÓN PÙBLICA Al respecto, al haberse probado la conducta negligente del recurrente por del incumplimiento de los deberes consagrados (i) literal a) artículo18 de la Ley 1581 de 2012 en concordancia del artículo 2.2.2.25.2.6 del decreto único reglamentario 1074 de 2015, se vulneró el derecho fundamental de hábeas data de la Titular.

A su vez, este Despacho tasó la sanción de acuerdo con los parámetros legales pertinentes, en directa correlación de la afectación jurídico tutelado. Por su parte, el recurrente solicita la revocatoria o modificación de la orden impartida en la Resolución 68369 del 28 de octubre de 2020; no obstante, los argumentos expuestos en el recurso de reposición y en subsidio de apelación solo están relacionados con la solicitud de revocatoria y/o modificación de la sanción impuesta.

En síntesis, no es procedente revocar ninguna de las partes de la Resolución 68369 del 28 de octubre de 2020, por lo cual se mantendrá la sanción impuesta y la orden impartida en dicha resolución.

OCTAVO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará en todas sus partes la Resolución 68369 del 28 de octubre de 2020. En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO: CONFIRMAR en todas sus partes la Resolución 68369 del 28 de octubre de 2020, de conformidad con la parte motiva del presente acto administrativo.

ARTÍCULO SEGUNDO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad ALMACENES ÉXITO S.A identificada con el Nit. 890.900.608-9, a través de su representante legal y de su apoderada, entregándoles copia de la misma.

ARTÍCULO CUARTO: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad ÉXITO INDUSTRIAS S.A.S. identificada con el Nit. 900.744.408-9, a través de su representante legal y de su apoderada, entregándoles copia de la misma.

ARTÍCULO QUINTO: COMUNICAR el contenido de la presente decisión a la señora XXXXXXXXXXXXXXXXXXX, identificado con C.C. XXXXXXXX

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., 25 FEBRERO 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.02.25 12:41:42 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JMBG Revisó: LMRZ Aprobó: CESM “Por la cual se resuelve un recurso de reposición” NOTIFICACIÓN: Investigada: Identificación: Representante Legal: Identification: Apoderado: Identificaciòn: Correo electrònico: Direction: Ciudad: ALMACENES ÉXITO S.A. Nit. 890.900.608-9.

Carlos Mario Giraldo Moreno. C.C. No. 71.590.612. Cesar Hernando Bernal león 79710746 njudiciales@grupo-exito.com Carrera 48 No. 32 B Sur 139. Envigado-Antioquia. Investigada: Identificación: Representante Legal: Identificación: Apoderado Identificación Correo electrónico: Dirección: Ciudad: ÉXITO INDUSTRIAS S.A.S. Nit. 900.744.408-9. Victor Eric Vivoni Aristizabal C.C. No. 71738621 Marcela Trejos Ortiz 52995087 didetexco@didetexco.com.co Cra 48 No 32 sur – 29 Envigado, Antioquia COMUNICACIÓN: Señora: Identificación: Dirección: Ciudad: Correo electrónico: XXXXXXXXXXXXXXXXXXXXXXXXXXX C.C. No. XXXXXXXX XXXXXXXXXXXXX XXXXXXXX XXXXXXXXXXXXXXXXXXXX HOJA N 20, VERSIÓN PÙBLICA