Resolución sancionatoria N° 69804 de 2021

(28 OCTUBRE 2021) “Por la cual se impone una sanción y se imparten órdenes” Radicación 20-193255 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012 y los numerales 5 y 9 del artículo 17 del Decreto 4886 de 2011, y

CONSIDERANDO

PRIMERO: Que esta Superintendencia, tuvo conocimiento de la presunta violación de las normas de protección de datos personales contenidas en la Ley 1581 de 2012 por parte de la sociedad ALMACENES ÉXITO S.A., identificada con Nit. 890.900.608-9 por lo que decidió iniciar investigación administrativa mediante la Resolución N°. 69305 del 29 de octubre de 2020 en consideración a la remisión realizada por el Grupo de Trabajo de Habeas Data, la cual en la parte considerativa de la Resolución N° 19449 del 27 de abril de 2020 evidenció que: “6.1 Respecto del derecho de los Titulares de solicitar la supresión de su información personal (…) [Los] Titulares pueden solicitar la actualización, rectificación y supresión de su información personal cuando en el dato resulte, inexacto, incompleto, fraccionado, induzca a error o aquellos cuyo tratamiento este expresamente prohibido o no haya sido autorizado; pero siempre y cuando la Superintendencia de Industria y Comercio ‘haya determinado que en el tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley (la 1581 de 2012)’.

Empero, la Corte Constitucional, en la sentencia que analizó la exequibilidad de la citada Ley, determinó que al fijar el legislador tales condiciones, limitó desproporcionadamente el ejercicio del derecho fundamental de Habeas Data. (…) Entonces, es claro que de conformidad con los principios que regulan la administración de datos personales, el ejercicio del derecho fundamental de Habeas Data permite a los Titulares solicitar la supresión de información que haya sido recogida en bases de datos, de suerte que la Corte consideró que la interpretación adecuada del señalado literal e) es aquella en virtud de la cual el Titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales, caso en el cual, en aras de garantizar el debido proceso, la Superintendencia de Industria y Comercio deberá determinar que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que imponga al Titular al deber de permanecer en la referida base de datos, consideración que fue recogida en el capítulo 26 sección 2 artículo 2.2.2.25.2.7 del Decreto 1074 de 2015.

Frente al caso en particular encuentra este Despacho que, en virtud de lo establecido en el artículo 13 de la Ley 1581 de 2012, conforme al principio de libertad, el tratamiento de la información personal sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. En el caso bajo examen, el titular informa que la sociedad Grupo Éxito S.A.S. de manera reiterativa le ha remitido una serie de mensajes de texto con información publicitaria por más de un año, razón por la cual en múltiples ocasiones ha solicitado la eliminación total de su información personal de las bases de datos de dicha sociedad y afirma que dicha sociedad le ha suministrado respuestas los días 26 de junio de 2018, 3 de mayo de 2019, 9 de mayo de 2019 y 30 de junio de 2019, respectivamente, informándole que procederían con la eliminación “Por la cual se impone una sanción y se imparten órdenes” HOJA N, de sus datos personales.

Sin embargo, asegura que continúa recibiendo mensajes de texto con contenido publicitario y/o comercial por parte de la sociedad Grupo Éxito S.A.S. (fl.1), allegando para tales efectos copias de los pantallazos de los mensajes de textos enviados en los días 20 de junio, 27 de junio, 28 de junio y 30 de junio, 1 de julio y 20 de julio de 2019, respectivamente en donde se evidencia el envío de información publicitaria y/o comercial no deseada a su número de celular.

(…) Por su parte, la sociedad Grupo Éxito S.A.S. indicó a este Despacho que el día 6 de marzo de 2015 el Titular de la información ingresó a la base de datos de la sociedad, toda vez que suscribió el formulario virtual de la página web www.exito.com. A su vez, mencionó que el Titular conoció del correspondiente aviso de privacidad junto con la autorización para el tratamiento de la información personal registrada al momento de diligenciar el formulario, así como también advirtió que la aceptación de dicho aviso de privacidad es requisito indispensable para efectuar el registro en la base de datos de la sociedad.

De igual forma, informó que dentro del aviso de privacidad que el Titular de la información aceptó, se establece que la sociedad cuenta con la autorización para remitir información publicitaria, ofertas, servicios, promociones y/o alianzas, de manera que el reclamante tenía conocimiento de maneta(sic) previa del tratamiento que se le iba a dar a su información personal, a su vez, afirmó que una vez conoció la queja radicada por el Titular el día 30 de abril de 2019, atendiendo a la solicitud del reclamante solicitó que el mismo acreditara su calidad de Titular de la información, de conformidad con lo establecido en el artículo 20 del Decreto 1377 de 2013 y se le preguntó si la solicitud de eliminación de la información se refería a toda la información registrada en sus bases de datos o únicamente a lo que se refería sobre el envío de información publicitaria (fl.17).

Po(sic) último, indicó que el día 30 de abril de 2019, el Titular remitió un correo electrónico a través del cual allegó copia de su documento de identidad e indicó que la solicitud radicad(sic) en la eliminación de su número de celular de las bases de datos de la entidad (fl. 17). En consecuencia, afirmó que procedió a realizar los ajustes correspondientes para que el Titular no continuara recibiendo información publicitaria a su número de celular y el día 3 de mayo de 2019 le remitió un correo electrónico en donde se le notificó el procedimiento efectuado (fl. 18).

(…) [Este] Despacho observa que el Titular allegó copia de los correos electrónicos enviados por parte del Titular a la sociedad Grupo Éxito S.A.S., de fechas 17 de abril de 2019, 23 de abril de 2019, 30 de abril de 2019 (fl. 3 reverso al 6), respectivamente, a través de los cuales solicitó la eliminación de su número móvil (…) de la base de datos de publicidad y promoción de la sociedad investigada y, a pesar que dichos correos electrónicos fueron respondidos por la sociedad Grupo Éxito S.A.S. en los días 23 de abril de 2019, 30 de abril de 2019, 6 de mayo de 2019 y 9 de mayo 2019, respectivamente, estas respuestas no cumplieron con la finalidad prevista, es decir, que se efectuara la eliminación total y definitiva de su número móvil (…) de sus bases de datos, toda vez que, durante el transcurso de las peticiones y las respuestas emitidas de las mismas, el Titular recibió alrededor de 8 mensajes de texto con contenido publicitario y/o comercial en los días 20 de junio, 27 de junio, 28 de junio y 30 de junio, 1 de julio y 20 de julio de 2019, respectivamente.

(…)”.

SEGUNDO: De la denuncia presentada por el Titular XXXX XXXXIXX XXXXXXX XXXXX se extrajeron los siguientes hechos1: “(…) 2.1 Informa que la sociedad Grupo Éxito S.A.S. de manera reiterativa le ha remitido una serie de mensajes de texto con información publicitaria por más de un año, razón por la cual en múltiples ocasiones ha solicitado la eliminación total de su información personal de las bases de datos de dicha sociedad y afirma que dicha sociedad le ha suministrado respuestas los días 26 de junio de 2018, 3 de mayo de 2019, 9 de mayo de 2019 y 30 de junio de 2019, respectivamente, informándole que procederían con la eliminación de sus datos personales.

Sin embargo, asegura que continúa recibiendo mensajes de texto con contenido publicitario y/o comercial por parte de la sociedad Grupo Éxito S.A.S. 1 Resolución 19449 del 27 de abril de 2020 (Artículo 2). “Por la cual se impone una sanción y se imparten órdenes” HOJA N, 2.2 Solicita que se ordene a la sociedad Grupo Éxito S.A.S. la eliminación de su número de teléfono móvil No. xxxxxxxxxx de sus bases de datos y que cese el envío de mensajes de texto con información publicitaria y/o comercial no deseada. 2.3.

Allega: 1) copia del recurso de reposición presentado ante la sociedad investigada el día 30 de junio de 2019, junto con todos los pantallazos de los mensajes de texto de fechas 20 de junio, 27 de junio, 28 de junio y 30 de junio, 1 de julio y 20 de julio de 2019, respectivamente, en donde se evidencia el envío de información publicitaria y/o comercial no deseada a su número de celular y 2) copia de los pantallazos de los correos electrónicos enviados los días 6 y 9 de mayo de 2019 por parte de la sociedad investigada y 3) copia de los mensajes remitidos por el Titular los días 17, 22, 23 y 30 de abril del 2019, respectivamente a la sociedad investigada, solicitando la solución total y definitiva de sus pretensiones (…)”.

TERCERO: Que mediante Resolución 69305 del 29 de octubre de 20202, la Dirección de Investigación de Protección de Datos Personales formuló cargo único contra la sociedad ALMACENES ÉXITO S.A, en adelante “la investigada”, identificada con NIT 890.900.608-9 por la presunta contravención de las normas de protección de datos personales en particular, el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

En el mismo acto administrativo, se concedió el término de quince (15) días hábiles a la sociedad investigada para que rindiera descargos y aportara las pruebas que pretendiera hacer valer en la presente actuación.

CUARTO: Que la Resolución 69305 del 29 de octubre de 2020 le fue notificada mediante Aviso N°. 29853 a la sociedad ALMACENES ÉXITO S.A., el 11 de noviembre de 2020 según consta en la certificación expedida por la Secretaria General de esta Superintendencia, radicada bajo el número 20-193255- -14 del 9 de diciembre de 2020.

QUINTO: Que encontrándose dentro del término establecido para el efecto, la sociedad investigada, a través de apoderada especial, presentó descargos bajo los números de radicación 20-19325510, 20-193255-11, 20-193255-12 y 20-193255-13 el día 3 de diciembre de 2020, presentó los respectivos descargos3 y anexos. “(…) 5.1. Consideraciones previas “El presente documento se origina a raíz del cargo único formulado en contra de Éxito mediante la Resolución No. 69305 del 29 de octubre de 2020, el cual se cita a continuación:

ARTÍCULO PRIMERO: FORMULAR PLIEGO DE CARGOS contra la sociedad ALMACENES ÉXITO S.A., identificada con NIT: 890.900.608 - 9, representada legalmente por el señor Carlos Mario Giraldo Moreno, identificado con cédula de ciudadanía número 71.590.612, por la presunta contravención de lo dispuesto en: • El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

Así las cosas, el artículo referenciado por esta Superintendencia y que presuntamente Éxito habría vulnerado sería: Artículo 17. Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data;

El propósito central de este memorial es demostrarle a su despacho que Almacenes Éxito S.A. es una organización comprometida con la Protección de los Datos Personales y en consecuencia de ello, ha desplegado un Programa Integral que vela por un cumplimiento efectivo de las disposiciones establecidas en la normatividad vigente en la materia y el cual 2 Resolución 69305 del 29 de octubre de 2020 radicada bajo el número 20-193255. 3 Expediente digital No. 20 – 193255 (consecutivo 10,11,12 y13).

“Por la cual se impone una sanción y se imparten órdenes” HOJA N, se encuentra en mejora continua para brindarle a sus destinatarios una protección cada vez más eficaz de su derecho de habeas data, siendo una compañía garante de la información de carácter personal que trata con ocasión al desarrollo de su objeto social. En consecuencia de lo anterior, el objetivo es demostrar ante su despacho que Éxito si procedió con el cumplimiento efectivo de lo solicitado por el titular, en cumplimiento de su compromiso organizacional frente a la protección y garantía efectiva del derecho de habeas data de los titulares.

De acuerdo con lo anterior no se configuraría la infracción descrita en el referido cargo”. 5.2. Presupuestos procesales: “El presente documento que contiene el memorial de descargos formulado en virtud de la Resolución No. 69305 del 29 de octubre de 2020, se interpone observando los presupuestos procesales establecidos en el artículo 47 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (en adelante, el “CPACA”), pues: 1.

Se presenta por el apoderado de Almacenes Éxito S.A. 2. Se formula por escrito y se relacionan las pruebas que se pretende hacer valer. 3. Se interpone dentro del término legal establecido de quince (15) días hábiles contados a partir de la notificación de la resolución referenciada, actuación que tuvo el día 11 de noviembre de 2020. Adicional, a través de la resolución 70723 del 06 de noviembre de 2020, se suspendieron los términos procesales de las actuaciones que se surten ante la Superintendencia de Industria y Comercio el día 13 de noviembre del presente año; motivo por el cual el término para presentar los recursos previstos por la ley corre hasta el día 03 de diciembre de 2020”. 5.3.

Antecedentes • “El día 16 de julio de 2019 la Superintendencia de Industria y Comercio mediante oficio 19146899, solicitó a Almacenes Éxito S.A explicaciones respecto a la solicitud de actualización y/o eliminación de la información personal, presentada por el señor XXXX XXXXXXX XXXXXXX (sic) XXXXX el 17 de abril de 2019 ante esta sociedad. • Que el 02 de agosto de 2019, Almacenes Éxito S.A, atendiendo el plazo concedido, dio respuesta al requerimiento mencionado en el numeral que antecede, manifestando: “En adición a lo anterior, adjuntamos a continuación evidencia del estado actual del registro del titular en la base de datos de clientes, en la cual se demuestra que la compañía no tiene el número de celular del titular (…)” • Que una vez efectuado el análisis de la respuesta suministrada por la sociedad ALMACENES ÉXITO S.A. y de los documentos que obran en el expediente, la Superintendencia profirió Resolución N° 19449 del 27 de abril de 2020, en la cual resolvió archivar la actuación administrativa, según lo expuesto en la parte motiva de dicha resolución, respecto de la solicitud de supresión de la información personal del Titular, toda vez que se trata de un hecho superado.” 5.4 Cumplimiento de la voluntad de la titular – Hecho superado “Como se evidenció en la respuesta otorgada por la compañía a la solicitud de explicaciones del presente caso, una vez Éxito tuvo claridad sobre la voluntad del titular, específicamente sobre su revocatoria en él envió de publicidad mediante mensajería de texto, procedió con las acciones pertinentes para el cumplimiento de lo requerido por el señor xxxxxxx xxxxx, ingresando a la herramienta de supresión de comunicaciones el número de celular del titular de datos y se procedió con la eliminación de dicho dato, de los repositorios de la compañía, y se acreditó su supresión tal y como consta, en las pruebas aportadas en la respuesta a la solicitud de explicaciones referida.

En adición a lo anterior, adjuntamos a continuación evidencia del estado actual del registro del titular en la base de datos de clientes, en la cual se demuestra que la compañía no tiene el número de celular del titular. A continuación se anexan nuevamente las capturas de las diversas interfaces de la base de datos con los registro del titular, en donde puede evidenciarse que ya no se encuentra el número de celular del señor xxxxx, en nuestros registros internos: “Por la cual se impone una sanción y se imparten órdenes” HOJA N, Como ya es conocido por este despacho, la compañía en cuanto tuvo conocimiento de la reclamación del titular y se pudo verificar la voluntad específica del mismo, se procedió de conformidad, atendiendo a los deseos del señor xxxx xxxxixx xxxxxxx(sic) xxxxx, encontrándonos así ante un hecho superado.

De lo anterior, cabe resaltar que la Superintendencia de Industria y Comercio, como autoridad competente en la materia, debe tener en cuenta la implementación de programas integrales de protección de datos, por parte de una organización, como un criterio de decisión frente a la imposición o no de una sanción de carácter administrativo por violación al régimen de protección de datos.

A partir de lo dicho, se mostrará a continuación que Almacenes Éxito ha desplegado un Programa Integral de Protección de Datos Personales el cual obedece a su compromiso con la protección de la información personal de sus diferentes públicos de interés y el cumplimiento de las disposiciones legales y estándares reglamentarios en la materia, además se dejará claro que la compañía se encuentra en mejora continua y en una búsqueda constante de oportunidades de perfeccionamiento para un amparo efectivo del derecho de habeas data de los titulares”. 5.6 Como solicitud especial, presenta la siguiente: “Teniendo en cuenta lo anterior, se solicita de manera respetuosa a su Despacho, de cierre a la presente actuación administrativa con el archivo del caso o dado lugar a una posible sanción a consideración del despacho: se tengan en cuenta todos los argumentos mencionados en torno a la protección de datos que Almacenes éxito S.A ejerce sobre la información, así como los atenuantes y proporcionalidad respectiva establecidos en el Código Contencioso Administrativo y los criterios contenidos en el literal f) del Artículo 24 de HOJA N, “Por la cual se impone una sanción y se imparten órdenes” la Ley 1581 de 2012 (…)”.

SEXTO: Que mediante Resolución 15503 del 19 de marzo de 20214 la Dirección de Investigación de Protección de Datos Personales ordenó incorporar y tener como pruebas, las obrantes a la fecha en el expediente, con el valor legal que les corresponda, así: 6.1 Pruebas recaudadas por esta Dirección: 6.1.2 Requerimiento emitido por el Grupo de Trabajo de Hábeas Data, bajo el radicado No. 19146899- -00003-000 del 16 de julio de 2019, mediante el cual se solicita allegar documentos a la sociedad investigada ALMACENES ÉXITO S.A. Obrante en expediente digital (consecutivo 2 Pág. 2). 6.1.3 Respuesta emitida por la sociedad investigada ALMACENES ÉXITO S.A, radicada bajo el número 19-146899-0000-5 del 02 de agosto de 2019.

Obrante en expediente digital (consecutivo 2 Pág. 2). 6.1.4 Política Seguridad de Información. Fecha 09/08/2017. Obrante en expediente digital (consecutivo 10 Pág. 14). 6.1.5 Política de privacidad ALMACENES ÉXITO S.A. Obrante en expediente digital (consecutivo 10 Pág. 14). 6.1.6 Sistema de Gestión de Seguridad de la Información Procedimiento Gestión de Incidentes de Seguridad de la Información Marzo de 2015.

Obrante en expediente digital (consecutivo 10 Pág. 14). 6.1.7 Boletín de cumplimiento informativo. Obrante en expediente digital (consecutivo 10 Pág. 14). 6.1.8 Acta No. 84. Comité de Auditoría y Riesgos (Reunión Ordinaria). Fecha: 13 de agosto de 2019. Suscrita por: xxxx xxxxxxxx xxxxxxx (Presidente) y xxxxxx xxxxxxx xxxxx (Secretaria). Obrante en expediente digital (consecutivo 10 Pág. 14). 6.1.9 Procedimiento Gestión de las Bases de Datos Personas Naturales.

ALMACENES ÉXITO S.A. Obrante en expediente digital (consecutivo 10 Pág. 14). 6.1.10 Grupo éxito- Manual Detallado de Seguridad de Información. Autor: Gestión de Procesos. Fecha de Creación: 4 de agosto de 2017. Obrante en expediente digital (consecutivo 10 Pág. 14). 6.3. Pruebas aportadas al interior del escrito de descargos: 6.3.1 Captura de imagen.

Master Management. Número de identificación: C.C. xxxxxxxxxxx Cliente: xxxx xxxxxxx xxxxxxx xxxxx. Adicionalmente, mediante la Resolución 52666 del 20 de agosto de 2021, se resolvió lo siguiente: “ARTÍCULO SEGUNDO: DECRETAR, de oficio, la práctica de la siguiente prueba: • La sociedad ALMACENES ÉXITO S.A, identificada con Nit. 890.900.608 - 9 deberá aportar las pruebas que considere necesarias y pertinentes que permitan verificar técnicamente la fecha exacta de supresión la eliminación total y definitiva del número celular del señor XXXX XXXXIXX XXXXXXX XXXXX de sus bases de datos”.

SÉPTIMO: Que la Resolución 15503 del 19 de marzo de 2021 le fue comunicada el 24 de marzo de 2021, a la sociedad ALMACENES ÉXITO S.A., según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada con número 20-193255- -19 del 7 de abril de 2021. Resolución 15503 del 19 de marzo de 2021, radicada bajo el número 20-193255.

HOJA N, “Por la cual se impone una sanción y se imparten órdenes”

OCTAVO: Que encontrándose dentro del término establecido para el efecto, la sociedad investigada, a través de apoderado especial, mediante escrito radicado bajo el número 20-19325518 el 31 de marzo de 2021, se pronunció en relación con la prueba decretada.

NOVENO: Que, mediante Resolución 52666 del día 20 de agosto de 2021 5 la Dirección de Investigación de Protección de Datos Personales ordenó reaperturar el periodo probatorio, incorporar pruebas y correr traslado a la investigada para alegar de conclusión por el término de diez (10) días hábiles.

DÉCIMO: Que la Resolución 52666 del día 20 de agosto de 2021 le fue comunicada el 23 de agosto de 2021, a la sociedad ALMACENES ÉXITO S.A., según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada con número 20-193255-24 del 27 de agosto de 2021.

DÉCIMO PRIMERO: Que, encontrándose dentro del término establecido para el efecto, la sociedad investigada, a través de apoderada especial, mediante escrito radicado bajo el número 20-19325525 el 6 de septiembre de 2021, presentó alegatos de conclusión.

DÉCIMO SEGUNDO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la se respeten los principios, derechos, garantías y procedimientos previstos en la ley.

DÉCIMO TERCERO: Análisis del caso 13.1 Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20116, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad e la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los Responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas específicamente en el artículo 23 de la Ley 1581 de 2012.

(ii) De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de lo consagrado en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberá tener en cuenta los hechos narrados por el denunciante, las razones de hecho y de derecho aducidas por la investigada tanto en su escrito de descargos y alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 13.2 Valoración probatoria y conclusiones 5 Resolución 52666 del 20 de agosto de 2021, radicada bajo el número 20-193255. 6 Corte Constitucional, sentencia C-748/11, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

“Por la cual se impone una sanción y se imparten órdenes” HOJA N, 13.2.1 Respecto del deber de garantizar el ejercicio del derecho fundamental de hábeas data El literal a) del artículo 17 de la Ley 1581 de 2012, prevé un deber fundamental para los Responsables de la Información, el cual establece: “ARTÍCULO

17. DEBERES DE LOS RESPONSABLES DEL TRATAMIENTO. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad: (…) a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data; (…)”. En concordancia con dicho deber, se encuentra el derecho de los Titulares de revocar y/o solicitar la supresión del dato, tal como lo dispone el literal e) del artículo 8 de la Ley 1581 de 2012, en los siguientes términos: “ARTÍCULO 8o.

DERECHOS DE LOS TITULARES. El Titular de los datos personales tendrá los siguientes derechos: (…) e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución;

(…)” La Corte Constitucional en la sentencia C-748 de 2011, mediante la cual realiza el análisis constitucional de la Ley estatutaria 1581 de 2012, manifestó: “De conformidad con la jurisprudencia de esta Corporación, dentro de las prerrogativas – contenidos mínimos- que se desprenden de este derecho encontramos por lo menos las siguientes: (i) el derecho de las personas a conocer –acceso- la información que sobre ellas están recogidas en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información;

(ii) el derecho a incluir nuevos datos con el fin de se provea una imagen completa del titular; (iii) el derecho a actualizar la información, es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada o corregida, de tal manera que concuerde con la realidad;

(v) el derecho a excluir información de una base de datos, bien porque se está haciendo un uso indebido de ella, o por simple voluntad del titular –salvo las excepciones previstas en la normativa7”.(Negrilla fuera de texto) Al respecto, debe precisar este Despacho, que tal como lo manifiesta la Corte Constitucional, el derecho de habeas data, otorga la facultad al Titular de los datos personales de exigir el acceso, corrección, adición, actualización y eliminación de su información, por lo que resulta apenas claro, que los Responsables del Tratamiento, deben proceder de conformidad, implementando las medidas y procedimientos claros, dirigidos a la protección de los datos personales y su adecuado tratamiento, garantizando al Titular de la información el libre acceso y el cumplimiento de las solicitudes que el mismo efectúe respecto de su información. En referencia al deber consagrado en el literal a) del artículo 17 de la Ley 1581 de 2012, la Corte Constitucional, en la misma providencia, señaló que: “(…) se debe entender que cuando los literales a) de los artículos 17 y 18 imponen como deberes tanto del responsable como del encargado del tratamiento, garantizar al titular en todo tiempo, el pleno y efectivo derecho de habeas data, ello incluye que se cumplan los principios 7 Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP.

Jorge Ignacio Pretelt Chaljub. Pág. 6. “Por la cual se impone una sanción y se imparten órdenes” HOJA N, para la administración de datos y los derechos de los titulares (…)8”. (Subrayado fuera del texto original). Al respecto, es oportuno señalar que el citado artículo 8º establece que los Titulares pueden solicitar la supresión de su información personal cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.

La Corte Constitucional en sentencia que analizó la exequibilidad de la citada ley9, determinó que: “(…) el individuo también es libre de decidir cuales informaciones desea que continúen y cuáles deben ser excluidas de una fuente de información, siempre y cuando no exista un mandato legal que imponga tal deber, o cuando exista alguna obligación contractual entre la persona y el controlador de datos, que haga necesaria la permanencia del dato.

(…) En consecuencia, el literal e) debe ser entendido en el sentido que el Titular podrá revocar la autorización y solicitar la supresión del dato cuando: (i) no se respeten los principios, derechos y garantías constitucionales y legales. En este caso, y en aras de garantizar el debido proceso, siempre y cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias al ordenamiento y (ii) en virtud de la solicitud libre y voluntaria del Titular del dato, cuando no exista una obligación legal o contractual que imponga al Titular el deber de permanecer en la referida base de datos (…)” En concordancia de lo anterior, es preciso traer a colación lo dispuesto en el artículo 2.2.2.25.6.2 del Decreto Reglamentario 1074 de 2015, por cuanto prevé lo siguiente: “(…) Artículo 2.2.2.25.6.2 Revocatoria de la autorización y/o supresión del dato.

Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012. La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos.

El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada. (…)”. Respecto al caso que nos ocupa, mediante Resolución No. 69305 del 29 de octubre de 2020, esta Dirección determinó preliminarmente lo siguiente: “En el caso analizado se evidencia que, aunque el titular allegó copia de los correos electrónicos enviados a la sociedad investigada (17, 23 y 30 de abril de 2019) a través de los cuales solicitó la eliminación de su número móvil de la base de datos de publicidad y promoción de la sociedad investigada y, a pesar de que dichos correos electrónicos fueron respondidos por la sociedad ALMACENES ÉXITO S.A., no es posible corroborar que se llevará a cabo la eliminación total y definitiva del número celular del titular de sus bases de datos.

Lo anterior, ya que el titular remitió pantallazos de su dispositivo móvil, en los que se observa que entre las fechas de las radicaciones de sus derechos de petición y las respuestas de los mismos, recibió múltiples mensajes de texto con contenido publicitario y/o comercial de la sociedad. De esta manera, se tiene preliminarmente que la sociedad ALMACENES ÉXITO S.A., identificada con NIT: 890.900.608 - 9 infringió con el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.”, 8 Corte Constitucional Sentencia C-748 del 6 de octubre de 2011 MP.

Jorge Ignacio Pretelt Chaljub. Pág. 257. 9 Ibidem “Por la cual se impone una sanción y se imparten órdenes” HOJA N 10, Ahora bien, dentro de la oportunidad legal para rendir descargos, la sociedad investigada presentó el respectivo escrito radicado bajo los números 20-193255- -00010-0000, 20-193255- -00011-0000, 20-193255- -00012-000010 el día 3 de diciembre de 2020, argumentando lo siguiente: “(…) Como ya es conocido por este despacho, la compañía en cuanto tuvo conocimiento de la reclamación del titular y se pudo verificar la voluntad específica del mismo, se procedió de conformidad, atendiendo a los deseos del señor xxxx xxxxxxx xxxxxxx(sic) xxxxx, encontrándonos así ante un hecho superado.

De lo anterior, cabe resaltar que la Superintendencia de Industria y Comercio, como autoridad competente en la materia, debe tener en cuenta la implementación de programas integrales de protección de datos, por parte de una organización, como un criterio de decisión frente a la imposición o no de una sanción de carácter administrativo por violación al régimen de protección de datos.

A partir de lo dicho, se mostrará a continuación que Almacenes Éxito ha desplegado un Programa Integral de Protección de Datos Personales el cual obedece a su compromiso con la protección de la información personal de sus diferentes públicos de interés y el cumplimiento de las disposiciones legales y estándares reglamentarios en la materia, además se dejará claro que la compañía se encuentra en mejora continua y en una búsqueda constante de oportunidades de perfeccionamiento para un amparo efectivo del derecho de habeas data de los titulares”. 5.6 Como solicitud especial, presenta la siguiente: “Teniendo en cuenta lo anterior, se solicita de manera respetuosa a su Despacho, de cierre a la presente actuación administrativa con el archivo del caso o dado lugar a una posible sanción a consideración del despacho: se tengan en cuenta todos los argumentos mencionados en torno a la protección de datos que Almacenes éxito S.A ejerce sobre la información, así como los atenuantes y proporcionalidad respectiva establecidos en el Código Contencioso Administrativo y los criterios contenidos en el literal f) del Artículo 24 de la Ley 1581 de 2012 (…)”.

Al interior del mencionado escrito la investigada incorporó las siguientes imágenes. Veamos: 10 Expediente digital No. 20 – 193255 (consecutivos 10,11,12 y 13) HOJA N 11, “Por la cual se impone una sanción y se imparten órdenes” Ahora bien, en cuanto al acervo probatorio se encuentra lo siguiente: De acuerdo con la queja presentada por el Titular, mediante la cual puso en conocimiento de este Despacho las razones por la cuales consideraba que se había vulnerado su derecho fundamental al habeas data, se extrae lo siguiente: “ (…) 2.1 Informa que la sociedad Grupo Éxito S.A.S. de manera reiterativa le ha remitido una serie de mensajes de texto con información publicitaria por más de un año, razón por la cual en múltiples ocasiones ha solicitado la eliminación total de su información personal de las bases de datos de dicha sociedad y afirma que dicha sociedad le ha suministrado respuestas los días 26 de junio de 2018, 3 de mayo de 2019, 9 de mayo de 2019 y 30 de junio de 2019, respectivamente, informándole que procederían con la eliminación de sus datos personales.

Sin embargo, asegura que continúa recibiendo mensajes de texto con contenido publicitario y/o comercial por parte de la sociedad Grupo Éxito S.A.S. 2.2 Solicita que se ordene a la sociedad Grupo Éxito S.A.S. la eliminación de su número de teléfono móvil No. xxxxxxxxxx de sus bases de datos y que cese el envío de mensajes de texto con información publicitaria y/o comercial no deseada. 2.3.

Allega: 1) copia del recurso de reposición presentado ante la sociedad investigada el día 30 de junio de 2019, junto con todos los pantallazos de los mensajes de texto de fechas 20 de junio, 27 de junio, 28 de junio y 30 de junio, 1 de julio y 20 de julio de 2019, respectivamente, en donde se evidencia el envío de información publicitaria y/o comercial no deseada a su número de celular y 2) copia de los pantallazos de los correos electrónicos enviados los días 6 y 9 de mayo de 2019 por parte de la sociedad investigada y 3) copia de los mensajes remitidos por el Titular los días 17, 22, 23 y 30 de abril del 2019, respectivamente a la sociedad investigada, solicitando la solución total y definitiva de sus pretensiones (…)”.

Así las cosas, es pertinente traer a colación los elementos materiales de prueba recaudados por el Grupo de Trabajo de Hábeas Data, los cuales se relacionan a continuación: “(…) 3.1. Requerimiento 19-146899- -00003-000 del 16 de julio de 2019 mediante el cual se solicitó a la sociedad ALMACENES ÉXITO S.A. que remitiera “1. Acreditar prueba de la autorización (previa e informada) otorgada por el Titular de la información para el tratamiento de sus datos personales. 2.

En caso de contar con la respectiva autorización, aportar prueba mediante la cual se le informó al Titular de información la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. 3. Si ustedes han tratado la información del Titular en calidad de Encargado o Responsable( ) 4. Informar si el Titular de información ha presentado una reclamación o petición ante ustedes, en caso de ser afirmativa su respuesta favor aportar copia de la(s) misma(s) con su respectiva respuesta. 5.

Informar las políticas internas de seguridad bajo las cuales conservan la información del Titular para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. 6. En caso de ser procedente, acreditar prueba mediante la cual se demuestre que se eliminó actualizó corrigió la información del Titular de la información ( )”. 3.2.

Comunicación presentada ante esta Superintendencia por la sociedad ALMACENES ÉXITO S.A. radicada con el número 19-146899-0000-5 del 02 de agosto de 2019, al interior de la cual, en repuesta al requerimiento enunciado en el numeral 3.1. del presente acto administrativo, informó que el 30 de abril de 2019, el titular remitió un correo electrónico a través del cual allegó copia de su documento de identidad e indicó que la solicitud radicaba en la eliminación de su número de celular de los(sic) bases de datos de la sociedad; asimismo, ésta le remitió al Titular el 3 de mayo de 2019, un correo electrónico en donde se le notificó el procedimiento efectuado.

(….)” Posteriormente, mediante escrito de descargos, la investigada argumentó lo siguiente: “Por la cual se impone una sanción y se imparten órdenes” HOJA N 12, “(…) Como ya es conocido por este despacho, la compañía en cuanto tuvo conocimiento de la reclamación del titular y se pudo verificar la voluntad específica del mismo, se procedió de conformidad, atendiendo a los deseos del señor xxxx xxxxxxx xxxxxxx(sic) xxxxx, encontrándonos así ante un hecho superado.

De lo anterior, cabe resaltar que la Superintendencia de Industria y Comercio, como autoridad competente en la materia, debe tener en cuenta la implementación de programas integrales de protección de datos, por parte de una organización, como un criterio de decisión frente a la imposición o no de una sanción de carácter administrativo por violación al régimen de protección de datos.

A partir de lo dicho, se mostrará a continuación que Almacenes Éxito ha desplegado un Programa Integral de Protección de Datos Personales el cual obedece a su compromiso con la protección de la información personal de sus diferentes públicos de interés y el cumplimiento de las disposiciones legales y estándares reglamentarios en la materia, además se dejará claro que la compañía se encuentra en mejora continua y en una búsqueda constante de oportunidades de perfeccionamiento para un amparo efectivo del derecho de habeas data de los titulares”. 5.6 Como solicitud especial, presenta la siguiente: “Teniendo en cuenta lo anterior, se solicita de manera respetuosa a su Despacho, de cierre a la presente actuación administrativa con el archivo del caso o dado lugar a una posible sanción a consideración del despacho: se tengan en cuenta todos los argumentos mencionados en torno a la protección de datos que Almacenes éxito S.A ejerce sobre la información, así como los atenuantes y proporcionalidad respectiva establecidos en el Código Contencioso Administrativo y los criterios contenidos en el literal f) del Artículo 24 de la Ley 1581 de 2012 (…)”.

Al interior del mencionado escrito la investigada incorporó las siguientes imágenes. Veamos: HOJA N 13, “Por la cual se impone una sanción y se imparten órdenes” Esta Dirección mediante el acto administrativo No. 15503 de marzo 19 de 2021, consideró necesario decretar una prueba mediante la cual se permita evidenciar técnicamente la fecha exacta de la eliminación total y definitiva del número celular del Titular, así: “ARTÍCULO SEGUNDO: DECRETAR, de oficio, la práctica de la siguiente prueba: • La sociedad ALMACENES ÉXITO S.A, identificada con Nit. 890.900.608 - 9 deberá aportar las pruebas que considere necesarias y pertinentes que permitan verificar técnicamente la fecha exacta de supresión la eliminación total y definitiva del número celular del señor XXXX XXXXIXX XXXXXXX XXXXX de sus bases de datos”.

De esta forma, la investigada mediante escrito radicado bajo el número 20-193255- -00018-000011, el día 31 de marzo de 2021, dentro de la oportunidad legal, se pronunció con relación a la prueba decretada por este Despacho, en los siguientes términos. “(…) Inicialmente, es importante reiterar que dentro del caso de la referencia, una vez Éxito tuvo claridad sobre la voluntad del titular, específicamente sobre su revocatoria de la autorización para el envío de publicidad mediante mensajería de texto, procedió con las acciones pertinentes para el cumplimiento de lo requerido por el señor xxxxxxx xxxxx; para ello ingresó el número de celular del titular en la herramienta de supresión de comunicaciones y procedió con la eliminación de dicho dato de los repositorios de la compañía. Igualmente, se acreditó su supresión tal y como consta en las pruebas aportadas en la respuesta a la solicitud de explicaciones y los descargos enviados para el proceso de la referencia. A continuación se anexan nuevamente las capturas de las diversas interfaces de la base de datos con los registro del titular, en donde puede evidenciarse que ya no se encuentra el número de celular del señor xxxxx en nuestros registros internos: Por otro lado, este Despacho solicitó un análisis técnico12 al Grupo de Trabajo de Informática Forense de las imágenes y archivos aportados por la investigada; análisis del cual se extraen las siguientes observaciones.

Veamos: 11 Obra en expediente digital No. 20 – 193255 (consecutivo 18. Pág. 6) 12 Obra en expediente digital No. 20 – 193255 (consecutivo 20. Pág. 2. Folios 1 a 9) “Por la cual se impone una sanción y se imparten órdenes” HOJA N 14, Sin embargo, en dichas imágenes aportadas por la investigada no se observa la fecha exacta en que presuntamente esta atendió en forma efectiva los requerimientos realizados por el Titular de la información, consistente en la eliminación total y definitiva de su información personal, más concretamente su número móvil, con el propósito de NO seguir recibiendo mensajes de texto con contenido publicitario y/o comercial por parte de la investigada.

Conforme a lo anterior, este Despacho solicitó el análisis técnico al laboratorio de informática forense de esta Superintendencia, el cual fue allegado bajo el número de radicación 20-193255- 00020-000013 del día 28 de julio de 2021, con el propósito de corroborar la información suministrada por la investigada de conformidad con la prueba decretada mediante la Resolución 15503 de marzo 19 de 2021.

En dicho análisis se logró evidenciar que en relación a la información solicitada por este Despacho a la sociedad investigada mediante la Resolución No. 15503 del 19 de marzo de 2021, consistente en aportar las pruebas que son necesarias y pertinentes mediante las cuales se permitan verificar técnicamente la fecha exacta de supresión y la eliminación total y definitiva del número celular del Titular de sus bases de datos, la sociedad investigada NO acreditó el momento exacto en el cual se realizaron las acciones pertinentes para la eliminación total de la información del peticionario.

En los campos denominados “creado” y “última actualización de mejor versión” NO es posible establecer cuál corresponde realmente al cambio de los datos del Titular, tampoco se encontró una base de datos registrada en el RNBD con el nombre "Supresión de Comunicaciones", mediante la cual se acreditara que efectivamente se había implementado una herramienta en la que supuestamente el Titular contaba con la posibilidad de ingresar el número celular con la finalidad de suprimir dicho dato.

Con base en lo anterior, es posible concluir que la investigada NO logró demostrar que efectivamente adelantó las medidas correspondientes para atender en forma oportuna y eficiente la petición elevada por el Titular, mediante la cual buscaba que se le garantizara el derecho fundamental al hábeas data, razón por la cual, se encuentra plenamente demostrada la infracción 13 Obra en expediente digital No. 20 – 193255 (consecutivo 20.

Pág. 2) “Por la cual se impone una sanción y se imparten órdenes” HOJA N 15, al deber consagrado en la norma estatutaria consistente en garantizar al titular el pleno y efectivo ejercicio de dicho derecho fundamental. Así las cosas, se tiene que la sociedad ALMACENES ÉXITO S.A., trató la información del Titular, aun después de que el Titular solicitara que no se siguieran tratando sus datos personales para ninguna finalidad, lo que implica que no garantizó al denunciante su derecho de habeas data relacionado con la supresión de sus datos.

Corolario de lo anterior, no es de recibo para este Despacho el argumento según el cual, en este caso se materializó la figura del hecho superado, ya que tal como se demostró con la prueba decretada y su correspondiente análisis, NO está acreditado que la investigada hubiese procedido a ejecutar las acciones pertinentes para dar cumplimiento a la solicitud del Titular, en el sentido de eliminar su información personal de la base de datos de los clientes de la compañía, ya que desde el día 17 de abril de 2019 hasta la fecha, no está demostrado tal procedimiento.

Por último, no es procedente la solicitud que realiza la investigada invocando el literal f) del artículo 24 de la Ley 1581 de 2012, ya que los argumentos expuestos en el escrito de descargos y reiterados mediante los alegatos de conclusión, están encaminados a desvirtuar el cargo único formulado a través de la Resolución No. 69305 del 29 de Octubre de 2020 y NO a reconocer en forma expresa la infracción cometida, tal como lo exige la norma estatutaria.

Como consecuencia de lo anterior, este Despacho encuentra demostrado el actuar negligente de la sociedad ALMACENES ÉXITO S.A. en el cumplimiento del deber previsto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, por lo cual se procederá a imponer una sanción de carácter pecuniario. 13.2.2 El principio de Responsabilidad Demostrada – Accountability En los descargos presentados mediante oficio con número de radicado 20-193255-10, 20-19325511, 20-193255-12, 20-193255-13 del 3 de diciembre de 2020, ALMACENES ÉXITO S.A. señala que ha implementado un Programa Integral de Protección de Datos Personales, de manera que el mismo debe tenerse en cuenta para el análisis del caso que nos ocupa.

Al respecto, este Despacho precisa que el artículo 2.2.2.25.6.1 del Decreto Único Reglamentario 1074 de 2015, estableció la obligación de las empresas de demostrar, a petición de la para cumplir con las obligaciones establecidas en la Ley 1581 de 2012, señalando que dichas medidas deben ser proporcionales a: (i) la naturaleza jurídica del responsable, su tamaño empresarial;

(ii) la naturaleza de los datos personales objeto del tratamiento; (iii) el tipo de tratamiento y; (iv) los riesgos potenciales que el tratamiento podría causar sobre el derecho de los titulares. Así mismo, el artículo 2.2.2.25.6.2 del Decreto mencionado, frente a las políticas internas efectivas que deben implementar los Responsables, dispuso: “Artículo 2.2.2.25.6.2.

Políticas internas efectivas. En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 2.2.2.25.6.1. las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1.

La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este capítulo. 2. La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3.

La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la para el manejo adecuado de los datos personales que administra un Responsable será tenida “Por la cual se impone una sanción y se imparten órdenes” HOJA N 16, en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente capítulo.” Ahora bien, continuando con el análisis del escrito presentado, la sociedad investigada argumenta que su Programa Integral de Protección de Datos está compuesto por tres componentes principales, a saber: (i) compromiso de la organización;

(ii) controles efectivos del programa y; (iii) evaluación y revisión continua. Sobre el primero de ellos, señala que corresponde a “aquel compromiso corporativo por la protección de datos personales y la construcción de un programa integral. Teniendo en cuenta un involucramiento de la dirección y de la alta gerencia, contar con un oficial de protección de datos personales y la construcción de métricas e informes que permitan realizar un seguimiento al progreso del programa”.

Sobre el particular, la sociedad investigada aporta como prueba el Acta No. 84 del 13 de agosto de 2019 de la reunión ordinaria Comité de Auditoría y Riesgos, respecto de la cual el Despacho encuentra que: (i) corresponde a una reunión llevada a cabo con posterioridad a la ocurrencia de los hechos objeto de esta actuación administrativa, ya que los derechos del denunciante se vulneraron hasta el 30 de julio de 2019, fecha en la cual aún continuaba recibiendo mensajes publicitarios por parte de la investigada y;

(ii) en el orden del día previsto en el acta, en el numeral 5 el tema a tratar indicado es el de Cumplimiento – Protección de Datos Personales y en el numeral 3.3. del desarrollo de la reunión enuncian este tema; no obstante, dentro del título 3.3 Cumplimiento – Protección de Datos Personales no hay contenido alguno. Por su parte, dentro de este primer componente menciona en el escrito de descargos que aportan copia del informe mensual del Oficial para la protección de datos personales; sin embargo, este documento no fue aportado al expediente.

En relación con el segundo componente, controles efectivos del programa, referente a la “existencia de medidas que permitan verificar el despliegue de los lineamientos del programa dentro de la organización, velando por la mejora continua”, este Despacho respecto de los documentos aportados en los descargos por la sociedad ALMACENES ÉXITO S.A. para acreditar la ejecución de este componente, encuentra lo siguiente: (i) La Política de Privacidad fue aprobada el 9 de agosto de 2019 por parte del representante legal de la sociedad investigada, por lo tanto, estamos, nuevamente, ante un documento generado con posterioridad a la fecha de ocurrencia de los hechos materia de investigación. (ii) Los boletines de cumplimiento informativos están fechados del 23 de enero de 2020, 12 de marzo de 2020, 7 de mayo de 2020, 4 de junio de 2019 y 9 de julio de 2020, de manera que también son posteriores a los hechos objeto de investigación. (iii) La Política de Seguridad de la Información del 9 de agosto de 2017 no está suscrita por los responsables de su revisión y aprobación, al igual que el Procedimiento Gestión de Incidentes de Seguridad de la Información de marzo de 2015 y el Manual Detallado Seguridad de Información con fecha de última revisión del 8 de agosto de 2017.

(iv) El Procedimiento de Gestión de Bases de Datos de Personales Naturales no se encuentra fechado y no está suscrito por los encargados de su revisión y aprobación. En cuanto al tercer componente, evaluación y revisión continua, la sociedad investigada indica que hace referencia a la “revisión y verificación de la pertinencia y efectividad del programa, el cual no es estático, sino que este debe adaptarse de conformidad con la dinámica de la organización y los cambios que se presentan en la normativa aplicable a la materia”.

Por lo anterior, este Despacho reitera que, en aras de demostrar el cumplimiento del principio de responsabilidad demostrada, no basta con que los procesos o documentos estén elaborados y dispuestos para consulta y aceptación de los empleados de la ALMACENES ÉXITO S.A. El éxito de la aplicación y efectiva implementación de este principio dependerá del compromiso y demostración real por parte de todos los miembros de la organización, pero especialmente, de los directivos de las organizaciones, ya que sin su dirección y apoyo, todo esfuerzo será insuficiente para diseñar, implementar, revisar, actualizar y evaluar los programas de gestión de datos personales.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 17, El principio de responsabilidad demostrada se articula con el concepto de “compliance” en la medida que este hace referencia “al conjunto de procedimientos y buenas prácticas adoptados por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos”14.

Así las cosas, la identificación y clasificación de riesgos, así como la adopción de medidas para mitigarlos son elementos cardinales del “compliance” y de la efectiva aplicación del principio de responsabilidad demostrada (accountability). De ahí que, se considere fundamental que las organizaciones desarrollen y pongan en marcha, entre otros, un sistema de administración de riesgos asociados al tratamiento de datos personales, que les permita identificar, medir, controlar y monitorear todos aquellos hechos o situaciones que puedan incidir en la debida administración del riesgo a que están expuestos en desarrollo del cumplimiento de las normas de protección de datos personales.

Aunado a lo anterior, el cumplimiento de tal principio implica necesariamente garantizar y velar por el cumplimiento estricto de la normatividad aplicable al caso y poder demostrar que los documentos elaborados han sido diligenciados e implementados para que, a través de estos, se pueda demostrar el cumplimiento de la normatividad consagrada en el régimen de protección de datos personales contenido en la Ley Estatutaria 1581 de 2012.

Además de lo anterior, el cumplimiento de este principio busca que el Responsable del Tratamiento, así como el Encargado del Tratamiento demuestre que dentro de su organización se cuenta con (i) Una estructura de gobierno corporativo en el sentido de que la formulación de políticas y procedimientos para el tratamiento reflejen una cultura de respeto a la protección de los datos personales;

(ii) Un programa corporativo que tenga controles efectivos, que responde al tamaño y estructura de la organización, destinado al cumplimiento, implementación y consolidación del régimen de protección de datos; y (iii) Una evaluación y revisión continúa de los controles que lo integran, con el fin de determinar la pertinencia y eficacia del plan de gestión para lo cual deberán desarrollarse auditorías internas para evaluar, en una fase preliminar, el grado de cumplimiento con la normatividad de protección de datos.

Sin embargo, este Despacho se permite reiterar que no basta con tener una cultura que propenda por el respeto en la teoría (como se demostró en la resolución recurrida), sino que dicha cultura debe materializarse en la práctica a través del efectivo cumplimiento de la Ley 1581 de 2012, más allá de que esta autoridad requiera a la recurrente sobre su cumplimiento, ya que es un deber de la organización dar pleno cumplimiento a tal normatividad y es un derecho constitucional del ciudadano que se le respeten sus datos personales.

Por otra parte, se reitera que el objeto de esta actuación administrativa ha sido investigar la presunta vulneración por parte de la sociedad investigada del deber previsto en: (i) en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, por lo cual el análisis de este principio no se realizará a mayor profundidad.

DÉCIMO CUARTO: Una analizadas las pruebas obrantes en el expediente y en virtud del literal e) del artículo 21 de la Ley 1581 de 2012, mediante el cual se le asigna, entre otras funciones, a esta Superintendencia “impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disipaciones previstas en la presente ley”, esta instancia procederá las siguientes órdenes cargo de la sociedad Cfr. World Compliance Association (WCA). http://www.worldcomplianceassociation.com/que-es-compliance.php (última consulta 20 de abril de 2020) “Por la cual se impone una sanción y se imparten órdenes” HOJA N 18, En el término de dos (2) meses contados a partir de la ejecutoria de la presente decisión y en virtud de lo dispuesto en los artículos 2.2.2.25.6.1.

(Demostración) y 2.2.2.25.6.2.(Políticas internas efectivas) del Decreto Único Reglamentario 1074 de 2015, la sociedad ALMACENES ÉXITO S.A., deberá adoptar medidas efectivas, apropiadas y verificables para: (a) Suprimir de manera definitiva y oportuna los datos personales de los Titulares cuya información sea recolectada, usada o tratada por la sociedad ALMACENES ÉXITO S.A., una vez cualquier Titular del dato le solicite por cualquier medio la eliminación de sus datos o revoque la autorización del tratamiento de sus datos personales frente a todos los servicios ofrecidos o para servicios específicos que no desea seguir recibiendo.

(b) Responder de manera oportuna y de fondo las consultas o reclamos que presenten los Titulares de los datos, eliminando cualquier barrera innecesaria para garantizar los derechos de los Titulares. (c) Poner a disposición del Titular mecanismos gratuitos, útiles de fácil acceso y efectivos para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada, dichos mecanismos deben implementarse a través de los mismos medios o canales mediante los cuales la sociedad ALMACENES ÉXITO S.A., se contacta o comunica con los Titulares de los datos.

Adicionalmente, la sociedad ALMACENES ÉXITO S.A, deberá implementar un mecanismo de monitoreo permanente respecto de la efectividad de las medidas adoptadas para dar cumplimiento a las anteriores órdenes. Para demostrar lo anterior, la sociedad ALMACENES ÉXITO S.A, deberá: Primero: Acreditar ante esta entidad y dentro del término de dos (2) meses contados a partir de la ejecutoria de la presente decisión una certificación de cumplimiento de las ordenes impartidas por esta entidad.

Dicha certificación debe ser remitida por una persona jurídica nacional o extranjera, la cual debe ser un tercero imparcial y especializado en los temas que involucra la implementación de cada orden. Segundo: Realizar una auditoría externa enfocada en la verificación de la aplicación de las medidas efectivas y apropiadas para cumplir todo lo ordenado por esta entidad.

Los resultados de la auditoria deben ser remitidos a la Superintendencia de Industria y Comercio, en el término de tres (3) meses siguientes al cumplimiento oportuno de las órdenes.

DÉCIMO QUINTO: Imposición y graduación de la sanción 15.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la Ley 1581 de 2012, el cual señala lo siguiente: La Corte Constitucional señaló sobre este asunto: "ARTÍCULO 23. SANCIONES.

La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó; b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses.

En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;”.

HOJA N 19, “Por la cual se impone una sanción y se imparten órdenes” Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” (Subrayado fuera de texto).

El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional15. Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad.

En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994. En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT.

A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT. En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente.

PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: 𝑆𝑀𝑀𝐿𝑉 = 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇′𝑆 UVT vigente 2021 𝑆𝑀𝑀𝐿𝑉 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑜 𝑒𝑛 𝑈𝑉𝑇 ′ 𝑆 ∗ 𝑁ú𝑚𝑒𝑟𝑜 𝑑𝑒 𝑆𝑀𝑀𝐿𝑉 𝑎 𝑐𝑜𝑛𝑣𝑒𝑟𝑡𝑖𝑟 = 𝑆𝑎𝑛𝑐𝑖ó𝑛 𝑒𝑥𝑝𝑟𝑒𝑠𝑎𝑑𝑎 𝑒𝑛 𝑈𝑉𝑇′𝑆 De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: “Artículo 24.

Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción;

Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND. “Por la cual se impone una sanción y se imparten órdenes” HOJA N 20, d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional16 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”17 Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad.

Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012. Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros18.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, son una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de habeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros19. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es 16 Artículo 29.

El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) 17 Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. 18 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. 19 Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. HOJA N 21, “Por la cual se impone una sanción y se imparten órdenes” conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc. Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad.

Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta. La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”20.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia21. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 2322 de la misma ley.

Asimismo, el artículo 19 de la Ley 1266 de 2008 indica los criterios a seguir para graduar las sanciones en los siguientes términos: “Artículo 24. Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 15.1.1 La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012. 20 Organización de las Naciones Unidas (1948).

Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm 22Ley 1581 de 2012, artículo 23: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” “Por la cual se impone una sanción y se imparten órdenes” HOJA N 22, Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “(…) En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a la misma resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad. (…)”23 De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe, en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, la colaboración del investigado para esclarecer los hechos investigados.

También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria. Así como, la conducta de la investigada durante el trámite de la investigación administrativa. En el caso sub examine quedó demostrado que la sociedad ALMACENES ÉXITO S.A. actuó negligentemente al no atender en forma oportuna y eficiente la solicitud del Titular en el sentido eliminar de las bases de datos de los clientes de la compañía, el número celular del señor xxxx xxxxxxx xxxxxxx xxxx, incumpliendo de esta forma con el deber establecido en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

Por tanto, se impondrá como sanción una multa de CIENTO UN MILLONES SEISCIENTOS SESENTA Y DOS MIL CUATROCIENTOS PESOS/MCTE ($ 101.662.400) equivalente a Dos Mil Seiscientos (2.800). Unidades De Valor Tributario - UVT24 vigentes por el incumplimiento del deber establecido en literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015. 15.1.2 Literal c) reincidencia en la comisión de la infracción Será tenido en cuenta el criterio contenido en el literal c) del artículo 24 de la Ley 1581 de 2012 en la medida en que con anterioridad la sociedad ALMACENES ÉXITO S.A. ha sido sancionada por la misma conducta violatoria de la ley, esto es, que se ha generado reincidencia en el cumplimiento del deber previsto en el literal a) de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, razón por la cual este Despacho aumentará la sanción por el cargo único en un valor equivalente a MIL CUATROCIENTOS (1.400) UNIDADES DE VALOR TRIBUTARIO – UVT.

En efecto, enseguida se destaca las sanciones impuestas por vulneración del deber contemplado en el literal a) de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015. Radicado 17-189730 En el que mediante la Resolución No. 44026 del 25 de junio de 2018 se sancionó a la sociedad ALMACENES ÉXITO S.A. por la violación del deber establecido en el literal a) de la Ley 1581 de Corte Constitucional.

Sentencia C-125 de 2003. M.P: Marco Gerardo Monroy Cabra. FJ: 5. 24 Mediante la resolución 000111 del 11 de Diciembre de 2020, la la Unidad Administrativa Especial Dirección de Impuestos y Aduanas Nacionales (DIAN), dio a conocer el valor de la UVT aplicable en 2021, la cual quedó en $36.308. “Por la cual se impone una sanción y se imparten órdenes” HOJA N 23, 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 201525, al haberse demostrado que la sociedad: “(…) En ese orden de ideas, resulta absolutamente evidente que la intención del denunciante, al hacer uso de su derecho de supresión ante la investigada, estaba encaminada en que se eliminara toda la información personal asociada a su nombre y a no continuar recibiendo correos publicitarios, y por lo tanto el procedimiento que se debió adelantar tendría que estar dirigido a atender de manera integral la solicitud presentada por el Titular, suprimiendo toda la información personal que tenía almacenada en sus bases de datos, situación que en el caso particular no ocurrió, puesto que la titular continuó recibiendo prospección comercial tal como fue debidamente acreditado en el curso de la presente actuación administrativa.

Así las cosas, está plenamente demostrado que en el caso en estudio el Responsable del Tratamiento omitió suprimir la dirección de correo electrónico de (…) por lo que continuó enviando correos electrónicos con contenido publicitario aun en contra de la Voluntad de la Titular, vulnerando de esta manera su derecho fundamental de habeas data.

(…)” Este Despacho dentro de la actuación administrativa, bajo el expediente con radicado 17-189730, sancionó a la citada sociedad por la suma de SETENTA MILLONES TRESCIENTOS ONCE MIL SETECIENTOS OCHENTA PESOS/MCTE ($70.311.780), por el incumplimiento del deber contemplado en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

Radicado 19 - 131597 En el que mediante la Resolución No. 44019 del 31 de julio de 2020 se sancionó a la sociedad ALMACENES ÉXITO S.A. por la violación del deber establecido en literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 201526, al haberse demostrado que la sociedad: “La sociedad ALMACENES ÉXITO S.A. actúo negligentemente al no atender efectivamente y de forma oportuna la solicitud de supresión de información en todas sus bases de datos, efectuada en ejercicio del derecho de hábeas data por la denunciante.

Por lo anterior, se impondrá una sanción pecuniaria equivalente a DOS MIL CIEN (2.100) UNIDADES DE VALOR TRIBUTARIO – UVT por la vulneración al deber establecido en el literal a) del artículo 17 de la Ley 1581 de 2012 en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.” 15.1.3 Otros criterios de graduación Por último, se aclara que los criterios de graduación de la sanción señalados en los literales b), d) y e) del artículo 24 de la Ley 1581 de 2008 no serán tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo desacato a cumplir las órdenes impartidas por la Superintendencia;

(iii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia. Igualmente, tampoco se tendrá en cuenta el literal f) del artículo 24 en tanto no hubo un reconocimiento expreso de la infracción.

DÉCIMO SEXTO: CONCLUSIÓN Se procederá a imponer una sanción por la siguiente razón: La investigada no atendió en forma oportuna y diligente la solicitud realizada en el sentido de eliminar de las bases de datos de clientes de la compañía, el número celular del señor xxxx xxxxxxx xxxxxxx xxxxx, con base en los resultados analizados con la prueba decretada por el Despacho. 25 Esta decisión fue confirmada primero mediante la Resolución 60828 del 23 de agosto de 2018, por la cual se resolvió el recurso de reposición interpuesto contra la decisión de la Resolución No. 44026 del 25 de junio de 2018 y posteriormente, a través de la Resolución 21240 del 14 de junio de 2019, por medio de la cual se resolvió el recurso de apelación interpuesto contra la Resolución No. 44026 del 25 de junio de 2018. 26 Esta decisión fue confirmada primero mediante la Resolución 62728 del 7 de octubre de 2020, por la cual se resolvió el recurso de reposición interpuesto contra la decisión de la Resolución No. 44019 del 31 de julio de 2018 y posteriormente, a través de la Resolución 27223 del 5 de mayo de 2021, por medio de la cual se resolvió el recurso de apelación interpuesto contra la Resolución No. 44019 del 31 de julio de 2020.

“Por la cual se impone una sanción y se imparten órdenes” HOJA N 24, DÉCIMO SÉPTIMO: Que como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad ALMACENES ÉXITO S.A., con Número de Identificación Tributaria 890.900.608-9, esta Dirección ha concedido el acceso al presente Expediente digital a esta, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial de la sociedad njudiciales@grupo-exito.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad njudiciales@grupo-exito.com, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos poderes y/o autorizaciones, según corresponda.

Finalmente, indicando que la totalidad del Expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad ALMACENES ÉXITO S.A., considera estrictamente necesario el acceso del Expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.

Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto este Despacho,

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad ALMACENES ÉXITO S.A., identificada con Nit.890.900.608 -9, de CIENTO CINCUENTA Y DOS MILLONES CUATROCIENTOS NOVENTA Y TRES MIL SEISCIENTOS PESOS M/CTE ($ 152.493.600), equivalente a (4.200 UVT) Unidad de Valor Tributario, por la violación a lo dispuesto en el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 ejúsdem y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit. 899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: ORDENAR a la sociedad ALMACENES ÉXITO S.A., identificada con el NIT 890.900.608-9, por conducto de representante legal, señor CARLOS MARIO GIRALDO MORENO identificado con cédula de ciudadanía No. 71.590.612, lo siguiente: (a) Suprimir de manera definitiva y oportuna los datos personales de los Titulares cuya Información sea recolectada, usada o tratada por la sociedad ALMACENES ÉXITO S.A., una vez cualquier Titular del dato le solicite por cualquier medio la eliminación de sus datos “Por la cual se impone una sanción y se imparten órdenes” HOJA N 25, o revoque la autorización del tratamiento de sus datos personales frente a todos los servicios ofrecidos o para servicios específicos que no desea seguir recibiendo.

(b) Responder de manera oportuna y de fondo las consultas o reclamos que presenten los Titulares de los datos, eliminando cualquier barrera innecesaria para garantizar los derechos de los Titulares. (c) Poner a disposición del Titular mecanismos gratuitos, útiles de fácil acceso y efectivos para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada, dichos mecanismos deben implementarse a través de los mismos medios o canales mediante los cuales la sociedad ALMACENES ÉXITO S.A., se contacta o comunica con los Titulares de los datos..

ARTÍCULO TERCERO: NOTIFICAR personalmente el contenido de la presente resolución a sociedad ALMACENES ÉXITO S.A., identificada con Nit. 890.900.608, a través de su representante legal y apoderada, entregándole copia de esta e informándole que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días hábiles siguientes a su notificación.

ARTÍCULO CUARTO: COMUNICAR el contenido de la presente decisión al señor XXXX XXXXXXX XXXXXXX XXXXX, identificado con la C.C. x.xxx.xxx.xxx ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo Superindustria: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la Ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., 28 OCTUBRE 2021 El Director de Investigación de Protección de Datos Personales, CARLOS ENRIQUE SALAZAR MUÑOZ Firmado digitalmente por CARLOS ENRIQUE SALAZAR MUÑOZ Fecha: 2021.10.28 21:03:11 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: JACHP Revisó: SRB Aprobó: CESM “Por la cual se impone una sanción y se imparten órdenes” NOTIFICACIÓN: Investigada: Entidad: Identificación: Representante Legal Identificación: Correo: Dirección: Ciudad: ALMACENES ÉXITO S.A. NIT. 890.900.608-9 Carlos Mario Giraldo Moreno C.C. No. No. 71.590.612 njudiciales@grupo-exito.com Carrera 48 No. 32B Sur - 139 Envigado, Antioquia.

Apoderada: Identificación: Tarjeta Profesional: Dirección: Correo Electrónico: Ciudad: MARIA NATALIA VESGA OSORIO C.C. No. 52.690.531 No. 125.634 del C.S.J. Carrera 48 N° 32B SUR 139 njudiciales@grupo-exito.com Envigado-Antioquia. COMUNICACIÓN: Señor: Identificación: Correo electrónico: XXXX XXXXXXX XXXXXXX XXXXX C.C. No. x.xxx.xxx.xxx xxxxxxxxxx@xxxxxxx.com HOJA N 26,