Resolución sancionatoria N° 71154 de 2025

(16 de septiembre 2025) “Por la cual se resuelve un recurso de apelación” Radicado 22-301462 EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y el numeral 8, del artículo 16 del Decreto 4886 de 2011 (modificado por el Decreto 092 de 2022), y

CONSIDERANDO

PRIMERO. Que, el 3 de agosto de 2022, esta Superintendencia, tuvo conocimiento de la denuncia interpuesta por el señor XXXXXXXX XXXXXXXXXX XXXXX, mediante comunicación obrante en el expediente bajo el radicado 22-301462-0, en contra de la sociedad MERCADOLIBRE COLOMBIA LTDA, identificada con NIT 830.067.394-6 por la presunta vulneración de su derecho fundamental al habeas data.

El denunciante manifestó que, pese a haber utilizado su cuenta en la plataforma durante varios años sin inconvenientes, y de contar con mecanismos de verificación de identidad a través de su teléfono y correo electrónico, ahora se le exige registrar su rostro mediante reconocimiento facial como condición para acceder a la misma. Expuso que no desea utilizar dicho sistema ni que la empresa almacene fotografías de su rostro, y que, pese a múltiples solicitudes para desactivar esta opción, le han informado que no es posible.

Señaló que la empresa no tendría justificación para requerir datos biométricos de sus clientes y solicitó poder seguir accediendo a su cuenta sin esta exigencia.

SEGUNDO. Que, con ocasión de la denuncia presentada, la Dirección de Investigaciones de Protección de Datos Personales (en adelante la Dirección), mediante la Resolución No. 51357 del 29 de agosto de 2023, decidió abrir una investigación administrativa y formular cargos, por la presunta vulneración de lo dispuesto en: i) El literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5°, 6°y 9° de la precitada ley; en concordancia con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015; ii) El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015; y, iii) El literal d) del artículo 17, en concordancia con el literal g) del artículo 4 de la Ley 1581 de 2012.

TERCERO. Que la Dirección, con base en las pruebas recaudadas en la presente actuación, determinó que: (i) respecto del Cargo Primero, la sociedad MERCADOLIBRE COLOMBIA LTDA. desconoció las disposiciones sobre autorización para el tratamiento de datos personales, al condicionar una actividad al suministro de información biométrica, clasificada como dato sensible conforme al marco jurídico aplicable; y (ii) respecto del Cargo Segundo, la sociedad incumplió el deber de garantizar el derecho fundamental de habeas data del denunciante, al negarse a suprimir los datos biométricos necesarios para realizar verificación de identidad mediante reconocimiento facial.

Por lo anterior, impuso la correspondiente sanción. “Por la cual se resuelve un recurso de apelación” Ahora bien, en cuanto al Cargo Tercero, de conformidad con los hallazgos consignados en el acta de análisis técnico y en el informe obrante bajo el radicado No. 22-301462-37 del 3 de marzo de 2025, la Dirección verificó que las vulnerabilidades de seguridad detectadas en el sistema de reconocimiento facial fueron corregidas en su totalidad, incluidas una falla crítica que permitía la extracción no autorizada de imágenes faciales y una vulnerabilidad de nivel medio que posibilitaba evadir el proceso de reconocimiento.

En consecuencia, no se encontraron elementos que permitieran acreditar la configuración de la conducta investigada, motivo por el cual dicho cargo fue desestimado. Por lo anterior, mediante Resolución No. 16582 del 31 de marzo de 2025, resolvió: “ARTÍCULO 1: IMPONER una sanción pecuniaria a la sociedad MERCADOLIBRE COLOMBIA LTDA., identificada con Nit 830.067.394-6 de CIENTO SESENTA (160) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– equivalentes a DIECIOCHO MIL QUINIENTOS SESENTA (18.560) Unidades de Valor Básico – UVB Vigentes para el año 2025 –equivalentes a DOSCIENTOS CATORCE MILLONES CUATROCIENTOS CINCO MIL CIENTO VEINTE PESOS M/CTE (214.405.120), por la vulneración de lo dispuesto en: i) ii) El literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5°, 6°y 9° de la precitada ley; en concordancia con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015; y En el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015, conforme a lo expuesto en la parte motiva del presente acto administrativo.

(…)

ARTÍCULO 2: IMPARTIR una orden administrativa a la sociedad MERCADOLIBRE COLOMBIA LTDA., identificada con Nit 830.067.394-6 consistente en suprimir cualquier procedimiento en su aplicación móvil o sitio web que condicione el acceso o creación de cuentas de usuario al suministro de datos biométricos. Para ello deberá ofrecer varias opciones que permitan a los titulares decidir el mecanismo de autenticación. Parágrafo: La sociedad deberá acreditar el cumplimiento de lo ordenado, aportando prueba técnica del procedimiento ajustado conforme a las directrices señaladas en el artículo segundo, dentro de los (30) treinta días siguientes a la ejecutoria del presente acto administrativo.”

CUARTO. Que, dentro del término legal establecido para el efecto, el 25 de abril de 2025, MERCADOLIBRE COLOMBIA LTDA. (en adelante la RECURRENTE), a través de apoderado especial, interpuso recurso de apelación1 contra la decisión contenida en la Resolución No. 16582 del 31 de marzo de 2025, mediante escrito radicado con el número 22-301462-55.

Solicitó la revocatoria de la sanción impuesta con fundamento en los siguientes argumentos: 4.1. Respecto del Cargo Primero 4.1.1. Respecto de la denuncia presentada por el señor XXXXXXXXXX. La recurrente sostiene que, la denuncia del señor XXXXXXXXXX debe analizarse en su contexto, ya que la solicitud de validación de identidad se hizo únicamente en una de sus seis cuentas, posterior a su creación, por detectarse una alerta de riesgo desde el área de Prevención de Fraude.

Afirma que esta medida no fue intempestiva ni injustificada, sino que respondió a fines legítimos y razonables: proteger el patrimonio y derechos de otros usuarios, salvaguardar la intimidad del denunciante frente a una posible suplantación y minimizar el riesgo de fraude. La Resolución No. 16582 del 31 de marzo de 2025, fue notificada por aviso a la RECURRENTE el 9 de abril de 2025.

“Por la cual se resuelve un recurso de apelación” Señala que la solicitud de validación de identidad al señor XXXXXXXXXX se hizo únicamente en una de sus seis cuentas, tras detectarse una alerta de riesgo por la venta de un producto de la categoría “consumer electronics”, con el fin legítimo de proteger su intimidad, prevenir suplantación y evitar fraude.

Afirma que el denunciante tenía tres opciones: (i) no validar y usar otras cuentas; (ii) crear una cuenta nueva o (iii) validar la cuenta señalada. El titular optó “voluntariamente” por esta última. Señala que la medida no fue una obligación general y que, después de validarse, el denunciante continuó vendiendo en esa cuenta y creó otra nueva.

Por ello, considera que no es cierto que se le haya condicionado el acceso a su cuenta al registro facial. Sostiene que la solicitud de validación de identidad al denunciante debe analizarse dentro del sistema implementado por MERCADOLIBRE para prevenir el fraude y la suplantación de identidad. Explica que la función “Validar identidad” es una de las cuatro opciones de verificación en dos pasos, que en general es voluntaria y solo se exige en casos específicos, como cuando un vendedor publica productos en categorías de riesgo, entre ellas “consumer electronics”, debido a su alta demanda y vulnerabilidad a fraudes y suplantaciones.

Afirma que esta verificación tiene fines legítimos: reforzar la seguridad de la información, proteger los derechos de consumidores y la intimidad de los vendedores, y cumplir con las obligaciones del artículo 50 de la Ley 1480 de 2011 sobre identificación clara y cierta de los proveedores y prueba de la relación comercial. Añade que no implementar medidas como esta aumentaría el riesgo de fraude y posibles incumplimientos legales.

Asimismo, afirma que la denuncia carece de soporte probatorio para acreditar que MERCADOLIBRE lo obligó a registrar su rostro para ingresar a su cuenta. Señala que el Grupo de informática forense de la SIC no pudo verificar la afirmación sobre la supuesta solicitud posterior a un tiempo de uso de la aplicación y que existe una inconsistencia entre lo denunciado y lo realmente ocurrido: mientras el denunciante afirmó que la exigencia comenzó hacia el 31 de julio de 2022, los registros muestran que la cuenta involucrada fue marcada por prevención de fraude el 23 de julio de 2021 y que ese mismo día él realizó voluntariamente la verificación de identidad para continuar vendiendo un producto de la categoría “consumer electronics”. 4.1.2.

Respecto del proceso de “inspección” realizado por el Grupo de informática forense de la SIC. La recurrente sostiene que las “inspecciones” del Grupo de Informática Forense de la SIC demostraron que MERCADOLIBRE no condiciona la creación, acceso o uso de cuentas al suministro de imágenes de reconocimiento facial. Afirma que, por ello, es incorrecto lo señalado por la Dirección en la resolución de primera instancia, según lo cual la creación y activación de usuarios requeriría obligatoriamente datos biométricos.

En este sentido, afirma que la Dirección confundió dos procesos distintos en la aplicación móvil de MERCADOLIBRE: (i) la creación de una cuenta y (ii) la activación voluntaria de la función “Validar identidad” (una de las cuatro opciones de verificación en dos pasos), lo que llevó a una falsa motivación en la decisión. Argumenta que el Grupo de informática forense de la SIC, al documentar el proceso, en realidad ejecutó la activación voluntaria y no la creación de cuenta, y que en el procedimiento real de creación solo se solicitan correo, nombre, teléfono y contraseña, sin requerir datos biométricos.

Afirma que esta confusión, reiterada desde la Resolución de Apertura y no refutada en la “Por la cual se resuelve un recurso de apelación” primera instancia, demuestra que MERCADOLIBRE no condiciona la creación de cuentas al reconocimiento facial. Señala que el propio Grupo de informática forense de la SIC reconoció que, en el proceso de creación de una cuenta personal a través de la aplicación móvil, no se solicita el suministro de datos biométricos, ya que solo se requieren correo electrónico, nombre, teléfono y contraseña. Señala que esta constatación, registrada en el Acta de preservación No. 015–23, contradice la afirmación de la Dirección en la resolución de primera instancia según la cual la creación y activación de usuarios exige reconocimiento facial, configurando así una falsa motivación. Sostiene que el Grupo de informática forense de la SIC verificó en al menos dos ocasiones que, en el proceso de creación de una cuenta personal en la aplicación móvil de MERCADOLIBRE, no se solicita el suministro de imágenes de reconocimiento facial.

Precisa que en una segunda prueba, con el correo pdp.sic.2022@outlook.com, también se avanzó en el registro sin requerir dicho dato, aunque el proceso no se completó por no crear la contraseña. Afirma que estas evidencias, no incluidas por la Dirección en el expediente, confirman la inexistencia de esa exigencia. De igual manera, señala que el proceso descrito en la Resolución de primera instancia corresponde en realidad a la activación voluntaria de la opción “Validar Identidad” dentro de la “Verificación en 2 pasos” y no a la creación de una cuenta.

Afirma que la funcionaria del Grupo de Informática Forense de la SIC activó esta función por decisión propia, sin que fuera requisito para acceder o usar la cuenta. Esto, según la recurrente, refuta la conclusión de la Dirección de que la aplicación exige reconocimiento facial en el procedimiento de creación y activación de usuarios, configurando así una falsa motivación en la sanción. La recurrente reitera que el proceso de creación de una cuenta personal en el sitio web de MERCADOLIBRE no exige el suministro de imágenes de reconocimiento facial, tal como se probó con la Prueba Documental No. 3 (aportada con el recurso), la cual no fue refutada por la Dirección. Explica que la única excepción se presenta cuando el usuario intenta registrarse con un correo previamente usado en un proceso inconcluso, lo que genera una alerta de posible suplantación de identidad.

En ese caso, por seguridad y para cumplir obligaciones legales, MercadoLibre solicita verificar la identidad del usuario, con el fin de proteger su intimidad, garantizar transacciones seguras y prevenir usos ilícitos de la plataforma. 4.1.3. Respecto de la presunta falta de competencia de los contratistas para adelantar la “inspección” documentada en el Acta de preservación No. 015-23 e instruir actuaciones administrativas.

Afirma que el Acta de preservación No. 015-23 carece de validez porque fue suscrita por dos contratistas del Grupo de Informática Forense de la SIC que no tenían competencia legal para practicar pruebas o adelantar diligencias de “inspección”. Afirma que en el expediente no existe credencial, acto administrativo de delegación ni autorización formal suscrita por el Director de Investigaciones de Protección de Datos Personales que los habilitara para esa labor.

Señala que la facultad de decretar y practicar pruebas es exclusiva del Director y no puede ser ejercida por contratistas ni por la Oficina de Tecnología e Informática, que tampoco tiene esa función asignada en el Decreto 4886 de 2011. Concluye que esta irregularidad constituye una vulneración del debido proceso, pues las pruebas se “Por la cual se resuelve un recurso de apelación” recaudaron sin habilitación formal, lo que afecta la validez de la imputación y la legitimidad de toda la actuación administrativa. 4.1.4.

Respecto de la presunta imposibilidad de controvertir las pruebas recolectadas por los ingenieros de la SIC. Sostiene además que se vulneró su derecho al debido proceso porque no tuvo la posibilidad de conocer, acceder y controvertir todas las pruebas que sustentan la sanción, ya que las evidencias digitales en que se fundamenta el Acta de preservación No. 01523 no fueron incorporadas al expediente.

Afirma que la decisión de primera instancia se basó en pruebas inexistentes en el expediente, lo que constituye un vicio que afecta la validez de la actuación y su defensa técnica y material. 4.1.5. Respecto de lo manifestado por MercadoLibre en el trámite de las averiguaciones previas. La recurrente sostiene que la Dirección concluyó erróneamente que MERCADOLIBRE condiciona el registro y uso de sus servicios a la entrega de datos biométricos, basándose en una interpretación equivocada de documentos aportados durante las averiguaciones previas.

Afirma que en ninguna de las tres respuestas presentadas ni en los documentos anexos se indica tal condicionamiento; por el contrario, solo se informó que podría recolectar datos biométricos, lo que implica una posibilidad y no una exigencia. Señala que la Dirección tergiversó el término “podríamos” equiparándolo a “exigimos”, vulnerando el principio de buena fe y emitiendo una decisión con falsa motivación. Añade que las simulaciones de registro facial remitidas fueron elaboradas a solicitud de la SIC y no reflejan que este procedimiento sea obligatorio para todos los usuarios.

Por ello, insiste en que la decisión solo puede basarse en pruebas legalmente practicadas y que obren en el expediente. La recurrente sostiene que no existe contradicción entre lo dicho por MERCADOLIBRE en las averiguaciones previas y lo expuesto en el escrito de descargos, ya que en ninguna de sus tres respuestas iniciales ni en los documentos aportados se afirmó que el registro o uso de los servicios estuviera condicionado a la entrega de datos biométricos.

Afirma que en ambas etapas procesales se mantuvo la misma posición: MERCADOLIBRE no condiciona la creación ni el acceso a cuentas personales al suministro de información biométrica. Agrega que la supuesta contradicción alegada por la Dirección se desvanece al comparar las Declaraciones de Privacidad presentadas en ambas oportunidades, las cuales solo indican que la plataforma podría recolectar datos biométricos, lo que no implica obligatoriedad ni está prohibido por la Ley 1581 de 2012. 4.1.6.

Respecto de las diferentes opciones para la verificación de identidad, distintas al suministro de datos de biometría facial, ofrecidas por MERCADOLIBRE. La recurrente sostiene que la Dirección desacreditó indebidamente lo probado en el escrito de descargos al afirmar que, en las averiguaciones previas, no se informó ni acreditó la existencia de opciones distintas al reconocimiento facial para la verificación de identidad.

Afirma que esta conclusión desconoce que, en descargos, se demostró que los usuarios pueden elegir entre cuatro alternativas de verificación en dos pasos —reconocimiento facial, código QR, Google Authenticator y teléfono— además de otros métodos internos de corroboración de identidad. Señala que la Dirección interpretó de forma errónea su respuesta del 16 de noviembre de 2022, pues en ningún momento afirmó que no existieran otras opciones de verificación de identidad, sino que indicó que los usuarios podían solicitar la revocatoria del “Por la cual se resuelve un recurso de apelación” tratamiento de sus datos biométricos.

Afirma que la autoridad debió analizar dicha respuesta junto con lo explicado y probado en los descargos, conforme al artículo 176 del CGP. Señala que concluir que no informó opciones distintas al reconocimiento facial en averiguaciones previas y usarlo como fundamento sancionatorio desnaturaliza el alcance de los descargos, vulnera su derecho de defensa y configura una nulidad por falsa motivación y desconocimiento del debido proceso.

De igual manera, afirma que sus respuestas en las averiguaciones previas no constituyen una confesión, ya que nunca afirmó que no existieran otras opciones de verificación de identidad y esas manifestaciones debían analizarse junto con los descargos. Sostiene que no se cumplen dos requisitos del artículo 191 del CGP: (i) no generaron consecuencias jurídicas adversas para la compañía y (ii) la existencia de otras opciones podía acreditarse por otros medios de prueba, como efectivamente ocurrió. Incluso si se consideraran confesión, recuerda que el artículo 197 del CGP permite desvirtuarla con prueba en contrario, por lo que no puede evaluarse aisladamente sin las pruebas aportadas en descargos.

Asimismo, sostiene que demostró ante la Dirección, con el escrito de descargos y la prueba documental No. 3, que ofrece a los usuarios la función opcional de “Verificación en 2 pasos” con cuatro alternativas: (i) código al teléfono registrado (método predeterminado), (ii) reconocimiento facial, (iii) código QR y (iv) Google Authenticator.

Afirma que el reconocimiento facial es voluntario y su no activación no impide el acceso ni uso de la cuenta, ya que por defecto se verifica la identidad con un código enviado al teléfono. Con ello, acredita que existen métodos de verificación distintos al uso de datos biométricos. 4.1.7. Respecto del deber que tiene MERCADOLIBRE de prevenir la suplantación de identidad de los titulares y de verificar la identidad plena de sus usuarios.

La sociedad recurrente sostiene que la Dirección erró al concluir que exige reconocimiento facial para acceder a cuentas, pues las pruebas demuestran que ni la creación, ni el acceso, ni el uso de cuentas están condicionados al suministro de datos biométricos. Afirma que solo en situaciones excepcionales, justificadas por razones de seguridad como prevenir fraude o suplantación, solicita verificar la identidad mediante reconocimiento facial, lo cual constituye un fin legítimo, constitucional y razonable.

Argumenta que el artículo 6 de la Ley 1581 de 2012 no puede aplicarse de manera absoluta, citando la Sentencia C-748 de 2011 y que existen “casos” en los que incluso la SIC ha autorizado el tratamiento de datos sensibles en contextos distintos a la atención médica o educación y cita (i) el concepto 20–477853 del 28 de enero de 2021; (ii) la Guía sobre el Tratamiento de Datos Personales para Fines de Comercio Electrónico y (iii) la Guía para la Protección del Consumidor en el Comercio Electrónico.

Sostiene que su medida cumple los siete criterios del test de la Corte Constitucional en la Sentencia T-768 de 2008, al ser idónea, proporcional, necesaria y no invasiva, y que el usuario siempre es informado y no está obligado a activar la función salvo en casos de alerta de seguridad. Concluye que su actuación no vulnera derechos fundamentales, sino que protege la intimidad y seguridad de los titulares, en equilibrio con otros derechos fundamentales, conforme al principio de proporcionalidad.

Finalmente sostiene que, aunque la normativa de protección al consumidor, comercio electrónico, SAGRILAFT, DIAN, entre otras, le impone la obligación de verificar la plena identidad de sus “Por la cual se resuelve un recurso de apelación” usuarios, ello no implica que siempre se exija información biométrica, pues cuenta con diversos mecanismos alternativos.

Afirma que no existe en la ley una directriz clara para conciliar estas obligaciones con la protección de derechos de los titulares, por lo que diseñó un sistema equilibrado que incluye la función voluntaria “Verificación en 2 pasos” con cuatro opciones distintas, siendo la predeterminada el envío de un código al teléfono registrado, sin requerir reconocimiento facial salvo elección voluntaria del usuario. 4.2.

Respecto del cargo segundo 4.2.1. Respecto del error en que incurrió la Dirección al confundir lo solicitado por el Señor Xxxxxxxxxx en las quejas que presentó ante MERCADOLIBRE y lo peticionado en la denuncia que él presentó exclusivamente ante la SIC. La recurrente sostiene que la Dirección erró al fundamentar la sanción del cargo segundo en la denuncia que el señor XXXXXXXXXX presentó exclusivamente ante la SIC, y no en las tres quejas que radicó ante MERCADOLIBRE, pues en estas últimas nunca solicitó la supresión de sus datos biométricos ni la revocatoria de la autorización, sino únicamente la desactivación de una función de seguridad en la aplicación. Afirma que, al no existir tal solicitud de supresión, no podía configurarse una negativa por parte de MercadoLibre; que la sanción incurre en falsa motivación, vulnera los principios de legalidad, congruencia y non bis in ídem, y que no es cierto que la compañía obligara al denunciante a suministrar datos biométricos ni que incumpliera procedimientos internos. En consecuencia, considera procedente revocar la Resolución de primera instancia y archivar el segundo cargo imputado. 4.2.2.

La competencia de la Dirección se limitaba exclusivamente a verificar si MERCADOLIBRE atendió las quejas que el Señor Xxxxxxxxxx radicó ante MERCADOLIBRE. Señala que la Dirección excedió su competencia al fundamentar la sanción en normas distintas a las imputadas en la Resolución de Apertura y al no ceñirse a las quejas efectivamente presentadas ante MercadoLibre, la formulación fue por “(…) el literal e) del artículo 8 de la misma disposición (…)” de la Ley 1581 de 2012, y no se entiende el motivo por el cual la Dirección en la página 21 de la Resolución de primera instancia inició la exposición de los fundamentos de su decisión citando el literal a) del artículo 8 de la Ley 1581 de 2012. 4.2.3.

La Dirección sancionó a MERCADOLIBRE con fundamento en una denuncia radicada exclusivamente ante la SIC, que incluía peticiones que nunca fueron solicitadas por el Señor Xxxxxxxxxx ante MERCADOLIBRE. La recurrente reitera que la Dirección sancionó indebidamente a MercadoLibre basándose en una denuncia presentada únicamente ante la SIC, que contenía peticiones distintas a las formuladas en las tres quejas radicadas directamente ante la empresa.

Afirma que dicha denuncia nunca fue remitida a MERCADOLIBRE, por lo que la compañía no tuvo oportunidad de pronunciarse sobre su contenido, y que en las quejas efectivamente recibidas solo se solicitó la desactivación de una función de seguridad, no la supresión de datos biométricos. Sostiene que esta actuación vulneró el principio de buena fe, se apartó de las normas aplicables y configuró una falsa motivación al sancionar por una petición que nunca fue presentada ante la empresa. 4.2.4.

Respecto de la supuesta e inexistente obligación impuesta al Señor XXXXXXXXXX consistente en suministrar “Por la cual se resuelve un recurso de apelación” sus datos de biometría facial. La recurrente sostiene que es falsa la conclusión de la Dirección según la cual MERCADOLIBRE obligó al señor XXXXXXXXXX a suministrar datos de biometría facial, pues está acreditado que la plataforma no condiciona la creación, acceso o uso de cuentas a ese requisito.

Señala que la verificación facial solicitada en una de las seis cuentas del denunciante era opcional, ya que podía seguir usando otras cuentas o crear una nueva, como efectivamente hizo. Afirma que esta conclusión se basa en los mismos supuestos del cargo primero, lo que vulnera el principio non bis in ídem, y que en ninguna de las tres quejas presentadas ante MERCADOLIBRE se pidió la supresión de datos biométricos, por lo que la imputación carece de sustento. 4.2.5.

Respecto del supuesto e inexistente incumplimiento del procedimiento previsto en el manual interno de MERCADOLIBRE. La recurrente sostiene que la Dirección sancionó indebidamente a MERCADOLIBRE por un supuesto incumplimiento del procedimiento previsto en su manual interno, lo cual vulnera el principio de legalidad y el derecho al debido proceso, pues las sanciones en materia de protección de datos deben fundarse en el incumplimiento de normas jurídicas del régimen aplicable, no de protocolos internos. Señala que en la Resolución de Apertura no se imputó ninguna infracción relacionada con dicho manual, por lo que la sanción también quebranta el principio de congruencia. Además, reitera que las solicitudes del denunciante no fueron peticiones de supresión de datos, sino inconformidades sobre una funcionalidad de la aplicación. 4.2.6.

Respecto de la obligación legal que tiene MERCADOLIBRE de conservar la prueba de la identidad de los consumidores por el mismo tiempo que se deben guardar los documentos de comercio. Manifiesta que es falso que MERCADOLIBRE haya condicionado el acceso a cuentas al suministro de datos biométricos o que haya obtenido dicha información viciando el consentimiento del denunciante.

Afirma que la verificación facial solicitada en una de sus seis cuentas era opcional, pudiendo continuar con otras cuentas o crear una nueva, como efectivamente hizo, y que los datos fueron entregados de forma libre y voluntaria. Señala que la sanción por el cargo segundo se basó en los mismos supuestos del cargo primero, lo que vulnera el principio non bis in ídem, y que está probado que no hubo condicionamiento ni vicio en el consentimiento. 4.3.

Respecto de la orden impartida En primer lugar, la recurrente sostiene que la orden administrativa carece de motivación suficiente. Afirma que en la Resolución de primera instancia no existe una sección, capítulo o análisis autónomo que sustente jurídicamente la imposición de la medida, sino apenas una referencia marginal en el último párrafo del análisis del cargo segundo. Esta ausencia de fundamentación, a su juicio, vulnera el derecho fundamental al debido proceso de MercadoLibre, pues la obliga a suponer los argumentos de la Dirección y, en consecuencia, restringe el ejercicio de su defensa.

En segundo lugar, la sociedad insiste en que no se encuentra probado un condicionamiento indebido en el suministro de datos biométricos ni una vulneración a la normativa de protección de datos. Expone que MERCADOLIBRE no condiciona la creación, acceso ni uso de cuentas al reconocimiento facial y que, en el caso concreto, el denunciante entregó sus datos biométricos de forma libre y voluntaria al elegir esa opción entre varias alternativas “Por la cual se resuelve un recurso de apelación” disponibles.

Asegura que la decisión de primera instancia incurre en falsa motivación, pues la prueba sobre el proceso de creación de cuentas no soporta la conclusión de obligatoriedad de la biometría. Resalta, además, que la plataforma ofrece múltiples mecanismos de verificación distintos a la biometría —siendo el teléfono la opción por defecto— y que los casos en los que se solicita validación facial responden a un fin legítimo, razonable y proporcional, conforme a la jurisprudencia constitucional.

Adicionalmente, advierte que nunca existió una petición de supresión de datos biométricos por parte del denunciante, que la sanción se basó en hechos no trasladados a la sociedad y que se configuró una vulneración al principio non bis in ídem. Como respaldo, señala que menos del 5% de los usuarios ha optado voluntariamente por validar su identidad mediante biometría. Por último, plantea la necesidad de que, en caso de mantenerse la medida, se aclare su alcance.

Sostiene que resulta indispensable precisar cómo debe compatibilizarse la orden administrativa con las obligaciones legales que exigen a las empresas verificar plenamente la identidad de sus usuarios. En este sentido, subraya que MERCADOLIBRE ya ofrece diversas opciones de autenticación en dos pasos, que la biometría constituye actualmente la herramienta más segura para prevenir fraudes y suplantaciones, y que su eliminación como alternativa podría reducir significativamente los niveles de seguridad, aumentar los riesgos asociados y, en últimas, afectar el derecho fundamental a la intimidad de los titulares. 4.4.

Respecto de la graduación de la sanción 4.4.1. Señala que la Dirección impuso a MERCADOLIBRE dos multas de $107.202.560 cada una, aplicando únicamente el criterio de graduación del artículo 24 literal a) de la Ley 1581 de 2012 (“dimensión del daño o peligro”), y descartando criterios de atenuación por no haber aceptado la infracción. MERCADOLIBRE argumenta que, aunque la SIC tiene facultad sancionatoria, esta debe ejercerse con razonabilidad y proporcionalidad, sustentando jurídicamente el monto impuesto.

En este caso, la Dirección no realizó una verdadera valoración del riesgo o daño, limitándose a afirmar que se puso en peligro el derecho del titular sobre datos sensibles. La empresa sostiene que sus mecanismos de verificación, incluyendo biometría, buscan proteger a los usuarios contra fraudes y suplantaciones, lo que constituye un fin legítimo y protege derechos fundamentales.

En consecuencia, MERCADOLIBRE solicita revocar la sanción o, en su defecto, reducir su monto, dado que la tasación carece de proporcionalidad y de una justificación detallada. 4.4.2. La recurrente sostiene que, respecto del cargo primero, no se configuró el incumplimiento alegado, pues no condiciona la prestación de servicios al suministro de datos biométricos y el señor Xxxxxxxxxx aportó su información facial de manera libre, teniendo alternativas para operar en la plataforma sin usar ese mecanismo.

Argumenta que la propia SIC reconoció que en el registro móvil y web no se solicita reconocimiento facial y que existen mecanismos alternativos de verificación de identidad sin recurrir a datos sensibles. La recurrente sostiene que la imputación carece de sustento probatorio, ya que la Dirección aplicó de forma absoluta las normas “Por la cual se resuelve un recurso de apelación” sobre tratamiento de datos sensibles, ignorando jurisprudencia constitucional que admite su uso cuando es indispensable y legítimo.

Añade que en los pocos casos en que se solicita biometría, esta persigue un fin constitucionalmente válido y se ajusta al test jurisprudencial respectivo. También subraya que no existe en la normativa una directriz clara que concilie la verificación plena de identidad con la protección de datos, por lo que ha implementado un sistema voluntario de autenticación con cuatro opciones distintas, no limitadas al reconocimiento facial. 4.4.3.

La recurrente sostiene que la sanción de $107.202.560 impuesta por el cargo segundo se fundamentó en disposiciones legales y en un supuesto desconocimiento del derecho del titular a autorizar la recolección y almacenamiento de datos sensibles, pero que en realidad se basó en el mismo supuesto fáctico usado para el cargo primero. Afirma que esto configura una vulneración del principio non bis in ídem, ya que ambas sanciones castigan el mismo hecho, pese a que la imputación inicial del cargo segundo solo hacía referencia a la negativa de suprimir datos de reconocimiento facial.

La recurrente sostiene que la Dirección no justificó por qué fijó el mismo valor de multa que en el cargo primero, ni expuso criterios específicos para su tasación. Añade que la sanción se apoyó erróneamente en una denuncia que el señor XXXXXXXXXX presentó solo ante la SIC y que nunca fue trasladada a MERCADOLIBRE para su respuesta, conteniendo además peticiones distintas a las formuladas en las tres quejas que sí fueron atendidas por la empresa.

La recurrente sostiene que la sanción carece de sustento legal, pues se basó en un supuesto incumplimiento de un procedimiento interno de MERCADOLIBRE, lo que desconoce el principio de legalidad, configura una falsa motivación y vulnera el debido proceso. Asimismo, sancionar por un incumplimiento no imputado en la Resolución de Apertura viola el principio de congruencia. En consecuencia, solicita la revocatoria de la sanción del cargo segundo o, de forma subsidiaria, la reducción de su monto, dado que no existió una real puesta en peligro del interés jurídico protegido por el legislador. 4.5.

Solicitud de prueba. De igual manera, la RECURRENTE solicitó la práctica de la siguiente prueba testimonial: “Con fundamento en el artículo 212 y subsiguientes del CGP, respetuosamente se solicita el decreto y práctica del siguiente testimonio: 3.2.1. Xxxxx xxxxxxxxx xxxxxxx xxxxxx, identificada con la cédula de ciudadanía No. x.xxx.xxx.xxx de Bogotá, domiciliada en la ciudad de Bogotá, D.C., para que en su calidad de Ingeniera – contratista de la SIC que suscribió el Acta de Preservación No. 015-23, que reposa en el consecutivo No. 22 – 301462 – 00017 del expediente, rinda testimonio sobre: (i) la totalidad del proceso adelantado para responder a la solicitud de “(…) realizar la revisión y preservación de la aplicación móvil Mercado Libre y del sitio web Mercado Libre – https://www.mercadolibre.com.co”, desde la recepción de la solicitud, hasta la elección del funcionario encargado, los trámites de inspección realizados, la elaboración de los borradores del Acta de Preservación, su aprobación y suscripción;

(ii) explique los motivos por los cuales en el Acta de Preservación No. 015- 23 no se incluyó la totalidad del proceso de inspección documentado en los videos, que incluye aspectos favorables a MercadoLibre; (iii) explique los motivos que sustentaron que en la aplicación móvil de MercadoLibre se intentaran crear dos (2) cuentas con dos (2) correos electrónicos diferentes;

(iv) explique los motivos por los cuales en el Acta de Preservación No. 015-23 no se documentó el segundo proceso de creación de una cuenta a través de la aplicación móvil de MercadoLibre utilizando el correo electrónico “Por la cual se resuelve un recurso de apelación” pdp.sic.2022@outlook.com; (v) explique los pormenores y detalles específicos del proceso de creación de una cuenta realizado a través del sitio web de MercadoLibre (www.mercadolibre.com.co), que se visualizan en el video del proceso realizado, pero que no fueron documentados en el Acta de Preservación No. 015-23; y (vi) brinde al Despacho la información de cuántos procesos de preservación se realizaron en total y cuantas versiones del borrador del Acta de Preservación No. 015-23 fueron elaboradas.

El suscrito apoderado manifiesta bajo la gravedad de juramento que desconoce la información personal de notificación de la testigo. Sin embargo, esa información debe reposar en los archivos de la SIC al haber existido un vínculo contractual entre esta última y la testigo. De igual manera, en razón también a esto último, la testigo podrá ser citada en la carrera 13 No. 27 - 00, Piso 3, y a los correos electrónicos contactenos@sic.gov.co y notificacionesjud@sic.gov.co.”

QUINTO. Que la RECURRENTE, al amparo de lo dispuesto en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (CPACA), solicitó la práctica de la prueba testimonial relacionada en el numeral 4.5. del presente acto administrativo. El artículo 47 del CPACA, reconoce el derecho de los investigados a solicitar la práctica de pruebas e incluye también la competencia de la administración de rechazarlas, de manera motivada, cuando resulten “inconducentes”, “impertinentes” o “superfluas”.

A su vez, el artículo 80 del CPACA impone la obligación de que la decisión que resuelva el recurso se pronuncie de manera expresa y motivada sobre todas las solicitudes formuladas. En consecuencia, con el fin de resolver la solicitud probatoria elevada por la recurrente, este Despacho procederá, en primer lugar, a exponer el marco normativo y jurisprudencial aplicable en materia de pertinencia, conducencia y utilidad de los medios de prueba dentro de las actuaciones administrativas; en segundo lugar, a precisar el objeto de la decisión impugnada y las conductas que dieron lugar a la sanción; y, finalmente, a efectuar el análisis concreto de la prueba testimonial solicitada, a la luz de dichos criterios: 5.1.

Requisitos de pertinencia, conducencia y/o utilidad en materia probatoria En materia probatoria dentro de las actuaciones administrativas, el inciso tercero del artículo 40 de la Ley 1437 de 2011 establece que: “(…) serán admisibles todos los medios de prueba señalados en el Código de Procedimiento Civil”. Por lo que resultan aplicables las disposiciones del Código General del Proceso (Ley 1564 de 2012) en materia probatoria.

Así, el artículo 165 reconoce como medios de prueba, entre otros, la declaración de parte, la confesión, el testimonio de terceros, el dictamen pericial, la inspección judicial, los documentos, los indicios y los informes, así como cualquier otro medio idóneo para generar convicción en el juez o en la autoridad administrativa. A su turno, el artículo 168 del mismo estatuto dispone que el juez (y, por extensión, la administración) debe rechazar, mediante providencia motivada, las pruebas ilícitas, notoriamente impertinentes, inconducentes o manifiestamente superfluas o inútiles.

Esta regla es concordante con lo señalado en el inciso tercero del artículo 47 del CPACA. De lo anterior se desprende que las pruebas que pretendan hacerse valer tanto en un proceso jurisdiccional, como en una actuación administrativa, deben ajustarse al objeto de la controversia y cumplir con los requisitos legales para su decreto: pertinencia, conducencia, utilidad y legalidad.

La jurisprudencia del Consejo de Estado ha reiterado este entendimiento, al señalar que: "(…) Las partes deben probar las afirmaciones expuestas en los escritos presentados ante el Tribunal, a través de los medios probatorios establecidos en la ley para llevar al convencimiento al Juzgador - artículo 175 del C.P.C.-, sobre los hechos expuestos en la demanda; pues el Juez de conocimiento debe fundarse en las pruebas regular y oportunamente allegadas al proceso “Por la cual se resuelve un recurso de apelación” (artículo 174 del C.P.C.), siempre que sean conducentes, pertinentes y útiles para la decisión del mismo.

Según en el artículo 178 del Código de Procedimiento Civil, aplicable a los procesos contencioso-administrativos por expresa remisión del artículo 168 CCA, las pruebas deben ceñirse al asunto materia del proceso y se rechazarán las que versen sobre hechos notoriamente impertinentes y las manifiestamente superfluas. Lo anterior significa que las pruebas deben ser conducentes, pertinentes y eficaces y el medio probatorio apto jurídicamente para demostrar los hechos alegados” 2.

(Resaltado y subrayado fuera de texto). La Máxima Corporación de lo Contencioso Administrativo3 ha reiterado todas estas consideraciones acerca de la prueba señalando que: “(…) Lo primero que conviene decir es que, por esencia, la prueba judicial es un medio procesal que permite llevar al juez el convencimiento de los hechos que son materia u objeto del proceso y, por ende, le permite tomar una decisión fundada en una determinada realidad fáctica.

Eso es lo que significa que la decisión judicial deba fundarse en las pruebas oportunamente aportadas al proceso. Para la admisión de las pruebas, la práctica y los criterios de valoración deben observarse las normas del Código de Procedimiento Civil, conforme lo establece el artículo 1681 del Decreto 01 de 1984, y algunas otras reglas propias del proceso en el que se decreten.

Las disposiciones del C.P.C. frente al régimen probatorio indican que las pruebas deben referirse al asunto materia del proceso y que “el juez rechazará in limine las legalmente prohibidas o ineficaces, las que versen sobre hechos notoriamente impertinentes y las manifiestamente superfluas”18. Lo anterior significa que para determinar si procede el decreto de las pruebas propuestas por las partes, el juez debe analizar si éstas cumplen los requisitos legales, esto es, los requisitos de conducencia, pertinencia, utilidad y legalidad.

La conducencia consiste en que el medio probatorio propuesto sea adecuado para demostrar el hecho. La pertinencia, por su parte, se fundamenta en que el hecho a demostrar tenga relación con el litigio. La utilidad, a su turno, radica en que el hecho que se pretende demostrar con la prueba no esté suficientemente acreditado con otra. Finalmente, las pruebas, además de tener las características mencionadas, deben estar permitidas por la ley.

(…)”. (Subrayado y resaltado fuera de texto original). En este orden de ideas, para determinar la procedencia de la prueba solicitada, corresponde a la administración verificar si cumple los requisitos de pertinencia, conducencia y utilidad, así como su conformidad con la legalidad, a fin de garantizar que la decisión se adopte con base en elementos probatorios válidos, relevantes y necesarios. 5.2.

Objeto de la decisión Previo al análisis de la prueba solicitada por la recurrente, resulta pertinente precisar el objeto de la decisión impugnada. Dicho objeto se encuentra claramente delimitado en la Resolución No. 16582 del 31 de marzo de 2025, mediante la cual se impuso una sanción y se impartió una orden a la ahora recurrente. • Respecto del Cargo Primero, la recurrente fue sancionada por el incumplimiento del deber establecido en el literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5°, 6° y 9° de la precitada ley; en concordancia Consejo de Estado, Sala de lo Contencioso Administrativo, Sección Segunda-Subsección B. Providencia de 23 de julio de 2009.

Radicado No. 25000-23-25-000-2007-00460-02(0071-09). C.P: Bertha Lucía Ramírez de Páez. Consejo de Estado, Sala de lo Contencioso Administrativo, Sección Cuarta. Providencia de 15 de marzo de 2013. Radicado No. 15001-23-31-000-2010-00933-02(19227). C.P: Hugo Fernando Bastidas Bárcenas. “Por la cual se resuelve un recurso de apelación” con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015.

Lo anterior, en la medida en que se encontró demostrado que la sociedad MERCADO LIBRE COLOMBIA LTDA. condicionó al titular denunciante la prestación de sus servicios al suministro de datos personales sensibles, concretamente información biométrica de reconocimiento facial, en contravía de lo previsto en la Ley 1581 de 2012 y el Decreto 1074 de 2015.

Se estableció que, si bien la empresa alegó que el uso del reconocimiento facial era opcional y voluntario, en el caso concreto del denunciante, respecto de la cuenta que mantenía activa desde hace varios años, se le impuso como requisito obligatorio el suministro de datos biométricos para continuar accediendo a sus servicios, sin que se le ofrecieran alternativas que permitieran el ingreso y utilización de su cuenta sin la entrega de dicha información sensible. • Respecto del Cargo Segundo, la recurrente fue sancionada por el incumplimiento del deber de establecido en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015.

Lo anterior, en la medida en que se encontró demostrado que la sociedad MERCADO LIBRE COLOMBIA LTDA. desconoció el deber de garantizar en todo tiempo el pleno y efectivo ejercicio del derecho de habeas data, al no atender de manera adecuada la solicitud presentada por el denunciante para suprimir los datos biométricos recolectados con miras a realizar verificación de identidad mediante reconocimiento facial.

Se estableció que, aunque el titular manifestó reiteradamente su inconformidad con la exigencia de registrar y utilizar el reconocimiento facial como condición para acceder a su cuenta, y solicitó la desactivación de este servicio, la sociedad negó su petición. Asimismo, se acreditó que, pese a la solicitud expresa del titular, su información biométrica continuó siendo conservada y se le impidió desactivar dicha funcionalidad. • Respecto de la Orden Impartida, la Dirección consideró imperioso impartir una orden administrativa consistente en suprimir de su aplicación móvil y sitio web cualquier procedimiento que condicione el acceso o la creación de cuentas de usuario al suministro de datos biométricos.

En consecuencia, la pertinencia, conducencia y utilidad de la prueba solicitada por la RECURRENTE dependerá de que se enmarque dentro del objeto de la decisión administrativa, esto es, que guarde relación directa con el cumplimiento de los deberes incumplidos y con las conductas vulneratorias analizados en la Resolución No. 16582 del 31 de marzo de 2025. 5.3.

Análisis concreto frente a la prueba solicitada por la recurrente La sociedad recurrente solicita el testimonio de XXXXX XXXXXXXXX XXXXXXX XXXXXX, ingeniera y contratista de la SIC, firmante del Acta de Preservación No. 015-23. Lo anterior con el fin de que rinda testimonio sobre: “(i) la totalidad del proceso adelantado para responder a la solicitud de “(…) realizar la revisión y preservación de la aplicación móvil Mercado Libre y del sitio web Mercado Libre – https://www.mercadolibre.com.co”, desde la recepción de la solicitud, hasta la elección del funcionario encargado, los trámites de inspección realizados, la elaboración de los borradores del Acta de Preservación, su aprobación y suscripción;

(ii) explique los motivos por los cuales en el Acta de Preservación No. 015- 23 no se incluyó la totalidad del proceso de inspección documentado en los videos, que incluye aspectos favorables a MercadoLibre; (iii) explique los motivos que sustentaron que en la aplicación móvil de MercadoLibre se intentaran crear dos (2) cuentas con dos (2) correos electrónicos diferentes;

(iv) explique los motivos por los cuales “Por la cual se resuelve un recurso de apelación” en el Acta de Preservación No. 015-23 no se documentó el segundo proceso de creación de una cuenta a través de la aplicación móvil de MercadoLibre utilizando el correo electrónico pdp.sic.2022@outlook.com; (v) explique los pormenores y detalles específicos del proceso de creación de una cuenta realizado a través del sitio web de MercadoLibre (www.mercadolibre.com.co), que se visualizan en el video del proceso realizado, pero que no fueron documentados en el Acta de Preservación No. 015-23; y (vi) brinde al Despacho la información de cuántos procesos de preservación se realizaron en total y cuantas versiones del borrador del Acta de Preservación No. 015-23 fueron elaboradas.” Lo anterior lo sustenta en lo siguiente: Se resalta que el decreto de la anterior prueba resulta: (i) (ii) (iii) Conducente: el testimonio de la señora Xxxxx xxxxxxxxx xxxxxxx xxxxxx es el medio de prueba a través del cual se pueden demostrar los pormenores del proceso de inspección realizado por ella, que si bien son relevantes para la presente investigación administrativa y el derecho de defensa de MercadoLibre, por sustentar varios de sus argumentos de defensa, por razones que desconoce la sociedad investigada, no fueron incluidos esos pormenores y detalles específicos en el Acta de preservación No. 015- 23;

Pertinente: existe una correspondencia entre los hechos materia de investigación y lo que se pretende demostrar con el testimonio de la señora Xxxxx xxxxxxxxx xxxxxxx xxxxxx, pues el proceso de inspección realizado por ella y documentado parcialmente en el Acta de Preservación No. 015-23 sirvió de base para sustentar tanto la imputación de cargos en la Resolución de Apertura, como la sanción impuesta en la Resolución de primera instancia; y Útil: con el testimonio de la señora Xxxxx xxxxxxxxx xxxxxxx xxxxxx se pretende acreditar lo señalado por MercadoLibre en la sección 2.1.2 de este escrito.

Se resalta que con el testimonio de la señora Xxxxx xxxxxxxxx xxxxxxx xxxxxx se pretende demostrar que en el proceso de inspección realizado por ella se presentaron determinadas circunstancias favorables para la defensa de MercadoLibre, las cuales no fueron documentadas en el Acta de Preservación No. 015-23. Ahora, habida cuenta que todo el proceso de inspección realizado por la testigo no fue documentado en el Acta de Preservación No. 015-23 ni tampoco es posible extraerlo de los videos de ese proceso, pues algunos están incompletos y carecen de audio, es necesario el testimonio de la señora Xxxxx xxxxxxxxx xxxxxxx xxxxxx para que explique en qué consistió la totalidad del proceso adelantado para responder a la solicitud de “(…) realizar la revisión y preservación de la aplicación móvil Mercado Libre y del sitio web Mercado Libre – https://www.mercadolibre.com.co”.” El Consejo de Estado4 en lo que tiene que ver con la prueba testimonial, manifestó: “(…) Específicamente, el legislador estableció que uno de los medios mediante el cual el juez podría llegar a tener conocimiento de los hechos relevantes para el proceso sería a través de la “declaración de terceros”[7]5 también conocidos como testimonios.

Esta clase de prueba ha sido definida como: “una declaración de una o varias personas naturales que no son partes del proceso y que son llevadas a él para que con sus relatos ilustren los hechos que interesen al mismo, para efectos de llevar certeza al juez acerca de las circunstancias que constituyen el objeto del proceso”[8]6 No obstante, y pese a la utilidad de los testimonios su decreto y práctica no es automática, toda vez que, que previo a tomar cualquier decisión respecto a las pruebas, el juez deberá analizar si aquel es conducente, pertinente y útil.

Consejo de estado, Sala de lo Contencioso Administrativo, Sección Quinta. Providencia del 5 de marzo de 2015. Radicado No. 11001-03-28-000-2014-00111-00 (S) C.P. Alberto Yepes Barreiro (E) [7] El capítulo 5º de la Sección Tercera, Título Único del Código General del Proceso regula la “Declaración de Terceros”. [8] López Blanco, Hernán Fabio, Procedimiento Civil, Tomo 3 “pruebas”, Segunda Edición, Dupré Editores, 2008 pág. 181 “Por la cual se resuelve un recurso de apelación” Lo anterior, porque según el tenor del artículo 168 del Código General del Proceso se deben rechazar aquellos medios de convicción que no satisfagan las citadas características[9]7.

Ahora bien, se debe aclarar que la prueba relacionada con el Acta de Preservación No. 015-23, que obra en el consecutivo No. 22–301462-17, fue solicitada por la Dirección con el único propósito de comprender el funcionamiento general de la aplicación y de la página web de la sociedad recurrente, así como para observar de manera ilustrativa el procedimiento de creación de un nuevo usuario en dichas plataformas.

Se trató, en ese momento, de una diligencia orientada a obtener una visión técnica y operativa del entorno digital de la compañía, sin que ello implicara que los hallazgos consignados en el acta fueran determinantes para la imputación o posterior sanción. Es preciso destacar que la conducta objeto de reproche administrativo no guarda relación con la creación de un usuario nuevo ni con el procedimiento asociado a este.

La infracción que motivó la sanción consistió en la restricción de acceso impuesta por la sociedad recurrente a la cuenta antigua del denunciante, condicionando su acceso y uso a la entrega previa de datos biométricos. Dicho condicionamiento, según el entendimiento de la Dirección, resultó contrario a los principios y normas que rigen la protección de datos personales, al supeditar el ejercicio de derechos adquiridos por el titular a la entrega de información sensible.

Es claro entonces que los elementos consignados en el Acta de Preservación No. 015-23 no constituyen, ni tienen si quiera el poder de constituir, el fundamento de la decisión sancionatoria. La resolución de primera instancia se basó en los hechos denunciados por el titular afectado y en las respuestas dadas directamente por la sociedad investigada, en las que se corroboró la práctica de la empresa y la política adoptada respecto de cuentas antiguas.

Por ello, la prueba mencionada carece de relevancia para el esclarecimiento de los hechos sancionados y no tienen ningún poder para ilustrar, por la positiva o por la negativa, la conducta atribuida a la recurrente. En conclusión: el Acta de Preservación No. 015-23 tuvo como finalidad ilustrar a la autoridad sobre el funcionamiento técnico de la plataforma y la sanción impuesta no se fundamentó en los aspectos observados en dicha diligencia, sino en la actuación de la sociedad al condicionar el acceso a una cuenta preexistente al suministro de datos biométricos.

Por tanto, cualquier pretensión probatoria orientada a profundizar en los pormenores del acta carece de conducencia, pertinencia y utilidad frente al objeto del presente trámite sancionatorio. En efecto, este Despacho considera que la prueba solicitada no reúne los requisitos de conducencia, pertinencia y utilidad exigidos por el ordenamiento procesal: En primer lugar, la prueba no cumple el requisito de conducencia, entendida esta como la comparación entre el medio probatorio y la ley para determinar si el hecho puede demostrarse en el proceso mediante dicho medio (Parra Quijano, Manual de derecho probatorio, 2006, p. 153).

El testimonio requerido pretende acreditar circunstancias relativas al proceso de preservación de información de la aplicación y el sitio web de la sociedad, hechos que en sí mismos no tienen relación con la conducta investigada: negar a un titular el acceso a su cuenta hasta tanto no suministrara datos biométricos. El medio probatorio ofrecido no es apto para demostrar los hechos relevantes en el marco de este proceso sancionatorio.

La prueba solicitada busca establecer hechos ajenos al cargo sancionado, cargo que no versó sobre el funcionamiento de la aplicación en general, ni sobre la preservación de su contenido, ni sobre las etapas de creación [9] El artículo en cita consagra: “ARTÍCULO 168. RECHAZO DE PLANO. El juez rechazará, mediante providencia motivada, las pruebas ilícitas, las notoriamente impertinentes, las inconducentes y las manifiestamente superfluas o inútiles.” “Por la cual se resuelve un recurso de apelación” de nuevas cuentas, sino sobre la imposición de una condición de suministro de datos biométricos para acceder a una cuenta previamente existente.

En segundo lugar, la prueba carece de pertinencia, pues aún en el evento de que el testimonio fuese conducente, debe verificarse que verse sobre hechos relacionados directamente con el objeto del proceso (art. 169 CGP). Como lo explica el Dr. Hernán Fabio López Blanco, “aunque el medio sea idóneo, si la prueba no se refiere a hechos que conciernan con el debate, resulta impertinente” (Código General del Proceso.

Pruebas, 2019, p. 116). En este caso, la investigación se centra en una política adoptada por la sociedad que impidió a un usuario el acceso a su cuenta por no suministrar datos biométricos, conducta distinta e independiente de las actuaciones consignadas en el Acta de Preservación No. 015-23. Finalmente, la prueba solicitada no es útil, entendida esta como la capacidad del medio probatorio de aportar elementos que enriquezcan el convencimiento del funcionario acerca de los hechos discutidos (López Blanco, op. cit., p. 118).

Dado que la sanción impuesta no se fundamentó en el acta de preservación, sino en las respuestas de la sociedad y en los hechos denunciados por el titular afectado, la declaración de la contratista no puede aportar al esclarecimiento de los hechos materia de la investigación, ni contribuir a desvirtuar la conducta sancionada. Por todo lo anterior, la prueba testimonial solicitada no será decretada.

SEXTO. Que la Delegatura para la protección de datos personales es competente para resolver el recurso de apelación, de conformidad con lo establecido en el artículo 80 del CPACA y en el numeral 8, del artículo 16, del Decreto 4886 del 26 de diciembre de 2011 (modificado por el artículo 6 del Decreto 092 de 2022) 6.1. Respecto del Cargo Primero El deber de solicitar y conservar copia de la autorización otorgada por el titular, en las condiciones previstas en la Ley 1581 de 2012, constituye una de las obligaciones esenciales de los responsables del tratamiento de datos personales.

Este deber, recogido expresamente en el literal b) del artículo 17 de dicha ley, implica que la autorización debe ser obtenida de manera previa, libre, expresa e informada, conforme lo establecen el literal a) del artículo 3 y los principios de legalidad y libertad, previstos en los literales a) y c) del artículo 4 de la referida Ley. Asimismo, los artículos 5, 6 y 9 de la Ley 1581 de 2012 refuerzan esta exigencia, al señalar que la obtención del consentimiento requiere especial rigor cuando se trata de datos sensibles, como los biométricos.

El tratamiento de este tipo de datos está, por regla general, prohibido, y los mismos solo pueden ser objeto de tratamiento, en ausencia de un mandato legal expreso, cuando el titular otorga una autorización expresa, clara y sin condicionamientos indebidos. En concordancia con lo anterior, el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015 establece que el tratamiento de datos sensibles, cuando es permitido en los casos taxativamente previstos en la Ley 1581 de 2012, está sujeto a obligaciones específicas.

Entre ellas, se exige informar al titular que, por tratarse de datos sensibles, no está obligado a autorizar su tratamiento; así como precisar de manera previa y expresa cuáles de los datos a recolectar son sensibles, con qué finalidad serán tratados y obtener su consentimiento expreso. De esta manera, no basta con que el titular simplemente “entregue” sus datos sensibles: la autorización debe surgir de un acto de voluntad consciente y por tanto libre y no viciado.

En particular, la norma es categórica al señalar que ninguna actividad puede condicionarse a la entrega de datos sensibles. “Por la cual se resuelve un recurso de apelación” El consentimiento que se obtiene bajo una situación de condicionamiento o presión no cumple con los parámetros legales de libertad y voluntariedad, por lo que resulta inválido desde la perspectiva del régimen de protección de datos personales.

En consecuencia, la sociedad que no procede siguiendo estas especiales precauciones incumple el deber de solicitar la autorización del titular, pues lo que obtendrá será un “consentimiento” irregular o viciado y, por tanto, carente de eficacia jurídica. Ahora bien, de conformidad con lo expuesto en el recurso de apelación y en lo verificado en la actuación administrativa, se observa que la sociedad reconoció expresamente que la cuenta del señor XXXXXXXXXX, creada desde el año 2017 e identificada con el ID No. 243302121, fue marcada con el tag “pausa_iv” por el área de prevención de fraude, y que dicha marcación implicó que, para recuperar el acceso a la cuenta, el titular “debía validar su identidad”.

Imagen parcial del escrito de recurso de apelación radicado 22-301462-55 página 4 folio 9. Adicionalmente, la sociedad indicó que la marcación se efectuó porque el titular intentó vender un producto que pertenecía a la categoría “consumer electronics” la cual, afirma, “es considerada de riesgo debido a que los productos incluidos en ella, por su alta demanda y rotación, suelen ser empleados como herramientas para incurrir en situaciones de fraude” y que por lo tanto, para evitar suplantación de identidad o para proteger el patrimonio y demás derechos de los usuarios/consumidores realizó la marcación de la cuenta del denunciante: Imagen parcial del escrito de recurso de apelación radicado 22-301462-55 página 4 folio 9.

Asimismo, señaló que, como consecuencia de la marcación, el titular tenía tres opciones: (i) no realizar el proceso de verificación de identidad y ofrecer sus productos por otra de las cuentas que tiene creadas en la plataforma; (ii) no realizar el proceso de verificación de identidad y crear una nueva cuenta; o (iii) realizar el proceso de verificación de identidad y continuar usando su cuenta ID No. 243302121.

Lo anterior se evidencia en lo manifestado por la RECURRENTE así: “Por la cual se resuelve un recurso de apelación” Imagen parcial del escrito de recurso de apelación radicado 22-301462-55 página 4 folio 9. De lo manifestado por la RECURRENTE, este Despacho encuentra que, pese a que la sociedad pretende mostrar la existencia de varias alternativas para el titular, en la práctica lo sometió a una única opción real: la verificación de identidad mediante biometría si quería continuar utilizando su cuenta ID No. 243302121.

Las demás supuestas alternativas —usar otra cuenta o crear una nueva— no constituían verdaderas opciones, y no eran en realidad equivalentes. En efecto, en virtud de la marcación efectuada por la sociedad y de sus políticas internas, el titular se vio forzado a entregar sus datos biométricos para no perder el acceso a su cuenta con antigüedad, reputación y calificaciones, de manera que, en la práctica, no tenía otra alternativa real.

De otra parte, la RECURRENTE manifiesta8 que la marcación efectuada en la cuenta del denunciante y la exigencia de la verificación de identidad mediante biometría obedeció al cumplimiento de lo establecido en el literal a) del artículo 50 de la Ley 1480 de 2011: “Artículo 50. Sin perjuicio de las demás obligaciones establecidas en la presente ley, los proveedores y expendedores ubicados en el territorio nacional que ofrezcan productos utilizando medios electrónicos, deberán: a).

Informar en todo momento de forma cierta, fidedigna, suficiente, clara, accesible y actualizada su identidad especificando su nombre o razón social, Número de Identificación Tributaria (NIT), dirección de notificación judicial, teléfono, correo electrónico y demás datos de contacto.” Por lo que afirma que “de no emplearse tecnología que brinde adecuados niveles de seguridad encaminados a verificar la identidad plena de una persona que funge como vendedora en el Marketplace de MercadoLibre de un producto de la categoría “consumer electronics”, la Compañía no sólo se expone a un eventual incumplimiento de las obligaciones previstas en la Ley 1480 de 2011, sino que en el Marketplace se aumenta el riesgo de exposición a situaciones de fraude que no sólo podrían afectar los derechos de los consumidores del Marketplace, sino también el derecho fundamental a la intimidad de los vendedores de la categoría “consumer electronics”¸ quienes podrán verse afectados por una eventual suplantación de identidad”.

En consecuencia, señala que existen “situaciones excepcionales” que conllevan la verificación de la identidad del titular que, en el contexto de este caso, supuso la entrega de sus datos biométricos: Imagen parcial del escrito de recurso de apelación radicado 22-301462-55 página 4 folio 44. Manifiesta que la medida consistente en solicitar la identificación mediante datos biométricos no constituye la regla general, sino una excepción adoptada en circunstancias particulares, la cual —según afirma la recurrente— se encuentra legalmente justificada y no implica una afectación a los derechos del usuario.

Recurso de apelación radicado 22-301462-55 página 4 folio 12. “Por la cual se resuelve un recurso de apelación” Imagen parcial del escrito de recurso de apelación radicado 22-301462-55 página 4 folio 50. En consecuencia, resulta evidente que la sociedad no desconoce haber condicionado el acceso y uso de la cuenta del titular ID No. 243302121 a la entrega de sus datos biométricos como requisito para su identificación “plena”.

Por el contrario, de manera reiterada sostiene que la solicitud “excepcional” de imágenes faciales del titular “no constituye una medida desproporcionada ni invasiva”, en la medida en que —según afirma— persigue la finalidad de garantizar la seguridad de la información, prevenir un eventual fraude y mitigar los riesgos asociados a la suplantación de identidad.

Imagen parcial del escrito de recurso de apelación radicado 22-301462-55 página 4 folio 50. De lo expuesto, estima esta Delegatura que, pese a que la sociedad alega que la solicitud de las imágenes del rostro con fines de verificación de la identidad se enmarca en el cumplimiento del literal a) del artículo 50 de la Ley 1480 de 2011, en cuanto a la necesidad de garantizar la identidad del proveedor que oferta bienes a través de canales electrónicos, esta conclusión no se sigue ni del texto del artículo 50 citado, ni del contexto de la Ley 1480 de 2011.

En cambio, de la normatividad vigente en materia de protección de datos personales sí es posible concluir que dicha exigencia resulta contraria a los principios y obligaciones que regulan el tratamiento de datos personales sensibles en el ordenamiento jurídico colombiano. En primer lugar, el artículo 5 de la Ley 1581 de 2012 establece que los datos sensibles —dentro de los cuales se incluyen los biométricos— gozan de especial protección y su tratamiento está prohibido, salvo en las excepciones taxativas señaladas en el artículo 6 de la misma ley.

En especial en estos casos, el consentimiento del titular debe ser expreso, libre, previo y sin condicionamientos. En concordancia, el artículo 2.2.2.25.2.3. del Decreto 1074 de 2015 dispone de manera categórica que “ninguna actividad podrá condicionarse a que el Titular suministre datos personales sensibles”. En segundo lugar, el deber de solicitar y conservar copia de la autorización otorgada por el titular (artículo 17 literal b) de la Ley 1581 de 2012) exige que la recolección de datos personales, y en especial de datos sensibles, esté “Por la cual se resuelve un recurso de apelación” precedida de una autorización cualificada, que sea producto de una decisión verdaderamente libre de su titular.

Una autorización forzada para facilitar el acceso y el uso a una cuenta previamente creada y activa, parece más una condición sin la cual no, que una opción genuina. En estas circunstancias, la rendición de los datos biométricos no se muestra libre y consentida; se acerca más a un requisito de operación del sistema, una suerte de sutil coacción desde el diseño de la operación del servicio, claramente incompatible con la ley.

Aunado a lo anterior, este Despacho enfatiza que, pese a que la sociedad sostiene haber ofrecido al titular tres supuestas “opciones” frente a la marcación de su cuenta, dichas alternativas resultan inadmisibles. En realidad, presentarlas como elecciones viables constituye un planteamiento artificioso, pues ninguna de ellas representa una opción auténtica y efectiva para el titular.

De un lado, se señala que el titular podía abstenerse de realizar la verificación biométrica y continuar ofreciendo productos a través de otra de las cuentas que había creado en la plataforma. Sin embargo, ello implica directamente la imposibilidad de usar la cuenta marcada, con lo cual se obliga al titular a renunciar a su cuenta principal, aquella en la que había construido una trayectoria, reputación, historial de ventas y calificaciones, elementos que son esenciales en el ecosistema digital de comercio electrónico.

De otro lado, la posibilidad de crear una nueva cuenta tampoco constituye una opción razonable. Tal medida supone que el titular pierda la antigüedad de su cuenta inicial, así como los beneficios derivados de su posicionamiento previo, en detrimento de la confianza y credibilidad alcanzadas frente a otros usuarios y consumidores. En términos prácticos, ello equivale a una especie de sanción encubierta, un incentivo negativo, por no haber condescendido al tratamiento de sus datos biométricos.

En tal sentido, la única “opción” realmente efectiva que le fue otorgada al titular para mantener el acceso y uso de su cuenta ID No. 243302121 fue la de someterse al proceso de verificación biométrica, es decir, entregar, en contra de su voluntad, imágenes de su rostro. Por tanto, resulta evidente que las alternativas invocadas por la sociedad son meramente aparentes y que, en la práctica, el acceso al servicio fue condicionado al suministro de datos sensibles, en abierta contradicción con lo previsto en la Ley 1581 de 2012 y el artículo 2.2.2.25.2.3. del Decreto 1074 de 2015, que prohíben condicionar cualquier actividad al otorgamiento de datos personales sensibles.

Adicionalmente, si bien la sociedad afirma que la exigencia de verificación de identidad mediante biometría se trata de una medida “excepcional” y de carácter preventivo frente al fraude, lo cierto es que la restricción impuesta al señor XXXXXXXXXX limitó las posibilidades de acceso y uso de su propia cuenta, acceso y uso que resultaron condicionados hasta tanto no se enrolará en un sistema de verificación de identidad a partir del tratamiento de sus datos biométricos.

Esta práctica desconoce el principio de libertad (artículo 4 literal c) de la Ley 1581 de 2012), en la medida en que convierte el tratamiento de datos sensibles en un requisito para gozar de servicios, y continuar ejerciendo derechos, previamente adquiridos. Este Despacho no comparte el argumento de la recurrente, según el cual la medida adoptada por la sociedad “no constituye una medida desproporcionada” y superaría el test de proporcionalidad, entendido como un instrumento hermenéutico que permite establecer si determinada medida resulta adecuada y necesaria para la finalidad perseguida, sin sacrificar valores, principios o derechos de mayor entidad constitucional en el caso concreto.

No lo comparte, porque este argumento parte de un presupuesto inexistente: la legalidad del tratamiento, y porque persigue, en este caso particular, un efecto netamente retórico. No se pueden activar los análisis de idoneidad y necesidad, propios del test de proporcionalidad, sin antes haber verificado la legalidad o constitucionalidad de la medida cuya proporcionalidad se examina.

Para esta Delegatura no se puede “Por la cual se resuelve un recurso de apelación” intentar legitimar una medida ilegal (recolección de datos biométricos sin consentimiento cualificado del titular o mandato legal) porque la misma pueda considerarse idónea o necesaria para satisfacer un fin constitucionalmente legítimo (evitar la suplantación).

En efecto la exigencia de verificación biométrica impuesta al titular no es constitucional, ni legal. Porque opera contra su voluntad y porque es “invasiva”, al obligarlo en contra de su voluntad a entregar datos biométricos sensibles. Y adicionalmente, no es razonable, porque el cumplimiento de los deberes de verificación de identidad o prevención del fraude y protección de consumidores podía alcanzarse mediante el uso de mecanismos menos intrusivos.

En conclusión, esta Autoridad encuentra que la práctica consistente en condicionar el acceso a una cuenta antigua al suministro de imágenes del rostro del titular con el propósito de que se adelante el tratamiento de datos biométricos constituye un incumplimiento del deber legal de solicitar y conservar la autorización en los términos de la Ley 1581 de 2012 y el Decreto 1074 de 2015, además de configurar una vulneración al principio de libertad y a la prohibición expresa de condicionar actividades al suministro de datos sensibles.

Ahora bien, en relación con los documentos invocados por la RECURRENTE para sostener que esta Superintendencia ha autorizado el tratamiento de datos sensibles en “ámbitos distintos a la atención médica o de salud”, es preciso aclarar lo siguiente: • Respecto del Concepto 20 – 477853 del 28 de enero de 2021 de la SIC, citado por la recurrente, a través del cual pretende demostrar que “en diferentes pronunciamientos la SIC ha aplicado criterios de razonabilidad en cuanto al posible uso de datos sensibles en circunstancias excepcionales”, se debe aclarar que el concepto citado no autoriza la recolección ni la exigencia obligatoria de datos biométricos.

Lo que establece es la obligación de adoptar medidas idóneas para prevenir fraudes y garantizar la identificación de los usuarios, pero la elección de tales mecanismos debe hacerse respetando la Ley 1581 de 2012. Captura de Imagen del concepto 20–477853 del 28 de enero de 2021 “Por la cual se resuelve un recurso de apelación” • Respecto de la Guía sobre el Tratamiento de Datos Personales para Fines de Comercio Electrónico9 proferida por esta Delegatura, se debe aclarar que este documento tiene un carácter eminentemente orientador y en ningún caso constituye una habilitación normativa para imponer el suministro obligatorio de datos sensibles.

Lo que en ella se resalta es la importancia de que los responsables del tratamiento fortalezcan las medidas de verificación de identidad de los consumidores, con el fin de evitar fraudes o suplantaciones. No obstante, de su contenido no se desprende que dichas medidas deban consistir, de manera necesaria y exclusiva, en la recolección de datos biométricos.

Por el contrario, conforme a lo dispuesto en el artículo 6 de la Ley 1581 de 2012, el tratamiento de datos sensibles únicamente procede con autorización previa, expresa e informada del titular, salvo las excepciones taxativamente previstas en la ley. Así, cualquier interpretación que pretenda derivar de la Guía una autorización para exigir datos biométricos como requisito obligatorio de acceso o permanencia en una plataforma, resulta contraria al principio de legalidad que rige la materia.

Por lo tanto, es claro que la Guía y específicamente el aparte citado por la recurrente relacionado con la recomendación “VI Evitar la suplantación de identidad de los consumidores” no constituye una autorización para la recolección o exigencia obligatoria de datos biométricos, sino un recordatorio a los responsables del tratamiento sobre el deber de verificar la identidad real de los consumidores a través de mecanismos adecuados, los cuales pueden ser múltiples y no necesariamente involucran el uso de datos sensibles, y nunca puede ser leída en el sentido de que opera incluso contra la voluntad de los titulares de los datos personales. • Respecto de la Guía para la Protección del Consumidor en el Comercio Electrónico10 expedida por la Delegatura de protección al consumidor, se enfatiza en la necesidad de adoptar medidas para verificar la identidad real de los consumidores y prevenir fraudes, sin que de su contenido se desprenda autorización alguna para el tratamiento obligatorio de datos sensibles.

Por lo expuesto, resulta evidente que los documentos aportados por la RECURRENTE no acreditan las afirmaciones en que sustenta su argumento. De otro lado, en cuanto al argumento de la recurrente según el cual la normativa en materia de protección al consumidor, comercio electrónico, SAGRILAFT, obligaciones tributarias ante la DIAN, entre otras, le impone el deber de verificar la plena identidad de sus usuarios, es preciso señalar que, si bien es cierto que el ordenamiento jurídico impone a las plataformas de comercio electrónico y a los sujetos obligados en materia de prevención de fraude, lavado de activos y cumplimiento tributario, la obligación de establecer mecanismos idóneos que permitan la plena identificación de sus usuarios, ello no habilita a dichas entidades para imponer de manera obligatoria el suministro de datos sensibles, i., e., biométricos, cuando existen alternativas menos invasivas que resultan adecuadas y suficientes para alcanzar la finalidad de verificación de identidad.

La propia normativa de protección de datos personales (Ley 1581 de 2012) establece que el tratamiento de datos sensibles debe estar sujeto a requisitos de excepcionalidad, voluntariedad y necesidad estricta. Por lo tanto, si la sociedad cuenta con diferentes mecanismos de verificación —como lo afirma en sus descargos—, no puede considerarse legítimo imponer el reconocimiento facial como condición obligatoria de acceso o uso de las cuentas, salvo que se Ver en https://www.sic.gov.co/sites/default/files/files/pdf/Guia%20SIC%20Tratamiento%20Datos%20Personales% 20ComercioElectronico(1).pdf Ver en https://www.sic.gov.co/sites/default/files/files/2022/Gu%C3%ADa%20de%20comercio%20electronico%20%20con%20firma%20-%20abr%2008%202022%20pq.pdf “Por la cual se resuelve un recurso de apelación” acreditara la absoluta imposibilidad de cumplir las obligaciones legales mediante medidas menos gravosas para los derechos de los titulares, lo cual no fue demostrado en el presente caso.

En conclusión, no se acogerán los argumentos de la recurrente para desvirtuar la validez de la decisión de la Dirección en relación con el incumplimiento del deber atribuido en el Primer Cargo. 6.2. Respecto de los demás argumentos manifestados por RECURRENTE presuntamente relacionados con el Cargo Primero la En relación con el Cargo Primero, esta Delegatura advierte que los argumentos adicionales expuestos por la RECURRENTE no resultan idóneos para desvirtuar la validez de la decisión de la Dirección, en tanto se concentran, en su mayoría, en reiterar que la creación de un usuario en la plataforma no se condiciona a la entrega de datos biométricos.

Tal como se expuso en el numeral 6.1 del presente acto administrativo, la sanción no tiene como fundamento un supuesto condicionamiento para la creación de nuevas cuentas, ni guarda relación con la alegada voluntariedad en la activación de la función de “Verificación en 2 pasos”. Por el contrario, la conducta reprochada se refiere de manera concreta y exclusiva al condicionamiento impuesto sobre el acceso y uso de una cuenta preexistente del denunciante, derivado de la marcación efectuada en virtud de las políticas internas de la sociedad, que obligó al titular a suministrar sus datos biométricos para poder continuar utilizando dicha cuenta.

En ese sentido, resulta claro que los planteamientos de la RECURRENTE desvían la discusión hacia aspectos que no guardan relación ni inciden en los asuntos de fondo propios del cargo y, por tanto, carecen de eficacia para desvirtuar la infracción establecida. No obstante, para mayor claridad y en virtud del principio de interdicción de la arbitrariedad, este Despacho se pronunciará sobre cada uno de tales argumentos, a saber: 6.2.1.

Respecto del proceso de “inspección” realizado por el Grupo de Informática Forense de la SIC Frente a lo expuesto por la recurrente respecto de los procesos adelantados por el Grupo de Informática Forense de la SIC —en los que afirma que se demostraría que MERCADOLIBRE no condiciona la creación, el acceso ni el uso de cuentas al suministro de imágenes de reconocimiento facial—, este Despacho considera necesario precisar lo siguiente: Tal como se señaló en el numeral 5.3. del presente acto administrativo, la prueba relacionada con el Acta de Preservación No. 015-23 fue solicitada exclusivamente con fines ilustrativos, a saber, para observar el funcionamiento técnico de la aplicación y el procedimiento de creación de un nuevo usuario.

En consecuencia, dicha diligencia no tuvo incidencia en la imputación ni en la sanción impuesta. La conducta sancionada a partir de la formulación del cargo primero no está vinculada con la apertura de cuentas nuevas, sino con el condicionamiento del acceso y uso de una cuenta antigua del denunciante a la entrega de datos biométricos. Es entonces claro que los procesos adelantados por el Grupo de Informática Forense no guardan relación directa con los hechos propios del cargo primero. 6.2.2.

Respecto de la existencia de varias alternativas para activar la función de validar identidad Asimismo, en lo que respecta a los procesos asociados con la activación voluntaria de la función “Validar identidad” —que constituye una de las cuatro (4) modalidades de “Verificación en 2 pasos” previstas por la sociedad—, es “Por la cual se resuelve un recurso de apelación” preciso aclarar que dicho escenario no guarda relación alguna con la conducta objeto de sanción. En efecto, la sociedad insiste en explicar el supuesto en el cual un titular, de manera libre y voluntaria, activa esta opción y decide suministrar sus datos biométricos, lo que según afirma corresponde únicamente al 5% de sus usuarios.

No obstante, el presente caso no se enmarca en esa hipótesis de voluntariedad. Por el contrario, lo que se verificó fue que, en aplicación de sus políticas internas, la sociedad marcó la cuenta del denunciante y le impuso como condición obligatoria la entrega de sus datos biométricos para poder continuar accediendo y usando su cuenta. En efecto, en este caso, aun cuando la sociedad afirma haber diseñado un sistema que ofrece alternativas voluntarias bajo la figura de “Verificación en 2 pasos”, lo cierto es que el análisis probatorio evidenció que, frente al titular denunciante, no existió tal pluralidad de opciones.

Por el contrario, su acceso quedó condicionado al suministro de datos biométricos, sin posibilidad real de optar por otros mecanismos de autenticación, lo que configura el desconocimiento del deber que fue objeto de la decisión sancionatoria. Por consiguiente, la alegación, para este caso, de que existían múltiples alternativas resulta insuficiente para desvirtuar la conclusión alcanzada, pues lo relevante no es la existencia teórica de dichas opciones en la plataforma, sino la manera concreta en que fueron aplicadas al caso del denunciante, quien en la práctica se vio obligado a entregar datos sensibles en contra de su voluntad. 6.2.3.

Respecto de la presunta falta de competencia de los contratistas para adelantar la “inspección” documentada en el Acta de preservación No. 015-23 e instruir actuaciones administrativas La RECURRENTE sostiene que se configuró un vicio relacionado con la participación de contratistas en la diligencia de preservación y en la suscripción del Acta No. 015-23, bajo el entendido de que éstos habrían realizado una “visita de inspección administrativa” sin tener competencia para ello.

Sin embargo, tal afirmación parte de un error conceptual, pues equipara indebidamente la preservación técnica de una página web y de una aplicación móvil con una visita de inspección administrativa en sentido estricto. La preservación web constituye un procedimiento de carácter técnico y auxiliar, orientado a la captura y conservación de evidencia digital que refleja el estado de funcionamiento de una plataforma en un momento determinado.

En contraste, la visita de inspección es un acto administrativo formal de supervisión y vigilancia, mediante el cual la SIC verifica “in situ” el cumplimiento de la normativa y levanta actas con efectos jurídicos directos e inmediatos. Adicionalmente, la RECURRENTE alega de manera equivocada el incumplimiento de supuestas formalidades inexistentes, como la exigencia de: (i) un acto administrativo previo que autorice la práctica de pruebas y diligencias de inspección;

(ii) copia de contratos que acrediten competencia de inspección de los contratistas; (iii) una “credencial formal”; o (iv) un acto administrativo de delegación de la Directora de Investigaciones o del Delegado. Según su postura, la ausencia de estas formalidades configuraría una irregularidad sustancial que vulneraría el debido proceso. No obstante, lo anterior carece de soporte normativo.

La legislación aplicable no exige tales requisitos para la práctica de diligencias técnicas como la preservación de evidencia digital. Como se indicó, una preservación no constituye una “visita de inspección administrativa” en los términos del artículo 17 del Decreto 4886 de 2011, por lo que no requiere acto administrativo previo, credenciales especiales ni formalidades adicionales.

Se trata de una labor técnica de apoyo, destinada a documentar el entorno digital y asegurar la integridad de la información, sin que implique el ejercicio de potestades decisorias. “Por la cual se resuelve un recurso de apelación” Por otra parte, la recurrente interpreta erróneamente que la facultad prevista en el numeral 5, del artículo 17 del Decreto 4886 de 2011 —relativa a la práctica de inspecciones, pruebas y recaudo de información— recae de manera exclusiva y personal en el(la) Director(a) de Investigaciones de Protección de Datos Personales.

Tal lectura desconoce que la competencia corresponde institucionalmente a la Dirección de Investigaciones, como dependencia de la Superintendencia de Industria y Comercio, y que su ejercicio puede materializarse a través de los funcionarios y profesionales que apoyan sus labores. Limitar dicha facultad exclusivamente al Director resultaría contrario a los principios de eficacia y eficiencia de la función administrativa, además de impracticable en términos operativos.

En cuanto a la identificación de los profesionales intervinientes en la preservación, se precisa que la contratista XXXXX XXXXXXXXX XXXXXXX XXXXXX, quien realizó y suscribió el Acta No. 015-23, no pertenece a la Oficina de Tecnologías de la Información (OTI), como lo sostiene la RECURRENTE, sino a la Dirección de Investigaciones de Protección de Datos Personales.

Para la fecha de la diligencia, se encontraba vinculada mediante el contrato No. 726 de 2023, cuyo objeto era la prestación de servicios profesionales para apoyar a la Dirección de Investigación de Protección de Datos Personales en todas las actividades tecnológicas y técnicas soporte a visitas de inspección y/o de carácter probatorio y forense del Sistema Integral de Supervisión Inteligente SISI.

Dentro de sus funciones se incluían expresamente la preservación de evidencia digital, el apoyo en visitas de inspección y la elaboración de informes técnicos en investigaciones administrativas. De igual forma, respecto del señor XXXXX XXXXXX XXXXXXX XXXXXX, la RECURRENTE sostiene que se trataba de un contratista. Sin embargo, del acta se desprende que su intervención no fue en tal calidad, sino en condición de revisor, en su rol de Coordinador del Grupo de Informática Forense y Seguridad Digital.

Además, se encuentra acreditado como ACE – AccessData Certified Examiner, lo que reafirma su idoneidad y competencia técnica para otorgar plena validez a la diligencia. Imagen tomada del Acta No. 015-23 radicado 22-301462-17 página 2 folio 50. En conclusión, las objeciones planteadas por la RECURRENTE carecen de sustento fáctico y jurídico, pues la diligencia de preservación se enmarca en las funciones técnicas de apoyo de la Dirección, no constituye una inspección administrativa en sentido estricto y fue realizada por profesionales con competencia y experiencia suficientes, desvirtuándose así cualquier alegato de irregularidad.

Cabe resaltar y volver a insistir en que la mencionada preservación no constituyó el sustento de la decisión adoptada, ni tuvo incidencia alguna en la formulación de cargos o en la sanción finalmente impuesta. 6.2.4. Respecto de la presunta imposibilidad de controvertir las pruebas recolectadas por los ingenieros de la SIC Frente a las afirmaciones orientadas a sostener que se vulneró el debido proceso y que se configuró un vicio que comprometería la validez de la actuación y su derecho de defensa técnica y material, en razón a que “las evidencias digitales que sustentan las conclusiones incluidas en el Acta de preservación No. 015-23 no están incorporadas en el expediente”, se debe aclarar que contrario a lo afirmado, la RECURRENTE, en todo momento, contó con acceso íntegro a las evidencias digitales recaudadas.

“Por la cual se resuelve un recurso de apelación” Para mejor comprensión del punto, debe distinguirse entre el acta de preservación —documento en el que se consignan de manera sucinta las observaciones y hallazgos relevantes de la diligencia— y el enlace electrónico oportunamente puesto en conocimiento de la sociedad, a través del cual se le ha garantizado el acceso completo al material correspondiente a la preservación realizada.

El Acta No. 015-23, que en todo momento ha estado a disposición de la RECURRENTE, señala expresamente en su numeral 8 la ubicación exacta de la evidencia digital que ahora la recurrente alega no haber tenido acceso, así: En consecuencia, resulta evidente que la evidencia digital cuya inexistencia o falta de incorporación al expediente alega la RECURRENTE, ha estado disponible en la URL https://its2sicgovmy.sharepoint.com/:f:/g/personal/lifsic2_sic_gov_co/EvWAh6mWaqBFofdwPM HGY78BNZFF6TMMXpP6gxmq7IkYAA?e=uOnRva y a la cual la sociedad ha tenido acceso en todo momento.

En consecuencia, no puede predicarse vulneración alguna al derecho de defensa ni al debido proceso, en la medida en que la sociedad contó con los medios idóneos y suficientes para conocer en su integridad las evidencias recaudadas en el curso de la actuación administrativa. La alegación de que las pruebas no se encontraban incorporadas al expediente carece de asidero fáctico, puesto que la autoridad garantizó tanto su preservación técnica como su disponibilidad a través de mecanismos seguros y verificables, cumpliendo de esta manera con los principios de publicidad, contradicción y transparencia que rigen la actividad probatoria en sede administrativa.

Ahora bien, es preciso reiterar una vez más que las evidencias digitales que respaldan las conclusiones del Acta de Preservación, respecto de las cuales la RECURRENTE afirma no haber tenido acceso, en ningún caso constituyeron la base de la decisión adoptada. En efecto, la diligencia documentada en dicha acta se limitó exclusivamente a la verificación técnica consistente en la creación de un usuario dentro de las plataformas de la sociedad, sin guardar relación alguna con el supuesto objeto de análisis en el presente expediente, referido a la marcación de una cuenta preexistente y la exigencia de datos biométricos como requisito obligatorio para su acceso o utilización. En consecuencia, no es posible predicar vulneración al debido proceso ni afectación del derecho de defensa, toda vez que la sociedad tuvo acceso a la prueba en cuestión y además la misma no tuvo incidencia en la imputación ni en la sanción impuesta. 6.2.5.

Respecto de lo manifestado por MERCADOLIBRE en el trámite de las averiguaciones previas En relación con los planteamientos expuestos por la RECURRENTE, esta Autoridad debe precisar que los mismos carecen de pertinencia frente al objeto de análisis que fundamentó la decisión sancionatoria. En efecto, los argumentos presentados se encaminan a controvertir una supuesta conclusión de la Dirección en el sentido de que MERCADOLIBRE condicionaría la creación de cuentas nuevas o el registro de usuarios al suministro de datos biométricos, tesis que la sociedad procura desvirtuar alegando que nunca afirmó tal “Por la cual se resuelve un recurso de apelación” exigencia, sino que únicamente informó la posibilidad de recolectar dicha información. No obstante, debe reiterarse que la sanción impuesta no se originó en la presunta obligatoriedad de entrega de datos biométricos como requisito para la creación de un usuario nuevo, hipótesis que nunca constituyó la base de la decisión. Por el contrario, el supuesto de hecho acreditado y sancionado por la Dirección corresponde a la marcación efectuada sobre la cuenta preexistente del denunciante y a la exigencia de datos biométricos para su acceso o uso.

En esa medida, los razonamientos de la sociedad recurrente resultan ajenos al objeto de análisis, pues buscan desvirtuar una circunstancia distinta a la que fue considerada en la decisión administrativa. La discusión sobre el alcance de las declaraciones de privacidad, el uso del término “podríamos” frente a “exigimos”, o las pruebas relativas a la simulación de registro facial remitidas en etapa previa (prueba documental No. 3 obrante en el radicado 22-30146231 página 2 folios 109 a 194), no tienen incidencia en la determinación adoptada: circunscrita al hecho concreto de condicionar el acceso a una cuenta ya existente a la entrega de datos biométricos. 6.2.6.

Respecto de las diferentes opciones para la verificación de identidad, distintas al suministro de datos de biometría facial, ofrecidas por MERCADOLIBRE En relación con los planteamientos de la RECURRENTE, esta Delegatura considera necesario precisar que los mismos carecen de incidencia frente al objeto de la decisión sancionatoria. En efecto, los argumentos expuestos se dirigen a controvertir la supuesta afirmación de la Dirección según la cual la sociedad no habría informado ni acreditado la existencia de alternativas distintas al reconocimiento facial como mecanismo de verificación de identidad.

No obstante, ello no corresponde al fundamento de la sanción impuesta. Tal como se expuso en la resolución recurrida y se ha reiterado en la presente actuación, la decisión sancionatoria no se basó en la inexistencia de métodos de verificación distintos al reconocimiento facial ni en la interpretación de una respuesta aislada dentro de las averiguaciones previas.

El reproche jurídico recayó específicamente sobre el tratamiento indebido de datos biométricos del denunciante, en tanto se realizó la marcación de su cuenta antigua y se exigió la entrega de información sensible como condición para acceder o continuar utilizando dicha cuenta, lo que configuró una vulneración concreta a los deberes previstos en la Ley 1581 de 2012.

De esta manera, aun cuando la sociedad alegue que en sus descargos demostró la existencia de alternativas de verificación en dos pasos (código al teléfono, QR, Google Authenticator y reconocimiento facial), el punto central de la decisión ahora recurrida no fue determinar si existían o cuáles eran las opciones de autenticación ofrecidas en la plataforma.

El punto central fue si se condicionó el acceso a la cuenta del quejoso al suministro de datos biométricos. En consecuencia, esta Delegatura concluye que estos argumentos de la RECURRENTE resultan improcedentes al no desvirtuar el fundamento jurídico y fáctico de la sanción, ni guardar relación con el supuesto de hecho que originó la actuación administrativa. 6.3.

Respecto del Cargo Segundo El deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data, previsto en el literal a) del artículo 17 de la Ley 1581 de 2012, constituye uno de los pilares esenciales del régimen de protección de datos personales en Colombia. Este deber implica que los responsables del tratamiento están obligados a disponer de mecanismos efectivos, accesibles y “Por la cual se resuelve un recurso de apelación” comprensibles que permitan a los ciudadanos ejercer, en condiciones de igualdad y oportunidad, las facultades derivadas de este derecho fundamental.

Este mandato se complementa con lo dispuesto en el literal e) del artículo 8 de la Ley 1581 de 2012, que reconoce expresamente la facultad de los titulares de revocar la autorización otorgada y/o solicitar la supresión del dato cuando el tratamiento no respete los principios, derechos y garantías constitucionales y legales. La revocatoria o supresión procede, incluso, cuando así lo determine la la ley o a la Constitución. En este sentido, la norma establece un verdadero control correctivo a favor de los titulares, asegurando que la autorización otorgada nunca se entienda como irrevocable ni absoluta.

Por su parte, el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015 desarrolla esta disposición legal y la dota de operatividad. En primer lugar, reconoce que los titulares podrán, en todo momento, solicitar la supresión de sus datos personales y/o la revocatoria de la autorización, sin que exista limitación temporal o procedimental distinta a la de presentar un reclamo conforme al artículo 15 de la Ley 1581 de 2012.

En segundo lugar, establece la obligación del responsable y del encargado de disponer de mecanismos gratuitos y de fácil acceso para que tales solicitudes puedan ser presentadas. Finalmente, prevé que, en caso de incumplimiento, el titular podrá acudir a la mediante el procedimiento correspondiente. De este conjunto normativo se desprende que el deber de garantizar el derecho de habeas data exige a los responsables ajustar sus procedimientos a las necesidades del titular, eliminando exigencias excesivas o interpretaciones restrictivas; y no se agota en el momento de la recolección de los datos, sino que se extiende durante toda la vigencia del tratamiento.

En otras palabras, la garantía debe acompañar al titular durante todo el ciclo de vida de su información personal. En el caso bajo estudio se encuentra que el denunciante presentó directamente a la sociedad recurrente varias reclamaciones respecto de la entrega de sus datos biométricos y de la desactivación de la verificación biométrica para ingresar a su cuenta.

Lo anterior se encuentra acreditado en las siguientes solicitudes, cuya recepción fue expresamente reconocida por la sociedad recurrente: Captura de imagen del escrito de recurso de apelación radicado 22-301462-55 página 4 folio 58. Del estudio de las solicitudes allegadas por el denunciante y también mencionadas por la recurrente esta Delegatura observa que, aunque en ellas el titular no se expresa con la fórmula literal “solicito la supresión de mis datos biométricos”, sí es posible afirmar que contienen la voluntad del titular de que se suspenda el tratamiento de sus datos sensibles.

En efecto, el 2 de agosto de 2022 el señor Xxxxxxxxxx manifestó: “yo no quiero usar ese servicio de seguridad (…) quiero poder usar mi cuenta sin el reconocimiento facial”. Es claro así que el titular no deseaba que el acceso a su “Por la cual se resuelve un recurso de apelación” cuenta estuviese condicionado al proceso de verificación de identidad mediante el tratamiento de sus datos biométricos.

Posteriormente, el 3 de agosto de 2022, el denunciante reiteró: “yo nunca me registré para esto (…) quiero que no me pida esto para entrar a mi cuenta. No me interesa su seguridad extra”. Aquí se evidencia nuevamente la oposición expresa del titular al uso de reconocimiento facial para el acceso y uso de su cuenta en la plataforma. Finalmente, el 4 de agosto de 2022, el señor Xxxxxxxxxx insistió con la expresión categórica: “No me interesa, quiero desactivarlo”.

Esta comunicación sintetiza de manera rotunda la voluntad del titular de cesar cualquier tratamiento de sus datos biométricos. Para esta Delegatura es claro que las tres comunicaciones presentadas constituyen un ejercicio legítimo del derecho de habeas data en los términos de los artículos 8 y 17 de la Ley 1581 de 2012 y del artículo 2.2.2.25.2.6 del Decreto 1074 de 2015, al estar orientadas a que la sociedad cese el tratamiento de datos biométricos y, en su lugar, habilite mecanismos alternativos de autenticación menos intrusivos.

Tres comunicaciones en un mismo sentido y en tres oportunidades diferentes merecían interpretarse en su sentido obvio: el cliente estaba solicitando suspender el tratamiento de sus datos biométricos. Al buen entendedor pocas palabras. Ahora bien, pese a las reiteradas solicitudes del titular está demostrado que la sociedad le respondió de la siguiente manera11: De la comunicación remitida por la sociedad, en atención a las solicitudes del señor XXXXXXXXXX, este Despacho destaca dos puntos.

Primero, es claro que el área de atención al cliente de la RECURRENTE entendió la petición en el sentido del deseo de eliminar el servicio de verificación de identidad y lo que ello implicaba en términos de tratamiento de datos biométricos. Segundo, que lejos de atender de manera efectiva la solicitud del titular, de cesar el uso de sus datos biométricos, la entidad le indicó sobre la imposibilidad “de desactivar el reconocimiento facial” con el argumento de que se trata(ba) de un mecanismo de seguridad “más rápido y más seguro”.

En este sentido, la sociedad indica expresamente que “una vez registrado no es posible desactivar el reconocimiento facial”, lo cual evidencia dos hechos relevantes: la existencia del tratamiento de datos biométricos del usuario y la negativa a garantizar el derecho del titular a revocar la autorización y a solicitar la supresión de los mismos, en los términos previstos en los artículos 8 y 17 de la Ley 1581 de 2012 y el artículo 2.2.2.25.2.6 del Decreto 1074 de 2015.

Adicionalmente, se observa que la sociedad recurrente reconoce expresamente que el titular terminó suministrando sus datos biométricos en el marco del Prueba obrante junto con el escrito de denuncia radicado 22-301462-0 página 2. “Por la cual se resuelve un recurso de apelación” proceso de validación de identidad, así: “en este caso se tiene que (…) casi que de forma inmediata, el Señor Xxxxxxxxxx optó por la tercera alternativa mencionada anteriormente y validó su identidad en la cuenta identificada con el ID No. 243302121.

Esto le permitió a MercadoLibre no sólo recoger los datos biométricos que el Señor Xxxxxxxxxx estaba entregando voluntariamente (…)”12. Sin embargo, la afirmación de que lo hizo “voluntariamente” resulta contraria a lo acreditado en el expediente, pues lo cierto es que el acceso y uso de su cuenta se encontraba condicionado a la entrega de dichos datos, de manera que no contaba con una alternativa real para ejercer su derecho en condiciones de libertad.

Bajo estas circunstancias, no puede hablarse de un consentimiento previo, expreso e informado, sino de una imposición encubierta que obligó al titular a entregar información sensible para no perder el acceso a su cuenta, asunto abordado a profundidad en el considerando sexto de esta Resolución. Pese a las solicitudes de supresión presentadas por el denunciante, la sociedad no acreditó haber eliminado los datos recolectados.

Con lo cual se configuró el desconocimiento del deber de garantizar en todo momento el pleno y efectivo ejercicio de los derechos de habeas data. El derecho fundamental de habeas data consagra que los titulares pueden, en todo momento, revocar la autorización otorgada para el tratamiento de sus datos personales o solicitar la supresión de los mismos, salvo en los casos en que exista un deber legal o contractual de permanencia en la base de datos.

Ninguna de estas excepciones fue alegada ni acreditada por la sociedad, quien se limitó a señalar razones de conveniencia técnica y de seguridad. Para este Despacho la respuesta dada por la sociedad desconoció el derecho del habeas data del denunciante consistente en la facultad de revocar la autorización para el tratamiento de sus datos biométricos y de solicitar la supresión de los que se habían recogido.

En efecto, la negativa a habilitar la desactivación del reconocimiento facial desconoce el deber del responsable de garantizar, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data. En consecuencia, cuando un titular manifiesta de manera clara y reiterada que no desea usar un mecanismo de verificación basado en datos biométricos, que “no quiere entregar” y “quiere que se desactive” el reconocimiento facial, está ejerciendo, en términos técnicos y jurídicos, su derecho de revocar la autorización y solicitar la supresión de tales datos.

Negar o desatender esas solicitudes, bajo el argumento de que no se usó la fórmula expresa “solicito la supresión de mis datos”, desconoce, con base en un formalismo, inaceptable la nuez del derecho de habeas data: el poder del titular de los datos personales de controlar y ejercer soberanía sobre su propia información. En la interpretación del derecho fundamental al habeas data debe prevalecer, tanto en el sector público, como en el sector privado, lo sustancial sobre lo meramente formal.

Esto significa que el análisis de las solicitudes elevadas por los titulares no puede reducirse a verificar si emplearon o no una fórmula sacramental como “solicito la supresión de mis datos personales” o “revoco la autorización”. Por el contrario, corresponde a los encargados y a los responsables del tratamiento atender el contenido material de las solicitudes; les corresponde indagar por el sentido práctico y concreto de la manifestación de la voluntad del titular.

Bajo esta perspectiva, expresiones como “no quiero usar ese servicio de reconocimiento facial”, “quiero poder ingresar a mi cuenta sin que me lo pidan” o “quiero desactivarlo” constituyen una solicitud de revocatoria de autorización y de supresión de datos en ejercicio del derecho fundamental al habeas data. Limitar el deber de respuesta del responsable a que el titular emplee fórmulas Recurso de apelación radicado 22-301462-55 página 4 folio 10.

“Por la cual se resuelve un recurso de apelación” jurídicas exactas sería desconocer que el derecho de hábeas data protege la voluntad real y efectiva del titular, no el cumplimiento de formalismos vacíos que puedan convertirse en barreras para el ejercicio del derecho. Además, debe resaltarse que uno de los ejes esenciales de la protección de datos personales es garantizar a las personas el poder de controlar su información en los nuevos entornos digitales.

En un contexto donde las plataformas tecnológicas introducen de manera constante mecanismos de autenticación y modelos de seguridad que involucran datos sensibles, la autonomía del titular para decidir cómo y en qué condiciones se emplean sus datos resulta fundamental. Precisamente, el principio de autodeterminación informativa asegura que sea la persona, y no la organización, quien tenga la última palabra sobre la utilización de su información, incluso frente a entornos digitales que introducen medidas de seguridad avanzadas.

Ahora bien, se advierte que la sociedad, en su recurso, insiste en afirmar que el titular únicamente solicitó la desactivación de la función de seguridad, y que dichas solicitudes no constituyen, en estricto sentido, el ejercicio del derecho a solicitar la supresión de sus datos personales13. Para esta Delegatura la solicitud del titular, orientada a la desactivación de la función de reconocimiento facial dentro de la aplicación móvil, debe entenderse de manera inseparable de la supresión de los datos biométricos que fueron recolectados para la activación y operación de dicha funcionalidad.

Toda solicitud de desactivación de la función de reconocimiento facial, por parte de un titular de datos personales, debe analizarse desde dos enfoques complementarios: uno técnico y uno jurídico. Desde un enfoque técnico: El reconocimiento facial no funciona de manera abstracta. Para que un sistema de autenticación basado en esta tecnología opere, la aplicación requiere capturar un registro biométrico del rostro del usuario, procesarlo hasta producir una plantilla biométrica de dicho rostro, y almacenarlo para futuros cotejos.

Las plantillas biométricas son representaciones matemáticas únicas, construidas a partir de rasgos faciales distintivos —como la distancia entre los ojos, la forma de la nariz, los contornos del rostro o la estructura ósea— que permiten identificar y verificar, con alta probabilidad, la identidad de un individuo a partir de un cotejo o de un proceso de “verificación”.

El proceso técnico incluye fases sucesivas de detección, alineación, extracción de características, conversión matemática en una plantilla y almacenamiento seguro en una base de datos. Posteriormente, al momento de un nuevo ingreso, el sistema genera en tiempo real otra plantilla y la contrasta con las ya almacenadas, mediante algoritmos de coincidencia y puntuaciones de similitud, para decidir si concede o no el acceso.

En este sentido, los sistemas de reconocimiento facial no conservan simplemente una fotografía, sino que transforman la imagen en una huella facial o representación matemática. Dichas huellas se almacenan en una base de datos y constituyen un identificador biométrico altamente sensible. Ahora bien, es técnicamente posible que la aplicación desactive la función de autenticación biométrica en la interfaz de usuario sin proceder a la eliminación de las plantillas biométricas almacenadas.

En este escenario, el sistema deja de utilizarlas activamente para procesos de verificación de identidad, pero la información sigue existiendo en los servidores de la compañía. Por lo tanto, aunque desde un punto de vista funcional pueda parecer que el reconocimiento facial “se desactiva” porque deja de estar disponible para el usuario, lo cierto es que mientras las plantillas biométricas continúen Escrito de recurso de apelación radicado 22-301462-55 página 4 folio 58.

“Por la cual se resuelve un recurso de apelación” almacenadas, el tratamiento de datos biométricos no cesa. Dichos registros siguen siendo técnicamente aptos para identificar al titular, lo que implica que la empresa mantiene control sobre información sensible. Desde un enfoque legal: Si bien desde un punto de vista técnico es posible desactivar la función de autenticación biométrica en una aplicación móvil sin proceder a la eliminación de los datos biométricos previamente recolectados, esta práctica no es compatible con el régimen de protección de datos personales en Colombia.

De conformidad con el artículo 5 de la Ley 1581 de 2012, los datos biométricos constituyen datos sensibles y, por tanto, su tratamiento exige un nivel reforzado de protección y una justificación estricta para su tratamiento bajo los principios de legalidad, finalidad, necesidad y libertad. La habilitación del tratamiento de estos datos, en la mayoría de escenarios, se fundamenta en el consentimiento libre, previo, expreso y cualificado del titular.

En consecuencia, una vez el titular manifiesta de manera expresa su voluntad de no continuar con el uso de la función de reconocimiento facial y solicita su desactivación, por regla general, la conservación posterior de sus datos biométricos pierde toda finalidad legítima. El tratamiento deja de contar con un fundamento legal o constitucional, ya que desaparece el consentimiento que lo sustentaba, lo cual extingue automáticamente la justificación para su recolección y uso.

En este escenario, el mantenimiento de registros biométricos aun cuando la función haya sido desactivada configura un tratamiento prohibido por la Ley 1581 de 2012, pues: 1. Desconoce el principio de legalidad, en tanto no existe causa jurídica que ampare la conservación del dato. 2. Vulnera el principio de finalidad, ya que desapareció el propósito para el cual el dato fue recolectado (autenticación biométrica). 3.

Infringe el principio de necesidad, dado que mantener datos sensibles sin un uso legítimo constituye una acumulación injustificada de información que incrementa los riesgos de seguridad para el titular. Por lo anterior, en este tipo de casos, la única actuación jurídicamente compatible con la normativa vigente y con el derecho fundamental al habeas data es la supresión inmediata de las plantillas biométricas almacenadas, garantizando al titular un control real y efectivo sobre sus datos personales.

Por lo anterior, resulta evidente que, aunque el titular no hubiera empleado de manera expresa la fórmula “solicito la supresión de mis datos biométricos”, las reiteradas manifestaciones en las que expresó su voluntad de desactivar la autenticación mediante reconocimiento facial debían ser entendidas por la sociedad como una revocatoria de la autorización otorgada.

En consecuencia, al desaparecer el fundamento jurídico que habilitaba el tratamiento, la sociedad estaba obligada a proceder con la eliminación de los datos biométricos previamente recolectados, pues carecía de fundamento constitucional o legal para conservarlos, máxime si se trataba de información catalogada como sensible. En conclusión, los méritos fácticos y jurídicos sobre los que se soporta la sanción respecto del cargo segundo no fueron debidamente desvirtuados por la RECURRENTE.

No es cierto que el quejoso no hubiese solicitado directamente a MERCADO LIBRE no continuar con el tratamiento de sus datos sensibles, y que no hubiese varias veces manifestado su inconformidad al respecto. La negativa de atender efectivamente las solicitudes del quejoso relacionadas con su oposición al tratamiento de sus datos sensibles, vía reconocimiento “Por la cual se resuelve un recurso de apelación” facial, desconoció el deber legal previsto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma ley y con el artículo 2.2.2.25.2.6 del Decreto 1074 de 2015.

El responsable no puede condicionar, limitar o dilatar el ejercicio del derecho, y mucho menos persistir en un tratamiento de datos sensibles, contra la voluntad expresa del titular. 6.4. Respecto de que la Dirección excedió sus competencias por incluir otras normas en el análisis del Cargo Segundo La sociedad alega que la Dirección se excedió en sus competencias, en la medida en que la sanción debía ceñirse estrictamente a la norma imputada en la resolución de apertura.

Afirma que, mientras en la imputación se indicó como fundamento el deber previsto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma ley, en la decisión —concretamente en la página 21— se citó erróneamente el literal a) del artículo 8 de la Ley 1581 de 2012, lo cual, a su juicio, configura un exceso de competencia. Al respecto, es necesario precisar que la formulación efectuada mediante la Resolución No. 51357 del 29 de agosto de 2023, respecto del Cargo Segundo, se realizó por la presunta vulneración del deber consagrado en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015.

Ello se evidencia de manera expresa en el numeral 3.2. de la parte considerativa de la mencionada resolución, así como en el ARTÍCULO PRIMERO de su parte resolutiva. Si bien en la decisión recurrida se advierte un error meramente formal o de digitación, consistente en que en la página 21 se cita el literal a) del artículo 8 de la Ley 1581 de 2012 —referido al derecho del titular a conocer, actualizar y rectificar sus datos personales— en lugar del literal e) de la misma disposición, que alude al derecho a revocar la autorización y/o solicitar la supresión de los datos personales, dicho yerro de redacción, un típico lapsus linguae vel calami, carece de incidencia sustancial en el análisis y en la decisión adoptada.

Y carece de ella pues, en efecto, a lo largo de todo el acto administrativo impugnado se dejó claramente delimitado el marco normativo aplicable al Cargo Segundo, esto es: el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma ley y el artículo 2.2.2.25.2.6 del Decreto 1074 de 2015.

De igual modo, el análisis desarrollado en el numeral 8.3.2. de la resolución recurrida se fundamenta de manera consistente en el derecho consagrado en el literal e) del artículo 8 de la Ley 1581 de 2012, es decir, la facultad del titular de revocar la autorización y/o solicitar la supresión de sus datos cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.

Ello se confirma en apartes expresos de la Resolución No. 16582 de 2025 (páginas 22 y 27), donde se desarrolla dicho análisis. En consecuencia, el error de digitación en la página 21 no puede interpretarse como un exceso de competencia ni como una vulneración al debido proceso de la sociedad investigada, toda vez que no modifica la imputación formulada, no altera el marco jurídico aplicable al Cargo Segundo, ni afecta el sentido de la decisión adoptada, la cual se encuentra debidamente motivada y sustentada, conforme se analizó en el numeral 6.3. de la presente actuación. Finalmente, con el fin de corregir formalmente el error advertido, y en atención a lo previsto en el artículo 4514 del CPACA, se procede a enmendar la cita “ARTÍCULO 45.

Corrección de errores formales. En cualquier tiempo, de oficio o a petición de parte, se podrán corregir los errores simplemente formales contenidos en los actos administrativos, ya sean aritméticos, de digitación, de transcripción o de omisión de palabras. En ningún caso la corrección dará lugar a cambios en el sentido material de la decisión, ni revivirá los términos legales para demandar el acto.

Realizada la corrección, esta deberá ser notificada o comunicada a todos los interesados, según corresponda.” “Por la cual se resuelve un recurso de apelación” errónea, precisando que la disposición correcta es el literal e) del artículo 8 de la Ley 1581 de 2012. 6.5. Respecto a que la Dirección sancionó a MERCADOLIBRE con fundamento en una denuncia radicada exclusivamente ante la SIC, que incluía peticiones que nunca fueron solicitadas por el Señor Xxxxxxxxxx ante MERCADOLIBRE En cuanto a la afirmación de que la Dirección fundamentó su decisión en relación con el Cargo Segundo en la denuncia presentada por el titular ante la SIC, en la cual manifestó expresamente su voluntad de que la empresa no conservara fotografías de su rostro, y no en los requerimientos dirigidos directamente a la sociedad, que solicitaban únicamente la desactivación del servicio de autenticación biométrica.

Es preciso aclarar que, si bien en la denuncia elevada ante la SIC el titular expresó literalmente “ni quiero que esta empresa tenga fotos de mi rostro”, tal como se analizó en el numeral 6.3. del presente acto administrativo, la Dirección centró su estudio en el contenido de las tres solicitudes presentadas directamente por el titular a la sociedad.

Dichas solicitudes fueron nuevamente referidas por la propia recurrente en su recurso de apelación, y sobre ellas recayó el análisis que condujo a concluir la existencia de una solicitud de supresión de datos y la negligencia en su adecuada atención. En este sentido, no es acertado sostener que la Dirección debió haber trasladado a la sociedad la obligación de responder a la denuncia presentada ante la SIC.

Por el contrario, todo el análisis efectuado se sustentó en las peticiones formuladas directamente a la sociedad, en las respuestas emitidas por la misma y en los argumentos que esta expuso para justificar la negativa a suprimir los datos biométricos. 6.6. Respecto de la supuesta e inexistente obligación impuesta al Señor XXXXXXXXXX consistente en suministrar sus datos de biometría facial En cuanto al argumento de la recurrente, según el cual la Dirección erró al concluir que MERCADOLIBRE obligó al señor XXXXXXXXXX a suministrar datos de biometría facial, cabe precisar lo siguiente: Primero, el análisis de la Dirección no estuvo dirigido a determinar si la creación o uso de cuentas en abstracto estaba condicionada a la entrega de datos biométricos, sino a verificar si, en el caso concreto del denunciante, el acceso efectivo a una de sus cuentas se encontraba supeditado a la activación del mecanismo de verificación facial.

Es decir, aunque la sociedad sostenga que el reconocimiento biométrico es opcional en su plataforma, lo cierto es que al menos en una de las cuentas del titular sí se exigió dicho procedimiento como requisito para continuar con el acceso. Ello constituye, en términos prácticos, una condición impuesta para el tratamiento de datos sensibles, lo que activa los estándares reforzados de protección previstos en la Ley 1581 de 2012.

Adicionalmente, como se ha explicado en este acto administrativo, los hechos objeto de sanción no guardan relación con la creación de nuevos usuarios ni con la eventual facultad de activar voluntariamente la autenticación biométrica. Por el contrario, se refieren al condicionamiento impuesto al denunciante para continuar usando y accediendo a una de sus cuentas antiguas, supeditando dicho acceso al tratamiento de sus datos biométricos.

Segundo, la alegación de que el denunciante podía “seguir usando otras cuentas o crear una nueva” no desvirtúa la situación denunciada. La posibilidad de abrir cuentas adicionales no exonera al responsable del deber de garantizar que en el acceso y uso de una cuenta específica del titular no estuvieran medidos por el tratamiento de sus datos sensibles.

“Por la cual se resuelve un recurso de apelación” Tercero, respecto de la supuesta vulneración del principio non bis in idem, no se advierte tal afectación. El análisis efectuado en relación con el Cargo Segundo no replica los fundamentos del Cargo Primero. Dicho análisis aborda de manera diferenciada el incumplimiento de deberes específicos asociados a la atención de las solicitudes del titular sobre la supresión de datos biométricos y la revocatoria de la autorización. Que ambos cargos se relacionen con un mismo marco fáctico no implica duplicidad sancionatoria, en la medida en que el fundamento normativo y el deber vulnerado en cada caso son distintos.

Finalmente, en relación con la afirmación de que en ninguna de las tres solicitudes elevadas por el titular a MERCADOLIBRE se pidió la supresión de datos biométricos, es importante precisar que, como se explicó en el acto administrativo ahora recurrido y en el numeral 6.3 de la presente Resolución, la voluntad inequívoca del titular de no continuar sometido a autenticación biométrica —manifestada en solicitudes expresas de desactivar dicho servicio— debe interpretarse jurídicamente como un requerimiento de supresión. Negar tal alcance equivaldría a restringir de manera irrazonable el ejercicio del derecho de habeas data, cuyo núcleo esencial consiste precisamente en permitir al titular decidir sobre la continuidad o no del tratamiento de sus datos personales, y en particular de sus datos sensibles.

En consecuencia, los argumentos de la RECURRENTE no logran desvirtuar las premisas fácticas y jurídicas en que se fundaron los argumentos que soportan las conclusiones de la Dirección. Para esta Delegatura la Resolución ahora recurrida se encuentra debidamente soportada tanto en hechos debidamente probados como en la normativa, correctamente aplicada, en materia de protección de datos personales. 6.7.

Respecto del supuesto e inexistente incumplimiento procedimiento previsto en el manual interno de MERCADOLIBRE del El argumento de la RECURRENTE carece de fundamento por una razón muy sencilla: la sanción impuesta no tuvo como causa el incumplimiento del manual interno de MercadoLibre, sino la infracción de disposiciones legales contenidas en la Ley 1581 de 2012 y en el Decreto 1074 de 2015.

Tal como se indicó expresamente en la resolución sancionatoria, la referencia al manual interno de la sociedad se realizó con un propósito ilustrativo, a fin de evidenciar que la actuación de la compañía desconoció incluso los procedimientos que ella misma había diseñado para garantizar la atención adecuada de los derechos de los titulares de datos.

En ningún caso el reproche se concentró o se redujo al incumplimiento de dicho protocolo. La sanción no se soportó en un supuesto incumplimiento de normas de autorregulación empresarial. Por el contrario, la decisión se soportó en la constatación de que la sociedad: i) negó injustificadamente la solicitud de supresión presentada por el titular, como se indicó con suficiencia en la Resolución recurrida, y como se demostró con detalle en el numeral 6.3 de esta Resolución; y ii) adelantó el tratamiento de datos sensibles, i.e., datos biométricos, sin contar con el debido fundamento constitucional o legal para ello.

La decisión se soportó entonces en el desconocimiento de los principios de legalidad, finalidad y necesidad y en la vulneración del derecho al habeas data del quejoso. Situaciones que consistieron en sendos incumplimientos de los deberes previstos en los literales a) y b) del artículo 17 de la Ley 1581 de 2012. En ese contexto, la cita al manual únicamente sirvió para reforzar la conclusión de que la sociedad, además de vulnerar la normativa legal aplicable, no garantizó a través de sus propios mecanismos internos la protección del derecho fundamental involucrado.

Un argumento de este tenor no tiene, ni puede tener el poder para desvirtuar la validez de la decisión ahora recurrida. “Por la cual se resuelve un recurso de apelación” Tampoco es de recibo el alegato sobre una supuesta violación al principio de congruencia, pues el cargo segundo formulado en la resolución de apertura se refirió expresamente al incumplimiento de la obligación legal de garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data en concordancia con el derecho del titular de revocar la autorización y/o solicitar la supresión de sus datos personales.

Este fue el objeto de todo el análisis de la Dirección y el fundamento de la sanción, de manera que no existió en este caso ampliación indebida ni alteración de los hechos jurídicamente relevantes. En conclusión, resulta evidente que la sanción impuesta no se basó en el manual interno de la compañía, sino en la vulneración directa de la normativa de protección de datos personales.

En tal sentido, la referencia al incumplimiento o contradicción de dicho manual no puede interpretarse, de ninguna manera, como un desconocimiento del principio de legalidad, de congruencia o del derecho al debido proceso de la recurrente. 6.8. Respecto de la presunta obligación legal que tiene MERCADOLIBRE de conservar la prueba de la identidad de los consumidores por el mismo tiempo que se deben guardar los documentos de comercio El planteamiento de la RECURRENTE no desvirtúa las conclusiones alcanzadas por la Dirección. No es acertado sostener que el tratamiento de datos biométricos del denunciante fue producto de una decisión libre y voluntaria, pues la información fue obtenida a partir del condicionamiento del acceso a una de sus cuentas.

Tal exigencia constituye un tratamiento prohibido respecto de datos sensibles, independientemente de que el titular tuviera la posibilidad de usar otras cuentas o crear una nueva. Lo relevante para el análisis es la legalidad del tratamiento efectuado, no la existencia de alternativas comerciales. Respecto de la alegada “obligación legal” de conservar datos biométricos como prueba de identidad, ya se indicó que no existe disposición normativa que imponga, en contra de la voluntad del titular, la recolección ni conservación de datos biométricos con fines de verificación de identidad para la prestación de servicios de comercio electrónico.

El deber de preservar cierta información comercial o contractual no se extiende al tratamiento de datos sensibles, cuyo uso se encuentra expresamente restringido y sujeto a condiciones excepcionales que no se acreditaron en el expediente. 6.9. Respecto de la orden impartida Una vez efectuado el análisis de los dos cargos y verificado el incumplimiento de los deberes legales previstos en el literal b) del artículo 17 de la Ley 1581 de 2012, relativo a solicitar y conservar copia de la autorización otorgada por el Titular, así como en el literal a) del mismo artículo, consistente en garantizar en todo tiempo el pleno y efectivo ejercicio del derecho de habeas data, la Dirección concluyó: “(…) considera imperioso el Despacho impartir una orden administrativa a la sociedad MERCADOLIBRE encaminada a suprimir la obligación de suministrar datos de reconocimiento facial tanto en su aplicación móvil como en la página web, de manera que en ningún caso se condicione el acceso a la cuenta de usuario a los titulares a que entreguen datos biométricos.” Lo anterior, al verificarse en el caso objeto de estudio que la sociedad efectivamente condicionó el acceso y uso de la cuenta identificada con el ID No. 243302121 del denunciante a la entrega de datos biométricos, impidiendo al titular desactivar dicha exigencia y obligándolo a suministrar sus datos de reconocimiento facial en cada ingreso para poder utilizar su cuenta.

En consecuencia, y en ejercicio de la facultad prevista en el literal b) del artículo 21 de la Ley 1581 de 2012, la Dirección decidió: “Por la cual se resuelve un recurso de apelación” “ARTÍCULO 2: IMPARTIR una orden administrativa a la sociedad MERCADOLIBRE COLOMBIA LTDA., identificada con Nit 830.067.394-6 consistente en suprimir cualquier procedimiento en su aplicación móvil o sitio web que condicione el acceso o creación de cuentas de usuario al suministro de datos biométricos.

Para ello deberá ofrecer varias opciones que permitan a los titulares decidir el mecanismo de autenticación.” Al respecto, los argumentos planteados por la recurrente no desvirtúan las conclusiones alcanzadas por esta Dirección. En primer lugar, si bien la sociedad alega ausencia de motivación en la orden administrativa, lo cierto es que de la lectura integral de la Resolución de primera instancia se advierte que la medida impartida encuentra fundamento en los hallazgos relacionados con el incumplimiento del deber de solicitar y conservar la autorización en los términos de la Ley 1581 de 2012, así como en la verificación de que el acceso a la cuenta del denunciante se condicionó a la entrega de datos biométricos.

En ese sentido, la motivación no puede analizarse de manera aislada, sino en conexión con el análisis efectuado respecto de los cargos formulados. Adicionalmente, debe recordarse que las órdenes administrativas impartidas por esta Dirección tienen un carácter esencialmente preventivo, en cuanto buscan que el responsable del tratamiento asegure de manera efectiva y continua el cumplimiento de los deberes legales y las garantías que amparan a los titulares.

Bajo este enfoque, el propósito de la orden no se limita a corregir un incumplimiento puntual, sino a garantizar que la RECURRENTE adopte e implemente medidas reales y eficaces que prevengan la repetición de prácticas que puedan vulnerar los derechos de los titulares. En segundo lugar, frente a la afirmación de que no existió condicionamiento alguno y que el uso de la biometría responde a un fin legítimo, es preciso señalar que lo verificado en el caso concreto no fue la simple disponibilidad de la biometría como alternativa, sino que, en el marco de la investigación, se constató que el denunciante vio restringido el acceso y uso de su cuenta debido a que esta fue marcada por las políticas internas de la sociedad, condicionándola de manera obligatoria al suministro de datos biométricos.

A ello se suma que el titular no contaba con la posibilidad de desactivar tal exigencia, situación que configuró un condicionamiento incompatible con los principios de libertad y de consentimiento informado que orientan el tratamiento de datos personales sensibles. Los datos personales biométricos, como datos sensibles, solo pueden ser recolectados y tratados bajo parámetros estrictos de necesidad, proporcionalidad y consentimiento, conforme lo exige la Ley 1581 de 2012.

Aun cuando pueda responder a finalidades legítimas de seguridad, dichas finalidades no habilitan a condicionar el acceso a servicios esenciales de una cuenta de usuario a la entrega de datos biométricos, máxime cuando existen otros mecanismos de verificación disponibles. En este sentido, la orden administrativa no desconoce la legitimidad de la biometría como herramienta de seguridad, sino que previene su uso en condiciones que comprometan los derechos fundamentales de los titulares.

Por último, respecto a la solicitud de aclaración del alcance de la orden, debe señalarse que esta no tiene como propósito proscribir de manera absoluta el uso de la biometría como mecanismo de verificación de identidad. Lo que la medida busca es garantizar que en ningún caso se condicione el acceso, creación o uso de una cuenta al suministro de datos biométricos.

En consecuencia, la sociedad conserva la posibilidad de ofrecer la biometría como una alternativa válida dentro de sus procesos de autenticación, siempre que esta opción se prevea con seguimiento estricto de las exigencias constitucionales, legales y reglamentarias y, en el contexto de los servicios que presta la sociedad, vaya acompañada de otras modalidades que permitan al titular decidir libremente el mecanismo de validación de su identidad.

“Por la cual se resuelve un recurso de apelación” De esta manera, la orden impartida se enmarca en las obligaciones legales que imponen verificar la identidad de los usuarios, al tiempo que se asegura que tal verificación se realice en condiciones respetuosas de los derechos fundamentales y garantizando el consentimiento libre, informado y cualificado del titular.

En armonía con la finalidad preventiva de las medidas, lo que se exige es que la implementación práctica de los sistemas de verificación de identidad garantice al titular un acceso libre y sin condicionamientos indebidos, en cumplimiento de la Ley 1581 de 2012. Por lo anterior, no hay lugar a una revocación o modulación de la orden impartida, la cual se confirmará. 6.10.

Respecto de la graduación de la sanción En la decisión recurrida se identificó de forma expresa que la sociedad RECURRENTE vulneró lo dispuesto en: i) el literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5°, 6°y 9° de la precitada Ley; en concordancia con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015; y ii) en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma Ley, y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015.

El hecho constitutivo de la infracción, y que da lugar a la sanción, consistió en condicionar el uso y acceso a una cuenta de la plataforma al tratamiento de datos biométricos del titular, sin solicitar ni conservar copia de la autorización para ello, en los términos de la Ley 1581 de 2012. Asimismo, se acreditó la vulneración del deber de garantizar en todo momento el pleno y efectivo ejercicio del derecho de habeas data, al conservar los datos biométricos del titular pese a las solicitudes de supresión presentadas.

Estas conductas fueron comprobadas con base en los elementos probatorios obrantes en el expediente, dentro de los cuales se incluyen las quejas radicadas por el denunciante y la información allegada por la sociedad investigada. En el acto administrativo recurrido, la Dirección precisó que, conforme al literal a) del artículo 24 de la Ley 1581 de 2012, basta con que la conducta desplegada “ponga en peligro los intereses jurídicos tutelados” por la ley para que proceda la imposición de una sanción. En este caso, se determinó que el comportamiento de la ahora RECURRENTE no solo materializó un riesgo, sino que efectivamente afectó el derecho fundamental del titular y evidenció la puesta en riesgo del derecho de titulares indeterminados.

La Dirección explicó que, en ejercicio del “margen de discrecionalidad conferido por la Ley 1581 de 2012”, la autoridad valoró los criterios del artículo 24 para graduar la sanción. Se consideraron aspectos como la naturaleza de los datos vulnerados, la dimensión del daño o peligro a los intereses jurídicos protegidos, el tamaño de la empresa, su situación financiera y los deberes incumplidos.

Adicionalmente, se indicó que la sanción impuesta fue calculada de forma proporcional, con base en el patrimonio y capacidad económica de la sociedad, garantizando así que tuviera efecto disuasorio. Es importante resaltar que la vulneración del derecho fundamental a la protección de datos personales no se limita a afectar los derechos de un titular en particular, como ocurrió en este caso, sino que trasciende al poner en riesgo los derechos de un número indeterminado de personas.

En esa medida, el daño o el peligro de afectación a los intereses tutelados no se circunscribe al afectado plenamente identificado, se extiende a los titulares cuyos datos podrían verse comprometidos en circunstancias semejantes. De esta forma, la infracción adquiere una dimensión colectiva que refuerza la necesidad de medidas correctivas y preventivas.

Adicionalmente, se destaca que la sanción impuesta resulta proporcional y justificada si se tiene en cuenta la naturaleza de los datos personales “Por la cual se resuelve un recurso de apelación” involucrados en la infracción. En el caso analizado, el incumplimiento del deber estuvo relacionado con el tratamiento indebido de datos biométricos, que son considerados por la Ley 1581 de 2012 datos sensibles.

Es decir, aquellos que gozan de una protección reforzada debido a su estrecha relación con la esfera más íntima del individuo y al riesgo que su uso indebido puede representar para la igualdad y para la dignidad humana. El tratamiento irregular de este tipo de datos no solo afecta gravemente la intimidad del titular, sino que puede dar lugar a escenarios de discriminación o exclusión. Así, frente a la especial protección que exige la Ley para este tipo de información, una sanción de menor magnitud resultaría insignificante frente al alcance de la vulneración y no cumpliría con los principios de necesidad y proporcionalidad en materia sancionatoria, ni con el fin preventivo de desincentivar eventuales conductas de incumplimiento.

Es importante resaltar que la sanción impuesta se ajusta a los límites establecidos en el artículo 23 de la Ley 1581 de 2012, ya que se encuentra dentro del rango de 1 a 2.000 salarios mínimos legales mensuales vigentes. En efecto, la sanción equivale al 8,24% del umbral máximo permitido. De tal forma que no solo cumple con los parámetros legales, sino que también es proporcional y acorde con la capacidad económica de la RECURRENTE.

En relación con el planteamiento de la RECURRENTE, es preciso señalar que la Dirección actuó dentro del marco legal previsto en el artículo 24 de la Ley 1581 de 2012, que regula los criterios de graduación de las sanciones por infracciones al régimen de protección de datos personales. La Corte Constitucional, en la sentencia C-748 de 2011, determinó que dicho precepto se ajusta a la Constitución, en la medida en que corresponde al legislador establecer parámetros que permitan a la autoridad competente valorar las circunstancias de cada caso y modular la sanción, atendiendo tanto a factores de agravación como a posibles circunstancias de atenuación. En el caso concreto, la Dirección fundamentó la aplicación del criterio previsto en el literal a) del artículo 24, relacionado con la dimensión del daño o peligro a los intereses jurídicos tutelados, al constatar que la conducta analizada implicó el tratamiento indebido de datos biométricos, lo que constituye una afectación grave a derechos fundamentales del titular y pone en riesgo a un número indeterminado de personas.

Por tanto, resulta legítimo que se considere que la transgresión es de tal entidad que, por sí misma, justifica la gravedad atribuida a la conducta. De igual forma, la decisión de no aplicar el criterio atenuante contemplado en el literal f) del mismo artículo obedece a la constatación de que la sociedad no aceptó expresamente la infracción. Situación que hace la causal inaplicable e improcedente la solicitud de reducción de la sanción. Esta valoración se encuentra en consonancia con lo previsto en la ley y con los parámetros de razonabilidad y proporcionalidad exigidos por la Corte Constitucional en el marco del control de constitucionalidad del régimen de protección de datos.

En consecuencia, no se advierte una vulneración al debido proceso ni a los principios de legalidad o motivación, pues la Dirección no solo citó los criterios de graduación previstos por la ley, sino que explicó las razones por las cuales aplicó unos e inaplicó otros, en estricto apego a la norma y a la jurisprudencia constitucional. Ahora bien, frente a los argumentos reiterativos de la RECURRENTE dirigidos a sostener que el incumplimiento de los deberes indicados en los cargos no fue demostrado, corresponde precisar que, tanto respecto del Cargo Primero como del Cargo Segundo, las conductas imputadas fueron objeto de un análisis integral y detallado en la decisión de primera instancia. En dicha providencia se valoraron de manera suficiente y razonada los elementos probatorios obrantes en el expediente, a partir de los cuales se constató y verificó la configuración de las infracciones.

“Por la cual se resuelve un recurso de apelación” Respecto del Cargo Primero, se constató que la sociedad condicionó el acceso y uso de la cuenta del denunciante a la entrega de datos biométricos, sin contar con la autorización previa, libre, expresa e informada exigida por la Ley 1581 de 2012, desatendiendo el deber previsto en el literal b) del artículo 17 de la Ley 1581 de 2012.

En relación con el Cargo Segundo, quedó demostrado que la sociedad incumplió el deber de garantizar en todo momento el pleno y efectivo ejercicio del derecho de habeas data, al mantener almacenados los datos biométricos del denunciante pese a las solicitudes de supresión del titular, desatendiendo el deber previsto en el literal a) del artículo 17 de la Ley 1581 de 2012.

En ese orden, contrario a lo que sostiene la RECURRENTE, no se trató de afirmaciones hipotéticas ni de conclusiones carentes de sustento, sino de hallazgos plenamente corroborados en el marco de la investigación administrativa. Los argumentos presentados en el recurso carecen de la fuerza necesaria para desvirtuar la verosimilitud de los presupuestos fácticos en que se funda, y para derrotar la fuerza suasoria de la muy detallada y precisa aplicación del derecho vigente.

Carecen pues, en general, de la fuerza suficiente para desvirtuar los fundamentos, los argumentos y el raciocinio en que se funda la validez de la Resolución ahora recurrida. En consecuencia, las sanciones impuestas por los Cargos Primero y Segundo resultan ajustadas a derecho y proporcionales a la gravedad de las infracciones verificadas.

SÉPTIMO. Conclusiones • Está demostrado en el expediente que MERCADOLIBRE COLOMBIA LTDA incumplió los deberes establecidos en: i) el literal b) del artículo 17 de la Ley 1581 de 2012, el literal a) del artículo 3°, los literales a) y c) del artículo 4° y, los artículos 5°, 6° y 9° de la precitada Ley; en concordancia con el artículo 2.2.2.25.2.3. del Decreto Único Reglamentario 1074 de 2015; y ii) en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma Ley. • Está demostrado que, pese a que la sociedad alegó ofrecer varias alternativas al titular, en la práctica lo sometió a una única opción real: entregar sus datos biométricos para continuar utilizando su cuenta ID No. 243302121.

Las demás supuestas opciones —usar otra cuenta o crear una nueva— no constituían alternativas válidas ni equivalentes. • Está demostrado que, en virtud de la marcación efectuada por la sociedad y de sus políticas internas, el titular se vio forzado a entregar sus datos biométricos para no perder el acceso a su cuenta con antigüedad, reputación y calificaciones. • Está demostrado que el titular ejerció en varias oportunidades su derecho de habeas data orientado a la supresión de sus datos personales, particularmente de sus datos biométricos, y que la sociedad desconoció dicha solicitud, configurando así una vulneración directa al derecho fundamental al habeas data y un incumplimiento de los deberes legales en materia de protección de datos personales. • La prueba testimonial solicitada por la RECURRENTE será rechazada por no cumplir con los requisitos de conducencia, pertinencia y utilidad.

El testimonio propuesto pretende acreditar circunstancias relativas al proceso de preservación de información consignado en el Acta No. 01523, aspectos que resultan ajenos a la conducta sancionada, consistente en condicionar el acceso a una cuenta preexistente al suministro de datos biométricos. “Por la cual se resuelve un recurso de apelación” • La orden administrativa impartida resulta necesaria para asegurar que titulares, en situaciones semejantes a la del denunciante en este caso, puedan acceder a sus cuentas sin verse condicionados ni sometidos de manera obligatoria al tratamiento de sus datos sensibles. • La imposición de la sanción pecuniaria está plenamente justificada en la vulneración del derecho fundamental del titular de los datos, en el daño causado por esta vulneración, y en el riesgo que las prácticas de exigir el tratamiento de datos biométricos para el funcionamiento de las cuentas en la plataforma y la negativa de suprimirlos, una vez se ha solicitado la desactivación de la funcionalidad de reconocimiento facial, constituyen para los derechos e intereses de titulares indeterminados. • La multa impuesta a MERCADOLIBRE COLOMBIA LTDA de $214.405.120 equivale al 8,24% del umbral máximo permitido.

(2000 salarios mínimos legales mensuales vigentes, establecido en el artículo 23 de la Ley 1581 de 2012). Este monto es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de la primera instancia, y de las circunstancias específicas de este caso incluidos, el tamaño de la empresa, su situación financiera y el tratamiento, en contra de la voluntad del titular, de datos sensibles. • La sanción impuesta cumple con los principios de razonabilidad y proporcionalidad, es adecuada al tipo de falta y a su magnitud, redunda en la garantía efectiva del derecho fundamental al habeas data de una persona en concreto y sirve al propósito de generar un efecto disuasorio que evite la repetición de la infracción por este o por cualquier responsable o encargado del tratamiento de datos personales.

Por todo lo expuesto, de conformidad con el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, esta Delegatura RESUELVE:

ARTÍCULO 1. CONFIRMAR en todas sus partes la Resolución No. 16582 del 31 de marzo de 2025, de conformidad con lo establecido en la parte motiva de la presente Resolución.

ARTÍCULO 2. NOTIFICAR personalmente el contenido de la presente Resolución a MERCADOLIBRE COLOMBIA LTDA. identificada con el Nit. 830.067.394-6, a través de su Representante Legal o apoderado, entregándole copia de la misma e informándole que contra ella no procede recurso alguno.

ARTÍCULO 3. COMUNICAR el contenido de la presente Resolución al señor XXXXXXXX XXXXXXXXXX XXXXX, identificado con la C.C. x.xxx.xxx.xxx.

ARTÍCULO 4. INFORMAR el contenido de la presente resolución, a la Dirección de investigaciones de Protección de Datos Personales y devolverle el expediente para su custodia final.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D. C., 16 de septiembre 2025. EL SUPERINTENDENTE DELEGADO PARA LA PROTECCIÓN DE DATOS PERSONALES. Firmado digitalmente por CARLOS UPEGUI JUAN CARLOS JUAN MEJIA UPEGUI MEJIA Fecha: 2025.09.16 12:43:01 -05'00' JUAN CARLOS UPEGUI MEJÍA Proyectó: AV Revisó y Aprobó: JCU