Decisión 9800 de 2022 — SIC

(12 ABRIL 2022) “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Radicación 19-233237 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por el artículo 19 y los literales a) y b) del artículo 21, ambos de la Ley 1581 de 2012, el numeral 8 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que mediante Resolución N°. 67775 del 21 de octubre de 2021, la Dirección de Investigación de Protección de Datos Personales resolvió: “ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad RAPPI S.A.S., identificada con Nit. 900.843.898-9, de QUINIENTOS MILLONES TRESCIENTOS VEINTICUATRO MIL DOSCIENTOS CUARENTA PESOS M/CTE ($500.324.240), correspondiente a TRECE MIL SETECIENTAS OCHENTA (13.780) Unidades de Valor Tributario (UVT) vigentes por la violación a lo dispuesto en: (i) El literal j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 de la misma ley;

(ii) el literal a) del artículo 17 de la Ley 1581 del 2012, en concordancia con el literal e) del artículo 8 de la ley citada y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 del 2015; (iii) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 del 2015; y (iv)el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley.”

SEGUNDO: Que la Resolución N°. 67775 se notificó, mediante Avisos N°. 27053, 27054 y 27055 del 3 de noviembre de 2021, a la sociedad RAPPI S.A.S. y a sus apoderados especiales, según consta en la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 19-233237-42 del 3 de noviembre de 2021.

TERCERO: Que, dentro del término concedido para el efecto, mediante escrito radicado bajo el número 19-233237-43 del 17 de noviembre de 2021, la sociedad RAPPI S.A.S., a través de su apoderado especial, interpuso recurso de reposición y en subsidio de apelación en contra de la Resolución N°. 67775 del 21 de octubre de 2021, el cual fundamentó con los siguientes motivos de inconformidad: 3.1 Sostiene que la existencia de dos grupos de trabajo al interior de la Dirección de Investigación de Protección de Datos Personales no justifica el desconocimiento de los principios de “non bis in ídem”, confianza legítima y debido proceso, así como tampoco el quebrantamiento de la prohibición de un doble enjuiciamiento en contra de RAPPI S.A.S.; máxime si se tiene en cuenta la contradicción que encarna el hecho de que el primer trámite haya sido archivado y el segundo haya derivado en la imposición de una sanción pecuniaria en contra de la sociedad recurrente.

Con fundamento en lo anterior, considera la recurrente que se vulneró el principio de confianza legítima respecto de la Resolución N° 4814 de 2019 que dentro de la actuación 18-132370 y, que considera es una investigación, había acreditado el cumplimiento de sus deberes legales. 3.2. Considera la recurrente que esta Dirección yerra en su argumentación en tanto que, a su parecer, los trámites 18-132370 y 19-233237 se fundamentaron en las mismas normas sobre “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, la eliminación de datos personales contenidas en los literales a) y j) del artículo 17 de la Ley 1581 de 2012.

Por lo anterior manifiesta que “no es válido usar como criterio diferenciador en ambos trámites que en el primero no se haya buscado una finalidad sancionatoria y en el segundo sí, por cuanto los hechos que motivaron ambas actuaciones fueron los mismos: la queja formulada por el Señor Xxxxxx Xxxxx.”1. Para apoyar su argumento, la recurrente cita la Sentencia de la Corte Constitucional C-088 de 2002 en la cual se indica que “la prohibición del doble enjuiciamiento no excluye que un mismo comportamiento pueda dar lugar a diversas investigaciones y sanciones, siempre y cuando éstas tengan distintos fundamentos normativos y diversas finalidades”2.

De lo anterior asevera que: “La Corte utilizó esa consideración con el fin de justificar que un mismo comportamiento sea objeto de juicio en dos jurisdicciones distintas, a través de una confrontación de normas de categoría, contenido y alcance diferente, lo cual implica que en los supuestos en los que una conducta tiene implicaciones disciplinarias y, a su vez penales, y en donde existe una diferenciación entre los “fundamentos normativos y diversas finalidades”, sí resulte aplicable el doble enjuiciamiento.” 3.3 Asevera que “la Dirección debe proceder con la revocatoria de la presente sanción para que de esta manera la investigación y el reproche realizado por la Dirección en contra de Rappi se conserve en el trámite administrativo inicial, es decir, el archivo de la investigación, decisión que está en firme y que se considera un acto administrativo definitivo.”3. 3.4.

La sociedad recurrente en este punto cuestiona el análisis que realizó esta Dirección acerca de la autorización y finalidad obrantes en el acervo probatorio. Al respecto señala que: “Ahora bien, vale resaltar que afirmaciones de esta naturaleza no vienen al caso, pues el cargo formulado en contra de Rappi versaba expresamente sobre el deber de información de las finalidades en el tratamiento, más no si el contenido de las mismas, que de antemano la Dirección dio por inexistentes, eran acordes con la regulación aplicable.

Respecto de la transferencia internacional de datos, señala la recurrente que “tampoco fue acusada de que las disposiciones acerca de la transferencia internacional de datos no estaban siendo acatadas con el rigor debido a través de su modelo de autorización. Es una acusación absolutamente ajena al cargo que, por ende, viola de manera flagrante el debido proceso de mi representada.”5. 3.6.

Considera que la Dirección yerra al reprochar la inexistencia de evidencias sobre el cumplimiento del deber de informar al titular respecto de las finalidades del tratamiento de información, esto por cuanto dice estar demostrado que sí existe y que dicha evidencia da cuenta del cumplimiento del deber. Con fundamento en lo anterior, considera incongruentes el cargo y las razones que fundamentan la sanción, vulnerando así el derecho al debido proceso. 3.7.

La recurrente señala que por la mera aceptación de términos y condiciones para el uso de una aplicación haya sucedido en el mismo momento del otorgamiento del consentimiento para el uso de datos personales del denunciante, no implica que la investigada este confundiendo los dos trámites de forma concomitante. Adicionalmente, resalta que “el calificativo utilizado por la Dirección, según el cual Rappi cometió́ un “error mayúsculo” no viene al caso, entendiéndose que es la Dirección la que se equivoca al analizar las pruebas presentes en el expediente.”6 3.8.

Manifiesta la recurrente que no se “camufló u obligó”7 la aceptación del tratamiento de información del titular a la par con la aceptación de los términos y condiciones. De esta manera Recurso de Reposición, radicado 19-233237-43 del 17 de noviembre de 2021, página 4. Ibídem. Idíd, pag 6. Ibíd, pág. 9 Ibidem. Ibíd., pág. 10 Ibidem, pág 11.

HOJA N, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” la recurrente sostiene que el titular expresamente manifestó su voluntad en el sentido de autorizar el tratamiento de datos personales. 3.9. La recurrente sostiene que el consentimiento otorgado por el titular “fue expreso (prueba de lo cual se aportó́ el registro electrónico del sistema interno de Rappi), informado (puesto que todas las implicaciones de su consentimiento fueron descritas de forma visible, destacada y completa) y, por supuesto, previo al momento en el que la entrega de la información se materializó.

Lo anterior cumple enteramente con el rigor requerido por el artículo 12 de la Ley 1581 de 2012.”8. Finalmente, sobre este punto la recurrente sostiene que: “Del mismo modo, tampoco es válido descartar el cumplimiento material de la obligación de informar las finalidades en el tratamiento de la información, por el hecho de que, según la Dirección, las actividades de transferencia de información no sean adecuadas.

Con total respeto, esta última situación da muestra de una contradicción, dado que no es de recibo que la Dirección asegure que Rappi no informó las finalidades del tratamiento de la información, pero entre a analizar el modelo de autorización que las contiene, sustentando su reproche (inexistencia de autorización) en un supuesto que implica el cumplimiento del deber mismo (análisis de la autorización).”9. 3.10.

Posteriormente, plantea la presunta ausencia de análisis de los criterios de graduación de la sanción previstos en el artículo 24 de la Ley 1581 de 2012 y, en consecuencia, la imposición de una sanción pecuniaria desproporcionada en comparación con los hechos que dieron origen a la presente actuación administrativa. A título de ejemplo, trae a colación tres actos administrativos, a través de los cuales, esta Superintendencia resolvió imponer multas inferiores por hechos supuestamente similares a otras sociedades.

Adicionalmente se alega una supuesta ausencia de reincidencia, toda vez que si bien la sociedad había sido sancionada dentro de la investigación de radicado 18- 89592 mediante Resolución 9800 de 2019, la Dirección no tuvo en cuenta que la sanción que soporta la reincidencia en su momento se impuso por razones diferentes a las del caso “sub examine”.

Adicionalmente, señala la investigada que para el caso particular, “se declaró́ cumplido en la investigación iniciada y archivada por la Dirección bajo la Resolución N° 4818 de 201910”. 3.11. Por otro lado, alega la investigada necesidad de coherencia de las decisiones de la Dirección de Investigación de Protección de Datos Personales pues a través de la Resolución N° 9800 de 2019 anterior a la presente actuación y posterior a la denuncia que dio lugar a la misma se ordenó a Rappi lo siguiente: “En el término de tres (3) meses contados a partir de la ejecutoria de la presente decisión y en virtud de los artículos 2.2.2.25.6.1 (Demostración) y 2.2.2.25.6.2 (Políticas internas efectivas) adoptar medidas efectivas, apropiadas y verificables para: a) Abstenerse de enviar mensajes de texto, correos electrónicos, realizar llamadas telefónicas o comunicarse por cualquier medio con los titulares de los datos respecto de los cuales no tenga plena prueba de la autorización previa, expresa e informada para dicho efecto. b) Establecer la identidad plena de los visitantes de su página web o usuarios de sus plataformas cuyos datos son recolectados, usados o tratados por Rappi S.A.S. c) Suprimir de manera definitiva y oportuna los datos personales de los titulares cuya información es recolectada, usada o tratada por Rappi S.A.S., una vez cualquier titular del dato le solicite por cualquier medio la eliminación de sus datos o revoque la autorización del tratamiento de sus datos personales frente a todos los servicios ofrecidos por la plataforma digital de la aplicación Rappi, o para servicios específicos que no desea seguir recibiendo.

Ibidem, pág 12. Ibidem, pág 13. Ibidem, pág 16. HOJA N, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” d) Conservar prueba de la autorización previa, expresa e informada otorgada por cada uno de los titulares de los datos. e) Poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.

Estos deben implementarse a través de los mismos medios o canales de los cuales Rappi S.A.S. se contacta o comunica con los titulares de los datos. Adicionalmente la investigada deberá implementar un mecanismo de monitoreo permanente respecto de la efectividad de las medidas adoptadas para dar cumplimiento a las anteriores órdenes.

PARAGRAFO: Para demostrar lo anterior, Rappi S.A.S. deberá: Primero: Acreditar ante esta entidad y dentro del término de tres (2) (sic) meses contados a partir de la ejecutoria de la presente decisión una certificación de cumplimiento de las órdenes impartidas por esta entidad. Dicha certificación debe ser emitida por una persona jurídica nacional o extranjera la cual debe ser un tercero imparcial y especializado en los temas que involucra a la implementación de cada orden.”11 Dicha decisión fue confirmada por la Delegatura para la Protección de Datos Personales mediante Resolución 74828 de 2019 y se exhortó al Representante Legal de la sociedad para lo siguiente: “( ) que adopte las medidas pertinentes, útiles, efectivas y verificables con miras a: a) Respetar y garantizar los derechos de los titulares de los datos. b) Evitar que se repitan hechos como los que dieron origen a la presente actuación. c) Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre tratamiento de datos personales. d) Aplicar el principio de responsabilidad demostrada, observando las recomendaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)”.

Especial énfasis se debe hacer en utilizar mecanismos de monitoreo y control que permitan comprobar la efectividad de las medidas adoptadas para garantizar en la práctica los derechos de los titulares de los datos personales. e) No crear o usar “listas negras” y suprimir de las mismas el número de telefonía móvil celular de Santiago Varela Torres”12.

Al respecto alega la investigada haber procedido el día 26 de junio de 2020 a la acreditación de las ordenes y exhortos realizados por la Dirección, que exigieron la modificación de sus procedimientos internos, habiendo realizado un ejercicio de alta complejidad y que considera demostrado a esta Superintendencia con el radicado presentado el 26 de junio de 2020.

Frente a lo anterior, señala que “se recibe con sorpresa el contenido de la Resolución N° 67775, dado que por medio de la misma se sanciona a la Compañía por hechos ocurridos antes de que Rappi implementara las órdenes y exhortos impuestos, pero cuyo reproche viene después de la implementación y la acreditación correspondiente.”13, por lo que considera que la esta Dirección “es consciente de que Rappi implementó una gran cantidad de mecanismos acordes con la regulación de protección de datos personales el 26 de junio de 2020, y aun así, decide sancionar a Rappi por el mismo tipo de procedimientos que solicitó corregir en esa ocasión.”14.

De cara a lo previamente expuesto, considera la investigada que declarar la reincidencia de infracción del régimen de protección de datos personales implica que no se hayan implementado los nuevos mecanismos, o que, aun cuando estos se han puesto en funcionamiento, “son inanes ante la actividad investigativa y sancionatoria de la Entidad.”15.

Resolución 9800 del 25 de abril de 2019, artículo segundo. Resolución 74828 del 17 de diciembre de 2019, artículo segundo. Recurso de Reposición radicado 19-233237-43 del 17 de noviembre de 2021, página 18 Ibíd. Ibidem, página 19. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, 3.12 Finaliza su escrito, solicitando que se revoque la decisión adoptada mediante la Resolución N°. 67775 de 2021 y, en su lugar, se archive la presente investigación y se exonere a RAPPI S.A.S. de los cargos imputados.

Subsidiariamente, solicita que: (i) En virtud de la aplicación de los criterios de graduación de las sanciones contenidos en el artículo 24 de la Ley 1581 de 2012, imponga una sanción de menor impacto en contra de Rappi S.A.S. (ii) Se conceda el recurso de apelación en contra de la Resolución N° 27348 de 2021, ante el Superintendente Delegado para la Protección de Datos Personales.

CUARTO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012 establece que la Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, ejercerá la vigilancia para garantizar que en el tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en la presente ley y sus decretos reglamentarios.

QUINTO: Que una vez revisado el cumplimiento de los requisitos establecidos en el artículo 77 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo y con base en lo expuesto por la recurrente, este Despacho procede a realizar las siguientes consideraciones, teniendo en cuenta que los argumentos de la recurrente se enmarcan en los siguientes puntos: (i) Frente al presunto desconocimiento de los principios constitucionales de confianza legítima y buena fe, así como el quebrantamiento de la prohibición de un doble enjuiciamiento en contra de la sociedad investigada;

(ii) Frente a la supuesta necesidad de revocatoria la Resolución N°. 67775 del 21 de octubre de 2021 para que la actuación sancionatoria se conserve en el trámite inicial; (iii) Sobre el análisis de la Dirección sobre la autorización y finalidad según el acervo probatorio; iv) Frente a la ausencia de análisis de los criterios de graduación de la sanción y la desproporcionalidad de la misma; v) sobre la coherencia en las decisiones de la Dirección de Investigación de Protección de Datos Personales; y (vi) frente a las pretensiones. 5.1 Sobre el presunto desconocimiento de los principios constitucionales de confianza legítima y buena fe, así como el quebrantamiento de la prohibición de un doble enjuiciamiento en contra de la sociedad investigada Sostiene que la existencia de dos grupos de trabajo al interior de la Dirección de Investigación de Protección de Datos Personales no justifica el desconocimiento de los principios de “non bis in ídem”, confianza legítima y debido proceso, así como tampoco el quebrantamiento de la prohibición de un doble enjuiciamiento en contra de RAPPI S.A.S.; máxime si se tiene en cuenta la contradicción que encarna el hecho de que el primer trámite haya sido archivado y el segundo haya derivado en la imposición de una sanción pecuniaria en contra de la sociedad recurrente.

Con fundamento en lo anterior, considera la recurrente que se vulneró el principio de confianza legítima respecto de la Resolución N° 4814 de 2019 que dentro de la actuación 18-132370 y, que considera es una investigación, había acreditado el cumplimiento de sus deberes legales. Considera la recurrente que esta Dirección yerra en su argumentación en tanto que, a su parecer, los trámites 18-132370 y 19-233237 se fundamentaron en las mismas normas sobre la eliminación de datos personales contenidas en los literales a) y j) del artículo 17 de la Ley 1581 de 2012.

Por lo anterior manifiesta que “no es válido usar como criterio diferenciador en ambos trámites que en el primero no se haya buscado una finalidad sancionatoria y en el segundo sí, por cuanto los hechos que motivaron ambas actuaciones fueron los mismos: la queja formulada por el Señor Xxxxxx Xxxxx.”16. Para apoyar su argumento, la recurrente cita la Sentencia de la Corte Constitucional C-088 de 2002 en la cual se indica que “la prohibición del doble enjuiciamiento no excluye que un mismo Recurso de Reposición, radicado 19-233237-43 del 17 de noviembre de 2021, página 4.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, comportamiento pueda dar lugar a diversas investigaciones y sanciones, siempre y cuando éstas tengan distintos fundamentos normativos y diversas finalidades”17. De lo anterior asevera que: “La Corte utilizó esa consideración con el fin de justificar que un mismo comportamiento sea objeto de juicio en dos jurisdicciones distintas, a través de una confrontación de normas de categoría, contenido y alcance diferente, lo cual implica que en los supuestos en los que una conducta tiene implicaciones disciplinarias y, a su vez penales, y en donde existe una diferenciación entre los “fundamentos normativos y diversas finalidades”, sí resulte aplicable el doble enjuiciamiento.” Frente a las afirmaciones realizadas por la sociedad recurrente, esta instancia encuentra necesarias las siguientes precisiones: El principio de confianza legítima deriva del artículo 83 de la Constitución Política, el cual señala que “las actuaciones de los particulares y de las autoridades públicas deberán ceñirse a los postulados de la buena fe, la cual se presumirá en todas las gestiones que aquellos adelanten ante éstas”.

Tal norma superior ha sido desarrolla por la Corte Constitucional, “indicando que las relaciones con la comunidad han de ceñirse a ese principio, lo que implica, de una parte, el deber de proceder con lealtad en las relaciones jurídicas y, de otra, el derecho que los demás obren de la misma forma” 18. En línea con lo expuesto, en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo se dispone lo siguiente: “ARTÍCULO 3o.

PRINCIPIOS. Todas las autoridades deberán interpretar y aplicar las disposiciones que regulan las actuaciones y procedimientos administrativos a la luz de los principios consagrados en la Constitución Política, en la Parte Primera de este Código y en las leyes especiales. Las actuaciones administrativas se desarrollarán, especialmente, con arreglo a los principios del debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad. 1.

En virtud del principio del debido proceso, las actuaciones administrativas se adelantarán de conformidad con las normas de procedimiento y competencia establecidas en la Constitución y la ley, con plena garantía de los derechos de representación, defensa y contradicción. En materia administrativa sancionatoria, se observarán adicionalmente los principios de legalidad de las faltas y de las sanciones, de presunción de inocencia, de no reformatio in pejus y non bis in idem.” Con total apego a los postulados constitucionales y legales, esta Superintendencia, mediante Resolución 54004 del 17 de septiembre de 2012, creó y organizó el Grupo de Trabajo de Habeas Data adscrito a la Dirección de Investigación de Protección de Datos Personales, asignándole, entre otras, las siguientes funciones: “(…) 1.

Elaborar los actos administrativos que sean necesarios para el cabal cumplimiento del trámite de las quejas o reclamos que se adelanten en procura del amparo del derecho fundamental de hábeas data, de conformidad con las normas y procedimientos establecidos. (…).” El mismo 17 de septiembre de 2012, a través de la Resolución 54005, esta Superintendencia creó y organizó el Grupo de Trabajo de Investigaciones Administrativas y le asignó, entre otras, las siguientes funciones: “(…) Ibídem.

Sentencias C-544 de diciembre 1° de 1994 y C-496 de 1997, M. P. Jorge Arango Mejía. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, 3. Elaborar los actos administrativos que sean necesarios para tramitar y decidir las investigaciones que se adelanten de oficio o a petición de parte, por violación a las normas de Protección de Datos Personales.

(…).” A partir de los extractos de las resoluciones en cita, se tiene que, en efecto, tal y como lo señala la sociedad recurrente, esta Dirección está integrada por dos grupos internos de trabajo a saber: (i) el Grupo de Trabajo de Hábeas Data, cuyos procedimientos internos se enmarcan en la garantía inmediata del derecho de habeas data, y (ii) el Grupo de Trabajo de Investigaciones Administrativas, cuyo procedimiento interno está relacionado con la verificación de conductas presuntamente violatorias de la ley de protección de datos personales.

A su turno, el capítulo III del título III de la Ley 1437 de 2011 Código de Procedimiento Administrativo y de lo Contencioso Administrativo contiene la regulación del procedimiento administrativo sancionatorio. De acuerdo con el artículo 47 de este cuerpo normativo, el procedimiento administrativo está precedido de una fase previa de averiguaciones preliminares “Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado.

Concluidas las averiguaciones preliminares, si fuere el caso, formulará cargos mediante acto administrativo.”19 Después de esta etapa (i) se profiere el acto administrativo de formulación de cargos; (ii) los investigados presentan sus descargos; (iii) se adelanta el periodo probatorio; y (iv) se profiere la decisión administrativa. Estas etapas se encuentran reguladas en los artículos 47 al 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo.

Ahora bien, considerando que la formulación de cargos es un acto administrativo de trámite porque no crea, modifica o extingue una situación jurídica, ni expresa la voluntad de la administración, conforme a la sentencia T-412 de 2017 de la Corte Constitucional, no podría esta entidad, en una fase previa a la adopción de la decisión dentro del proceso sancionatorio consagrado en los artículos 47 al 52 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo (CPACA), definir con certeza y de manera específica la sanción a la que sería acreedora la investigada, pues no se ha proferido una decisión de fondo que exprese la voluntad de la administración sobre el caso en concreto.

Adicionalmente, con base en la jurisprudencia del Consejo de Estado, se ha entendido que los actos definitivos son aquellos “que concluyen la actuación administrativa, en tanto que deciden directa o indirectamente el fondo del asunto y producen efectos jurídicos definitivos”20, mientras que los actos de trámite “contienen decisiones administrativas necesarias para la formación del acto definitivo, pero por sí mismos no concluyen la actuación administrativa (…)”21.

Las disposiciones sobre el proceso administrativo sancionatorio contenidas en el Código de Procedimiento Administrativo y de lo Contencioso Administrativo constituyen el marco general de actuación para las autoridades con funciones de investigación, vigilancia y control. Sin embargo, es posible que, por vía reglamentaria, estas autoridades establezcan protocolos internos para adelantar cada una de las fases mencionadas.

En este sentido, el procedimiento aplicable para adelantar los trámites administrativos de esta Superintendencia se encuentra consignado en el “Procedimiento de Investigaciones sobre posibles violaciones a las normas sobre protección de datos personales.” Código de Procedimiento Administrativo y de lo Contencioso Administrativo, artículo 47: “Los procedimientos administrativos de carácter sancionatorio no regulados por leyes especiales o por el Código Disciplinario Único se sujetarán a las disposiciones de esta Parte Primera del Código.

Los preceptos de este Código se aplicarán también en lo no previsto por dichas leyes. Las actuaciones administrativas de naturaleza sancionatoria podrán iniciarse de oficio o por solicitud de cualquier persona. Cuando como resultado de averiguaciones preliminares, la autoridad establezca que existen méritos para adelantar un procedimiento sancionatorio, así lo comunicará al interesado.

Concluidas las averiguaciones preliminares, si fuere del caso, formulará cargos mediante acto administrativo en el que señalará, con precisión y claridad, los hechos que lo originan, las personas naturales o jurídicas objeto de la investigación, las disposiciones presuntamente vulneradas y las sanciones o medidas que serían procedentes Este acto administrativo deberá ser notificado personalmente a los investigados.

Contra esta decisión no procede recurso. Los investigados podrán, dentro de los quince (15) días siguientes a la notificación de la formulación de cargos, presentar los descargos y solicitar o aportar las pruebas que pretendan hacer valer. Serán rechazadas de manera motivada, las inconducentes, las impertinentes y las superfluas y no se atenderán las practicadas ilegalmente.

PARÁGRAFO 1 o. <Parágrafo renumerado> Las actuaciones administrativas contractuales sancionatorias, incluyendo los recursos, se regirán por lo dispuesto en las normas especiales sobre la materia.

PARÁGRAFO 2 o. <Parágrafo adicionado por el artículo 3 de la Ley 2080 de 2021. El nuevo texto es el siguiente:> En los procedimientos administrativos sancionatorios fiscales el término para presentar descargos y solicitar o aportar pruebas será de cinco (5) días. Cfr. Sentencia 11001-03-28-000-2008-00026-00. Consejo de Estado. C.P.: Filemón Jiménez Ochoa Ibídem.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, De acuerdo con este protocolo, el Grupo de Trabajo de Investigaciones Administrativas y el Grupo de Trabajo de Hábeas Data adelantan procedimientos internos distintos, los cuales, en últimas, están asociados las funciones atribuidas al Director de Investigación de Protección de Datos Personales.

En atención al procedimiento descrito, el Grupo de Trabajo de Hábeas Data, a través de la Resolución N°. 8993 del 11 de abril de 2019, se efectuó el traslado del expediente 18-181079, en los siguientes términos: “ARTÍCULO TERCERO: Remitir copia de la presente Resolución al Grupo de Trabajo de Investigaciones Administrativas de esta Dirección con el fin de que determine si existe o no mérito para adelantar una actuación administrativa de carácter sancionatorio.” Posteriormente, en virtud del traslado efectuado por el Grupo de Trabajo mencionado y de conformidad con el análisis del expediente en cita, la Dirección de Investigación de Protección de Datos Personales decidió, mediante Resolución N°. 6083 del 20 de febrero de 2020, abrir investigación y formular pliego de cargos contra la sociedad RAPPI S.A.S., identificada con Nit. 900.843.898-9, por la presunta contravención de lo dispuesto en: i) El literal j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 ejúsdem ii) El literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la misma disposición y con el artículo 2.2.2.25.2.6. del Decreto Único Reglamentario 1074 de 2015; iii) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015; y iv) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley Así las cosas, frente a la supuesta violación del principio de confianza legítima alegada por la recurrente, resulta oportuno manifestar que su protección se deduce de los principios constitucionales del Estado de Derecho y la Seguridad Jurídica.

Este principio no se encuentra reglado en nuestro ordenamiento Constitucional; sin embargo, la Corte Constitucional, lo ha implementado en el medio jurídico colombiano y lo ha definido como un corolario del principio de la buena fe, el cual consiste en que el Estado no puede modificar las reglas de juego que regulaban sus relaciones con los administrados, sin que previamente les haya otorgado un período de transición para que los administrados se acomoden a la nueva regulación jurídica.

En el derecho colombiano, el fundamento de la protección a la confianza legítima ha seguido los lineamientos sostenidos en el derecho comparado: según el cual, este principio se deduce de los principios constitucionales de Estado de Derecho y Seguridad Jurídica, y se ha agregado el principio de la buena fe, regulado expresamente en la Carta Política.

Sin embargo, es menester precisar entonces que la protección al principio de confianza legítima presupone que la situación jurídica que regulaba las relaciones con los administrados sea una situación legal similar, pues admitir tesis contraria, conduce a aceptar que el Estado no podría corregir las situaciones irregulares o ilegales porque por ajustar su actuar al Estado de Derecho, le viola el principio de confianza legítima a los asociados.

En tal sentido, la jurisprudencia del Consejo de Estado ha señalado: “(…) De la confianza legítima. En virtud del principio de buena fe, surge también la llamada confianza legítima, que exige que el Estado respete las normas y los reglamentos previamente establecidos, de modo que los particulares tengan certeza frente a los trámites o procedimientos que deben agotar cuando acuden a la administración. El principio de confianza legítima exige cierta estabilidad o convicción frente a las decisiones de la administración, por cuanto el ciudadano tiene derecho a actuar en el marco de reglas estables y previsibles.

No obstante, eso no implica la inmutabilidad o intangibilidad de las relaciones jurídicas entre los particulares y la “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N, administración, pues, de todos modos, la administración puede justificadamente cambiar las decisiones o reglamentos que adopta cuando, por ejemplo, advierte que la actuación de particular es contraria al ordenamiento jurídico.

En la sentencia T-566 de 2006, en cuanto al principio de confianza legítima, la Corte Constitucional explicó lo siguiente: “(…) la aplicación del principio de confianza legítima presupone la existencia de expectativas serias y fundadas, cuya estructuración debe corresponder a actuaciones precedentes de la administración, que, a su vez, generen la convicción de estabilidad en el estadio anterior.

Sin embargo, de ello no se puede concluir la intangibilidad e inmutabilidad de las relaciones jurídicas que originan expectativas para los administrados. Por el contrario, la interpretación del principio estudiado debe efectuarse teniendo en cuenta que no se aplica a derechos adquiridos, sino respecto de situaciones jurídicas modificables, sin perder de vista que su alteración no puede suceder de forma abrupta e intempestiva, exigiéndose, por tanto, de la administración, la adopción de medidas para que el cambio ocurra de la manera menos traumática para el afectado (…)” (subraya la Sala).

Por su parte, el Consejo de Estado ha sostenido que “a los alcances del principio de la confianza legítima se recurre para poner a salvos derechos subjetivos ante cambios abruptos en las decisiones de la administración, respetándose la confianza que el asociado ha puesto en sus instituciones, en la continuidad de sus posiciones, la cual no puede ser desconocida porque sí, cuando de por medio existe la convicción objetiva de que una decisión perdurará o se mantendrá en el tiempo”22 (Negrilla fuera de texto).

Como bien se expone, el principio de buena fe y el adyacente de confianza legítima, exige que el Estado respete las normas y los reglamentos previamente establecidos, supuesto que se encuentra plenamente demostrado en el presente caso. Ahora bien, en referencia al argumento de la sociedad recurrente, en el que manifiesta que se produjo un quebrantamiento de la prohibición de un doble enjuiciamiento en contra de RAPPI S.A.S.; máxime si se tiene en cuenta la contradicción que encarna el hecho de que el primer trámite haya sido archivado y el segundo haya derivado en la imposición de una sanción pecuniaria en contra de la sociedad; este Despacho se permite hacer algunas aclaraciones sobre la aplicación del principio de non bis in idem por parte de la Administración. En sentencia C-214 de 199423, la Corte Constitucional señalo que: “Conceptualmente el principio non bis in ídem consagra la prohibición de que a nadie se le podrá sancionar dos veces por el mismo hecho.

Como se deduce del aparte final del inciso 4 del referido artículo 29, el principio es de corte rigurosamente penal porque la norma lo enuncia cuando establece los derechos del sindicado. No obstante, la prohibición también tiene aplicación y debe observarse por la administración cuando quiera que se coloque en trance de sancionar a sus servidores o a los particulares.

Referido a la potestad sancionadora de la administración, podría decirse que el principio non bis in ídem constituye una garantía política en cuanto se proscribe por mandato constitucional el juzgamiento y la imposición de más de una sanción por un mismo hecho; pero igualmente tiende a garantizar la seguridad jurídica, a través de la intangibilidad o inalterabilidad de las decisiones de la administración que han definido una situación jurídica favorable o desfavorable al administrado.

Es decir, que definida por la administración una situación jurídica particular, salvo la posibilidad excepcional de la revocación directa del acto administrativo, no le es permitido a ésta volver de nuevo sobre la cuestión que ha sido decidida.” A partir de la sentencia mencionada, se entiende que el principio non bis in idem constituye una “garantía política” en cuanto se proscribe por mandato constitucional el juzgamiento y la imposición de más de una sanción por un mismo hecho.

Ahora bien, en este punto es pertinente realizar una recapitulación sucinta de los actos que pusieron fin a las actuaciones administrativas adelantadas bajo los números 18-132370 y 19-233237, así: Dentro del expediente número 18-132370 se profirió la Resolución N°. 4818 del 28 de febrero de 2019, por medio de la cual se archivó la actuación administrativa de la referencia, al determinar que Consejo de Estado Sección Cuarta, sentencia de febrero 25 de 2016, expediente No. 2014-011114-01 Corte Constitucional, sentencia C-214 de 1994, M.P. Antonio Barrera Carbonell.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 10, la sociedad RAPPI S.A.S. cumplió con la supresión del dato personal del señor XXXXXX XXXXX XXXXXXX, protegiendo de esta manera su derecho fundamental de habeas data. No obstante, es menester aclarar que lo anterior no implica un desplazamiento de la competencia de esta Superintendencia en materia de protección de datos personales, por lo cual esta entidad se reservó la facultad de verificar los hechos descritos en la actuación adelantada bajo el número 19233237, a fin de determinar la pertinencia de iniciar una investigación administrativa de carácter sancionatorio, tal y como sucedió en el presente caso.

Dentro del expediente número 19-233237se profirió la Resolución N°. 67775 del 21 de octubre de 2021, acto administrativo a partir del cual se determinaron las conductas típicas frente a la cual se sancionó a la sociedad RAPPI S.A.S., por la transgresión del deber de garantizar al Titular el pleno y efectivo ejercicio del derecho de habeas data; en razón a que quedó probado que la sociedad RAPPI S.A.S., omitió atender todas y cada una de las solicitudes por él presentadas.

Expuesto lo anterior, no es dable afirmar que, en momento alguno, esta Dirección haya desconocido los principios constitucionales de confianza legítima y buena fe, ni mucho menos haya quebrantado la prohibición de un doble enjuiciamiento en contra de la sociedad RAPPI S.A.S. De esta manera, es claro que esta Superintendencia obró dentro del marco de sus facultades legales para, de una parte, garantizar al ciudadano el derecho fundamental de la protección de datos personales y, de otra, respetar los derechos de la sociedad RAPPI S.A.S. En línea con lo anterior, tanto las actuaciones administrativas como la sanción pecuniaria impuesta a la sociedad investigada se hicieron observando lo que ordena la regulación colombiana.

Así mismo, esta entidad aplicó y respetó las garantías procesales necesarias y en todas las etapas respectivas se emitieron los actos administrativos a que hubo lugar, los cuales no pueden ser considerados como arbitrarios o contrarios a derecho. Por el contrario, la actuación de esta entidad fue precisamente propender por la correcta aplicación de las normas y principios que los fundamentan.

Tal y como quedó acreditado en el proceso de la referencia, la sociedad RAPPI S.A.S., en su calidad de Responsable del tratamiento, incumplió lo dispuesto en (i) El literal j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 de la misma ley; (ii) El literal a) del artículo 17 de la Ley 1581 del 2012, en concordancia con el literal e) del artículo 8 de la ley citada y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 del 2015;

(iii) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 del 2015; y (iv) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, y, en consecuencia, fue sancionada, según lo expuesto en el acto administrativo N°. 67775 del 21 de octubre de 2021.

Por lo expuesto, encuentra esta Dirección que los motivos de inconformidad propuestos por la sociedad RAPPI S.A.S. en este acápite del escrito de recurso no están llamados a prosperar. 5.2 Frente a la supuesta necesidad de revocatoria la Resolución N°. 67775 del 21 de octubre de 2021 para que la actuación sancionatoria se conserve en el trámite inicial Asevera la recurrente que “la Dirección debe proceder con la revocatoria de la presente sanción para que de esta manera la investigación y el reproche realizado por la Dirección en contra de Rappi se conserve en el trámite administrativo inicial, es decir, el archivo de la investigación, decisión que está en firme y que se considera un acto administrativo definitivo”24.

Ibíd, pag 6. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 11, Sobre el particular, y teniendo en cuenta las precisiones realizadas por este Despacho en el numeral 5.1 del presente acto administrativo, encuentra este Despacho que los argumentos en torno a la presunta revocatoria pretendida de la Resolución N°. 67775 del 21 de octubre de 2021 no tienen vocación de prosperar, teniendo en cuenta que: - El Grupo de Trabajo de Investigaciones Administrativas y el Grupo de Trabajo de Hábeas Data desempeñan funciones distintas, las cuales son ejercidas de conformidad con las funciones atribuidas al Director de Investigación de Protección de Datos Personales.

De esta manera y siguiendo la argumentación expuesta en el numeral anterior sobre la confianza legítima, no es de recibo para este Despacho los motivos de la recurrente siendo que es perfectamente claro que no se ha concretado, frente a las facultades de inspección, vigilancia y control en el ámbito sancionatorio, una situación frente a la cual la recurrente pueda alegar una situación jurídica consolidada a su favor.

Lo anterior ya que en la actuación administraba surtida ante el Grupo de Trabajo de Hábeas Data versa sobre la protección inmediata del derecho fundamental, mientras que el caso sub-examine tiene que ver con la actuación administrativa de carácter sancionatorio en la cual se investiga el actuar de la sociedad confirme a sus obligaciones legales. 5.3 Sobre el análisis de la Dirección sobre la autorización y finalidad según el acervo probatorio La sociedad recurrente en este punto cuestiona el análisis que realizó esta Dirección acerca de la autorización y finalidad obrantes en el acervo probatorio.

Al respecto señala que: “Ahora bien, vale resaltar que afirmaciones de esta naturaleza no vienen al caso, pues el cargo formulado en contra de Rappi versaba expresamente sobre el deber de información de las finalidades en el tratamiento, más no si el contenido de las mismas, que de antemano la Dirección dio por inexistentes, eran acordes con la regulación aplicable.

Se genera con ello una disparidad entre los cargos formulados y la sanción, dado que Rappi nunca fue acusado de que las finalidades en el tratamiento de la información comunicada a los titulares no fueran acordes con la legislación, sino de algo diferente: No existir evidencia de que se le haya informado al Titular sobre la finalidad del tratamiento de sus datos.”25 Considera que la Dirección yerra al reprochar la inexistencia de evidencias sobre el cumplimiento del deber de informar al titular respecto de las finalidades del tratamiento de información, esto por cuanto dice estar demostrado que sí existe y que dicha evidencia da cuenta del cumplimiento del deber.

Con fundamento en lo anterior, considera incongruentes el cargo y las razones que fundamentan la sanción, vulnerando así el derecho al debido proceso. La recurrente señala que por la mera aceptación de términos y condiciones para el uso de una aplicación haya sucedido en el mismo momento del otorgamiento del consentimiento para el uso de datos personales del denunciante, no implica que la investigada este confundiendo los dos trámites de forma concomitante.

Adicionalmente, resalta que “el calificativo utilizado por la Dirección, según el cual Rappi cometió un “error mayúsculo” no viene al caso, entendiéndose que es la Dirección la que se equivoca al analizar las pruebas presentes en el expediente.” 26 Manifiesta la recurrente que no se “camufló u obligó”27 la aceptación del tratamiento de información del titular a la par con la aceptación de los términos y condiciones.

De esta manera la recurrente sostiene que el titular expresamente manifestó su voluntad en el sentido de autorizar el tratamiento de datos personales. La recurrente sostiene que el consentimiento otorgado por el titular “fue expreso (prueba de lo cual se aportó el registro electrónico del sistema interno de Rappi), informado (puesto que todas las implicaciones de su consentimiento fueron descritas de forma visible, destacada y completa) y, por Ibíd, pág. 9 Ibíd., pág. 10 Ibidem, pág 11.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 12, supuesto, previo al momento en el que la entrega de la información se materializó. Lo anterior cumple enteramente con el rigor requerido por el artículo 12 de la Ley 1581 de 2012.”28. Finalmente, sobre este punto la recurrente sostiene que: “Del mismo modo, tampoco es válido descartar el cumplimiento material de la obligación de informar las finalidades en el tratamiento de la información, por el hecho de que, según la Dirección, las actividades de transferencia de información no sean adecuadas.

Con total respeto, esta última situación da muestra de una contradicción, dado que no es de recibo que la Dirección asegure que Rappi no informó las finalidades del tratamiento de la información, pero entre a analizar el modelo de autorización que las contiene, sustentando su reproche (inexistencia de autorización) en un supuesto que implica el cumplimiento del deber mismo (análisis de la autorización).”29.

Al respecto, este Despacho ve la necesidad de recordarle a la recurrente que la sanción impuesta por esta Dirección mediante la Resolución 67775 del 21 de octubre de 2021, se dio de conformidad con los cargos imputados en la Resolución 6083 del 20 de febrero de 2020 por la violación de lo dispuesto en las siguientes normas: Resolución 6083 del 20 de febrero de 2020 Resolución 67775 del 21 de octubre de 2021 Cargo: Solicitar y conservar, en las condiciones Cargo: Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular autorización otorgada por el Titular Adecuación típica: Con relación a lo anterior, habiéndose otorgado la oportunidad procesal a la investigada para acreditar lo requerido, se tiene preliminarmente que RAPPI S.A.S., responsable del tratamiento de datos en el portal de Rappi, posiblemente no cuenta con autorización del XXXXXX XXXXX XXXXXXX para el Tratamiento de sus datos personales, lo cual se subsume típicamente en una presunta infracción a lo dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma Ley, como también con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015 Consecuencia de lo anterior, en el presente caso la sociedad RAPPI S.A.S., al no haber obtenido la autorización previa, expresa e informada por parte del señor XXXXXX XXXXX XXXXXXX para el tratamiento de sus datos personales, impidió el ejercicio del derecho a la autodeterminación informática entendido como el núcleo esencial del derecho al habeas data y elle derivó en que el Titular perdiera el control de sus datos personales, conducta con la que infringió abiertamente el deber dispuesto en literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015 Cargo: Informar debidamente al Titular sobre la Informar debidamente al Titular sobre la finalidad de finalidad de la recolección y los derechos que le la recolección y los derechos que le asisten por asisten por virtud de la autorización otorgada virtud de la autorización otorgada Adecuación típica: En el caso analizado, mediante el oficio18-1323703 del 30 de mayo de 2018, se realizó una solicitud de explicaciones a la investigada con el propósito de que, entre otras cosas, informara las finalidades del tratamiento de los datos que tiene en sus bases de datos y si cuenta con autorización del Titular XXXXXX XXXXX XXXXXXX para el Tratamiento de sus datos personales, en la que se indicara la finalidad y recolección del tratamiento de los mismos.; no obstante, la investigada suministro respuesta, pero no acreditó la comunicación de dichas finalidades al Titular.

En relación con lo anterior, habiéndose otorgado la oportunidad procesal a la investigada para acreditar Ibidem, pág 12. Ibidem, pág 13. Del texto de finalidades aportado por la investigada no se observa que se le hayan informado al Titular los derechos que le asisten por virtud de la autorización otorgada “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 13, lo requerido, se tiene preliminarmente que RAPPI S.A.S., responsable del tratamiento de datos en la plataforma virtual, presuntamente no comunicó la finalidad del tratamiento y los derechos al Titular XXXXXX XXXXX XXXXXXX, lo cual se subsume típicamente en una presunta infracción a lo dispuesto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley.

De conformidad a lo anterior el análisis hecho por este Despacho en la Resolución 67775 del 21 de octubre de 2021, en cuanto a la autorización y finalidad del tratamiento de datos personales, no es dispar de cara a la sanción y los cargos imputados como pretende hacer ver la recurrente. La recurrente de forma concreta reprocha lo dicho por este Despacho en el acto administrativo de sanción en cuanto a que: “la finalidad señalada por la investigada es absolutamente amplia, genérica y desconoce lo manifestado por esta autoridad en torno a los estándares nacionales de un nivel adecuado de protección del país receptor de la información personal.

Parecería que la investigada pretende evadir conceptos técnicos y jurídicos en torno a esta facultad de carácter especialísima sobre la cual solo se puede transferir información personal, cuando no medie autorización, bajo la aprobación de esta Superintendencia.” Al respecto, el análisis realizado por este Despacho resulta completamente pertinente teniendo en cuenta que, de acuerdo con el literal b) del artículo 4 de la Ley 1581 de 2012, se establece que frente al principio de finalidad “El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular”.

Lo anterior necesariamente conlleva sin lugar a equívoco a que la finalidad debe ser clara y precisa, siempre enmarcada dentro de la constitución y la ley. El hecho de establecer una finalidad amplia y genérica como se indicó en la resolución recurrida implica un desconocimiento de los estándares nacionales para un nivel adecuado de protección del país receptor de la información personal, pero también de los límites establecidos por la Constitución y la Ley y con los cuales se busca garantizar de forma efectiva la protección del derecho fundamental de “habeas data”.

Así mismo, el inciso primero del artículo 2.2.2.25.2.2. del Decreto Único Reglamentario 1074 de 2015 establece que el Responsable del Tratamiento, dentro del procedimiento de solicitar la autorización del titular, deberá informar “todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento y los derechos que ella conlleva”.

De cara a lo anterior, es pertinente y necesario el análisis hecho por este Despacho dentro del caso “sub examine” sobre la finalidad, y que como se indicó en su momento resulta amplia, genérica y desconoce lo manifestado por esta autoridad en torno a los estándares nacionales de un nivel adecuado de protección del país receptor de la información personal, de conformidad con lo siguiente: “En el presente caso, observa el Despacho que la sociedad RAPPI S.A.S., a pesar de haber esgrimido una serie de argumentos a lo largo del trámite administrativo, en torno al cumplimiento del deber de informar al titular sobre la finalidad de la recolección de sus datos personales y los derechos que le asisten por virtud de la autorización otorgada, no acompañó sus afirmaciones de material probatorio que dé cuenta del cumplimiento de este deber en su calidad de Responsable del Tratamiento de la información del señor XXXXXX XXXXX XXXXXXX, toda vez que, si la autorización previa, expresa e INFORMADA no está acreditada en el expediente, tampoco puede existir evidencia de que se le haya informado al Titular sobre la finalidad del tratamiento de sus datos.

No obstante lo anterior, y debido a que la sociedad investigada aportó un texto de las finalidades que señala haberle informado al Titular al momento en que este se registró en su aplicación, sin aportar una prueba que dé cuenta de la trazabilidad de dicho procedimiento ni la fecha efectiva en que para la fecha en que realizó tratamiento de los datos del Titular le informara sobre dichas finalidades, no puede pasar esta Dirección por alto que algunas de las “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 14, finalidades incluidas en el texto en mención desconocen abiertamente el ámbito material y/o temporal del principio de finalidad” Ahora bien, de acuerdo con la cartilla “Formatos Modelo para el cumplimiento de obligaciones establecidas en la Ley 1581 de 2012 y sus decretos reglamentarios”, en lo atinente a la finalidad de la recolección de datos personales se tiene que: “La recolección de datos personales debe tener una finalidad legítima y cierta, es decir, una razón de ser de esa recolección. Además, los datos recolectados deben ser pertinentes y adecuados para alcanzar dicho fin.

Por ejemplo, si lo que la organización quiere es vincular un nuevo cliente al portafolio de su empresa, debe pensar si es necesario solicitar datos como su talla de ropa o de calzado, cuando lo que se pretende es venderle productos para mascotas.”30. Por otro lado, en lo que respecta a la autorización considera la recurrente que el titular manifestó directa y expresamente su voluntad frente al tratamiento de datos personales y que esto no debería reñir con formalismos.

En sus palabras, alega que esta Dirección “persigue [un ritualismo] al pretender que la autorización debió ser en un día, minuto o segundo diferente al de la aceptación, o con un uso de palabras más ceñido al descrito en la resolución objeto de impugnación.”31. Sin embargo, y contario al supuesto ritualismo excesivo alegado por la recurrente, y como se explicó en el considerando 11.2.3. de la resolución impugnada, para que el otorgamiento del consentimiento legítimo sea válido, deberán reunirse los siguientes elementos: “Elementos del consentimiento: 1.

Expreso: el término expreso significa la manifestación de voluntad libre del Titular para permitir el tratamiento de sus datos personales por parte de un tercero. Así mismo, esa necesidad de manifestación por parte de la persona impide que la falta de actuación o quizás mejor, el comportamiento pasivo – constituya un consentimiento válido bajo la Ley 1581 de 2012, pues, como lo señaló la Corte Constitucional en la Sentencia C-748 de 2011, “no es posible aceptarse la existencia, dentro del ordenamiento jurídico colombiano, de un consentimiento tácito”.

Así sucede, por ejemplo, con formularios de recolección de datos en línea que no cuentan con casillas de aceptación. Esta situación obliga a los Responsables del Tratamiento a crear procedimientos para garantizar que las personas otorguen su consentimiento y, a su vez, proporcionan pruebas al Responsable del Tratamiento de que se ha obtenido el consentimiento.

Los ejemplos más clásicos son la firma manuscrita en la parte inferior de un formulario de papel y la selección de una casilla en un sitio web en Internet. El requisito de expreso para los datos sensibles se sustituye por un “consentimiento explícito”, pues para este tipo de datos se considera adecuado que exista un elevado nivel de control sobre los datos personales por parte de su Titular. 2.

Informado: el término informado significa que la persona debe conocer las finalidades del tratamiento de sus datos, la persona natural o jurídica, pública o privada, que decidirá sobre el tratamiento de los datos concernidos, los derechos relativos al tratamiento de sus datos, así como del modo de hacer valer sus derechos en relación con el tratamiento y, en general, las condiciones en que se efectuarán las actividades de acopio, recopilación y circulación del mismo. 3.

Previo: el término previo significa que la persona debe otorgar su consentimiento antes del comienzo del tratamiento de su información personal, debiendo cumplirse a más tardar en el momento en que el dato va a ser recogido, sin que sea admisible, en este punto, considerar su acatamiento con posterioridad a su recolección, pues sólo así quedaría garantizado el derecho de la persona a tener una apropiada información antes de otorgar su consentimiento.

En este sentido, el artículo 2.2.2.25.2.2., del Decreto 1074 de 2015 establece lo siguiente: “Artículo 2.2.2.25.2.2. Autorización. El Responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Publicaciones/Cartilla_formatos_datos_Personales_nov22.pdf, numeral 2.5 página 9.

Recurso de Reposición, radicado 19-233237-43 del 17 de noviembre de 2021, página 11. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 15, personales que serán recolectados, así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento. (…)”. Visto lo anterior, el consentimiento, como uno de los fundamentos jurídicos del tratamiento de datos personales, para que sea válido bajo la Ley 1581 de 2012, debe cumplir los siguientes requerimientos legales: a) El consentimiento debe ser expreso.

El Titular debe realizar alguna acción positiva que indique su consentimiento y debe tener la libertad de no consentir. b) El consentimiento debe estar informado. El artículo 12 de la Ley 1581 de 2012 enumera la información que debe suministrársele al Titular; esa información debe ser claramente visible, destacada y completa. No basta con ponerla a disposición en algún sitio de la página web, sin que la persona no la conozca. c) El consentimiento debe ser previo.

La obtención del consentimiento debe ser previa a la recolección de los datos.”32 Claro lo anterior, este Despacho debe recordarle a la recurrente que la autorización siempre debe ser susceptible de consulta posterior por lo que la prueba de ello siempre deberá ser conservada., Es por esta razón que dentro de los deberes de los responsables del tratamiento de información, contenidos en el artículo 17 de la ley 1581 de 2012, el literal b) establece “Solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular”.

Sin embargo tal y como quedó consignado en la resolución 67775 de 2021, objeto del presente recurso “En el expediente número 19-233237 NO reposa prueba de la autorización otorgada por el Titular del dato.”33, por lo que de ninguna forma puede ser tachada la exigencia de este despacho en un ritualismo excesivo. Retomando las aclaraciones hechas por esta Dirección sobre este punto en la Resolución impugnada, es menester recordarle a la recurrente que: “Por su parte, la sociedad RAPPI S.A.S. se limitó a afirmar que en el momento en que el Titular se registró en la aplicación de Rappi, la compañía obtuvo su autorización para el tratamiento de sus datos personales.

Sobre el particular, advierte esta Dirección un error mayúsculo, en tanto la investigada pretende equiparar la aceptación de los términos y condiciones que regulan su plataforma digital y de la política de tratamiento de la información con la autorización previa, expresa e informada otorgada por el Titular; situación que no resulta menor y que amerita las siguientes precisiones: Primero: el hecho de aceptar los términos y condiciones que regulan la plataforma digital de una sociedad NO SE TRADUCE en que el Titular de la información autorice el Tratamiento de sus datos personales, conforme a lo requerido por la ley.

Segundo: es preciso resaltar que el Titular no está obligado a aceptar la Política de Tratamiento de la Información por cuanto lo que exige la regulación es que la misma sea puesta en conocimiento de los Titulares, tal y como lo ordena el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, mas no que para la prestación de un servicio los mismos se vean obligados a aceptar dicha Política.

En suma, validar dicho funcionamiento por parte de la investigada constituye imponerle un deber a los Titulares al cual no están obligados por la Constitución, ni la ley. Aunado a lo anterior, no encuentra esta Dirección que el procedimiento descrito por la sociedad investigada permita: (i) comprobar la identidad plena de la persona que acepta los términos y condiciones, (ii) verificar que el consentimiento del Titular se obtuvo con anterioridad a la recolección y tratamiento de sus datos personales, (iii) acreditar el cumplimiento de los preceptos contenidos en el artículo 12 de la Ley 1581 de 2012 referentes al consentimiento expreso e informado y la capacidad del Responsable de suministrar plena prueba del consentimiento de cada Titular del dato.

Así las cosas, aceptar los términos y condiciones o la Política de Tratamiento de la Información NO ES IMPERATIVO para el Titular, ni releva al Responsable del Tratamiento del deber de obtener la autorización previa, expresa e informada por parte de este para el tratamiento de sus datos personales.”34 (Negrilla fuera del texto original) Resolución 67775 del 21 de octubre de 2021, considerando 11.2.3.

Ibíd, página 23. Ibíd. HOJA N 16, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Siendo de esta manera, no es de recibo para este Despacho el reproche del supuesto excesivo ritualismo por parte de esta Dirección frente a la autorización, ya que no la allega y pretende inferirla de otros requisitos exigidos dentro sus procedimientos. 5.4 Frente a la ausencia de análisis de los criterios de graduación de la sanción y la desproporcionalidad de la misma Plantea la sociedad recurrente la presunta ausencia de análisis de los criterios de graduación de la sanción previstos en el artículo 24 de la Ley 1581 de 2012 y, en consecuencia, la imposición de una sanción pecuniaria desproporcionada en comparación con los hechos que dieron origen a la presente actuación administrativa.

A modo de ejemplo, trae a colación dos actos administrativos, a través de los cuales, esta Superintendencia resolvió imponer multas inferiores por hechos similares. En lo que respecta al principio de proporcionalidad en materia sancionatoria administrativa, ciertamente este principio exige que la sanción correspondiente tenga fundamento legal, que la misma sea aplicada sin afectar irrazonablemente los intereses del investigado o que esa afectación se presente en grado mínimo, con el objeto de que se le proteja de abusos de poder o discrecionalidades de la Administración. Así mismo, implica que tanto la falta descrita como la sanción correspondiente a la misma, resulten adecuadas a los principios que gobiernan la función pública.

Es sobre esas bases que esta Superintendencia tomó en consideración los criterios señalados por el artículo 24 de la Ley 1581 de 2012 para tasar el monto de la sanción, así: “13.1.1. La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley (…) Quedó suficientemente demostrado que: La sociedad RAPPI S.A.S. no atendió los reclamos presentados por el Titular los días 5, 10 y 18 de abril de 2018, dentro del término legal previsto para el efecto.

A la fecha, este Despacho no encuentra evidencia de que la sociedad investigada haya otorgado respuesta a las múltiples peticiones del Titular, sino que lo único que se encuentra probado es una justificación insuficiente de la eliminación de las respuestas presuntamente otorgadas al señor XXXXXX XXXXX XXXXXXX; conducta con la que transgredió el deber contemplado en el literal j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 de la misma ley; razón por la cual se impondrá una sanción pecuniaria de CIEN MILLONES SESENTA Y CUATRO MIL OCHOCIENTOS CUARENTA Y OCHO PESOS M/CTE ($100.064.848) equivalentes a DOS MIL SETECIENTAS CINCUENTA Y SEIS (2.756) Unidades de Valor Tributario (UVT) vigentes.

La sociedad investigada omitió atender todas y cada una de las solicitudes presentadas por el Titular, quien ejerció su derecho de habeas data, solicitando en múltiples oportunidades la supresión de sus datos personales de la base de datos de la sociedad RAPPI S.A.S, conducta con la cual infringe el deber consagrado en el literal a) del artículo 17 de la Ley 1581 del 2012, en concordancia con el literal e) del artículo 8 de la ley citada y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 del 2015; razón por la cual se impondrá una sanción pecuniaria de CIEN MILLONES SESENTA Y CUATRO MIL OCHOCIENTOS CUARENTA Y OCHO PESOS M/CTE ($100.064.848) equivalentes a DOS MIL SETECIENTAS CINCUENTA Y SEIS (2.756) Unidades de Valor Tributario (UVT) vigentes.

La sociedad RAPPI S.A.S. no obtuvo la autorización previa, expresa e informada del señor XXXXXX XXXXX XXXXXXX, para el tratamiento de sus datos personales, omisión con la que transgredió el deber dispuesto en el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 del 2015; razón por la cual se impondrá una sanción pecuniaria de CIEN MILLONES SESENTA Y CUATRO MIL OCHOCIENTOS CUARENTA Y OCHO PESOS M/CTE ($100.064.848) equivalentes a DOS MIL SETECIENTAS CINCUENTA Y SEIS (2.756) Unidades de Valor Tributario (UVT) vigentes.

La sociedad investigada no le informó al Titular sobre la finalidad de la recolección sus datos y los derechos que le asisten por virtud de la misma, omisión con la que transgredió “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 17, el deber dispuesto en el literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley; razón por la cual se impondrá una sanción pecuniaria de CIEN MILLONES SESENTA Y CUATRO MIL OCHOCIENTOS CUARENTA Y OCHO PESOS M/CTE ($100.064.848) equivalentes a DOS MIL SETECIENTAS CINCUENTA Y SEIS (2.756) Unidades de Valor Tributario (UVT) vigentes.

(…) 13.1.2. Otros criterios de graduación Por último, se aclara que frente a la sociedad investigada los criterios de graduación de la sanción señalados en los literales b), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que (i) no hubo beneficio económico que se hubiere obtenido para el infractor o para terceros, por la comisión de la infracción, o el daño que tal infracción hubiere podido causar,, (ii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia y (iii) no hubo renuencia o desacato a cumplir las órdenes e instrucciones de esta Dirección. El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 NO se aplicará toda vez que la investigada NO reconoció de manera expresa la comisión de las infracciones investigadas por esta Superintendencia 13.1.3.

La reincidencia en la comisión de la infracción Será tenido en cuenta el criterio contenido en el literal c) del artículo 24 de la Ley 1581 de 2012 en la medida en que con anterioridad la sociedad investigada ha sido sancionada por las mismas conductas violatoria de la ley, esto es, que se ha generado reincidencia en el incumplimiento de los deberes de (i) garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data; y (ii) solicitar y conservar, en las condiciones previstas en la presente ley, copia de la respectiva autorización otorgada por el Titular; razón por la cual la sanción pecuniaria impuesta se incrementará en un valor de CIEN MILLONES SESENTA Y CUATRO MIL OCHOCIENTOS CUARENTA Y OCHO PESOS M/CTE ($100.064.848) a equivalentes a DOS MIL SETECIENTAS CINCUENTA Y SEIS (2.756) Unidades de Valor Tributario (UVT) vigentes.

( ) En efecto, enseguida se destaca la siguiente sanción: Radicado 18-89592 En el que mediante la Resolución N°. 9800 del 25 de abril de 2019 se sancionó a la sociedad RAPPI S.A.S., identificada con el Nit. 900.843.898-9, por la violación de los deberes previstos en: (i) el literal a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal e) del artículo 8 de la norma en mención, junto con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, y (ii) el literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y artículo 9 de la norma en mención; y inciso primero del artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 de 2015.

Frente a la vulneración del deber mencionado, este Despacho sancionó a la citada sociedad por la suma de DOSCIENTOS NOVENTA Y OCHO MILLONES CIENTO VEINTIÚN MIL SETECIENTOS SESENTA PESOS M/CTE ($298.121.760.00), equivalente a TRESCIENTOS SESENTA (360) salarios mínimos legales mensuales vigentes.” Así pues, tal como fue transcrito, al demostrarse a lo largo de la presente investigación de manera tajante la comisión de la infracción a lo dispuesto en: (i) El literal j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 de la misma ley;

(ii) El literal a) del artículo 17 de la Ley 1581 del 2012, en concordancia con el literal e) del artículo 8 de la ley citada y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 del 2015; (iii) El literal b) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal c) del artículo 4 y el artículo 9 de la misma ley, como también con el artículo 2.2.2.25.2.2 del Decreto Único Reglamentario 1074 del 2015; y “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 18, (iv) El literal c) del artículo 17 de la Ley 1581 de 2012, en concordancia con el literal b) del artículo 4 y el artículo 12 de la misma Ley, se configura el daño al Titular señor XXXXXX XXXXX XXXXXXX.

Por lo expuesto, se tiene que la ley establece que los criterios relacionados en este artículo se tendrán en cuenta SOLO en cuanto los mismos resulten aplicables, es decir, en los casos en donde el investigado incurra en ellos, aclarando que los criterios dispuestos en los literales b), c), d) y e) del referido artículo son de carácter negativo, es decir, se refieren a conductas contrarias a la ley que agravan consecuentemente la sanción. Al respecto, la Corte Constitucional en la sentencia C-748 de 2011, precisó, que: “Este precepto se ajusta a la Constitución en la medida en que corresponde al legislador establecer parámetros para que las autoridades, al momento de aplicar determinada sanción, puedan hacer graduaciones dependiendo de factores o circunstancias del investigado o de su actuación. En ese sentido, el precepto analizado consagra en los primeros 5 literales, circunstancias de agravación de la sanción, mientras el último, el literal f) consagra una causal de disminución.” Por lo expuesto, se aclara que los criterios de graduación de la sanción señalados en los literales b), d) y e) del artículo 24 de la Ley 1581 de 2012 no fueron tenidos en cuenta debido a que (i) dentro de la investigación realizada no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción;

(ii) no hubo resistencia u obstrucción a la acción investigativa de la Superintendencia; (iii) tampoco hubo renuencia a cumplir las órdenes impartidas por esta autoridad. Así, una vez estudiados los principios de proporcionalidad y razonabilidad y el caso particular de la sociedad investigada, se pudo determinar una sanción se encuentra ajustada a derecho.

Sobre este punto, la Corte Constitucional en la sentencia C-699/08, precisó: “Para el ejercicio de la potestad sancionatoria a cargo de la administración se requiere: (i) una ley previa que determine los supuestos que dan lugar a la sanción, así como la definición de los destinatarios de la misma, -sin que necesariamente estén desarrollados todos los elementos del tipo sancionatorio-, ya que es válida la habilitación al ejecutivo con las limitaciones que la propia ley impone;

(ii) que exista proporcionalidad entre la conducta o hecho y la sanción prevista, de tal forma que se asegure tanto al administrado como al funcionario competente, un marco de referencia que permita la determinación de la sanción en el caso concreto, y (iii) que el procedimiento administrativo se desarrolle conforme a la normatividad existente, en procura de garantizar el debido proceso.35 Los requisitos citados fueron analizados al momento de imponer la sanción, aclarando que esta Dirección persigue fines disuasorios y no confiscatorios, ya que no busca la liquidación de una empresa a causa de las decisiones emitidas por esta Superintendencia, motivo por el cual, se tiene en cuenta la situación financiera, el tamaño de la empresa y las condiciones de tiempo, modo y lugar en las que se dieron los hechos materia de investigación, ello bajo los parámetros dispuestos en el artículo 24 de la Ley 1581 de 2012.

Así pues, esta Superintendencia una vez valoró los criterios mencionados, teniendo un margen hasta de dos mil (2.000) salarios impuso la suma de QUINIENTOS MILLONES TRESCIENTOS VEINTICUATRO MIL DOSCIENTOS CUARENTA PESOS M/CTE ($500.324.240), correspondiente a TRECE MIL SETECIENTAS OCHENTA (13.780) Unidades de Valor Tributario (UVT), de conformidad con lo dispuesto en el artículo 23 de la Ley Estatutaria en comento, el cual establece, que: “ARTÍCULO 23.

SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Cfr. Corte Constitucional, sentencia C-699/08, M.P. Alberto Rojas Ríos. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 19, b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”36 Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales analizó todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplicaban al caso concreto y, de esa forma, seleccionó y graduó la sanción impuesta.

Para esta finalidad, también se tuvieron en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de habeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria. Al respecto es oportuno traer a colación lo dispuesto en materia sancionatoria por el Consejo de Estado en la sentencia No. 25000-23-24-000-2002-00524-011 del 18 de agosto de 2005: “(…) la proporcionalidad no está determinada por la argumentación o retórica que alrededor de ella se haga o no en los actos sancionatorios, sino por la relación de la magnitud de la sanción con las características y circunstancias de los hechos que le sirvan de fundamento, atendiendo a los parámetros señalados en el artículo 36 del CCA, esto es, que sea adecuada a los fines de la norma que la autoriza y proporcional a los hechos”.

Es importante aclarar que para que haya lugar a la imposición de una sanción basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012, como sucedió en este caso donde se vulneró el derecho de habeas data del Titular de la información al haber realizado la supresión de sus datos personales por fuera del término previsto para el efecto.

Conforme con lo anterior, es claro que los parámetros que condicionan el ejercicio de las facultades discrecionales por parte de la administración se concretan en la adecuación a los fines de la norma que la autorizan y la proporcionalidad con los hechos que le sirven de causa; criterios que se tuvieron en cuenta en el caso sub examine, comoquiera que el valor de la multa impuesta mediante el acto administrativo impugnado obedeció a que la sociedad investigada vulneró las reglas contenidas en los deberes legales señalados y contenidos en las siguientes normas: Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra.

“Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 20, (i) El literal j) del artículo 17 de la Ley 1581 de 2012 en concordancia con el artículo 15 de la misma ley; (ii) El literal a) del artículo 17 de la Ley 1581 del 2012, en concordancia con el literal e) del artículo 8 de la ley citada y el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 del 2015;

Bajo esta óptica, la potestad sancionadora que le asiste a esta Entidad va encaminada a proteger un derecho fundamental que requiere especial defensa y rigurosidad en la aplicación de las normas por cuyo cumplimiento debe velar, de acuerdo con lo establecido en la Ley 1581 de 2012 y que exige de los Responsables de los Datos la mayor diligencia en su actuar.

Ahora bien, la multa impuesta a la sociedad recurrente es insignificante para el tope establecido en la norma, ya que porcentualmente la sanción fue del 27,53% del rango previsto permitido por la Ley 1581 del 2012, por lo que la sanción en términos matemáticos de ninguna forma es desproporcionada. En cuanto a los dos actos administrativos que trae la sociedad recurrente a colación, con el propósito de evidenciar que esta Superintendencia resolvió imponer multas inferiores por hechos similares, conviene resaltar lo siguiente: En primer lugar, el monto de la multa impuesta a la sociedad investigada es el resultado del análisis del daño y/o puesta en peligro de los intereses jurídicos tutelados en el trámite de esta actuación administrativa.

De lo anotado se colige que las decisiones de la administración no necesariamente deber ser iguales en abstracto. Pues todo dependerá de las similitudes o diferencias que se presenten con asuntos resueltos previamente por este operador, además se tendrán en cuenta supuestos facticos y jurídicos planteados en la queja o denuncia del titular.

En segundo lugar, los casos a los que se refiere la recurrente no son idénticos, pues la situación particular de los sujetos, derechos y deberes vulnerados, difieren, y estas circunstancias especiales y particulares son las que dan lugar a determinar el monto de la sanción que se pretende imponer, cuando sea el caso. Sin perjuicio de lo anterior, es claro que la Resolución N°. 67775 del 21 de octubre de 2021 fue proferida con la debida observancia de los principios que rigen las actuaciones administrativas, los cuales están contemplados en el artículo 3 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo “debido proceso, igualdad, imparcialidad, buena fe, moralidad, participación, responsabilidad, transparencia, publicidad, coordinación, eficacia, economía y celeridad”.

De ahí que. la decisión emitida se ajusta a derecho, pues fue producto de la aplicación de la valoración fáctica y probatoria que llevo a concluir y comprobar la vulneración al derecho al habeas data del titular. En tercer lugar, la ley ordena a esta entidad que gradué las sanciones teniéndose en cuenta los criterios previstos en el artículo 24 de la Ley 1581 de 2012 y no analizando los tres (3) casos aislados seleccionados por el apoderado de la sociedad recurrente.

En cuarto lugar, es pertinente precisar que la sanciones que se imponen dentro de esta clase de procesos, no derivan de los daños o perjuicios causados a los titulares por el uso ilegal de su información, es decir, las normas que proteger el derecho de habeas data no se refieren a la responsabilidad civil del responsable del tratamiento de datos.

Resulta entonces que se trata es de una responsabilidad administrativa de la cual, pueden derivar multas y/o sanciones con el fin de promover y garantizar el cumplimiento del Régimen General de Protección de Datos Personales con el único propósito de amparar el derecho fundamental a la protección de datos. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 21, Finalmente, la vulneración del derecho de habeas data no solo afecta al titular, también pone en riesgo los derechos de la sociedad.

Por esto, las sanciones mencionadas no pueden ni deben tratarse como una cuestión insignificante de poca cuantía, ni mucho menos como si las incidencias del proceso lo conviertan en uno de indemnización de daños y perjuicios. Esto en razón a que existe de por medio una transgresión flagrante a los derechos humanos de un ciudadano, lo cual es suficiente para entender la gravedad de la conducta, sin necesidad de acudir a forzosos razonamiento o teorías complicadas, a fin de desatender o negar una verdad inconclusa, cual es el quebrantamiento de derechos constitucionales.

Recuérdese que. según la Declaración Universal de los Derechos Humanos, “e/ desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”30. Por eso, según dicho documento, se considera "esencial que los derechos humanos sean protegidos por un régimen de Derecho".

No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia 01. Así las cosas, recalcamos, la violación de los derechos humanos es una conducta gravísima que no solo atenta contra los intereses de un individuo en particular sino de la sociedad en general. Así las cosas, la proporcionalidad de la sanción se mantiene en el sentido de lo que fue acreditado en la primera instancia y de que no se aportaron pruebas con el recurso de reposición y en subsidio apelación, que demuestren que la sociedad RAPPI S.A.S. no se encuentra en capacidad económica de cubrir la sanción impuesta mediante la Resolución N°. 67775 del 21 de octubre de 2021; razón por la cual, este Despacho confirmará la proporcionalidad de la sanción inicialmente calculada. 5.5 Frente a la alegada necesidad de coherencia en las decisiones La recurrente alega la necesidad de coherencia de las decisiones de esta Dirección pues considera que a través de la Resolución N° 9800 de 2019, anterior a la presente actuación y posterior a la denuncia que dio lugar a la misma, se le ordenó a lo siguiente: “En el término de tres (3) meses contados a partir de la ejecutoria de la presente decisión y en virtud de los artículos 2.2.2.25.6.1 (Demostración) y 2.2.2.25.6.2 (Políticas internas efectivas) adoptar medidas efectivas, apropiadas y verificables para: a) Abstenerse de enviar mensajes de texto, correos electrónicos, realizar llamadas telefónicas o comunicarse por cualquier medio con los titulares de los datos respecto de los cuales no tenga plena prueba de la autorización previa, expresa e informada para dicho efecto. b) Establecer la identidad plena de los visitantes de su página web o usuarios de sus plataformas cuyos datos son recolectados, usados o tratados por Rappi S.A.S. c) Suprimir de manera definitiva y oportuna los datos personales de los titulares cuya información es recolectada, usada o tratada por Rappi S.A.S., una vez cualquier titular del dato le solicite por cualquier medio la eliminación de sus datos o revoque la autorización del tratamiento de sus datos personales frente a todos los servicios ofrecidos por la plataforma digital de la aplicación Rappi, o para servicios específicos que no desea seguir recibiendo. d) Conservar prueba de la autorización previa, expresa e informada otorgada por cada uno de los titulares de los datos. e) Poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.

PARAGRAFO: Para demostrar lo anterior, Rappi S.A.S. deberá: HOJA N 22, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” Primero: Acreditar ante esta entidad y dentro del término de tres (2) (sic) meses contados a partir de la ejecutoria de la presente decisión una certificación de cumplimiento de las órdenes impartidas por esta entidad.

Dicha certificación debe ser emitida por una persona jurídica nacional o extranjera la cual debe ser un tercero imparcial y especializado en los temas que involucra a la implementación de cada orden.”37 Dicha decisión fue confirmada por la Delegatura para la Protección de Datos Personales mediante Resolución 74828 de 2019 y se exhortó al Representante Legal de la sociedad para lo siguiente: “( ) que adopte las medidas pertinentes, útiles, efectivas y verificables con miras a: a) Respetar y garantizar los derechos de los titulares de los datos. b) Evitar que se repitan hechos como los que dieron origen a la presente actuación. c) Dar estricto cumplimiento de las disposiciones legales y estatutarias sobre tratamiento de datos personales. d) Aplicar el principio de responsabilidad demostrada, observando las recomendaciones de la Superintendencia de Industria y Comercio incorporadas en la “Guía para implementación del principio de responsabilidad demostrada (accountability)”.

Frente a lo anterior, señala que “se recibe con sorpresa el contenido de la Resolución N° 67775, dado que por medio de la misma se sanciona a la Compañía por hechos ocurridos antes de que Rappi implementara las órdenes y exhortos impuestos, pero cuyo reproche viene después de la implementación y la acreditación correspondiente.”39, por lo que considera que la esta Dirección “es consciente de que Rappi implementó una gran cantidad de mecanismos acordes con la regulación de protección de datos personales el 26 de junio de 2020, y aun así, decide sancionar a Rappi por el mismo tipo de procedimientos que solicitó corregir en esa ocasión.”40.

En este punto, este Despacho le debe aclarar a la recurrente que efectivamente existe coherencia en las decisiones de esta Dirección, ya que, de un lado, las decisiones iniciaron con base en situaciones fácticas diversas y de otro que los hechos narrados en la queja interpuesta que dio inicio a la presente actuación administrativa sancionatoria sucedieron de manera previa a fecha en que se impartieron las ordenes traídas a colación por la recurrente. 5.5 Frente a las pretensiones Frente a las pretensiones alegadas por la recurrente este Despacho encuentra lo siguiente: De acuerdo con todo lo mencionado y explicado en el presente acto administrativo esta Dirección no revocará la resolución 67775 de 2021 y, en consecuencia, NO ordenará el archivo de la actuación; en su lugar, confirmará la decisión adoptada mediante la resolución aquí recurrida.

Frente a la pretensión segunda, en la cual la investigada solicita que se le imponga una sanción menor en virtud de los criterios establecidos en el artículo 24 de la ley 1581 de 2012, este Despacho no puede acceder a dicha pretensión toda vez que una vez analizados los criterios de graduación se encuentra que dichos criterios ya fueron analizados previamente en la Resolución 67775 de 2021.

Finalmente, frente a la última pretensión en la cual la sociedad recurrente alega que se conceda el recurso de apelación en contra de la Resolución Nº. 27348 de 2021, este Despacho se sirve Resolución 9800 del 25 de abril de 2019, artículo segundo. Resolución 74828 del 17 de diciembre de 2019, artículo segundo. Recurso de Reposición radicado 19-233237-43 del 17 de noviembre de 2021, página 18 Ibíd. “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” HOJA N 23, recordarle que la actuación administrativa de carácter sancionatorio de esa resolución versa efectivamente sobre la sociedad recurrida, sin embargo, esta hace referencia a otro expediente dentro del cual la Resolución 40814 por la cual se resolvió el recurso de reposición fue expedida el 30 de junio de 2021 y la Resolución de apelación fue resuelta mediante la resolución 14457 del 23 de marzo de 2022.

SEXTO: CONCLUSIONES 1. Con fundamento en lo expuesto, se encuentra suficientemente acreditado que la sociedad RAPPI S.A.S. vulneró el precepto normativo contenido en el literal a) del artículo 17, en concordancia con el literal e) del artículo 8 de la Ley 1581 de 2012 y con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015; se demostró el actuar negligente de la investigada al no ejecutar dentro del plazo máximo legal establecido la supresión de datos personales del Titular de la información. 2.

El Grupo de Trabajo de Investigaciones Administrativas y el Grupo de Trabajo de Habeas Data desempeñan funciones distintas, las cuales son ejercidas de conformidad con las funciones atribuidas al Director de Investigación de Protección de Datos Personales. 3. Esta Dirección no desconoció los principios constitucionales de confianza legítima y buena fe, ni mucho quebrantó la prohibición de un doble enjuiciamiento en contra de la sociedad RAPPI S.A.S. 4.

La Resolución N°. 67775 del 21 de octubre de 2021 se profirió con total apego a la Constitución y la ley, por lo que los argumentos respecto de la supuesta necesidad revocatoria carecen de fundamento. 5. Las exigencias de la Dirección frente a la autorización y las finalidades de esta obedecen a lo ya señalado en la Resolución N°. 67775 del 21 de octubre de 2021, por lo que no se vislumbran argumentos expuestos por la recurrente que puedan ser contrarios a ella. 6.

La graduación de la sanción no obedeció a una decisión caprichosa de esta Dirección, sino que se realizó con base a los parámetros legales y a los criterios desarrollados por vía jurisprudencial, para el efecto. 7. Es claro que existe coherencia en las decisiones de esta Dirección, ya que, de un lado, las decisiones iniciaron con base en situaciones fácticas diversas y, de otro, los hechos narrados en la queja interpuesta que inició la presente actuación administrativa sancionatoria sucedieron de manera previa a la impartición de las ordenes traídas a colación por la recurrente.

SÉPTIMO: Que analizadas todas las cuestiones planteadas con ocasión del recurso y al tenor de lo dispuesto por el artículo 80 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, este Despacho confirmará en todas sus partes la Resolución N°. 67775 del 21 de octubre de 2021.

OCTAVO: Que, como consecuencia de la situación actual, y teniendo en cuenta el Estado de Emergencia Económica, Social y Ecológica decretado por el Gobierno Nacional, se ha restringido el ingreso a las instalaciones de la Superintendencia, en consecuencia, se establecieron las medidas pertinentes para permitir el acceso completo a los expedientes por medios digitales.

Al punto se precisa que, con el fin de garantizar los derechos fundamentales de la sociedad RAPPI S.A.S. identificada con el Nit. 900.843.898-9, esta Dirección ha concedido el acceso al presente Expediente digital a esta sociedad, por intermedio de su Representante Legal Principal vinculado al correo electrónico de notificación judicial de la sociedad notificacionesrappi@rappi.com, quien debe registrarse en calidad de persona natural, exclusivamente con los datos en mención, en el enlace https://servicioslinea.sic.gov.co/servilinea/ServiLinea/Portada.php.

En caso de que la sociedad requiera un acceso adicional de consulta del Expediente, deberá dirigir su solicitud en tal sentido desde el correo electrónico de notificación judicial de la sociedad, a los correos electrónicos contactenos@sic.gov.co y habeasdata@sic.gov.co, indicando los nombres y números de identificación de las personas autorizadas, acreditando para dicho efecto los debidos HOJA N 24, “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” poderes y/o autorizaciones, según corresponda.

Finalmente, indicando que la totalidad del Expediente se encuentra digitalizado para su consulta por medios virtuales, si la sociedad RAPPI S.A.S., considera estrictamente necesario el acceso del Expediente en físico, deberá enviar un correo electrónico a contactenos@sic.gov.co y habeasdata@sic.gov.co, solicitando la asignación de una cita para revisión física del Expediente en las instalaciones de la Superintendencia de Industria y Comercio en la ciudad de Bogotá D.C., indicando el número de radicado.

Lo anterior por cuanto se deben garantizar el ingreso a las instalaciones con las adecuadas medidas de bioseguridad. Si tiene alguna duda o presenta algún inconveniente para la consulta del expediente o requiere más información relacionada con la Protección de Datos Personales, favor comunicarse con el contact center (601) 592 04 00, para que la misma sea atendida en el menor tiempo posible.

En mérito de lo expuesto, este Despacho

RESUELVE

ARTÍCULO PRIMERO: CONFIRMAR en todas sus partes la Resolución N°. 67775 del 21 de octubre de 2021, de conformidad con la parte motiva del presente acto administrativo.

ARTÍCULO SEGUNDO: CONCEDER el recurso de apelación interpuesto subsidiariamente por la investigada y, en consecuencia, trasladar las presentes diligencias al Despacho del Superintendente Delegado para la Protección de Datos Personales.

ARTÍCULO TERCERO: NOTIFICAR a la sociedad RAPPI S.A.S. identificada con el Nit. 900.843.898-9, a través de su representante legal y de su apoderado especial, entregándoles copia de la misma.

ARTÍCULO CUARTO: COMUNICAR al señor XXXXXX XXXXX XXXXXXX identificado con la cédula de ciudadanía número XXXXXXXXXX, el contenido de la presente resolución.

ARTÍCULO QUINTO: La Superintendencia de Industria y Comercio se permite recordar que los canales habilitados para que los investigados ejerzan sus derechos, den respuesta a requerimientos, interpongan recursos, entre otros, son: - Correo de la Superintendencia de Industria y Comercio: contactenos@sic.gov.co - Sede Principal: Carrera 13 No. 27 - 00, Pisos 1 y 3 en la ciudad de Bogotá de lunes a viernes de 8:00 a.m a 4:30 p.m.

NOTIFÍQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá D.C., 12 ABRIL 2022 El Director de Investigación de Protección de Datos Personales, Firmado digitalmente por ENRIQUE SALAZAR CARLOS ENRIQUE CARLOS MUNOZ SALAZAR MUNOZ Fecha: 2022.04.12 12:57:09 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ Proyectó: MRFA Revisó: SRB Aprobó: CESM “Por la cual se resuelve un recurso de reposición y se concede el recurso de apelación” NOTIFICACIÓN: Sociedad: Identificación: Representante legal: Identificación: Dirección: Ciudad: Correo electrónico: RAPPI S.A.S. NIT. 900.843.898-9 FELIPE VILLAMARIN LAFAURIE C.C. 1.136.881.540 CALLE 93 # 19 - 75 Bogotá D.C. notificacionesrappi@rappi.com Apoderado: Identificación: Dirección: Ciudad: Correo electrónico: ALEJANDRO ACEVEDO ESCALLÓN C.C. 1.018.414.692 Calle 92 N°. 11 – 51 Oficina 401 Bogotá D.C. alejandro.acevedo@garrigues.com jose.miguel.delacalle@garrigues.com adolfo.gomez@garrigues.com COMUNICACIÓN: Señor: Identificación: Dirección: Ciudad: Correo electrónico: XXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXX HOJA N 25,

Resolución sancionatoria N° 9800 de 2022

CONSIDERANDO

RESUELVE