Resolución sancionatoria N° 8993 de 2021

(06 MAYO 2021) “Por la cual se impone una sanción” Radicación 19-131604 EL DIRECTOR DE INVESTIGACIÓN DE PROTECCIÓN DE DATOS PERSONALES En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, y los numerales 5 y 9 del artículo 17 Decreto 4886 de 2011 y

CONSIDERANDO

PRIMERO: Que, mediante Resolución 67110 del 27 de noviembre de 2019 1 la Dirección de Investigación de Protección de Datos Personales resolvió iniciar investigación, administrativa contra la sociedad RAPPI S.A.S. en adelante “la investigada”, identificada con Nit.900.843.898-9, por la presunta vulneración de las normas de protección de datos personales, y en particular las siguientes disposiciones: i) El literal a) del artículo 17, en concordancia con el literal e) del artículo 8 de la Ley 1581 de 2012 y con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015; y, ii) El literal j) del artículo 17, en concordancia con el artículo 15 de la Ley 1581 de 2012.

De la denuncia2 presentada por el Titular los siguientes hechos: se extrajeron 1.1. Manifestó “Esta empresa acosa a sus suscriptores con mensajes de texto y no da opción para cancelar dicha suscripción, a pesar de contestar a sus mensajes con la inconformidad de seguir recibiéndolos. El correo de servicio al cliente no aparece en su plataforma de internet, lo cual no resulta útil porque de todas formas no resuelven la solicitud de cancelación de uso de datos personales para envío de publicidad.” 1.2.

Junto con su denuncia, aportó “Correo: Rad: -- 0000000002.PDF” y “Correo: Outlook1.pdf -- Rad:.PDF” (sic) - Outlook.pdf -(sic) - En el mismo acto administrativo, se concedió el término de quince (15) días hábiles a la sociedad investigada para que rindiera descargos y aportara las pruebas que pretendiera hacer valer en la presente actuación.

SEGUNDO: Que, la Resolución 67110 del 27 de noviembre 2019 le fue notificada mediante aviso 28382 al señor FELIPE VILLAMARÍN LAFAURIE, en representación de la sociedad RAPPI S.A.S., el 10 de diciembre de 2019 según consta en la certificación expedida por la Secretaria General Ad-Hoc de esta Superintendencia, radicada bajo el número 19-131604-8 del 12 de diciembre de 2019.

TERCERO: Que, vencido el término concedido de quince (15) días hábiles para rendir los respectivos descargos, la sociedad investigada guardó silencio.

CUARTO: Que mediante Resolución 27579 del 10 de junio de 2020 3 se ordenó incorporar y tener como pruebas, las obrantes a la fecha en el expediente, con el valor legal que les corresponda. Actuación radicada bajo el número 131604-1 del 28 de noviembre de 2019. Denuncia radicada bajo el número 18-181079- -00000-000 del 09 de julio de 2018.

Resolución 27579 del 10 de junio de 2020, radicada bajo el número 19-131604-9 del 16 de junio de 2020. “Por la cual se impone una sanción” En el mismo acto administrativo, se corrió traslado a la sociedad RAPPI S.A.S. por el término de diez (10) días hábiles para que presentara sus alegatos de conclusión.

QUINTO: Que la Resolución 27579 del 10 de junio de 2020 fue comunicada el 16 de junio de 2020, según consta en la certificación expedida por la Secretaría General Ad-Hoc de esta Superintendencia, radicada bajo el número 19-131604-14 del 11 de agosto de 2020.

SEXTO: Que, dentro del término concedido para el efecto la sociedad RAPPI S.A.S. presentó alegatos de conclusión mediante escrito radicado bajo el número 19-131604- -00012-00004 del 02 de julio de 2020, en los cuales manifestó, entre otras cosas, lo siguiente: Antes de pronunciarse frente a los cargos formulados, la sociedad investigada expuso “ARGUMENTOS DE ÍNDOLE FORMAL” respecto a la investigación, lo cual sustentó así: En primer lugar, alega que se configuró una “Violación al principio de confianza legítima, la dirección ya había archivado esta investigación” por la siguiente razón: De forma preliminar, debemos señalar que la presente investigación se fundamentó en una vulneración al principio de confianza legítima emanada de las actuaciones de la Dirección. La violación que señalamos emana del hecho de que esta Dirección, en un trámite pasado, ya había investigado a Rappi por los mismos hechos absolviéndolo de las acusaciones.

La investigación a la que hacemos alusión terminó de manera anticipada gracias a que la Dirección consideró que en lo relativo a la atención de los derechos del Señor, y en particular a sus reclamos para la eliminación de su información, Rappi había finalmente acreditado el cumplimiento de sus deberes legales. Esta Dirección, a través de la Resolución N°8993 del 11 de abril de 2019, emitida en el trámite identificado con radicación N°18-181079, ya había determinado que el requerimiento formulado por el denunciante para la supresión de su información personal había sido efectivamente atendido por Rappi y que por ese motivo lo procedente era archivar las actuaciones en su contra.

(…) Con base en lo anterior, no es correcto ni tampoco válido que la Dirección, esta vez a través de otro trámite, reviva los cargos que se archivaron en favor de Rappi, toda vez que dicha actuación representa una vulneración directa al principio de confianza legítima emanado de las actuaciones de la Entidad. La Dirección está desconociendo una decisión que ella misma expidió mediante la cual había tomado la decisión de archivar las acusaciones a las que Rappi se está enfrentando nuevamente.

La intensidad de la vulneración al mencionado principio se hace evidente bajo el entendido de que la misma persona que firmó el archivo de la actuación administrativa en contra de Rappi, el Doctor Carlos Enrique Salazar Muñoz, es quien formuló los mismos cargos en contra de Rappi e instruyó el presente trámite. Pareciera entonces que la Dirección está revocando de manera velada las decisiones que tomó a través de la Resolución N°8993 de 2019, situación que no se ajusta a derecho más aún cuando es un mismo funcionario el que archivó y reabrió la investigación. En el mismo sentido, alega que “La Dirección vulneró el principio de confianza legítima y buena fe emanado de la decisión de archivo de la Resolución N°8993 de 2019 en donde la Dirección ya había analizado los mismos hechos”, así: Como se desprende de la Resolución N°67110 de 2019, los hechos en los que se fundamenta la presente investigación remiten a la solicitud de eliminación de información que el formuló ante Rappi, sobre lo cual ésta Superintendencia, a través de la Resolución N°8993 de 2019, ya se había pronunciado archivando la investigación a su favor considerando que Rappi había eliminado su información personal, respetando sus derechos emanados del régimen de habeas data.

Tal como lo reconoció la SIC en la investigación identificada con el radicado 18181079, Rappi cumplió su deber de eliminar la información solicitada por el Titular y, por consiguiente, satisfizo el ejercicio de sus derechos, motivo por el cual no hubo necesidad alguna de imponer órdenes ni sanciones en su contra. Alegatos de conclusión presentados por el Representante Legal Judicial de la sociedad investigada el día 03 de julio de 2020, radicado bajo el número 19-131604- -00012-0000 “Por la cual se impone una sanción” Así pues, en dicha investigación la Dirección, luego de verificar los pantallazos que Rappi aportó para defenderse en su momento, pudo comprobar que el correo electrónico del Señor había sido efectivamente eliminado, por lo que cerró la investigación en ese frente, al considerarlo un hecho superado.

En otras palabras, en lo que corresponde al ejercicio de los derechos de habeas data y a la solicitud de supresión de la información personal del Señor, la Dirección consideró que Rappi sí había cumplido su deber legal de eliminación del dato, respetando los derechos del titular, motivo por el cual archivó la investigación. Pese a lo anterior, la Dirección dio traslado al Grupo de Trabajo de Investigaciones Administrativas, de la misma Dirección, para que, contradictoriamente, iniciara otra investigación en contra de Rappi, fundamentada en los mismos hechos respecto de los cuales ya había determinado el archivo correspondiente.

Es válido afirmar en este sentido que la Dirección ya había juzgado a Rappi por la supuesta desatención de los reclamos formulados por el Señor, considerando que, debido a que Rappi finalmente había cumplido su obligación, no había lugar a reproche alguno. De allí que la Dirección tomó la siguiente decisión a través del artículo primero de la Resolución N°8993 de 2019, de la que ciertamente emana la confianza legítima de Rappi de no ser investigado ni mucho menos sancionado por asuntos ya juzgados: “ARTÍCULO PRIMERO: Archivar la presente actuación según lo expuesto en la parte motiva de la presente resolución.” De allí que no se entiende cómo la Dirección, acudiendo a las mismas pruebas que utilizó para archivar la actuación administrativa en contra de Rappi, las invocó nuevamente en este trámite, pero para formular cargos en contra de esta compañía, es decir, para tomar una decisión diametralmente opuesta a la inicial.

En decisiones como las tratadas son preponderantes los principios de buena fe y confianza legítima provenientes de las actuaciones de las autoridades públicas, frente a lo cual es oportuno citar el entendimiento de la Corte Constitucional y el desarrollo jurisprudencial en defensa de los derechos constitucionales en juego: “En esencia, la confianza legítima consiste en que el ciudadano debe poder evolucionar en un medio jurídico estable y previsible, en cual pueda confiar.

Para Müller, este vocablo significa, en términos muy generales, que ciertas expectativas, que son suscitadas por un sujeto de derecho en razón de un determinado comportamiento en relación con otro, o ante la comunidad jurídica en su conjunto, y que producen determinados efectos jurídicos; y si se trata de autoridades públicas, consiste en que la obligación para las mismas de preservar un comportamiento consecuente, no contradictorio frente a los particulares, surgido en un acto o acciones anteriores, incluso ilegales, salvo interés público imperioso contrario.

Se trata, por tanto, que el particular debe ser protegido frente a cambios bruscos e inesperados efectuados por las autoridades públicas. En tal sentido, no se trata de amparar situaciones en las cuales el administrado sea titular de un derecho adquirido, ya que su posición jurídica es susceptible de ser modificada por la Administración, es decir, se trata de una mera expectativa en que una determinada situación de hecho o regulación jurídica no serán modificadas intempestivamente.” (subrayado propio) Así las cosas, la Dirección vulneró el principio de confianza legítima emanado del archivo de la investigación en favor de Rappi, desde el momento en que formuló cargos en su contra, lo cual se materializa con el desconocimiento de una decisión previa que ésta misma entidad tomó consistente en exonerarla de los cargos relacionados con la supuesta desatención de los reclamos del Señor y la eliminación de su información personal.

Como se probó en ese trámite, Rappi atendió los reclamos formulados por el titular y eliminó de sus bases de datos su información personal, situación que fue declarada por la misma Entidad al momento de archivar la investigación. (…) A continuación, asegura que “La Dirección vulneró el derecho fundamental al debido proceso al desconocer el principio de non bis in ídem con la formulación de cargos”, argumentado así: Este principio, plenamente aplicable en los trámites sancionatorios de la SIC, fue vulnerado por la Dirección desde la formulación de cargos en contra de Rappi.

Aunado a lo ya expuesto acerca de la infracción al principio de confianza legítima en las actuaciones de la Entidad, tal como lo podrá corroborar la Dirección, Rappi ya había sido investigado en el trámite con radicado 18-181079 por “Por la cual se impone una sanción” supuestamente no haber atendido los reclamos presentados por el Señor no suprimir su información personal. y por En dicho trámite, como ya ha sido expuesto, la investigación fue archivada en favor de Rappi, por lo que, al abrirse un nuevo trámite motivado exactamente por los mismos hechos, la Dirección está investigando a Rappi dos veces por los mismos hechos, situación que vulnera el artículo 29 de la Constitución Política que consagra el derecho de “no ser juzgado dos veces por el mismo hecho”.

La jurisprudencia constitucional aclara que este principio aplica tanto en materia penal como en las demás actividades sancionatorias del Estado, tal como es el caso de los procesos sancionatorios que se llevan a cabo ante esta Entidad: “Esta prohibición del doble enjuiciamiento, o principio del non bis in ídem, busca evitar que las personas estén sujetas a investigaciones permanentes por un mismo acto.

Esta Corte ha reconocido además que en el constitucionalismo colombiano, este principio no se restringe al ámbito penal sino que “se hace extensivo a todo el universo del derecho sancionatorio del cual forman parte las categorías del derecho penal delictivo, el derecho contravencional, el derecho disciplinario, el derecho correccional, el derecho de punición por indignidad política (impeachment) y el régimen jurídico especial ético - disciplinario aplicable a ciertos servidores públicos (pérdida de investidura de los Congresistas)”.

Sin embargo, la prohibición del doble enjuiciamiento no excluye que un mismo comportamiento pueda dar lugar a diversas investigaciones y sanciones, siempre y cuando éstas tengan distintos fundamentos normativos y diversas finalidades. Esta Corte ha precisado que el non bis in ídem veda es que exista una doble sanción, cuando hay identidad de sujetos, acciones, fundamentos normativos y finalidad y alcances de la sanción.” De manera puntual, la violación del citado derecho emana del desconocimiento del fallo proferido en el trámite identificado con el radicado 18-181079, cuya vulneración se materializa en el identificado con el radicado 19-131604, que nos convoca.

Ambos trámites poseen identidad de causa, objeto y persona, lo cual es natural al estar ambos fundamentos en los mismos hechos. Veamos: Trámite 18-171089 (Resolución N°8993 del 11 de abril de 2019) Trámite 19-131604 (Resolución N°67110 del 27 de noviembre de 2019) Este trámite se motivó en las (sic) reclamos formulados por el Señor para la eliminación de su información personal de las bases de datos de Rappi.

Este trámite inició con la formulación de cargos en contra de Rappi por supuestamente no atender los derechos del Titular, materializado en los reclamos formulados para la eliminación de su información personal. Igualmente manifiesta que “La Dirección está revocando, de manera velada, el archivo de una actuación sancionatoria en contra de Rappi establecido en la Resolución N°8993 de 2019”, por el siguiente motivo: Con la apertura de la presente investigación, la Dirección, de facto, está revocando el archivo de la investigación que se identificó con el número de radicación 18-181079 que fue decretada mediante la Resolución N°8993 de 2019.

Señalamos lo anterior en razón a que el mismo funcionario que en su momento archivo (sic) las actuaciones en contra de Rappi, el Doctor Carlos Enrique Salazar Muñoz, es quien está formulando los mismos cargos en su contra fundamentándose en los mismos hechos de la investigación pasada, como si en aquella no hubiese terminado de agotar su competencia o deseara reabrirla que tomar ciertas determinaciones que olvidó tomar allí. De una u otra manera, la Dirección está reviviendo un trámite dejando sin efectos el acto administrativo que le puso fin.

(…) Como se desprende de las normas, la revocatoria de los actos por parte de la misma autoridad procede únicamente bajo ciertas causales, ya sea por contrariarse la Constitución, por no estar el acto conforme con el interés público o social o cuando se crea un agravio injustificado a una persona. En el caso de los actos de contenido particular, como lo sería la Resolución N°8993 de 2019, se requiere para su revocación el consentimiento previo, expreso y escrito del respectivo titular, que en este caso sería de Rappi.

Como la Dirección, con la expedición de la Resolución N°67110 de 2019 que formuló cargos en contra de Rappi, se fundamenta en los mismos hechos que ya había analizado con anterioridad en la Resolución N°8993 de 2019, está realizando de manera velada la revocatoria de aquel acto sin cumplir ninguno de los requisitos legales para su materialización. El acto administrativo de archivo proferido en su momento no posee ningún elemento que haya vulnerado la Constitución, la ley o el orden público, ni mucho menos generó un agravió injustificado “Por la cual se impone una sanción” en contra de personas.

Dicha decisión, para ser revocada, requería de la anuencia de Rappi, quien es el titular de los derechos emanados del archivo de las actuaciones que se adelantaron a en contra, esto es del derecho de no ser investigado nuevamente por los mismos actos. Luego de expuestos los anteriores argumentos, la sociedad investigada procedió con los “ARGUMENTOS DE ÍNDOLE SUSTANCIAL”, motivados así: El primer argumento se enfoca en que “Rappi atendió efectivamente las reclamaciones del Señor para la eliminación de su información personal”, por las siguientes razones: La Dirección asegura que Rappi infringió su deber de garantizar el ejercicio del derecho de habeas data consagrado en el literal e) del artículo 8 y a) del artículo 17 de la Ley 1581 de 2012, en concordancia con el artículo 2.2.2.25.2.6 del Decreto 1074 de 2015, por la supuesta desatención de los requerimientos formulados por el Señor solicitando el retiro de su información personal de las bases de datos de Rappi.

Frente a esta acusación, manifestamos que ésta Dirección ya se había pronunciado sobre su cumplimiento, asegurando a través de la Resolución N°8993 de 2019 que había comprobado que Rappi había eliminado su información personal, respetando sus derechos de habeas data. No obstante lo anterior, para verificar el cumplimiento efectivo del deber legal, basta que la Dirección se remita a la Comunicación obrante en consecutivo 18-18107900005-000 del 10 de septiembre de 2018, mediante la cual Rappi atendió el requerimiento de información que la Coordinación del Grupo de Trabajo de Habeas Data (18-181079-00004-000) del 17 de agosto del mismo, a través del cual la investigada acreditó la eliminación de la información del titular, ocurrida el 7 de septiembre de 2018.

A través de la respuesta Rappi acreditó la eliminación de la información del Titular. Esta situación, como se ha mencionado en repetidas ocasiones, fue reconocida por la Dirección a través de la Resolución N°8993 de 2019 que archivó la actuación que adelantó la Dirección en su contra por los mismos hechos que ahora nos convocan. Así pues, Rappi finalmente atendió la solicitud de eliminación del Señor, lo cual, a pesar de que no ocurrió de forma inmediata a la solicitud formulada por el titular, finalmente se llevó a cabo acreditándose el cumplimiento del deber legal que la Dirección consideró vulnerado.

Con base en las pruebas allegadas al trámite identificado con el radicado 18-181079 (incorporadas ahora en el presente trámite), la Dirección consideró, a través de la Resolución N°8993 de 2019, que lo relativo a la atención de los reclamos del titular se había llevado a cabo respetando sus derechos de habeas data, por lo que Rappi sí atendió los requerimientos del titular, honrando los deberes de las normas citadas.

El segundo argumento se basa en que “Rappi eliminó de manera efectiva y definitiva la información personal del Señor ”, debido a: Con las pruebas allegadas a través del escrito identificado con el consecutivo 18-181079-00005000 del 10 de septiembre de 2018 (que hacen parte del expediente), se corrobora que Rappi eliminó de manera efectiva la información personal del titular.

Esto mismo fue reconocido por la Dirección, no solo a través de la Resolución N°8993 de 2019, sino también en la misma resolución de apertura de la investigación, a través de la cual la Dirección reconoció lo siguiente: “Atendiendo a lo manifestado por el titular, este Despacho, a través del Grupo de Trabajo de Habeas Data y con el fin de recolectar elementos de juicio suficientes, solicitó mediante oficio radicado con el número 18-181079-4 del 17 de agosto de 2018 a LA INVESTIGADA, que informara y acreditara, entre otras cosas, si se había eliminado, actualizado o corregido la información Titular; frente a lo cual, a través de comunicación presentada el 10 de septiembre de 2018, la sociedad RAPPI S.A.S. allegó una imagen que evidencia que la fecha de supresión de los datos personales corresponde al 07 de septiembre de 2018.” (Resaltado propio) En adición a lo anterior, la Dirección también podrá tener en cuenta los siguientes pantallazos de los sistemas de búsqueda de Rappi (lupe.rappi.com) que a hoy dan muestra de la eliminación definitiva de los datos personales del titular.

Cabe destacar que esta información la traemos a colación con base en el artículo 40 de la Ley 1437 de 2011 invocado por la Dirección a través de la Resolución N°25759 de 2020 (Por la cual se incorporan pruebas y se corre traslado para alegar) que señala: “[d]urante la actuación administrativa y hasta antes de que se “Por la cual se impone una sanción” profiera la decisión de fondo se podrán aportar, pedir y practicar pruebas de oficio o a petición del interesado sin requisitos especiales”: Estas pruebas le permiten a la Dirección corroborar, nuevamente, que la información personal del titular fue eliminada efectivamente de las bases de datos de Rappi.

Tanto con los resultados expuestos en su momento (en 2018) como los que ahora se presentan (relativos al 2020), permiten corroborar la inexistencia de los datos del señor en las bases de datos de Rappi, de lo que se deduce que su información fue eliminada de forma correcta y que, por lo tanto, Rappi cumplió con su deber de eliminación en los términos de la regulación vigente.

No obstante, todos los anteriores argumentos, solicitó “Aplicación de criterios de graduación de multa” sustentado así: De manera subsidiaria a los argumentos ya expuestos que apuntan a que Rappi debe ser exonerado de los cargos formulados en su contra, solicitamos de manera respetuosa a la Dirección que de persistir en su postura de declarar a Rappi responsable de las supuestas vulneraciones al régimen legal del habeas data, tenga en cuenta lo siguiente con el objetivo de que la multa sea atenuada.

La Dirección asegura que la solicitud de eliminación de la información personal del Señor. del 14 de marzo de 2018, fue atendida por Rappi el 7 de septiembre de 2019, asegurando con ello que la compañía continuó haciendo el tratamiento de sus datos personales durante 5 meses más. Frente al discernimiento de la Dirección, anotamos que, si bien lo dicho por la Entidad apunta a que Rappi no eliminó de forma oportuna la información personal del titular, sí coincide con la investigada en indicar que, finalmente, los datos personales fueron borrados al cabo de un tiempo.

Con lo anterior queremos reconocer que, si bien pudo haber un retardo en la eliminación de la información del titular, dicho procedimiento finalmente se llevó a cabo dentro de un determinado término, por lo que ante tal reconocimiento le pedimos respetuosamente a la Dirección dar aplicación al criterio de graduación de las sanciones, consagrado en el literal f) del artículo 24 de la Ley 1581 de 2012, que establece lo siguiente: “Artículo 24.

Criterios para graduar las sanciones. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: (…) f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Así pues, si bien los argumentos hasta ahora expuestos deberían ser suficientes para que la Dirección archive, nuevamente, las acusaciones en contra de Rappi, si persiste en sostener que la investigada incurrió en una infracción, consideramos aplicable el criterio de atenuación antes “Por la cual se impone una sanción” mencionado dado el reconocimiento de Rappi frente al tiempo tomado para eliminar la información personal de titular.

Igualmente, como criterio de atenuación de la multa solicitó “el establecido en el literal a) del 24 de la Ley 1581 de 2012 ya que no existe un peligro ni mucho menos un daño sobre los intereses tutelados por la ley, toda vez que los reclamos del Señor fueron finalmente atendidos por Rappi.” Frente a la anterior solicitud insistió en que: “fue precisamente esta Dirección a través de la Resolución N°8993 de 2019 quien consideró que los derechos del Titular habían sido finalmente respetados por cuanto Rappi atendió sus requerimientos eliminando su información personal, por lo que de esta misma Resolución se predicaría que la misma Dirección reconoció que al fin y al cabo no se generó ningún daño al titular de la información. Sobra mencionar que Rappi no obtuvo ningún tipo de provecho económico frente a la infracción supuestamente cometida (literal b), ni mucho ha incurrido en resistencia frente a la investigación de la SIC (literal d) ni en desacato frente a las órdenes o instrucciones impartidas por la Entidad frente a la información que incorporó al presente trámite (literal e), por lo que si la Dirección insiste en imponer una multa, esta debería tener en cuenta los criterios antes descritos, resaltando que el análisis de éstos resulta en que es innecesario imponer una sanción. Finalmente solicitó a esta Dirección “ARCHIVE la presente investigación y EXONERE a Rappi S.A.S. de los cargos imputados.

Subsidiariamente solicito que, en virtud de la aplicación de los criterios de graduación de las sanciones contenidos en el artículo 24 de la Ley 1581 de 2012, imponga la sanción de menor impacto en contra de Rappi S.A.S.”

SÉPTIMO: Competencia de la Superintendencia de Industria y Comercio El artículo 19 de la Ley 1581 de 2012, establece la función de vigilancia que le corresponde a la personales se respeten los principios, derechos, garantías y procedimientos previstos en la mencionada Ley.

OCTAVO: Análisis del caso 8.1. Adecuación típica La Corte Constitucional mediante sentencia C-748 de 20115, estableció lo siguiente en relación con el principio de tipicidad en el derecho administrativo sancionatorio: “En relación con el principio de tipicidad, encuentra la Sala que pese a la generalidad de la ley, es determinable la infracción administrativa en la medida en que se señala que la constituye el incumplimiento de las disposiciones de la ley, esto es, en términos específicos, la regulación que hacen los artículos 17 y 18 del proyecto de ley, en los que se señalan los deberes de los responsables y encargados del tratamiento del dato”.

Atendiendo los parámetros señalados por la citada jurisprudencia, para el caso específico se tiene que: (i) El artículo 17 de la Ley 1581 de 2012 establece los deberes que les asisten a los responsables del tratamiento respecto del manejo de los datos personales de los titulares. El incumplimiento de tales requisitos dará lugar a la aplicación de las sanciones definidas, específicamente, en el artículo 23 de la Ley 1581 de 2012.

De conformidad con los hechos alegados por el denunciante y el acervo probatorio que obra en el expediente, se puede establecer que la conducta desplegada por la investigada se concreta en la posible vulneración de: i) El literal a) del artículo 17, en concordancia con el literal e) del artículo 8 de la Ley 1581 de 2012 y con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015; y, Corte Constitucional, Magistrado Ponente Jorge Ignacio Pretelt Chaljub, seis (6) de octubre de dos mil once (2011).

“Por la cual se impone una sanción” ii) El literal j) del artículo 17, en concordancia con el artículo 15 de la Ley 1581 de 2012. En ese orden de ideas, corresponde a este Despacho establecer si la conducta desplegada por la investigada dará lugar o no a la imposición de una sanción, para lo cual se deberán tener en cuenta los hechos narrados por denunciante, las razones de hecho y de derecho aducidas por la investigada en su escrito de alegatos de conclusión, así como el conjunto de pruebas allegadas al expediente. 8.2.

Valoración probatoria y conclusiones 8.2.1. Frente a la supuesta vulneración del principio de confianza legítima Antes de entrar con la valoración probatoria para cada uno de los cargos formulados, es pertinente pronunciarse frente a lo manifestado por la investigada en su escrito de alegatos de conclusión respecto a la presunta: 1. “Violación al principio de confianza legítima, la Dirección ya había archivado esta investigación”, el cual argumenta así: De forma preliminar, debemos señalar que la presente investigación se fundamentó en una vulneración al principio de confianza legítima emanada de las actuaciones de la Dirección. La violación que señalamos emana del hecho de que esta Dirección, en un trámite pasado, ya había investigado a Rappi por los mismos hechos absolviéndolo de las acusaciones.

La investigación a la que hacemos alusión terminó de manera anticipada gracias a que la Dirección consideró que en lo relativo a la atención de los derechos del Señor Betancourth, y en particular a sus reclamos para la eliminación de su información, Rappi había finalmente acreditado el cumplimiento de sus deberes legales. Esta Dirección, a través de la Resolución N°8993 del 11 de abril de 2019, emitida en el trámite identificado con radicación N°18-181079, ya había determinado que el requerimiento formulado por el denunciante para la supresión de su información personal había sido efectivamente atendido por Rappi y que por ese motivo lo procedente era archivar las actuaciones en su contra.

La Dirección en dicha ocasión tomó la siguiente determinación: “Frente al particular encuentra este Despacho que en virtud de lo establecido en el artículo 13 de la Ley 1581 de 2012, conforme al principio de libertad, el tratamiento de la información personal sólo puede ejercerse con el consentimiento previo, expreso e informado del Titular.

Ahora bien, superada la anterior discusión, se observa que en el presente caso, el reclamante manifiesta que recibe con intensidad mensajes de texto con fines publicitarios por parte de la sociedad Rappi S.A.S., razón por la cual solicitó la eliminación de sus datos personales en las bases de datos de la sociedad para el envío de publicidad.

Al respecto, la sociedad Rappi S.A.S., manifiesta que procedió a eliminar la información personal del señor el día 07 de septiembre de 2018 en la base de datos de donde se generan los correos promocionales, allegando pantallazo visible a folio 13 en donde se observa el nombre del titular, fecha de creación y fecha en que fue borrado el usuario con fecha del 07 de septiembre de 2018.

De acuerdo a lo anterior, este Despacho observa que el responsable cumplió con lo establecido en el Régimen de Protección de Datos Personales contenidos en la Ley 1581 de 2012, por lo que procederá a archivar el presente acto administrativo tendiente en cuanto (sic) que se logró determinar que la sociedad Rappi S.A.S., cumplió con la supresión del dato personal del señor, protegiendo de esa manera su derecho fundamental de Habeas Data.” (Resaltado por fuera del texto) Con base en lo anterior, no es correcto ni tampoco válido que la Dirección, esta vez a través de otro trámite, reviva los cargos que se archivaron en favor de Rappi, toda vez que dicha actuación representa una vulneración directa al principio de confianza legítima emanado de las actuaciones de la Entidad.

La Dirección está desconociendo una decisión que ella misma expidió mediante la cual había tomado la decisión de archivar las acusaciones a las que Rappi se está enfrentando nuevamente. La intensidad de la vulneración al mencionado principio se hace evidente bajo el entendido de que la misma persona que firmó el archivo de la actuación administrativa en contra de Rappi, el Doctor Carlos Enrique Salazar Muñoz, es quien formuló los mismos cargos en contra de Rappi e instruyó el presente trámite.

“Por la cual se impone una sanción” Pareciera entonces que la Dirección está revocando de manera velada las decisiones que tomó a través de la Resolución N°8993 de 2019, situación que no se ajusta a derecho más aún cuando es un mismo funcionario el que archivó y reabrió la investigación. Al respecto, este Despacho considera pertinente traer a colación lo dicho por la Corte Constitucional, en torno a la aplicación de dicho principio así: “Del principio de la buena fe se desprende el de confianza legítima, que pretende que la Administración se abstenga de modificar “situaciones jurídicas originadas en actuaciones precedentes que generan expectativas justificadas (y en ese sentido legítimas) en los ciudadanos, con base en la seriedad que -se presume- informa las actuaciones de las autoridades públicas, en virtud del principio de buena fe y de la inadmisibilidad de conductas arbitrarias, que caracteriza al estado constitucional de derecho”6 Por consiguiente, para la Corte Constitucional “El principio de confianza legítima funciona entonces como un límite a las actividades de las autoridades, que pretende hacerle frente a eventuales modificaciones intempestivas en su manera tradicional de proceder, situación que además puede poner en riesgo el principio de seguridad jurídica.” (Negrita adicionada) Por lo anterior, el principio de confianza legítima ha surgido como un desarrollo complementario del principio constitucional de la buena fe y seguridad jurídica, con el fin de ampliar la protección de los administrados en su relación con el Estado, por ello, para que dicho amparo proceda es preciso que esa confianza previa en la que descansa la posición jurídica de la sociedad se vea violentada de manera sorpresiva; situación que no ocurrió en el presente caso, veamos: Dentro de los argumentos alegados para la presunta violación al principio de confianza legítima, la sociedad investigada afirma que “Pareciera entonces que la dirección está revocando de manera velada las decisiones que tomó a través de la Resolución Nº8993 de 2019, situación que no se ajusta a derecho más aún cuando es un mismo funcionario el que archivó y reabrió la investigación”.

Al respecto, es importante primero explicar algunas de las facultades que tiene la Dirección de Investigación de Protección de Datos Personales, las cuales ejerce a través de sus grupos adscritos, así: 1. El Grupo de Trabajo de Habeas Data, creado mediante la Resolución 54004 del 17 de septiembre de 2012, por la cual le asignaron unas funciones, que para el presente caso se destaca la siguiente: • “Elaborar los actos administrativos que sean necesarios para el cabal cumplimiento del trámite de las quejas o reclamos que se adelanten en procura del amparo del derecho fundamental de hábeas data, de conformidad con las normas y procedimientos establecidos.” (Negrita adicionada). • “Proyectar los actos administrativos mediante los cuales se resuelven de fondo las actuaciones adelantadas por el grupo, para la firma del Director de Investigación de Protección de Datos Personales, los cuales se deben dictar cumpliendo con las normas sobre la materia y con el procedimiento legalmente establecido, en especial, en lo que respecta a ordenar la corrección, actualización o retiro de datos personales de una base de datos u ordenar el archivo de la actuación, cuando así se determine dentro de la investigación.” (Negrita adicionada). 2.

El Grupo de Trabajo de Investigaciones Administrativas de Protección de Datos Personales, creado mediante la resolución 54005 del 17 de septiembre de 2012, por la cual, le asignaron unas funciones, que para el caso concreto se destaca las siguientes: • “Elaborar los actos administrativos que sean necesarios para tramitar y decidir las investigaciones que se adelanten de oficio o a petición de parte, por violación a las normas de Protección de Datos Personales.” (Negrita adicionada) • “Proyectar los actos administrativos mediante los cuales se resuelva de fondo las investigaciones que se adelanten en el Grupo, para la firma del Director de Investigación de Protección de Datos Sentencia T-180 A de 2010.

M.P. Luis Ernesto Vargas Silva. “Por la cual se impone una sanción” Personales, los cuales se deben dictar en cumplimiento con las normas sobre la materia y con el procedimiento legalmente establecido.” Con la anterior contextualización, queda claro que el Director de Investigación de Protección de Datos Personales en el ejercicio de su facultad de “ordenar el retiro de datos personales de una base de datos”, a través del Grupo de Trabajo de Habeas Data expidió la Resolución 8993 del 11 de abril de 2019 “Por la cual se archiva una actuación administrativa”, en razón a que “se logró determinar que la sociedad Rappi S.A.S., cumplió con la supresión del dato personal del señor protegiendo de esta manera su derecho fundamental de Habeas Data.” Asimismo, resolvió remitir copia de la Resolución al Grupo de Trabajo de investigaciones Administrativas para determinar si hay mérito o no para iniciar una investigación administrativa de carácter sancionatorio, dirigida a establecer el posible incumplimiento de los deberes y principios regulados por la Ley 1581 de 2012.

Situación de la cual estaba notificada la sociedad con la misma resolución precitada. De modo que, el Director de Investigación de Protección de Datos Personales en el ejercicio de su facultad de “tramitar y decidir investigaciones por violación a las normas de Protección de Datos Personales”, a través del Grupo de Trabajo de Investigaciones Administrativas expidió la Resolución 67110 del 27 de noviembre de 2019 “Por la cual se inicia una investigación administrativa y se formulan cargos”, por la presunta vulneración a: i) El Deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de Habeas Data, establecido en literal a) del artículo 17 de la Ley 1581 de 2012; y ii) El Deber de tramitar las consultas y reclamos, establecido en literal j) del artículo 17 de la Ley 1581 de 2012.

Igualmente, la sociedad investigada argumenta que “no es correcto ni válido que la Dirección, esta vez a través de otro trámite, reviva los cargos que se archivaron en favor de Rappi, toda vez que dicha actuación representa una vulneración directa al principio de confianza legítima”7. En este punto, es pertinente aclarar que la Dirección en ningún momento revivió cargos como erróneamente lo afirma la sociedad, por cuanto, como se explicó anteriormente, con la actuación adelantada través del Grupo de Trabajo de Habeas Data para el proceso radicado 18-181079, la Dirección centró su análisis ÚNICA Y EXCLUSIVAMENTE en la salvaguarda el efectivo derecho de Habeas Data del Titular, con la supresión del dato personal en la base de datos de Rappi, por tal motivo resolvió archivar la actuación administrativa.

De manera que, la Dirección no se encontraba investigando, ni decidiendo “cargos” en la actuación precitada, en razón a que estos aún no habían sido formulados, actuación que sí ocurrió con la expedición de la Resolución 67110 del 27 de noviembre de 2019, con el fin de investigar una posible vulneración de las normas de Protección de Datos Personales, con ocasión de los hechos conocidos en la actuación administrativa que se cita.

Así las cosas, la Dirección de Investigación de Protección de Datos Personales obró dentro del marco de sus facultades legales para, de una parte, garantizar al Titular el amparo del Derecho Fundamental de Hábeas Data y, de otra, tramitar y decidir investigaciones por violación a las Régimen de Protección de Datos Personales. Es oportuno resaltar lo conceptualizado respecto del “hecho superado” en la Resolución 43862 del 31 de julio de 2020, emanada del Despacho del Superintendente Delegado para la Protección de Datos Personales, así: La configuración del hecho superado no libera de responsabilidad jurídica a quien vulnera la regulación de datos personales ni lo exime de ser sancionado por incumplir la Ley.

Es importante señalar que ni la responsabilidad, ni la sanción frente al incumplimiento del régimen jurídico de protección de Datos personales, se desvanece ante la configuración de un hecho superado. Por lo tanto, con la Resolución 8993 de 2019 no se vulneró el principio de confianza legítima, por cuanto en este mismo acto administrativo se le notificó a la sociedad RAPPI S.A.S. de la facultad que tiene la Superintendencia de determinar si es pertinente iniciar una investigación administrativa de carácter sancionatorio, por consiguiente, la Resolución 67110 de 2019 por la cual se formularon cargos, no ocurrió de manera intempestiva.

Alegatos de conclusión presentados por el Representante Legal Judicial de la sociedad investigada el día 03 de julio de 2020, radicado bajo el número 19-131604- -00012-0000 “Por la cual se impone una sanción” 8.2.2. Frente a la supuesta vulneración del principio de la buena fe 2. “La Dirección vulneró el principio de confianza legítima y buena fe emanado de la decisión de archivo de la Resolución N°8993 de 2019 en donde la Dirección ya había analizado los mismos hechos”, la sociedad investigada lo argumenta así: Como se desprende de la Resolución N°67110 de 2019, los hechos en los que se fundamenta la presente investigación remiten a la solicitud de eliminación de información que el señor. formuló ante Rappi, sobre lo cual ésta Superintendencia, a través de la Resolución N°8993 de 2019, ya se había pronunciado archivando la investigación a su favor considerando que Rappi había eliminado su información personal, respetando sus derechos emanados del régimen de habeas data.

Tal como lo reconoció la SIC en la investigación identificada con el radicado 18181079, Rappi cumplió su deber de eliminar la información solicitada por el Titular y, por consiguiente, satisfizo el ejercicio de sus derechos, motivo por el cual no hubo necesidad alguna de imponer órdenes ni sanciones en su contra. Así pues, en dicha investigación la Dirección, luego de verificar los pantallazos que Rappi aportó para defenderse en su momento, pudo comprobar que el correo electrónico del Señor había sido efectivamente eliminado, por lo que cerró la investigación en ese frente, al considerarlo un hecho superado.

En otras palabras, en lo que corresponde al ejercicio de los derechos de habeas data y a la solicitud de supresión de la información personal del Señor, la Dirección consideró que Rappi sí había cumplido su deber legal de eliminación del dato, respetando los derechos del titular, motivo por el cual archivó la investigación. Pese a lo anterior, la Dirección dio traslado al Grupo de Trabajo de Investigaciones Administrativas, de la misma Dirección, para que, contradictoriamente, iniciara otra investigación en contra de Rappi, fundamentada en los mismos hechos respecto de los cuales ya había determinado el archivo correspondiente.

Es válido afirmar en este sentido que la Dirección ya había juzgado a Rappi por la supuesta desatención de los reclamos formulados por el Señor, considerando que, debido a que Rappi finalmente había cumplido su obligación, no había lugar a reproche alguno. De allí que la Dirección tomó la siguiente decisión a través del artículo primero de la Resolución N°8993 de 2019, de la que ciertamente emana la confianza legítima de Rappi de no ser investigado ni mucho menos sancionado por asuntos ya juzgados: “ARTÍCULO PRIMERO: Archivar la presente actuación según lo expuesto en la parte motiva de la presente resolución.” De allí que no se entiende cómo la Dirección, acudiendo a las mismas pruebas que utilizó para archivar la actuación administrativa en contra de Rappi, las invocó nuevamente en este trámite, pero para formular cargos en contra de esta compañía, es decir, para tomar una decisión diametralmente opuesta a la inicial.

En decisiones como las tratadas son preponderantes los principios de buena fe y confianza legítima provenientes de las actuaciones de las autoridades públicas, frente a lo cual es oportuno citar el entendimiento de la Corte Constitucional y el desarrollo jurisprudencial en defensa de los derechos constitucionales en juego: “En esencia, la confianza legítima consiste en que el ciudadano debe poder evolucionar en un medio jurídico estable y previsible, en cual pueda confiar.

Para Müller, este vocablo significa, en términos muy generales, que ciertas expectativas, que son suscitadas por un sujeto de derecho en razón de un determinado comportamiento en relación con otro, o ante la comunidad jurídica en su conjunto, y que producen determinados efectos jurídicos; y si se trata de autoridades públicas, consiste en que la obligación para las mismas de preservar un comportamiento consecuente, no contradictorio frente a los particulares, surgido en un acto o acciones anteriores, incluso ilegales, salvo interés público imperioso contrario.

Se trata, por tanto, que el particular debe ser protegido frente a cambios bruscos e inesperados efectuados por las autoridades públicas. En tal sentido, no se trata de amparar situaciones en las cuales el administrado sea titular de un derecho adquirido, ya que su posición jurídica es susceptible de ser modificada por la Administración, es decir, se trata de una mera expectativa en que una determinada situación de hecho o regulación jurídica no serán modificadas intempestivamente.” (subrayado propio) Así las cosas, la Dirección vulneró el principio de confianza legítima emanado del archivo de la investigación en favor de Rappi, desde el momento en que formuló cargos en su contra, lo cual se materializa con el desconocimiento de una decisión previa que ésta misma entidad tomó “Por la cual se impone una sanción” consistente en exonerarla de los cargos relacionados con la supuesta desatención de los reclamos del Señor y la eliminación de su información personal.

Como se probó en ese trámite, Rappi atendió los reclamos formulados por el titular y eliminó de sus bases de datos su información personal, situación que fue declarada por la misma Entidad al momento de archivar la investigación. Por otra parte, es importante destacar que la presente investigación se originó en el traslado de la copia de la Resolución N°8993 de 2019 por parte del Director de Investigación de Protección de Datos Personales (Dr. Carlos Enrique Salazar Muñoz) al Grupo de Trabajo de Investigaciones de Administrativas de ésta Entidad, al parecer liderado también por el Dr. Salazar (pues es él mismo quien realiza la apertura de esta investigación) lo cual, desde ya, debemos manifestar que se trató de una actuación administrativa carente de todo asidero jurídico.

Adicionalmente, debemos señalar que el Grupo de Trabajo de Habeas Data, quien le remitió al Grupo de Trabajo de Protección de Datos Personales copia de la Resolución N°8993 de 2019, es también una dependencia al servicio del Director de Investigación de Protección de Datos Personales, de tal manera que cualquier asunto que debía resolverse frente a las conductas de Rappi, debió haberse resuelto de fondo en el primer trámite que el Director inició en contra de la investigada.

Debe destacarse al respecto que de acuerdo con el numeral 2° del artículo 2° de la Resolución N°54004 de 2012, el Grupo de de (sic) Trabajo de Habeas Data es una dependencia que tiene en su haber proyectar los actos administrativos mediante los cuales se “resuelvan de fondo” las actuaciones adelantadas por dicho grupo, “para la firma del Director de Investigación de Protección de Datos Personales”.

A la luz de lo dicho, no resulta coherente ni tampoco ceñido a derecho que el mismo Director conozca y resuelva dos veces a Rappi por los mismos hechos, pero a través de dos dependencias que al fin y al cabo están a su servicio. Además de instrumentalizar la vulneración del mencionado principio, se materializó una situación arbitraria en tanto el funcionario que trasladó el expediente, y quien luego lo recibió, fue el mismo, es decir el Dr. Carlos Enrique Salazar Muñoz en la misma calidad de Director de Investigaciones.

La persona que finalmente archivó la investigación en contra de Rappi identificada con el número de radicado 18-181079, es la misma que decidió iniciar una nueva investigación en su contra, situación que, sin duda, se aleja de los deberes legales del funcionario público. A la luz de este argumento, los cargos formulados por la Dirección en contra de Rappi por la supuesta desatención de las normas relacionadas con la atención de reclamos y la supresión de datos personales deben permanecer archivadas, como bien lo determinó el Dr. Salazar en la actuación inicial.

El artículo 83 de la Constitución Política establece que “las actuaciones de los particulares y de las autoridades públicas deberán ceñirse a los postulados de la buena fe, la cual se presumirá en todas las gestiones que aquellos adelanten ante estos”. Al respecto, la Corte Constitucional ha señalado que el principio de la buena fe “trata de un pilar fundamental de nuestro ordenamiento jurídico, que orienta las relaciones entre particulares y entre éstos y la administración, buscando que se desarrollen en términos de confianza y estabilidad 8.

El principio de buena fe puede entenderse como un mandato de “honestidad, confianza, rectitud, decoro y credibilidad que acompaña la palabra comprometida (…) permite a las partes presumir la seriedad en los actos de los demás, dota de (…) estabilidad al tránsito jurídico y obliga a las autoridades a mantener cierto grado de coherencia en su proceder a través del tiempo9” Dentro de los argumentos alegados por la sociedad para la presunta violación al principio de buena fe, es que “en la investigación identificada con el radicado 18181079, Rappi cumplió su deber de eliminar la información solicitada por el Titular y, por consiguiente, satisfizo el ejercicio de sus derechos, motivo por el cual no hubo necesidad alguna de imponer órdenes ni sanciones en su contra.” Del anterior argumento, es oportuno recordarle a la sociedad investigada que en la Resolución 8993 del 11 de abril de 2019 “Por la cual se archiva una actuación administrativa” en el artículo 5º, Sentencia T- 722 de 2012.

M.P. Luis Ernesto Vargas Silva. Sentencia C-131 de 2004. M.P. Clara Inés Vargas Hernández. En el mismo sentido ver las sentencias T-248 de 2008. M.P. Rodrigo Escobar Gil, y T- 141 de 2013. M.P. Luis Ernesto Vargas Silva. “Por la cual se impone una sanción” se estableció la competencia de esta Superintendencia y el objeto de la actuación, siendo conveniente resaltar lo siguiente: “Teniendo en cuenta que la petición presentada por el señor se refiere a que se elimine de la base de datos de la sociedad Rappi S.A.S. su información personal para el envío de publicidad, esta Dirección limitará su actuación a la salvaguarda efectiva de su derecho de hábeas data según la facultad conferida en el literal b) artículo 21 de la Ley 1581 de 2012 a esta Superintendencia. No obstante, se debe aclarar que lo anterior no implica un desplazamiento de la competencia de esta Superintendencia en materia de protección de datos personales, por la cual esta entidad se reserva la facultad de verificar los hechos descritos en la presente actuación, a fin de determinar si es pertinente iniciar una investigación administrativa de carácter sancionatorio.” Lo anterior significa que a pesar de haberse archivado la actuación administrativa adelantada por el Grupo de Trabajo de Habeas Data, en razón a la supresión del dato en las bases de datos de la sociedad RAPPI S.A.S., dicha circunstancia no excluía a la sociedad de una investigación administrativa de carácter sancionatorio dirigida a establecer el posible incumplimiento de los deberes y principios regulados por la Ley 1581 de 2012, situación que le fue debidamente notificada, en los términos expuestos en líneas precedentes.

Igualmente, es pertinente aclarar que, en la Resolución 8993 del 11 abril de 2019, esta Dirección no manifestó que la actuación administrativa se haya archivado por un “hecho superado” como equivocadamente lo afirma la sociedad investigada. No obstante, es necesario enfatizar que, el hecho que la sociedad haya eliminado operativamente el dato del Titular en sus bases de datos no significa que desaparezcan las eventuales irregularidades en que pudo haber incurrido frente al tratamiento de datos personales.

Por ello, el haber corregido su posible error, no la exime de las consecuencias legales de sus acciones u omisiones frente a los deberes y principios regulados por la Ley 1581 de 2012, como fue conceptualizado en la Resolución 43862 del 31 de julio de 2020, emanada del Despacho del Superintendente Delegado para la Protección de Datos Personales, así: La configuración del hecho superado no libera de responsabilidad jurídica a quien vulnera la regulación de datos personales ni lo exime de ser sancionado por incumplir la Ley.

Es importante señalar que ni la responsabilidad, ni la sanción frente al incumplimiento del régimen jurídico de protección de Datos personales, se desvanece ante la configuración de un hecho superado. Por lo tanto, no son aceptables los argumentos alegados por la presunta violación al principio de buena fe y confianza legítima por parte de esta Dirección. 8.2.3.

Frente a la supuesta vulneración del principio de non bis in ídem 3. “La Dirección vulneró el derecho fundamental al debido proceso al desconocer el principio de non bis in ídem con la formulación de cargos” la sociedad investigada lo fundamenta así: Este principio, plenamente aplicable en los trámites sancionatorios de la SIC, fue vulnerado por la Dirección desde la formulación de cargos en contra de Rappi.

Aunado a lo ya expuesto acerca de la infracción al principio de confianza legítima en las actuaciones de la Entidad, tal como lo podrá corroborar la Dirección, Rappi ya había sido investigado en el trámite con radicado 18-181079 por supuestamente no haber atendido los reclamos presentados por el Señor y por no suprimir su información personal.

En dicho trámite, como ya ha sido expuesto, la investigación fue archivada en favor de Rappi, por lo que, al abrirse un nuevo trámite motivado exactamente por los mismos hechos, la Dirección está investigando a Rappi dos veces por los mismos hechos, situación que vulnera el artículo 29 de la Constitución Política que consagra el derecho de “no ser juzgado dos veces por el mismo hecho”.

La jurisprudencia constitucional aclara que este principio aplica tanto en materia penal como en las demás actividades sancionatorias del Estado, tal como es el caso de los procesos sancionatorios que se llevan a cabo ante esta Entidad: “Esta prohibición del doble enjuiciamiento, o principio del non bis in ídem, busca evitar que las personas estén sujetas a investigaciones permanentes por un mismo acto.

Esta Corte ha reconocido además que en el constitucionalismo colombiano, este principio no se restringe al ámbito penal sino que “se hace extensivo a todo el universo del derecho sancionatorio del cual forman parte las categorías del derecho penal delictivo, el derecho contravencional, el derecho disciplinario, el derecho correccional, el derecho “Por la cual se impone una sanción” de punición por indignidad política (impeachment) y el régimen jurídico especial ético - disciplinario aplicable a ciertos servidores públicos (pérdida de investidura de los Congresistas)”.

Sin embargo, la prohibición del doble enjuiciamiento no excluye que un mismo comportamiento pueda dar lugar a diversas investigaciones y sanciones, siempre y cuando éstas tengan distintos fundamentos normativos y diversas finalidades. Esta Corte ha precisado que el non bis in ídem veda es que exista una doble sanción, cuando hay identidad de sujetos, acciones, fundamentos normativos y finalidad y alcances de la sanción.” De manera puntual, la violación del citado derecho emana del desconocimiento del fallo proferido en el trámite identificado con el radicado 18-181079, cuya vulneración se materializa en el identificado con el radicado 19-131604, que nos convoca.

Ambos trámites poseen identidad de causa, objeto y persona, lo cual es natural al estar ambos fundamentos en los mismos hechos. Veamos: Trámite 18-171089 (Resolución N° 8993 del 11 de abril de 2019) Trámite 19-131604 (Resolución N° 67110 del 27 de noviembre de 2019) Este trámite se motivó en las (sic) reclamos formulados por el Señor para la eliminación de su información personal de las bases de datos de Rappi.

Este trámite inició con la formulación de cargos en contra de Rappi por supuestamente no atender los derechos del Titular, materializado en los reclamos formulados para la eliminación de su información personal. Argumenta la sociedad investigada que este principio fue presuntamente vulnerado desde la formulación de cargos porque “ya había sido investigado en el trámite con radicado 18-181079 por supuestamente no haber atendido los reclamos presentados por el Señor y por no suprimir su información personal”, además aduce que se está desconociendo el fallo de archivo proferido para el proceso radicado 18-181079 al haber formulado cargos con radicado 19131604, que las dos actuaciones administrativas “poseen identidad de causa, objeto y persona”.

Como es sabido, la Constitución Política en su artículo 29 inciso 1º consagra el Derecho al Debido Proceso, el cual se aplica a toda clase de actuaciones judiciales y administrativas. El inciso 4º establece el principio del Non Bis in Idem al prohibir juzgar al sindicado dos veces por el mismo hecho. Este principio ha sido ampliamente desarrollado tanto por la Corte Constitucional como por el Consejo de Estado.

La Corte Constitucional en su línea jurisprudencial ha reconocido que, en el constitucionalismo colombiano, el principio del Non Bis in Idem no se restringe al ámbito penal, sino que “se hace extensivo a todo el universo del derecho sancionatorio”10. La Corte además ha precisado que dicho principio veda que exista una doble sanción “cuando hay identidad de sujetos, acciones, fundamentos normativos y finalidad y alcances de la sanción”11.

Vale aclarar que dicha prohibición de doble enjuiciamiento, en ningún punto excluye que un mismo comportamiento pueda dar lugar a diversas investigaciones y sanciones, “siempre y cuando éstas tengan distintos fundamentos normativos y diversas finalidades”12. El Consejo de Estado ha desarrollado también una extensa línea jurisprudencial en materia de violación al principio del Non Bis in Idem en la que ha sido enfático en señalar que “tal prohibición no implica que por un mismo hecho no se puedan infringir varias sanciones, de distinta naturaleza ( ) La prohibición opera frente a sanciones de una misma naturaleza”13 (énfasis en el texto original).

En otras palabras, se configura la violación a dicho principio cuando por los mismos hechos se juzga a una persona natural o jurídica dos o más veces, en la misma modalidad14. Ahora bien, como ya se ha explicado con los anteriores principios presuntamente vulnerados, la actuación administrativa adelantada por el Grupo de Trabajo de Habeas Data con el proceso radicado número 18-181079 su objetivo fue salvaguardar efectivamente el derecho de Hábeas Data del Titular con la supresión del dato en la base de datos de la sociedad de RAPPI S.A.S., mas no correspondía a una investigación administrativa de carácter sancionatorio, situación que si ocurre con el proceso radicado número 19-131604 adelantado en el Grupo de Trabajo de Investigaciones Administrativas, el cual consiste en garantizar a las personas el Derecho Corte Constitucional, Sentencia de Constitucionalidad 554 de 2001.

MP. Clara Inés Vargas Hernández. Fundamento 3.3. Corte Constitucional, Sentencia de Constitucionalidad 088 de 2002. MP. Dr. Eduardo Monealegre Lynett. Corte Constitucional, Sentencia de Constitucionalidad 088 de 2002. MP. Dr. Eduardo Monealegre Lynett. Consejo de Estado, Sala de lo Contencioso Administrativo. Sentencia del 21 de agosto de 2008.

Rad. 2008-90662. Consejero Ponente: Marco Antonio Velilla Moreno. Consejo de Estado, Sala de lo Contencioso Administrativo. Sentencia del 11 de octubre de 2007. Rad. 1994-04373. Consejero Ponente: Marco Antonio Velilla Moreno. “Por la cual se impone una sanción” Fundamental de la Protección de Datos Personales. Lo que permite concluir, que se trata de dos actuaciones de naturaleza y propósito distintos.

En cuanto al debido proceso este Despacho advierte que, en ningún momento los actos o actuaciones adelantados en el curso de la denuncia del señor, han estado en contravía del derecho, dejando claro que esta Dirección aplicó y respetó las garantías procesales necesarias y emitió los actos administrativos a que hubo lugar, lo que en ninguna circunstancia fueron arbitrarios.

Por el contrario, lo que sí hizo esta autoridad, fue propender por la correcta aplicación de las normas y los principios que la fundamentan, por ello, luego de la plena evaluación de los elementos que hacen parte del expediente bajo estudio, es indiscutible concluir que con la formulación de cargos se haya desconocido el debido proceso. Se reitera que, esta Dirección obró dentro del marco de sus facultades legales para, de una parte, salvaguardar el Derecho Fundamental de Hábeas Data del Titular y, de otra, velar por el cumplimiento efectivo de la ley.

8.2.4. RESPECTO DE LA PRESUNTA REVOCATORIA DE LA RESOLUCIÓN 8992 DE 2019 4. “La Dirección está revocando, de manera velada, el archivo de una actuación sancionatoria en contra de Rappi establecido en la Resolución N°8993 de 2019”, la sociedad lo argumenta así: Con la apertura de la presente investigación, la Dirección, de facto, está revocando el archivo de la investigación que se identificó con el número de radicación 18-181079 que fue decretada mediante la Resolución N°8993 de 2019.

Señalamos lo anterior en razón a que el mismo funcionario que en su momento archivo las actuaciones en contra de Rappi, el Doctor Carlos Enrique Salazar Muñoz, es quien está formulando los mismos cargos en su contra fundamentándose en los mismos hechos de la investigación pasada, como si en aquella no hubiese terminado de agotar su competencia o deseara reabrirla que tomar ciertas determinaciones que olvidó tomar allí. De una u otra manera, la Dirección está reviviendo un trámite dejando sin efectos el acto administrativo que le puso fin.

El CPACA establece lo siguiente frente a las causales de revocación de los actos administrativos: “Artículo 93. Causales de revocación. Los actos administrativos deberán ser revocados por las mismas autoridades que los hayan expedido o por sus inmediatos superiores jerárquicos o funcionales, de oficio o a solicitud de parte, en cualquiera de los siguientes casos: 1.

Cuando sea manifiesta su oposición a la Constitución Política o a la ley. 2. Cuando no estén conformes con el interés público o social, o atenten contra él. 3. Cuando con ellos se cause agravio injustificado a una persona.” En lo que se refiere a la revocatoria de actos de contenido particular, el artículo 97 del CPACA consagra lo siguiente: “Artículo 97.

Revocación de actos de carácter particular y concreto. Salvo las excepciones establecidas en la ley, cuando un acto administrativo, bien sea expreso o ficto, haya creado o modificado una situación jurídica de carácter particular y concreto o reconocido un derecho de igual categoría, no podrá ser revocado sin el consentimiento previo, expreso y escrito del respectivo titular.

Si el titular niega su consentimiento y la autoridad considera que el acto es contrario a la Constitución o a la ley, deberá demandarlo ante la Jurisdicción de lo Contencioso Administrativo. Si la Administración considera que el acto ocurrió por medios ilegales o fraudulentos lo demandará sin acudir al procedimiento previo de conciliación y solicitará al juez su suspensión provisional.

Parágrafo. En el trámite de la revocación directa se garantizarán los derechos de audiencia y defensa.” Como se desprende de las normas, la revocatoria de los actos por parte de la misma autoridad procede únicamente bajo ciertas causales, ya sea por contrariarse la Constitución, por no estar el acto conforme con el interés público o social o cuando se crea un agravio injustificado a una persona.

En el caso de los actos de contenido particular, como lo sería la Resolución N°8993 de 2019, se requiere para su revocación el consentimiento previo, expreso y escrito del respectivo titular, que en este caso sería de Rappi. Como la Dirección, con la expedición de la Resolución N°67110 de 2019 que formuló cargos en contra de Rappi, se fundamenta en los mismos hechos que ya había analizado con anterioridad en “Por la cual se impone una sanción” la Resolución N°8993 de 2019, está realizando de manera velada la revocatoria de aquel acto sin cumplir ninguno de los requisitos legales para su materialización. El acto administrativo de archivo proferido en su momento no posee ningún elemento que haya vulnerado la Constitución, la ley o el orden público, ni mucho menos generó un agravió injustificado en contra de personas.

Dicha decisión, para ser revocada, requería de la anuencia de Rappi, quien es el titular de los derechos emanados del archivo de las actuaciones que se adelantaron a en contra, esto es del derecho de no ser investigado nuevamente por los mismos actos. Al respecto, el artículo 93 de la Ley 1437 de 2011, en cuanto a revocación de los actos administrativos establece que: “Los actos administrativos deberán ser revocados por las mismas autoridades que los hayan expedido o por sus inmediatos superiores jerárquicos o funcionales, de oficio o a solicitud de parte, en cualquiera de los siguientes casos: 1.

Cuando sea manifiesta su oposición a la Constitución Política o a la ley. 2. Cuando no estén conformes con el interés público o social, o atenten contra él. 3. Cuando con ellos se cause agravio injustificado a una persona.” En relación a los actos administrativos a los cuales se refiere el transcrito artículo, el Consejo de Estado señaló: “[E]l informe se expide en virtud de la potestad Administrativa conferida a tales funcionarios y tiene efectos jurídicos sobre los administrados (la persona o las personas lesionadas) y dentro del propio campo administrativo, pero tiene la característica de no poner fin a la actuación administrativa de reconocimiento de las prestaciones generadas por las lesiones, que es el efecto final buscado por la ley y al cual se llega cumpliendo todos los pasos del procedimiento especial por ella señalado.

(…) De otra parte, en cuanto a la posibilidad jurídica de revocar directamente el Informe de lesiones, la Sala observa que no es factible aplicarla puesto que ella solo procede frente a actos administrativos definitivos. En efecto, si bien el artículo 69 del C.C.A. no hace la distinción entre actos de trámite, preparatorios y definitivos y por lo tanto, pudiera pensarse que la revocatoria directa procede frente a todos ellos, una interpretación sistemática del conjunto normativo que la regula (Título V), muestra que como ella no procede en el caso de actos contra los cuales se hayan utilizado los recursos por la vía gubernativa (art. 70), dichos actos no pueden ser los denominados preparatorios, como ya se dijo, contra los actos preparatorios no proceden recursos por la vía gubernativa.

Igualmente del contenido de los artículos 71 a 74 se colige que la revocatoria directa solo opera contra los actos definitivos.”15 La sociedad investigada afirma que “Con la apertura de la presente investigación, la Dirección, de facto, está revocando el archivo de la investigación que se identificó con el número de radicación 18-181079 que fue decretada mediante la Resolución N°8993 de 2019.” Como ya se ha explicado anteriormente, el Director de Investigación de Protección de Datos Personales en el ejercicio de su facultad de salvaguardar el derecho fundamental de Habeas Data con “ordenar el retiro de datos personales de una base de datos”, a través del Grupo de Trabajo de Habeas Data resolvió archivar la actuación administrativa mediante la Resolución 8993 de 2019, una vez lograda la supresión del dato del Titular en la base de datos de la sociedad RAPPI S.A.S., en el mismo acto administrativo resolvió remitir copia de la Resolución al Grupo de Trabajo de investigaciones Administrativas para determinar si había mérito o no para iniciar una investigación administrativa de carácter sancionatorio dirigida a establecer el posible incumplimiento de los deberes y principios regulados por la Ley 1581 de 2008.

Así las cosas, la Dirección de Investigación de Protección de Datos Personales obró dentro del marco de sus facultades legales para, de una parte, garantizar al Titular el amparo del Derecho Fundamental de Hábeas Data y, de otra, tramitar y decidir el posible incumplimiento a las normas de Protección de Datos Personales. Una vez realizadas las consideraciones para cada uno de los principios alegados por la sociedad, se concluye que con la actuación administrativa adelantada por el Grupo de Trabajo de Habeas Data, se cumplió con el objetivo respecto de la supresión de datos personales del Titular en la base de datos de la sociedad RAPPI S.A.S. De modo que, el haber logrado que la sociedad investigada haya eliminado operativamente los datos personales del denunciante en su base de datos, no significa que desaparezcan las eventuales irregularidades en que pudo haber incurrido.

Consejo de Estado, Sala de Consulta y Servicio Civil, Concepto 1558, Consejero Ponente: Gustavo Aponte Santos, 22 de abril de 2004. “Por la cual se impone una sanción” Lo anterior significa que, el hecho de que la sociedad RAPI S.A.S. haya corregido sus posibles errores no lo exime de las consecuencias legales de sus acciones u omisiones frente al tratamiento de datos personales, por tal razón, a partir de las pruebas obrantes en el expediente y en ejercicio de la función de velar por el cumplimiento de la legislación en materia de Protección de Datos Personales, esta Dirección resolvió iniciar una investigación administrativa y formular cargos a RAPPI S.A.S. por las siguientes razones: • Cargo primero: “Este despacho evidencia preliminarmente que, entre la fecha de solicitud de supresión por parte del Titular, esto es el 14 de marzo de 2008 y la fecha de supresión acreditada por LA INVESTIGADA, a saber, el 07 de septiembre de 2018, transcurrió un término superior a los cinco (05) meses, lapso durante el cual posiblemente la sociedad siguió realizando tratamiento de los datos personales del Titular y dejó de garantizar el ejercicio de su derecho de Habeas Data consistente en la solicitud de supresión de su información.” Conducta que se enmarca como presuntamente transgresora del deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de Habeas Data, establecido en literal a) del artículo 17 de la Ley 1581 de 2012. • Cargo segundo: “(…) LA INVESTIGADA recibió del señor solicitud de supresión de sus datos personales el día 14 de marzo de 2018, esta no le dio trámite de fondo a la reclamación ni en el término estipulado por la Lay 1581 de 2012, esto es, máximo quince (15) días hábiles contados a partir del día siguiente de su recibo.” Conducta que vulnera presuntamente el deber de tramitar las consultas y reclamos, establecido en literal j) del artículo 17 de la Ley 1581 de 2012.

Por estas razones, no prosperan los argumentos relacionados con la supuesta violación a los principios de confianza legítima, buena fe, nom bis in idem, debido proceso, y mucho menos una revocatoria por parte de esta Dirección. Ahora bien, superada la anterior situación, se procede a la valoración probatoria y conclusión para cada uno de los cargos formulados, así: 8.2.5.

Del deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data. La Constitución Política reconoce el derecho de las personas a decidir libremente frente al uso de la información que sobre ellas se haya recogido en bancos de datos o archivos de entidades públicas o privadas, establecido en artículo 15, así: Artículo 15.

Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, Tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución. La revocatoria de autorización y/o supresión de información por parte de los titulares, se deriva del principio de libertad previsto en el artículo 4 literal c) de la Ley 1581 de 2012 16, que se encuentra consagrado como derecho de aquéllos en los siguientes términos: "Artículo 8º.

Derechos de los Titulares. El Titular de los datos personales tendrá los siguientes derechos: e) Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución; 16 “Artículo 4º.

Principios para el Tratamiento de datos personales. En el desarrollo, interpretación y aplicación de la presente ley, se aplicarán de manera armónica e integral, los siguientes principios: (…) c) Principio de libertad: El Tratamiento solo puede ejercer con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal judicial que releve el consentimiento;

(…) “Por la cual se impone una sanción” (…)”. Es oportuno señalar que, el citado artículo 8 establece que los Titulares pueden solicitar la supresión de su información personal cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La Corte Constitucional mediante Sentencia C748 de 2011 analizó la exequibilidad de la citada ley, en la cual determinó que "el individuo también es libre de decidir cuales informaciones desea que continúen y cuáles deben ser excluidas de una fuente de información, siempre y cuando no exista un mandato legal que le imponga tal deber, o cuando exista alguna obligación contractual entre la persona y el controlador de datos, que haga necesaria la permanencia del dato" Igualmente, la Ley 1581 de 2012 en el artículo 17 establece los Deberes de los responsables, para la presente investigación es aplicable el siguiente: Artículo 17.

Deberes de los Responsables del Tratamiento. Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la presente ley y en otras que rijan su actividad. a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data; Al respecto, la Corte Constitucional ha definido el derecho de habeas data en los siguientes términos: "El derecho fundamental al habeas data, es aquel que otorga la facultad al titular de datos personales, de exigir a las administradoras de datos personales el acceso, inclusión, exclusión, corrección, adición, actualización, y certificación de los datos, así como la limitación en las posibilidades de divulgación, publicación o cesión de los mismos, conforme a los principios que informan el proceso de administración de bases de datos personales".

(…) “'De conformidad con la jurisprudencia de esta Corporación, dentro de las prerrogativas — contenidos mínimos- que se desprenden de este derecho encontramos las siguientes: (i) el derecho de las personas a conocer —acceso- la información que sobre ellas están recogidas en bases de datos, lo que conlleva el acceso a las bases de datos donde se encuentra dicha información;

(ii) el derecho a incluir nuevos datos con el fin de se provea una imagen completa del titular; (iii) el derecho a actualizar la información, es decir, a poner al día el contenido de dichas bases de datos; (iv) el derecho a que la información contenida en bases de datos sea rectificada o corregida, de tal manera que concuerde con la realidad;

(v)el derecho a excluir información de una base de datos, bien porque se está haciendo un uso indebido de ella o por simple voluntad del titular —salvo las excepciones previstas en la normativa.” (subrayado fuera de texto). En línea con lo anterior, ordena el artículo 2.2.2.25.2.6 del Decreto 1074 de 2015, lo siguiente: "Los Titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el Tratamiento de los mismos mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012.

La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos. El responsable y el encargado deben poner a disposición del Titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización otorgada.

Si vencido el término legal respectivo, el responsable y/o el encargado, según fuera el caso, no hubieran eliminado los datos personales, el Titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización y/o la supresión de los datos personales. Para estos efectos se aplicará el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012".

Así las cosas, los Titulares pueden solicitar la exclusión o supresión de la información que repose en las bases de datos de los Responsables o Encargados del Tratamiento, siempre que no exista un deber legal o contractual que lo impida. Debe precisar este Despacho que, tal como lo manifiesta la Corte Constitucional, el derecho de hábeas data otorga la facultad al Titular de los datos personales de exigir el acceso, corrección, actualización, rectificación y eliminación de su información, por lo que resulta apenas claro, que corresponde a los Responsables y Encargados de la información implementar los mecanismos necesarios que le permita al Titular ejercer de manera efectiva los derechos antes mencionados.

“Por la cual se impone una sanción” Para el caso en concreto, se encuentra en el acervo probatorio que el 14 de marzo de 2018, el señor, presentó una petición ante la sociedad RAPPI S.A.S., mediante la cual solicitó “(…) dar de baja mis datos personales de su base de datos de manera inmediata, (…), toda vez que no me interesa recibir sus servicios.” 17, como se muestra a continuación: Por su parte, la sociedad investigada mediante correo electrónico del 14 de marzo de 2018 le informó al denunciante “(…) hemos enviado el formulario con todos sus datos a nuestra área encargada para que den de baja tu cuenta.

(…), como se muestra a continuación: No obstante, lo anterior, en el transcurso de la actuación administrativa, el Grupo del Habeas Data, mediante solicitud de explicaciones radicada bajo el número 18-181079- -00004-000 del 17 de agosto de 2018, requirió a la sociedad RAPPI S.A.S. para que aportara entre otras cosas, la siguiente información: “6.

En caso de ser procedente, acreditar prueba mediante la cual se demuestre que eliminó, actualizó o corrigió la información del Titular.”. En respuesta al citado requerimiento, mediante escrito radicado bajo el número 18-181079- -00005-000 del 10 de septiembre de 2018, informó: “1. (…) el perfil del señor fue creado el 02 de marzo de 2018 a las 9:02 pm y eliminado el 07 de septiembre de 2018 a las 19:02:24, (…). 6.

Los datos del Usuario fueron actualizados como se evidencia en la tercera imagen del Anexo (…) donde se evidencia que fue retirado su correo de la base de datos donde se generan los correos promocionales (…).” Adjunto a la Denuncia radicada bajo el número 18-181079- -00000-000 del 09 de julio de 2018 “Por la cual se impone una sanción” Lo anterior fue ratificado por la sociedad investigada mediante el escrito de alegatos de conclusión, “(…) Rappi atendió el requerimiento de información que la Coordinación del Grupo de Trabajo de Habeas Data (18-181079-00004-000) del 17 de agosto del mismo, a través del cual la investigada acreditó la eliminación de la información del titular, ocurrida el 7 de septiembre de 2018 (…).

Rappi finalmente atendió la solicitud de eliminación del Señor., lo cual, a pesar de que no ocurrió de forma inmediata a la solicitud formulada por el titular, finalmente se llevó a cabo (…)”. Así las cosas, es evidente que la intención del denunciante, al hacer uso de su derecho de la supresión ante la investigada, estaba encaminada a que sus datos fueran eliminados de “manera inmediata” dentro del término indicado por la sociedad “Este proceso puede tardar 25 horas”18, situación que no ocurrió, puesto que la sociedad RAPPI S.A.S., acreditó que la eliminación de la información se realizó el 7 de septiembre de 2018, es decir, cinco (5) meses y veinticuatro (24) días después de haberlo solicitado; por lo tanto, el procedimiento que se debió adelantar tendría que estar dirigido a ejecutar la supresión del dato de manera diligente, efectiva y oportuna.

Por lo tanto, está plenamente demostrado que el Responsable del Tratamiento no ejecutó dentro del plazo máximo legal establecido la supresión de datos personales del señor, cuando este lo solicitó el 14 de marzo de 2018; pues tal supresión la realizó el 07 de septiembre de 2018, es decir, cinco (5) meses y veinticuatro (24) días después de que el Titular ejerció su derecho y sólo hasta cuando esta Dirección requirió a la investigada mediante la solicitud de explicaciones19, vulnerando de esta manera el derecho fundamental de habeas data del Titular.

Es importante indicar que, es imperativo -no facultativo- que los Responsables o Encargados del Tratamiento de datos personales garanticen oportuna y debidamente los derechos constitucionales y legales de las personas. Se trata de un asunto muy importante sobre el cual las organizaciones deben obrar de manera profesional, diligente y efectiva porque ello es parte central del mandato constitucional previsto en el artículo 15 cuyo texto señala “En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”.

Dado lo anterior, este Despacho ha sido enfático en señalar que: “No puede convertirse en práctica empresarial que el titular del dato tenga que insistir varias veces para que se garantice el respecto de sus derechos. Con una sola solicitud es suficiente y le corresponde al Responsable hacer efectivo el derecho de las personas dentro de los plazos máximos legales establecidos en la ley.

Los derechos de los titulares son para respetarlos en el tratamiento de datos personales y no para dilatar su cumplimiento o negar su efectividad en la práctica.”20 En consecuencia, se encuentra probado que la sociedad RAPPI S.A.S. incumplió el literal a) del artículo 17, en concordancia con el literal e) del artículo 8 de la Ley 1581 de 2012 y con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015 porque no ejecutó dentro del plazo máximo legal establecido la supresión de datos personales del Titular.

Por tal razón, esta Dirección impondrá la sanción pecuniaria de DOSCIENTOS OCHENTA MILLONES OCHOCIENTOS NOVENTA Y SIETE MIL CIENTO SESENTA PESOS M/CTE ($280.897.160), equivalente a 7.736,508758 (UVT) Unidad de Valor Tributario. 8.2.6. Del deber de tramitar las consultas y reclamos. El artículo 15 de Ley 1581 de 2012, señala que el Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión pueden presentar un reclamo ante el Responsable y/o Encargado del tratamiento, quienes contarán con el término de quince (15) días hábiles para atenderlo, contados a partir de la fecha de recibo del mismo y plazo que podrá prorrogarlo por el término de ocho (8) días hábiles más, previa comunicación al reclamante.

Ley 1581 de 2012 en el artículo 17 literal j), establece el “Tramitar las consultas y reclamos formulados en los términos señalados en la presente ley”, como uno de los deberes de los Responsables del Tratamiento. Prueba aportada con la denuncia radicada bajo el número 18-181079- -00000-000 del 09 de julio de 2018. Solicitud de explicaciones radicado bajo número 18-181079-4 del 17 de agosto de 2018.

Cfr. Resolución 83882 del 15 de noviembre de 2018 de la Superintendencia de Industria y Comercio Dr. Nelson Remolina Angarita Delegado para la Protección de Datos Personales. “Por la cual se impone una sanción” Al respecto, la Corte Constitucional en la sentencia C-748 de 2011 cuando al realizar el estudio de constitucionalidad de la Ley 1581 de 2012, se manifestó acerca de las consultas y reclamos que los titulares de la información pueden realizar frente a los Responsables y Encargados del tratamiento señalando Io siguiente: Sobre este mecanismo de reclamos que se consagra ante los responsables y encargados del dato, se puede advertir que los términos que se dieron para que el obligado conteste los requerimientos hechos son los mismos que se consagran para el derecho de petición en el Código Contencioso Administrativo, razón por la que se pueden transpolar los comentarios que se dejaron consignados sobre el carácter instrumental del derecho de petición, en aras de permitir al titular del dato ejercer las facultades que se derivan del babeas data.

De esta manera, los mecanismos de consultas y reclamos frente a los Responsables y Encargados del Tratamiento, constituye un desarrollo del artículo 23 de la Constitución Política, es decir, la reglamentación del derecho de petición frente a particulares que va específicamente orientado a la salvaguarda del derecho de habeas data. En la misma providencia21, respecto del Derecho de Petición, indicó: (…) el derecho de petición que se regula en la norma objeto de análisis se convierte en un instrumento con el que cuenta el titular del dato para hacer exigible o realizable el derecho autónomo de habeas data.

Es por ello que la jurisprudencia constitucional ha definido el derecho de petición como un derecho instrumental a través del cual el ciudadano se acerca a la administración o a aquellos privados que en razón de la actividad que desarrollan ostentan una posición de privilegio sobre el resto de particulares, que obliga al Estado a regular mecanismos que le permitan a estos últimos tener una herramienta que los obligue a responder a las inquietudes e Inconformidades que se puedan generar por razón de la actividad que éstos desplieguen, en procura de lograr la satisfacción de otros derechos fundamentales.

(…) En consecuencia, el precepto revisado resulta ajustado a la Constitución. No obstante, la Sala debe advertir que la jurisprudencia constitucional ha perfilado unas características que debe tener la respuesta para que se entienda satisfecho el derecho de petición. En ese orden, tanto los responsables como los encargados del tratamiento están obligados a observar esos parámetros que en términos generales se pueden resumir de la siguiente manera: (i) la respuesta debe ser de fondo, es decir, no puedo evadirse el objeto de la petición, (ii) que de forma completa y clara se respondan a los interrogantes planteados por el solicitante, (iii) oportuna, asunto que obliga a respetar los términos fijados en la norma acusada.

Así pues, es deber de los Responsables y Encargados del Tratamiento garantizar el ejercicio del derecho de Hábeas Data, así como garantizar el pleno y efectivo derecho de petición, consulta o reclamación, es decir, atender las solicitudes de los Titulares, sin dilaciones ni atrasos y especialmente de manera oportuna y de fondo. Precisado lo anterior, y retomando el caso objeto de estudio, observa esta Dirección que en el transcurso de la actuación administrativa el Grupo del Habeas Data, mediante solicitud de explicaciones radicada bajo el número 18-181079- -00004-000 del 17 de agosto de 2018, solicitó a la sociedad RAPPI S.A.S. aportar entre otras cosas, lo siguiente: “4.Informar si el titular de información ha presentado una reclamación o petición ante ustedes, en caso de ser afirmativa su respuesta favor aportar copia de la(s) misma(s) con su respectiva respuesta.”, para lo cual, mediante respuesta a explicaciones radicada bajo el número 18-181079- -00005-000 del 10 de septiembre de 2018, la investigada informó: 1.El titular de los datos personales,, realizó una reclamación a través de correo electrónico, pero su solicitud no fue procesada por Rappi S.A.S. Por favor ver Anexo 4 que evidencia la solicitud/reclamación de eliminar sus datos de las bases de datos de la plataforma Rappi.

Sentencia C-748 de 2011. M.P. Jorge Ignacio Pretelt Chaljub. Pag.228. “Por la cual se impone una sanción” No obstante, el señor del correo electrónico que se cita a continuación: aportó con la denuncia22, copia De acuerdo con los parámetros que en términos generales resumió la Corte Constitucional de cómo deben los Responsables responder las peticiones, de la anterior imagen se evidencia lo siguiente: Denuncia radicada bajo el número 18-181079- -00000-000 del 09 de julio de 2018.

“Por la cual se impone una sanción” 1. La respuesta fue oportuna respecto que la suministró dentro del término de los 15 días hábiles legales establecidos. La sociedad RAPPI S.A.S. suministró respuesta el 14 de marzo de 2018 al reclamo presentado por el señor; el término legal que tenía la investigada para responder vencía el 9 de abril de 2018, pero lo hizo el mismo día en que fue presentado el reclamo; la cual, fue recibida por el Titular por cuanto la aportó con la denuncia. 2.

La respuesta fue clara y completa porque en esta se evidencia “hemos enviado el formulario con todos tus (sic) datos a nuestra área encargada para que den de baja tu (sic) cuenta”, es decir, la investigada sabía lo solicitado por el reclamante y le indicó un plazo en el cual ejecutaría el proceso. 3. La respuesta no fue de fondo respecto de la supresión efectiva del dato, por cuanto la investigada evadió el objeto de la petición “dar de baja mis datos personales de su base de datos de manera inmediata”23, pues a pesar de haberle informado al Titular que iba a ejecutar el proceso en máximo “25 horas”24 no lo materializó en este plazo, ni dentro del plazo máximo legal establecido en la Ley.

Aspecto que ya fue abordado con el cargo primero respecto del deber de garantizar en todo tiempo el pleno y efectivo ejercicio del derecho de hábeas data. Así las cosas, esta Dirección encuentra que con el primer cargo formulado “Del deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.”, se abordó que la sociedad RAPPI S.A.S. no ejecutó dentro del plazo máximo legal establecido la supresión de datos personales del señor, por lo tanto, se procederá a desestimar el cargo y como consecuencia se ordenará el archivo.

NOVENO: Imposición y graduación de la sanción 9.1 Facultad sancionatoria La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio una potestad sancionatoria que se concreta en el artículo 23 de la misma ley, el cual señala lo siguiente: “ARTÍCULO 23. SANCIONES. La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b) Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

(…)”. Por su parte, La Corte Constitucional a través de sentencia C-557 de 2000, señaló que la ley aprobatoria del Plan Nacional de Desarrollo tiene la siguiente naturaleza: “Partiendo de la concepción que entiende la planeación como el instrumento fundamental para el manejo económico del Estado, y con base en lo dispuesto por el inciso tercero del artículo 341 de la Constitución Política según el cual “(e)l Plan Nacional de Inversiones se expedirá mediante una ley que tendrá prelación sobre las demás leyes”, y que “sus mandatos constituirán mecanismos idóneos para su ejecución y suplirán los existentes sin necesidad de la expedición de leyes posteriores”, la jurisprudencia ha destacado que la Ley del Plan de Desarrollo, que debe expedirse en cada período presidencial, determina el contenido de las leyes anuales de presupuesto, de otras leyes que tocan el tema económico, social o ambiental (…)” Respuesta aportada con la Denuncia radicada bajo el número 18-181079- -00000-000 del 09 de julio de 2018 página 2.

Respuesta de RAPPI S.A.S. del 14 de marzo aportada con la Denuncia radicada bajo el número 18-181079- -00000-000 del 09 de julio de 2018. “Por la cual se impone una sanción” El Plan Nacional de Desarrollo por ser una ley de iniciativa gubernamental y de un amplio consenso -tanto en la elaboración del proyecto de Ley como en su trámite legislativo- su cumplimiento debe hacerse de manera inmediata por parte de todas las entidades de orden nacional25.

Su cumplimiento se mide en la ejecución que se haga del Plan Nacional de Desarrollo dentro las competencias que le sean propias a cada una de las entidades del orden nacional observando los criterios de concurrencia, complementariedad y subsidiariedad. En consecuencia, cualquier norma que se incluya dentro del Plan Nacional de Desarrollo debe ser de obligatorio cumplimiento por las entidades que conforman la rama ejecutiva del nivel nacional a través del respectivo plan de acción institucional como lo establece el inciso 1 del artículo 26 de la ley 152 de 1994.

En ese orden de ideas, el artículo 49 de la Ley 1955 de 2019, mediante la cual se expide el Plan Nacional de Desarrollo 2018-2022, establece lo siguiente: ART. 49. —Cálculo de valores en UVT. A partir del 1º de enero de 2020, todos los cobros, sanciones, multas, tasas, tarifas y estampillas, actualmente denominados y establecidos con base en el salario mínimo mensual legal vigente, SMMLV, deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario, UVT.

En adelante, las actualizaciones de estos valores también se harán con base en el valor de la UVT vigente. PAR. —Los cobros, sanciones, multas, tasas, tarifas y estampillas, que se encuentren ejecutoriados con anterioridad al 1º de enero de 2020 se mantendrán determinados en SMMLV. De esta manera y de conformidad con la norma antes señalada, si el valor de los cobros, sanciones o multas se encuentran establecidos en salarios mínimos, estos deberán ser calculados con base en su equivalencia en términos de la unidad de valor tributario UVT.

Por lo cual, las multas de carácter personal e institucional dispuestas en la Ley 1581 de 2012, serán determinadas de la siguiente manera: Multa en UVT De otra parte, la ley 1581 de 2012 en su artículo 24 señala los criterios de graduación de las sanciones de los cuales este Despacho entrará a determinar cuales se deben tener en cuenta en caso concreto, así: De otra parte, dentro del marco de la Ley 1581 de 2012, con relación a la imposición de la sanción, el artículo 24 ibidem establece unos criterios de graduación que permiten garantizar el respeto de las garantías del artículo 29 Constitucional26 y que, por lo tanto, esta Dirección deberá analizar para el caso concreto y así determinar cuáles debe tener en cuenta.

Esos criterios, según la sentencia C-748 de 2012, hacen referencia a cinco circunstancias de agravación, entre los literales a) y e), y a una circunstancia de atenuación o disminución de la sanción, correspondiente al literal f). De igual forma, respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, esta Superintendencia debe ejercer su potestad sancionatoria de forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad que la norma vulnerada que establezca, así como la proporcionalidad entre la gravedad de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: “En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad”27 Las entidades territoriales tienen sus propios Planes de Desarrollo, artículos 31 y ss., de la Ley 152 de 1994. Sin perjuicio, a la participación que éstas tienen en la elaboración del PND.

Artículo 29. El debido proceso se aplicará a toda clase de actuaciones judiciales y administrativas. (…) (negrita añadida) Corte Constitucional, Sala Plena, C-125 del 18 de febrero de 2003, Magistrado Ponente Marco Gerardo Monroy Cabra. “Por la cual se impone una sanción” Siendo así, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales debe analizar todos los criterios de graduación del artículo 24 de la Ley 1581 de 2012 con la finalidad de establecer cómo se aplican al caso concreto y, de esa forma, seleccionar y graduar la sanción que se impondrá. Para esta finalidad, también se pueden tener en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, como también su rol dentro del cumplimiento la Ley de hábeas data financiero, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Es necesario precisar que las sanciones que se imponen dentro de procesos administrativos sancionatorios no constituyen ninguna cuantificación de perjuicios materiales o morales, es decir no se trata de la cuantificación de un daño subjetivo, como sucede en el régimen civil de responsabilidad. Por el contrario, las sanciones que impone esta Superintendencia, en virtud del artículo 23 y siguientes de la Ley 1581 de 2012, es una consecuencia negativa impuesta en contra de la persona natural o jurídica que viole las disposiciones de la Ley 1581 de 2012.

Esta consecuencia negativa tiene como finalidad promover y garantizar el cumplimiento de la Ley de hábeas data financiero y, de esa forma, proteger el derecho fundamental a la protección de datos personales, entre otros28. La imposición de sanciones por violación de la Ley 1581 de 2012 tiene como fin central proteger y promover el respeto del derecho fundamental a la protección de datos personales, derecho humano (universal, inalienable, indivisible, irrenunciable e imprescriptible) que fue positivizado por el Constituyente Primario en el artículo 15 de la Constitución de 1991, y que en muchas ocasiones es conexo a otros derechos fundamentales de gran relevancia constitucional como la dignidad humana, el buen nombre, la intimidad, etc.

Del mismo modo, la vulneración del derecho fundamental a la protección de datos personales no solo afecta los derechos de una persona en particular, sino que pone en riesgo los derechos fundamentales de toda la sociedad. Por eso, las sanciones de dichas conductas no pueden, ni deben tratarse, como una cuestión insignificante o de poca monta.

La transgresión flagrante a los derechos humanos de un ciudadano es, por sí sólo, un hecho muy grave que no necesita de forzosos razonamientos para evitar un desentendimiento de la importancia de lo sucedido. Recuérdese que, según la Declaración Universal de los Derechos Humanos, “el desconocimiento y el menosprecio de los derechos humanos han originado actos de barbarie ultrajantes para la conciencia de la humanidad”29.

Por eso, según dicho documento, se considera “esencial que los derechos humanos sean protegidos por un régimen de Derecho”. No debe olvidarse que el respeto de los derechos humanos es un elemento esencial de la democracia30. La Ley 1581 de 2012 le confirió a la Superintendencia de Industria y Comercio potestad sancionatoria que se concreta en el artículo 23 31 de la misma ley.

Así mismo, el artículo 24 de la norma en mención indica los criterios a seguir para graduar las sanciones en los siguientes términos: “ARTÍCULO

24. CRITERIOS PARA GRADUAR LAS SANCIONES. Las sanciones por infracciones a las que se refieren el artículo anterior, se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables: a) La dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley; Las sanciones impuestas en función del derecho administrativo sancionatorio pretenden asegurar el orden público y el correcto funcionamiento de la administración. Al respecto ver: Corte Constitucional, Sala Plena, C-703 de 2010, Magistrado Ponente Gabriel Eduardo Mendoza, Considerando 5;

Corte Constitucional, Sala Plena, C-010-03, Magistrada Ponente Clara Inés Vargas. Organización de las Naciones Unidas (1948). Declaración Universal de los Derechos Humanos Artículo 3 de la Carta Democrática Interamericana la cual se puede consultar en: http://www.oas.org/OASpage/esp/Documentos/Carta_Democratica.htm Ley 1581 de 2012, artículo 18: “La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a)Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista el incumplimiento que las originó;

Texto del Proyecto de Ley Anterior b)Suspensión de las actividades relacionadas con el Tratamiento hasta por un término de seis (6) meses. En el acto de suspensión seindicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con el Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

PARÁGRAFO. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de Industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva.” “Por la cual se impone una sanción” b) El beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción; c) La reincidencia en la comisión de la infracción; d) La resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la e) La renuencia o desacato a cumplir las órdenes impartidas por la Superintendencia de Industria y Comercio; f) El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.” Por lo tanto, atendiendo dichos criterios, este Despacho entrará a determinar cuáles deberá tener en cuenta en el caso en concreto, así: 9.1.1.

La dimensión del daño o peligro a los intereses jurídicos tutelados por la ley De la lectura de la norma citada, resulta claro que para que haya lugar a la imposición de una sanción por parte de este Despacho, basta que la conducta desplegada por la investigada haya puesto en peligro los intereses jurídicos tutelados por la Ley 1581 de 2012.

Respecto a las sanciones que se imponen por la infracción al Régimen de Protección de Datos, debe precisarse que conforme al principio de proporcionalidad que orienta el derecho administrativo sancionador, la autoridad administrativa debe ejercer su potestad sancionatoria en forma razonable y proporcionada, de modo que logre el equilibrio entre la sanción y la finalidad de la norma que establezca, así como la proporcionalidad entre el hecho constitutivo de la infracción y la sanción aplicada.

Sobre la aplicación de este principio, la Corte Constitucional ha señalado: "En cuanto al principio de proporcionalidad en materia sancionatoria administrativa, éste exige que tanto la falta descrita como la sanción correspondiente a las mismas que resulten adecuadas a los fines de la norma, esto es, a la realización de los principios que gobiernan la función pública.

Respecto de la sanción administrativa, la proporcionalidad Implica también que ella no resulte excesiva en rigidez frente a la gravedad de la conducta, ni tampoco carente de importancia frente a esa misma gravedad.” De esta forma, para la correcta adecuación de los hechos y la sanción aplicable, el operador jurídico en materia de protección de datos personales, debe en primera medida, analizar la dimensión del daño o peligro a los intereses jurídicos tutelados, así como el posible beneficio económico, para luego analizar otras circunstancias concurrentes de graduación, tales como la capacidad económica del investigado, la reiteración de la infracción, colaboración del investigado para esclarecer los hechos investigados.32 También se tendrán en cuenta para la dosificación de la sanción, el tamaño de la empresa, sus ingresos operacionales, patrimonio y, en general, su información financiera, de tal forma que la sanción resulte disuasoria más no confiscatoria.

Así como, la conducta de la investigada durante el trámite de la investigación administrativa. Para el caso que nos ocupa, quedó demostrado que la sociedad RAPPI S.A.S. vulneró el deber contemplado en el literal a) del artículo 17, en concordancia con el literal e) del artículo 8 de la Ley 1581 de 2012 y con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015; se demostró el actuar negligente de la investigada al no ejecutar dentro del plazo máximo legal establecido la supresión de datos personales del Titular. 9.1.2.

La reincidencia en la comisión de la infracción Ley 1581 de 2012 "Artículo 23 La Superintendencia de Industria y Comercio podrá imponer a los Responsables del Tratamiento y Encargados del Tratamiento las siguientes sanciones: a) Multas de carácter personal e institucional hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes al momento de la imposición de la sanción. Las multas podrán ser sucesivas mientras subsista al incumplimiento que las originó, b) Suspensión de las actividades relacionadas con e/ Tratamiento hasta por un término de seis (6) meses.

En acto do Suspensión se indicarán los correctivos que se deberán adoptar; c) Cierre temporal de las operaciones relacionadas con Tratamiento una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la Superintendencia de Industria y Comercio; d) Cierre inmediato y definitivo de la operación que involucre el Tratamiento de datos sensibles;

Parágrafo. Las sanciones indicadas en el presente artículo sólo aplican para las personas de naturaleza privada. En el evento en el cual la Superintendencia de industria y Comercio advierta un presunto incumplimiento de una autoridad pública a las disposiciones de ja presente ley, remitirá la actuación a la Procuraduría General de la Nación para que adelante la investigación respectiva." “Por la cual se impone una sanción” Será tenido en cuenta el criterio contenido en el literal c) del artículo 24 de la Ley 1581 de 2012 en la medida en que con anterioridad la sociedad investigada ha sido sancionada por la misma conducta violatoria de la ley, esto es, que se ha generado reincidencia en el cumplimento del deber de suprimir el dato personal en las bases de datos, razón por la cual, este Despacho aumentará la sanción en dos mil cuatrocientos sesenta y seis (2.465 UVT) unidades de valor tributario vigentes, equivalente a cien (100 SMLMV) salarios mínimos legales mensuales vigentes.

En efecto, enseguida se destaca la siguiente sanción: Radicado 18-89592 En el que mediante la Resolución No. 9800 del 25 de abril de 2019 sancionó a RAPPI S.A.S. por la violación del deber previsto en el literal a) artículo 17, en concordancia con el literal e) del artículo 8 de la Ley 1581 de 2012 y artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015, al haberse probado que la sociedad investigada no respetó el derecho del Titular de suprimir sus datos, por lo tanto, infringió el deber de garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data.

Frente a la vulneración del deber mencionado, este Despacho sancionó a la citada sociedad por la suma de DOSCIENTOS NOVENTA Y OCHO MILLONES CIENTO VEINTIÚN MIL SETECIENTOS SESENTA PESOS ($289.121.760), equivalente a 360 salarios mínimos legales mensuales vigentes, por el incumplimiento del deber contemplado en el literal a) del artículo 17, en concordancia con el literal e) del artículo 8 de la Ley 1581 de 2012 y con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

Sanción que fue confirmada a través de recurso de apelación resuelto mediante la Resolución No. 74828 del 17 de diciembre de 2019. 9.1.3. El reconocimiento o aceptación expresos que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar El criterio de atenuación señalado en el literal f) del artículo 24 de la Ley 1581 de 2012 se aplicará toda vez que el investigado, en los alegatos de conclusión 33 reconoció la comisión de la infracción al deber contemplado en el literal a) del artículo 17 de la Ley 1581 de 2012, expresamente así: “(…) queremos reconocer que, si bien pudo haber un retardo en la eliminación del titular, dicho procedimiento finalmente se llevó a cabo dentro de un determinado término, por lo que ante tal reconocimiento le pedimos respetuosamente a la Dirección dar aplicación al criterio de graduación de las sanciones, consagrado en el literal f) del artículo 24 de la Ley 1581 de 2012, (…)” En virtud de lo anterior, se procederá a hacer una reducción del 50% de la sanción impuesta en el cargo por la vulneración al deber de “Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.”, establecido en el literal a) del artículo 17 de la Ley 1581 de 2012. 9.1.4.

Otros criterios de graduación Se aclara que los criterios de graduación de la sanción señalados en los literales b), d) y e) del artículo 24 de la Ley 1581 de 2012 no serán tenidos en cuenta debido a que dentro de la investigación realizada (i) no se encontró que la investigada hubiera obtenido beneficio económico alguno por la comisión de la infracción, (ii) no hubo resistencia u obstrucción a la acción Investigativa de la Superintendencia y, (iii) no hubo renuencia o desacato a cumplir las órdenes e instrucciones del Despacho.

DÉCIMO: RESPONSABILIDAD DEMOSTRADA (ACCOUNTABILITY) EN EL TRATAMIENTO DE DATOS PERSONALES. La regulación colombiana le impone al Responsable o al Encargado del Tratamiento, la responsabilidad de garantizar la eficacia de los derechos del titular del dato, la cual no puede ser simbólica, ni limitarse únicamente a la formalidad. Por el contrario, debe ser real y demostrable.

Al respecto, nuestra jurisprudencia ha determinado que “existe un deber constitucional de administrar correctamente y de proteger los archivos y bases de datos que contengan información personal o socialmente relevante”34. Alegatos de conclusión radicados bajo el número 19-131604- -00012-0000 del 02 de julio de 2020. Cfr. Corte Constitucional, sentencia T-227 de 2003.

“Por la cual se impone una sanción” Adicionalmente, es importante resaltar que los responsables o encargados del tratamiento de los datos, no se convierten en dueños de los mismos como consecuencia del almacenamiento en sus bases o archivos. En efecto, al ejercer únicamente la mera tenencia de la información, solo tienen a su cargo el deber de administrarla de manera correcta, apropiada y acertada.

Por consiguiente, si los sujetos mencionados actúan con negligencia o dolo, la consecuencia directa sería la afectación de los derechos humanos y fundamentales de los titulares de los datos. En virtud de lo anterior, el Capítulo III del Decreto 1377 de 27 de junio de 2013 -incorporado en el Decreto 1074 de 2015- reglamenta algunos aspectos relacionados con el principio de responsabilidad demostrada.

El artículo 26 35 -Demostración- establece que, “los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012”. Así, resulta imposible ignorar la forma en que el Responsable o Encargado del Tratamiento debe probar poner en funcionamiento medidas adecuadas, útiles y eficaces para cumplir la regulación. Es decir, se reivindica que un administrador no puede utilizar cualquier tipo de políticas o herramientas para dicho efecto, sino solo aquellas que tengan como propósito lograr que los postulados legales sean realidades verificables, y no solo se limiten a creaciones teóricas e intelectuales.

El artículo 27-Políticas Internas Efectivas-, exige que los responsables del tratamiento de datos implementen medidas efectivas y apropiadas que garanticen, entre otras: “(…) 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los titulares, con respecto a cualquier aspecto del tratamiento.”36 Con el propósito de dar orientaciones sobre la materia, la Superintendencia de Industria y Comercio expidió el 28 de mayo de 2015 la “Guía para implementación del principio de responsabilidad demostrada37(accountability)38”.

El término “accountability”39, a pesar de tener diferentes significados, ha sido entendido en el campo de la protección de datos como el modo en que una organización debe cumplir (en la práctica) las regulaciones sobre el tema, y la manera en que debe demostrar que lo puesto en práctica es útil, pertinente y eficiente. Conforme con ese análisis, las recomendaciones que trae la guía a los obligados a cumplir la Ley 1581 de 2012, son: 1.

Diseñar y activar un programa integral de gestión de datos (en adelante PIGDP). Esto, exige compromisos y acciones concretas de los directivos de la organización. Igualmente requiere la implementación de controles de diversa naturaleza; El texto completo del artículo 26 del Decreto 1377 de 2013 ordena: “Demostración. Los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto, en una manera que sea proporcional a lo siguiente: 1.

La naturaleza jurídica del responsable y, cuando sea del caso, su tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa, de acuerdo con la normativa vigente. 2. La naturaleza de los datos personales objeto del tratamiento. 3.El tipo de Tratamiento. 4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

En respuesta a un requerimiento de la recolección de los datos personales, como también la descripción de las finalidades para las cuales esta información es recolectada y una explicación sobre la relevancia de los datos personales en cada caso. En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, quienes efectúen el Tratamiento de los datos personales deberán suministrar a esta de las medidas de seguridad apropiadas evidencia sobre la implementación efectiva El texto completo del artículo 27 del Decreto 1377 de 2013 señala: “Políticas internas efectivas.

En cada caso, de acuerdo con las circunstancias mencionadas en los numerales 1, 2, 3 y 4 del artículo 26 anterior, las medidas efectivas y apropiadas implementadas por el Responsable deben ser consistentes con las instrucciones impartidas por la Superintendencia de Industria y Comercio. Dichas políticas deberán garantizar: 1. La existencia de una estructura administrativa proporcional a la estructura y tamaño empresarial del responsable para la adopción e implementación de políticas consistentes con la Ley 1581 de 2012 y este decreto. 2.

La adopción de mecanismos internos para poner en práctica estas políticas incluyendo herramientas de implementación, entrenamiento y programas de educación. 3. La adopción de procesos para la atención y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento. La verificación por parte de la que administra un Responsable será tenida en cuenta al momento de evaluar la imposición de sanciones por violación a los deberes y obligaciones establecidos en la ley y en el presente decreto”.

El texto de la guía puede consultarse en: http://www.sic.gov.co/sites/default/files/files/Publicaciones/GuiaAccountability.pdf “El término “accountability” puede ser traducido por rendición de cuentas. Esta voz inglesa, que, en su uso cotidiano, significa ‘responsabilidad’, ha comenzado a emplearse en política y en el mundo empresarial para hacer referencia a un concepto más amplio relacionado con un mayor compromiso de los Gobiernos y empresas con la transparencia de sus acciones y decisiones (…) el término accountability puede ser traducido por sistema o política de rendición de cuentas o, simplemente, por rendición de cuentas (…)” Recuperado de https://www.fundeu.es/recomendacion/rendicionde-cuentas-y-norendimientomejor-que-accountability-1470/ el 22 de abril de 2019.

Cfr. Grupo de trabajo de protección de datos del artículo 29. Dictamen 3/2010 sobre el principio de responsabilidad, pág. 8. “Por la cual se impone una sanción” 2. Desarrollar un plan de revisión, supervisión, evaluación y control del PIGDP; y 3. Demostrar el debido cumplimiento de la regulación sobre tratamiento de datos personales. El principio de responsabilidad demostrada –accountability- demanda implementar acciones de diversa naturaleza40 para garantizar el correcto cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales.

El mismo, exige que los responsables y encargados del tratamiento adopten medidas apropiadas, efectivas y verificables que le permitan evidenciar la observancia de las normas sobre la materia. Dichas acciones o medidas, deben ser objeto de revisión y evaluación permanente para medir su nivel de eficacia y el grado de protección de los datos personales.

El principio de responsabilidad precisa menos retórica y más acción en el cumplimiento de los deberes que imponen las regulaciones sobre tratamiento de datos personales. Requiere apremiar acciones concretas por parte de las organizaciones para garantizar el debido tratamiento de los datos personales. El éxito del mismo, dependerá del compromiso real de todos los miembros de una organización. Especialmente, de los directivos de las organizaciones, pues, sin su apoyo sincero y decidido, cualquier esfuerzo será insuficiente para diseñar, llevar a cabo, revisar, actualizar y/o evaluar los programas de gestión de datos.

Adicionalmente, el reto de las organizaciones frente al principio de responsabilidad demostrada va mucho más allá de la mera expedición de documentos o redacción de políticas. Como se ha manifestado, exige que se demuestre el cumplimiento real y efectivo en la práctica de sus funciones. En este sentido, desde el año 2006 la Red Iberoamericana de Protección de Datos (RIPD) ha puesto de presente que, “la autorregulación sólo [sic] redundará en beneficio real de las personas en la medida que sea bien concebida, aplicada y cuente con mecanismos que garanticen su cumplimiento de manera que no se constituyan en meras declaraciones simbólicas de buenas intenciones sin que produzcan efectos concretos en la persona cuyos derechos y libertades pueden ser lesionados o amenazados por el tratamiento indebido de sus datos personales” 41.

(Énfasis añadido) El principio de responsabilidad demostrada, busca que los mandatos constitucionales y legales sobre tratamiento de datos personales sean una realidad verificable y redunden en beneficio de la protección de los derechos de las personas. Por eso, es crucial que los administradores de las organizaciones sean proactivos respecto del tratamiento de la información. De manera que, por iniciativa propia, adopten medidas estratégicas, idóneas y suficientes, que permitan garantizar: i) los derechos de los titulares de los datos personales y ii) una gestión respetuosa de los derechos humanos.

DÉCIMO PRIMERO: CONCLUSIONES Una vez analizada toda la actuación administrativa y documentos que conforman el expediente se encuentra probado que la sociedad RAPPI S.A.S. incumplió su deber, por la siguiente razón: 1. No garantizó en todo tiempo, el pleno y efectivo ejercicio del derecho de Hábeas Data del señor, en razón a que no suprimió sus datos personales dentro del término indicado para hacerlo, esto es, “25 horas”42, ni dentro del plazo máximo legal establecido “15 días hábiles contados a partir del día siguiente a la fecha de su recibo”43, pues la supresión la ejecutó el 7 de septiembre de 2018, es decir, cinco (05) meses y veinticuatro (24) días después de la solicitud del Titular realizada el 14 de marzo de 2018.

Estas medidas pueden ser de naturaleza administrativa, organizacional, estratégica, tecnológica, humana y de gestión. Asimismo involucran procesos y procedimientos con características propias en atención al objetivo que persiguen. Cfr. Red Iberoamericana de Protección de Datos. Grupo de trabajo temporal sobre autorregulación y protección de datos personales.

Mayo de 5 de 2006. En aquel entonces, la RIPD expidió un documento sobre autorregulación y protección de datos personales que guarda cercana relación con “accountability” en la medida que la materialización del mismo depende, en gran parte, de lo que internamente realicen las organizaciones y definan en sus políticas o regulaciones internas.

Respuesta de RAPPI S.A.S. del 14 de marzo aportada con la Denuncia radicada bajo el número 18-181079- -00000-000 del 09 de julio de 2018. Ley 1581 de 2012.

ARTÍCULO 15. RECLAMOS. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: (…) “Por la cual se impone una sanción” Para el único cargo se calculó la multa de DOSCIENTOS OCHENTA MILLONES OCHOCIENTOS NOVENTA Y SIETE MIL CIENTO SESENTA PESOS M/CTE ($280.897.160), equivalente a 7.736,508758 (UVT) Unidad de Valor Tributario, la cual será susceptible de: 1.

Agravante por el criterio de reincidencia, por ello, se aumentará la suma de OCHENTA Y SIETE MILLONES SETECIENTOS SETENTA Y NUEVE MIL CIEN PESOS M/CTE ($87.779.100) equivalente a 2.417,624215 UVT, para un total de TRESCIENTOS SESENTA Y OCHO MILLONES SEISCIENTOS SETENTA Y SEIS MIL DOSCIENTOS SESENTA PESOS M/CTE ($368.676.260) correspondiente a 10.154,132973 UVT. 2.

Atenuación por el criterio de aceptación, por consiguiente, se reducirá el 50% de la sanción impuesta, esto es, la suma de CIENTO OCHENTA Y CUATRO MILLONES TRESCIENTOS TREINTA Y OCHO MIL CIENTO TREINTA PESOS M/CTE ($184.338.130) equivalente a 5.077,066486 UVT, para un total de CIENTO OCHENTA Y CUATRO MILLONES TRESCIENTOS TREINTA Y OCHO MIL CIENTO TREINTA PESOS M/CTE ($184.338.130) equivalente a 5.077,066486 UVT.

Por lo anterior, este Despacho impone como sanción una multa de CIENTO OCHENTA Y CUATRO MILLONES TRESCIENTOS TREINTA Y OCHO MIL CIENTO TREINTA PESOS M/CTE ($184.338.130) equivalente a 5.077,066486 (UVT) Unidad de valor Tributario. En mérito de lo anterior, esta Dirección

RESUELVE

ARTÍCULO PRIMERO: IMPONER una sanción pecuniaria a la sociedad RAPPI S.A.S. identificada con Nit.900.843.898-9 de CIENTO OCHENTA Y CUATRO MILLONES TRESCIENTOS TREINTA Y OCHO MIL CIENTO TREINTA PESOS M/CTE ($184.338.130) equivalente a 5.077,066486 (UVT) Unidad de valor Tributario, por la violación a lo dispuesto en el literal a) del artículo 17, en concordancia con el literal e) del artículo 8 de la Ley 1581 de 2012 y con el artículo 2.2.2.25.2.6 del Decreto Único Reglamentario 1074 de 2015.

PARÁGRAFO: El valor de la sanción pecuniaria que por esta resolución se impone, deberá consignarse en efectivo o cheque de gerencia en el Banco Popular, Cuenta No. 050000249, a nombre de Dirección del Tesoro Nacional – Fondos Comunes, Código Rentístico No. 350300, Nit.899999090-2. El pago deberá efectuarse dentro de los cinco (5) días hábiles siguientes a la ejecutoria de esta resolución y acreditarse en la ventanilla de Tesorería de esta Superintendencia con el original de la consignación, donde le expedirán el recibo de caja aplicado a la resolución sancionatoria.

Vencido este plazo se cobrarán intereses por cada día de retraso, liquidados a la tasa del 12% efectivo anual.

ARTÍCULO SEGUNDO: NOTIFICAR personalmente el contenido de la presente resolución a sociedad RAPPI S.A.S., identificada con Nit. 900.843.898-9, a través de su representante legal y su apoderado, entregándoles copia de esta e informándoles que contra ella procede el recurso de reposición, ante el Director de Investigación de Protección de Datos Personales, y el de apelación, ante el Superintendente Delegado para la Protección de Datos Personales, dentro de los diez (10) días siguientes a su notificación.

ARTÍCULO TERCERO: COMUNICAR al señor identificado con la C.C., el contenido de la presente decisión.

NOTIFIQUESE,

COMUNÍQUESE Y CÚMPLASE Dada en Bogotá, D.C., a los 06 MAYO 2021 El Director de Investigación de Protección de Datos Personales, digitalmente por CARLOS CARLOS ENRIQUE Firmado ENRIQUE SALAZAR MUÑOZ SALAZAR MUÑOZ Fecha: 2021.05.06 12:32:48 -05'00' CARLOS ENRIQUE SALAZAR MUÑOZ 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.

Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término. “Por la cual se impone una sanción” Proyectó: MGR/MRFA Revisó: LMRZ/SRB Aprobó: CESM NOTIFICACIÓN: Investigada Entidad: Identificación: Representante Legal: Identificación: Dirección: Correo electrónico: Ciudad: Apoderado: Identificación: Dirección: Ciudad: Correo electrónico: RAPPI S.A.S. Nit. 900.843.898-9 FELIPE VILLAMARIN LAFAURIE C.C. No. 1.136.881.540 CALLE 93 # 19 - 75 notificacionesrappi@rappi.com Bogotá, D.C-Colombia ALEJANDRO ACEVEDO ESCALLÓN C.C. 1.018.414.692 Calle 92 N°. 11 – 51 Oficina 401 Bogotá D.C. alejandro.acevedo@garrigues.com jose.miguel.delacalle@garrigues.com adolfo.gomez@garrigues.com COMUNICACIÓN: Entidad: Identificación: Dirección: Ciudad: Correo electrónico: C.C