(15 de diciembre de 2025) “Por la cual se resuelve un recurso” Radicación 22-402342 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 17 de la Ley 1266 de 2008, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022 y,
CONSIDERANDO
PRIMERO: Que, esta Superintendencia tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1266 de 2008 por parte de la sociedad RAPPI S.A.S., identificada con Nit 900.843.898-9, por lo que decidió iniciar investigación administrativa con base en la remisión por competencia realizada por la Superintendencia Financiera, el 5 de octubre de 2022.
En ella, la señora XXXXXXXXXXXXXXXXXXXX señaló que bajo la razón social Rappipay se realizó una consulta no autorizada a su historial de crédito, el día 05 de septiembre de 2022, pese a haber solicitado la terminación de los servicios y se le expidiera el respectivo paz y salvo.
SEGUNDO: Que mediante Resolución 38144 del 19 de junio de 2025, la Dirección de Investigaciones de Protección de Datos Personales resolvió: “IMPONER una sanción pecuniaria a la sociedad RAPPI S.A.S., identificada con Nit 900.843.898-9 de DOSCIENTOS QUINCE (215) SALARIOS MÍNIMOS LEGALES MENSUALES VIGENTES para el año 2023– equivalentes a VEINTICUATRO MIL NOVECIENTOS CUARENTA (24.940) Unidades de Valor Básico – UVB Vigentes para el año 2025 – equivalentes a DOSCIENTOS OCHENTA Y OCHO MILLONES CIENTO SEIS MIL OCHOCIENTOS OCHENTA PESOS M/CTE (288.106.880), por la vulneración de lo dispuesto en el numeral 1) del artículo 9 en concordancia con el literal d) del artículo 4 y el artículo 15 de la Ley 1266 de 2008”.
TERCERO: Que la Resolución 18329 del 02 de julio de 2025 se notificó mediante Aviso 18329 del 02 de julio de 2025 al doctor ALEJANDRO ACEVEDO ESCALLÓN, en representación de la sociedad RAPPI S.A.S., según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, obrante bajo el radicado 22-402342-48 del 02 de julio de 2025.
CUARTO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 22-402342-43 del 15 de julio de 2025 la sociedad investigada, por medio de su apoderado especial, interpuso recurso de “Por la cual se resuelve un recurso” reposición y en subsidio apelación contra la Resolución 38144 del 19 de junio de 2025.
QUINTO: Que mediante Resolución 88103 del 29 de octubre de 2025, la Dirección de Investigaciones de Protección de Datos Personales decretó de oficio la prueba consistente en: “1.1 Requerir a la sociedad RAPPI S.A.S., identificada con Nit 900.843.898-9, con el fin de que aporte a la presente investigación copia del “paz y salvo” remitido desde la dirección de correo electrónico support@rappipay.mail.kustommerapp.com al destinatario XXXXXXXXXXXXXXXXXXXX el 07 de julio de 2022 a las 6:52 pm. 1.2 Requerir a la sociedad HOLDING RAPPIPAY S.A.S., identificada con–– Nit 901.471.048- 1, con el fin de que aporte a la presente investigación copia del “paz y salvo” remitido desde la dirección de correo electrónico support@rappipay.mail.kustommerapp.com al destinatario XXXXXXXXXXXXXXXXXX el 07 de julio de 2022 a las 6:52 pm. 1.3 Requerir a la titular XXXXXXXXXXXXXX, identificada con c.c. XXXXXXXXXXXXX con el fin de que aporte a la presente investigación copia del “paz y salvo” remitido desde la dirección de correo electrónico support@rappipay.mail.kustommerapp.com al destinatario XXXXXXXXXXXXXXXXXXX el 07 de julio de 2022 a las 6:52 pm”. 5.1 Que mediante Resolución 92484 de 2025 se aclaró la Resolución 88103 del 29 de octubre de 2025 en el sentido de fijar la fecha de vencimiento del período probatorio en el trámite del recurso de reposición.
SEXTO: Que, una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 de la Ley 1437 de 2011, Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho hará las siguientes precisiones: 6.1 De la presunta indebida formulación de cargos En relación con lo expresado por el recurrente, se tendrán en cuenta las consideraciones sentadas, a este respecto, en el acto administrativo 88103 del 29 de octubre de 2025. 6.2 De la autorización para el acceso a la información crediticia de la titular Sobre este aspecto, se refirió el recurrente señalando que “La Delegatura incurre en contradicciones argumentativas dentro de la Resolución Sanción al punto que, en una sección afirma que Rappi sí contaba con autorización del titular de la información para el tratamiento de sus datos personales, pero en una siguiente sección rechaza la existencia de dicha autorización, a pesar de que la autorización nunca fue revocada por parte de la titular de la información, como se pasa a ver: La Delegatura reconoce la existencia de autorización: “Por la cual se resuelve un recurso” La Delegatura niega la existencia de autorización: Estos errores manifiestos en la aproximación al caso generan que la imputación adolezca de validez como ya se sostuvo a lo largo de todo el trámite administrativo sancionatorio.
En particular, Rappi ha defendido que una imputación válida debe seguir unos parámetros y principios que son generales y emanan del derecho al debido proceso consagrado en el artículo 29 de la Constitución Política. Dichos derroteros son que la imputación sea (i) clara; (ii) precisa; (iii) circunstanciada y específica; (iv) integral; (v) atribuible; y (vi) típica.
Esta tesis se encuentra soportada en el artículo superior ya mencionado y en la jurisprudencia del Consejo de Estado en materia de derecho administrativo sancionador que se invoca por vía de analogía al caso que nos ocupa, como un criterio auxiliar de interpretación. Sobre el particular, la SIC sostuvo en la Resolución Sanción que estos parámetros no son aplicables al procedimiento administrativo sancionatorio que adelanta la SIC conforme al Código de Procedimiento Administrativo y de lo Contencioso Administrativo (en adelante “CPACA”), bajo la premisa que las finalidades, consecuencias y raigambre constitucional del procedimiento regulado en el CPACA son distintas de la sentencia citada por este apoderado a modo de criterio de interpretación y, por esa razón, la imputación realizada por la SIC no debe seguir los criterios listados en el párrafo precedente.
Esta argumentación es inadmisible porque un código como el CPACA no puede ser contrario a los valores constitucionales y ese es el eje central del argumento esbozado. Con el debido y acostumbrado respeto, este apoderado difiere de la postura de la Dirección por cuanto, en primer lugar, la sentencia citada como fundamento de los requisitos de la imputación de cargos, se invoca como un criterio auxiliar de interpretación en los términos del artículo 230 de la Constitución Política de Colombia.
En segundo lugar, el hecho de que una norma jurídica no detalle los elementos que componen una imputación válida, no exime a la autoridad, en este caso la SIC, interpretar la misma con criterios de razonabilidad y constitucionalidad que permitan garantizar el pleno ejercicio del derecho al debido proceso. De otra manera, una aplicación irreflexiva de la norma sancionatoria no respetara los parámetros constitucionales que son el límite de la arbitrariedad en el ejercicio del ius puniendi estatal.
No obstante, dicha interpretación desconoce los verdaderos cimientos de la decisión impugnada en tanto que arguye una contradicción que no existe, en razón a que, esta Dirección sí reconoció que la titular otorgó la autorización para la consulta a su historial crediticio el 18 de noviembre de 2021, al realizar la “Por la cual se resuelve un recurso” solicitud para la adquisición de la tarjeta de crédito RappiCard.
Sin embargo, dicha autorización, tal como lo concibe esta Autoridad, no puede entenderse concedida de manera indefinida y sin ningún tipo de limitación temporal, pues ello implicaría que el usuario resulte facultado para conocer la información financiera del titular, inclusive después de cesado cualquier vínculo contractual. Así las cosas, la conclusión arrojada es consistente en tanto que establece un margen en el cual se satisface la necesidad del usuario de calcular el riesgo crediticio de la operación a realizar, pero garantiza el respeto a la temporalidad como principio de la correcta administración de datos personales de carácter financiero, conforme a los lineamientos establecidos tanto en la Ley 1266 de 2008 como en la Sentencia que estudió su constitucionalidad.
Ahora bien, teniendo en cuenta que la conducta reprochada en la presente causa a la sociedad RAPPI S.A.S. fue precisamente haber accedido a la información crediticia de la titular XXXXXXXXXXXXX, luego de concluida la relación comercial entre ambas, este Despacho estimó conducente establecer cuáles eran los extremos de dicha relación contractual, a través del contenido integral del “paz y salvo” remitido el 07 de julio de 2022 a la denunciante.
Así, la prueba aportada con ocasión de la Resolución 88103 del 29 de octubre de 2025 1 es la siguiente: Prueba aportada por la sociedad HOLDING RAPPIPAY S.A.S., bajo el radicado 22-402342-57-1 del 24 de noviembre de 2025. “Por la cual se resuelve un recurso” Al respecto, puede observarse que el documento es suscrito por la señora XXXXXXXX en representación de la sociedad HOLDING RAPPIPAY S.A.S. y hace referencia a la cancelación de un cupo de crédito adquirido con esa sociedad.
Condiciones que para esta Dirección generan una duda referente a los presupuestos necesarios para que se configure la conducta trasgresora de la Ley y su consecuente sanción administrativa, en tanto que esta no permite constatar que la sociedad RAPPI S.A.S., a la fecha de la consulta realizada ante los operadores ya hubiere concluido su vínculo comercial con la denunciante.
En razón a lo anterior, este Despacho aplicará el principio in dubio pro administrado, toda vez que no concurren los factores objetivos de responsabilidad que permitan al fallador mantener la sanción pecuniaria impuesta a la sociedad RAPPI S.A.S. por cuanto, como se ha dicho, el elemento sustancial a partir del cual se estableció que el acceso llevado a cabo por la investigada vulneraba las disposiciones contenidas en el numeral 1) del artículo 9 de la Ley 1266 de 2008, en concordancia con lo previsto por el artículo 15 ídem no otorga certeza de las circunstancias que rodean los hechos infractores.
Por lo descrito, la duda razonable se resolverá en favor de los intereses de la sociedad investigada como sujeto pasivo de la acción sancionadora, revocándose en su totalidad la Resolución 38144 del 19 de junio de 2025.
SÉPTIMO: Que, con el fin de garantizar los derechos de defensa y contradicción, esta Dirección ha concedido el acceso digital del expediente 22-402342 a la sociedad RAPPI S.A.S. identificada con el Nit 900.843.898-9, con el correo electrónico de notificación judicial notificacionesrappi@rappi.com quien debe registrarse en CALIDAD DE EMPRESA, en el siguiente enlace https://servicioslinea.sic.gov.co/servilinea/inicio.
Una vez registrada, en el mismo enlace podrá iniciar sesión a servicios en línea, donde deberá ingresar al vínculo denominado “ver mis trámites” y luego seleccionar “De protección de datos personales”, donde podrá visualizar el presente proceso radicado bajo el No. 22-402342. La sociedad es responsable de la seguridad y utilización correcta de su USUARIO y CONTRASEÑA y deberá adoptar las medidas necesarias para que sean estrictamente confidenciales y sean utilizados únicamente por aquellas personas que estén debidamente autorizadas para ello.
Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible. En mérito de lo expuesto,
RESUELVE
ARTÍCULO 1: REVOCAR en todas sus partes la Resolución 38144 del 19 de junio 2025, de acuerdo con las previsiones hechas en la parte motiva del presente acto administrativo.
ARTÍCULO 2: NOTIFICAR personalmente el contenido de la presente resolución a la sociedad RAPPI S.A.S. identificada con Nit 900.843.898-9, a través de su apoderado especial, en calidad de recurrente.
ARTÍCULO 3: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para efecto de que los investigados respondan los requerimientos, y en general, ejerzan sus derechos, son los siguientes: - Correo de la Superintendencia Comercio: contactenos@sic.gov.co. de Industria y “Por la cual se resuelve un recurso” - Sede principal: Calle 24 Nº 7-43 Local 108 en la ciudad de Bogotá D.C., de lunes a viernes de 8:00 a.m. a 4:30 p.m.
NOTIFÍQUESE Y CÚMPLASE Dada en Bogotá D.C., 15 de diciembre de 2025 LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE DATOS PERSONALES, Firmado digitalmente por CAROLINA CAROLINA GARCIA MOLINA 2025.12.15 11:11:08 GARCIA MOLINA Fecha: -05'00' CAROLINA GARCÍA MOLINA Proyectó: LR Revisó: CG Aprobó: CG